TCU determina revisão de contratos estatais com a Amazon por riscos à soberania de dados

O Tribunal de Contas da União (TCU) determinou a revisão de contratos firmados entre estatais federais de Tecnologia da Informação (T.I) e a Amazon Web Services (AWS), braço de computação em nuvem da empresa. A decisão, aprovada na quarta-feira, 10 de junho de 2026, visa mitigar riscos de acesso a dados públicos por autoridades estrangeiras.

A Corte de Contas identificou que uma cláusula contratual entre o Serpro (Serviço Federal de Processamento de Dados) e a AWS pode permitir o acesso a informações governamentais em decorrência de ordens estrangeiras. O TCU exige que o contrato seja aditado para explicitar que qualquer acesso a esses dados só poderá ocorrer mediante determinação de autoridades brasileiras, reforçando a soberania nacional.

O risco à soberania de dados também foi apontado em um contrato similar da Dataprev (Empresa de Tecnologia e Informações da Previdência). Serpro e Dataprev são empresas públicas cruciais na operação da Nuvem de Governo, um ambiente criado para armazenar e processar dados sensíveis da administração pública em infraestrutura controlada pelo Estado brasileiro.

A solução AWS Outposts, utilizada nesses contratos, envolve a instalação de equipamentos e serviços da Amazon em data centers das estatais. Embora a infraestrutura física esteja no Brasil e sob controle do Serpro e da Dataprev, parte da gestão, monitoramento e telemetria depende de estruturas da própria AWS, gerando preocupações técnicas e jurídicas.

Dados de órgãos como o Banco Central (BC), com informações sobre o sistema financeiro e pagamentos instantâneos (Pix), e o Ministério da Saúde (MS) podem estar hospedados sob essa estrutura. Para a Dataprev, o contrato abrange também dados do Ministério da Educação (MEC), do Ministério da Agricultura e Pecuária (Mapa) e do Instituto Nacional do Seguro Social (INSS).

O TCU classificou o nível de soberania dos dados hospedados via AWS Outposts como 'baixo', apontando dificuldades em atender plenamente a requisitos como residência de dados e controle operacional. A preocupação é que a redação contratual possa admitir submissão a ordens de autoridades estrangeiras, incluindo legislações como o Cloud Act dos Estados Unidos.

Além da revisão contratual, o TCU determinou que Serpro e Dataprev apresentem, em até 180 dias, um plano de ação para implementar redundância geográfica nas soluções de nuvem de governo. A medida visa garantir a resiliência dos serviços, com a existência de ao menos dois data centers geograficamente distintos por fornecedor, para evitar pontos únicos de falha em casos de desastres naturais ou ataques cibernéticos.