Hospedar dados em servidor europeu é permitido pela LGPD?
Sim. Desde 2026 a ANPD reconhece a União Europeia como destino adequado. Veja o que diz o art. 33 da LGPD, quais obrigações continuam com você e quais erros evitar.
Resposta curta
- 1Sim. O art. 33, inciso I, da LGPD permite a transferência internacional de dados pessoais para países que proporcionem grau de proteção adequado.
- 2Pela Resolução CD/ANPD nº 32, de 26 de janeiro de 2026, a ANPD reconheceu a União Europeia como destino com nível de proteção adequado.
- 3Por isso, enviar dados para um servidor em Frankfurt não exige cláusulas-padrão contratuais nem autorização prévia da ANPD.
- 4Você continua sendo o controlador: precisa de base legal, transparência com os titulares, registro das operações e medidas de segurança.
- 5Se o provedor copiar os dados para um país fora da UE, essa nova transferência precisa de outro mecanismo do art. 33, como as cláusulas-padrão da Resolução CD/ANPD nº 19/2024.
O que diz o art. 33 da LGPD
A Lei nº 13.709/2018 só admite a transferência internacional de dados pessoais nas hipóteses do art. 33. A primeira delas é o envio para países ou organismos internacionais que proporcionem grau de proteção adequado, reconhecido pela ANPD. As demais incluem cláusulas contratuais específicas ou padrão, normas corporativas globais, selos e certificados, além de situações como cooperação jurídica internacional e proteção da vida.
Hospedar um site, um banco de dados ou um backup em um servidor fora do Brasil é uma transferência internacional. A pergunta prática, portanto, é se o país de destino foi reconhecido como adequado.
A adequação mútua Brasil–União Europeia de 2026
Em janeiro de 2026, Brasil e União Europeia anunciaram o reconhecimento mútuo de adequação. Do lado brasileiro, a Resolução CD/ANPD nº 32, de 26 de janeiro de 2026, reconhece que a União Europeia oferece nível de proteção compatível com a LGPD. Do lado europeu, a Comissão Europeia adotou uma decisão de adequação reconhecendo o Brasil.
A resolução não cobre transferências feitas exclusivamente para fins de segurança pública, defesa nacional, segurança do Estado ou investigação e repressão de infrações penais, e prevê reavaliação periódica. Acompanhe a página oficial da ANPD sobre transferência internacional para confirmar o texto vigente.
Quando o destino não é adequado: Resolução CD/ANPD nº 19/2024
O Regulamento de Transferência Internacional de Dados, aprovado pela Resolução CD/ANPD nº 19/2024, traz as cláusulas-padrão contratuais que devem ser usadas quando não há decisão de adequação. Elas continuam relevantes se parte da sua infraestrutura (CDN, e-mail transacional, ferramenta de análise ou backup) fica fora da União Europeia.
Três casos brasileiros
Uma loja virtual de Curitiba
Guarda nomes, endereços e CPFs de compradores em um VPS em Frankfurt. A Alemanha faz parte da UE, então a transferência se apoia no art. 33, I. A loja precisa revisar sua política de privacidade, o registro das operações e o contrato com o provedor.
Um escritório de contabilidade de Belo Horizonte
Hospeda documentos de clientes em servidor europeu, mas o backup automático vai para um armazenamento fora da UE. O servidor principal está coberto pela adequação; o backup é uma segunda transferência que exige cláusulas-padrão.
Um SaaS de São Paulo que vende para a Europa
Trata dados de usuários brasileiros e europeus. Com a adequação mútua, o fluxo nos dois sentidos fica simplificado, mas a empresa responde à LGPD pelo que coleta no Brasil e ao RGPD pelo que trata de titulares europeus.
Erros comuns
- Achar que "servidor na UE" dispensa o contrato com o operador: o art. 39 exige que o operador siga as instruções do controlador.
- Esquecer os suboperadores que copiam dados para fora da UE, como CDN, e-mail transacional ou backups.
- Não informar aos titulares, na política de privacidade, que os dados são armazenados no exterior.
- Supor que o provedor de hospedagem é responsável pelo registro das operações (art. 37) ou pela base legal. Essas obrigações são do controlador.
Como a 4hosting ajuda
Nossos datacenters ficam na União Europeia (Frankfurt), não no Brasil: seus dados ficam em um destino que a ANPD reconhece como adequado. Assinamos um contrato de tratamento de dados (DPA, art. 28 do RGPD) e trabalhamos com alinhamento à ISO 27001 (não certificação).
Todo plano VPS, dedicado ou GPU, e os planos cPanel a partir do Advanced, incluem horas mensais de DevOps e CyberSecurity: use-as para hardening, backups dentro da UE ou revisão de acessos. A migração é gratuita e a fatura é emitida em EUR.
Não somos certificadores: a conformidade com a LGPD é avaliada por você, com seu assessor jurídico.
Fale com a gente sobre o seu caso →Perguntas frequentes
Preciso de autorização da ANPD para usar um servidor na Alemanha?
Não. A Alemanha é Estado-membro da União Europeia e a UE foi reconhecida como adequada pela Resolução CD/ANPD nº 32/2026. As demais obrigações da LGPD continuam valendo.
Ainda preciso das cláusulas-padrão da Resolução CD/ANPD nº 19/2024?
Para o envio à União Europeia, não. Elas continuam necessárias para transferências a países sem decisão de adequação, por exemplo um backup fora da UE.
A 4hosting certifica que minha empresa cumpre a LGPD?
Não. A 4hosting oferece infraestrutura na UE e um contrato de tratamento de dados (DPA). A conformidade da sua operação é avaliada por você, com seu assessor jurídico.