O golpe de 2016 também foi digital: o Brasil que Bolsonaro deixou na nuvem

Rey Aragon
há 2 horas
13 min de leitura

De Temer a Bolsonaro, uma investigação sobre como o Estado aprofundou sua dependência tecnológica e deixou uma arquitetura que ainda limita a soberania digital brasileira.

Os dados permaneceram majoritariamente no Brasil, mas parte das tecnologias que os processam, armazenam, protegem e tornam auditáveis ficou dependente de ecossistemas estrangeiros. Por dentro de IBGE, Serpro e Dataprev, a investigação revela uma herança que atravessou Bolsonaro e chegou ao presente: um Estado nacional na custódia dos dados, mas limitado em sua autonomia tecnológica.

O golpe que ninguém viu nos servidores

O golpe de 2016 também reorganizou o subsolo digital do Estado brasileiro. Michel Temer não inaugurou a dependência tecnológica do país, nem Jair Bolsonaro a inventou. Mas o ciclo aberto com a deposição de Dilma Rousseff aprofundou uma arquitetura em que funções estratégicas do Estado passaram a depender, em diferentes camadas, de tecnologias, serviços e fornecedores estrangeiros. Enquanto o debate público acompanhava reformas, privatizações e o desmonte de capacidades estatais, outra transformação avançava quase invisível: aquela que atingia a infraestrutura pela qual o Brasil conhece sua população, executa políticas públicas e administra informações essenciais à própria soberania.

Esta investigação desceu aos contratos e às arquiteturas de IBGE, Serpro e Dataprev. Encontrou Oracle, Microsoft, IBM, AWS, Dell/EMC e outros fornecedores em bancos de dados, processamento, armazenamento, backup, segurança, identidade, nuvem e suporte especializado. Encontrou também terceirização, acessos administrativos, serviços profissionais e cadeias tecnológicas que atravessaram governos. Mas encontrou algo ainda mais importante: grande parte dos dados permaneceu no Brasil e sob custódia de instituições públicas. É precisamente aí que começa o problema. Dados no território não significam soberania sobre os dados. Quem não controla suficientemente as tecnologias necessárias para processá-los, protegê-los, recuperá-los e auditar seus acessos pode conservar a posse da informação sem possuir autonomia plena sobre a infraestrutura que lhe dá existência e poder.

Não há evidência, nesta investigação, de que as Big Techs tenham simplesmente tomado os bancos de dados brasileiros, de que a AWS tenha recebido os microdados do Censo ou de que o governo dos Estados Unidos tenha acessado as bases examinadas. A denúncia é outra, mais estrutural e mais difícil de remover: a dependência foi incorporada à própria capacidade operacional do Estado. Sistemas proprietários, contratos, conhecimento especializado, custos de migração, suporte e infraestruturas legadas não desaparecem numa eleição. Bolsonaro saiu do Planalto. A arquitetura permaneceu.

É essa herança que chegou a Lula e que torna a soberania digital uma questão de Estado, não de governo. O Brasil pode regular plataformas, proteger juridicamente seus dados e anunciar autonomia tecnológica; se não ampliar a capacidade material de controlar as infraestruturas que sustentam suas políticas públicas, continuará soberano na lei e dependente na máquina. A batalha decisiva não é apenas por quem possui os dados do Brasil. É por quem controla as condições materiais que permitem ao Brasil transformá-los em poder soberano.

2016: quando a dependência mudou de escala

A dependência tecnológica do Estado brasileiro não nasceu em 2016. Seria historicamente falso dizer isso e analiticamente cômodo demais. Oracle, IBM, Microsoft e outros fornecedores estrangeiros já ocupavam havia anos posições importantes na máquina pública. O que muda depois da ruptura institucional é a combinação entre continuidade tecnológica, reorganização do Estado e aprofundamento da dependência. O governo Michel Temer abre o período em que infraestruturas proprietárias deixam de aparecer apenas como ferramentas contratadas e passam a compor, de maneira cada vez mais interdependente, o ambiente necessário ao funcionamento de serviços públicos estratégicos. Na Dataprev, por exemplo, um contrato de 2016 ligado ao Oracle Exadata chegou a cerca de R$ 50 milhões; em 2018, a estatal contratou um centro integrado de operações de segurança por R$ 45 milhões e infraestrutura associada à proteção de bancos de dados por mais de R$ 22 milhões. Não são três compras isoladas. Banco, segurança, monitoramento e suporte começavam a formar uma mesma ecologia tecnológica.

É esse Estado que Bolsonaro recebe em 2019. Em vez de romper a trajetória, seu governo a conduz a uma nova etapa. A digitalização acelera, a nuvem ganha centralidade, serviços especializados se expandem e a fronteira entre infraestrutura pública e ecossistemas privados torna-se mais complexa. O Serpro, peça histórica da autonomia informática brasileira, passa a operar também como integrador de soluções de grandes fornecedores globais e estabelece uma relação contratual com a AWS que incluía suporte empresarial, serviços profissionais e mecanismos de contratação por escopos específicos. Na Dataprev, Oracle e outras tecnologias proprietárias continuaram estruturando parcelas importantes do ambiente computacional. No IBGE, a preparação tecnológica do Censo incorporou servidores, licenciamento, armazenamento, segurança e suporte fornecidos ou sustentados por diferentes empresas privadas. O movimento não foi a substituição simples do Estado pelo mercado. Foi mais profundo: o Estado permaneceu proprietário de instituições e infraestruturas enquanto sua capacidade de operar passou a depender de uma cadeia cada vez mais difícil de separar delas.

É nessa passagem que o sentido digital do ciclo iniciado em 2016 precisa ser procurado. A privatização contemporânea não exige vender o data center ou transferir a base. Pode avançar pela dependência de tecnologias proprietárias, licenças, especialistas e padrões cuja substituição se torna progressivamente mais cara e arriscada. O patrimônio continua público; a autonomia material para operá-lo, não necessariamente.

Bolsonaro, portanto, não criou essa contradição. Seu legado foi aprofundá-la no momento em que dados, nuvem e infraestrutura digital se tornavam ativos centrais da disputa de poder mundial. E é precisamente por isso que reduzir o problema a uma lista de contratos com empresas estrangeiras seria perder a história. O que estava sendo acumulado era algo mais duradouro: dependência tecnológica convertida em estrutura de Estado. A eleição seguinte poderia trocar o governo. Não poderia trocar, na mesma velocidade, a máquina que o novo governo herdaria.

Bolsonaro encontrou a estrutura. E a levou para a nuvem

Jair Bolsonaro chegou ao Planalto quando dados, capacidade computacional e infraestrutura digital já haviam se tornado ativos estratégicos comparáveis, em importância política, a energia, comunicações e território. Seu governo não precisou privatizar Serpro, Dataprev ou IBGE para aprofundar a dependência construída no ciclo anterior. Bastou acelerar outra transformação: manter o Estado formalmente proprietário enquanto ampliava sua inserção em ecossistemas tecnológicos que ele não controlava integralmente. É nesse período que nuvem, multicloud, serviços especializados, terceirização e grandes plataformas proprietárias passam a compor, com intensidade crescente, a infraestrutura sobre a qual instituições estratégicas brasileiras operavam.

O Serpro oferece a imagem mais acabada dessa contradição. Criado em 1964 e historicamente associado à construção de capacidade tecnológica própria do Estado, continuou controlando data centers e sistemas críticos, mas passou também a funcionar como integrador entre a administração pública e provedores globais. Sua relação com a AWS previa não apenas consumo de nuvem, mas Enterprise Support, Professional Services e serviços executados mediante escopos específicos de trabalho, os SOWs. Isso não prova que a Amazon tenha recebido bases estratégicas brasileiras. Prova algo diferente: uma empresa pública concebida para produzir autonomia tecnológica passou a incorporar à sua própria capacidade de entrega competências e serviços de uma infraestrutura privada estrangeira. A fronteira da dependência já não passava apenas pelo lugar onde o dado era armazenado, mas por quem fornecia conhecimento, atualização, escalabilidade e capacidade técnica para operar sobre ele.

No IBGE, essa transformação alcançou a infraestrutura preparada para o Censo. Sob a presidência de Susana Cordeiro Guerra, entre 2019 e 2021, avançaram a digitalização da coleta, o uso de registros administrativos e a preparação de um ambiente tecnológico apoiado em diferentes fornecedores privados. Servidores, licenciamento, armazenamento, segurança e suporte formavam uma cadeia na qual apareciam Dell, Microsoft, Oracle e outras tecnologias, enquanto a Connectcom ocupou funções de suporte N1, N2 e N3, inclusive em atividades administrativas sobre componentes do ambiente.

A Dataprev completa o quadro. Suas grandes bases permaneceram fortemente ancoradas em infraestrutura estatal no Brasil, ao mesmo tempo que Oracle Exadata, tecnologias de segurança, SOC terceirizado, suporte especializado e outras soluções proprietárias compunham diferentes camadas de sua operação. Em um caso revelador, a solução corporativa de gestão de pessoas contratada do Consórcio MG2I foi hospedada em data center privado da Globalweb. Não era o CNIS nem a folha previdenciária dos brasileiros, distinção indispensável, mas demonstrava materialmente que “Dataprev pública” e “infraestrutura integralmente pública” já não eram expressões equivalentes.

IBGE, Serpro e Dataprev mostram três faces do mesmo processo. O dado podia permanecer no Brasil, a máquina pertencer ao Estado e o contrato ser celebrado por uma empresa pública, enquanto capacidades essenciais de operação dependiam de cadeias tecnológicas externas. Bolsonaro não vendeu necessariamente o cofre. Aprofundou um Estado em que parte das engrenagens e do conhecimento necessário para operá-lo dependia de quem estava do lado de fora. A dependência digital havia se tornado arquitetura.

Os dados ficaram. A soberania, nem toda

A maior armadilha do debate brasileiro sobre soberania digital é confundi-la com geografia. Se o servidor está no Brasil, se o data center pertence a uma estatal e se a base não atravessou a fronteira, presume-se que o problema esteja resolvido. A investigação de IBGE, Serpro e Dataprev mostra o contrário. Soberania sobre dados não é apenas saber onde eles dormem. É controlar as condições materiais que permitem armazená-los, processá-los, protegê-los, recuperá-los e saber quem os acessou. Quando essas funções são decompostas, o que parecia uma infraestrutura nacional revela diferentes graus de dependência.

A contradição cabe dentro de um único sistema: o equipamento pode estar no Brasil, o armazenamento pertencer ao Estado e a aplicação ser pública, enquanto banco de dados, software, suporte ou manutenção dependem de tecnologias e operadores externos. No IBGE, a Connectcom ocupou camadas de suporte N1, N2 e N3; no Serpro, a AWS oferecia suporte empresarial e Professional Services; na Dataprev, um SOC terceirizado coexistia com Oracle Exadata e infraestrutura pública de processamento. Isoladamente, nenhum desses elementos significa perda de soberania. O problema é a arquitetura que formam quando se acumulam.

Essa arquitetura pode ser compreendida por seis dimensões. Há uma soberania física, determinada por quem controla equipamentos e data centers; uma soberania dos dados, definida pela localização e custódia das bases e de suas cópias; uma soberania operacional, que responde quem possui privilégios para administrar os ambientes; uma soberania tecnológica, relativa ao domínio sobre software, atualizações, formatos e capacidade de substituição; uma soberania jurídica, condicionada pelas jurisdições às quais fornecedores e operadores estão submetidos; e uma soberania de auditabilidade, talvez a mais negligenciada, que determina quem controla logs, trilhas administrativas e evidências capazes de reconstruir um acesso. Um país pode ser soberano em uma dessas camadas e dependente em outra. É essa condição que podemos chamar de soberania digital estratificada.

O problema deixa de ser abstrato quando se chega aos privilégios. Auditorias do próprio IBGE identificaram fragilidades no desprovisionamento de contas de terceiros e necessidade de aperfeiçoar controles sobre acessos elevados. No universo das estatais de tecnologia, o Tribunal de Contas da União registrou em 2019 que Serpro e Dataprev, por força de contratos de TI com a Receita Federal, possuíam acesso e gerenciamento de bases que incluíam informações protegidas por sigilo fiscal. Isso não demonstra acesso de Oracle, Microsoft, AWS ou qualquer governo estrangeiro a esses dados. Demonstra algo anterior e decisivo: entre o cidadão que entrega uma informação ao Estado e a base que a conserva existe uma cadeia real de operadores, credenciais, privilégios, softwares e infraestruturas. A soberania depende de controlar essa cadeia inteira.

Os logs revelam a dimensão mais delicada dessa questão. Entre 2018 e 2020, a Receita Federal identificou oito acessos indevidos a dados de contribuintes, seis deles envolvendo pessoas politicamente expostas. Os casos conhecidos levaram à responsabilização de servidores da própria Receita, não de empresas estrangeiras ou terceirizadas. Mas a investigação do TCU mostrou que, em determinadas situações, a recuperação das trilhas necessárias à apuração exigia atuação especial do Serpro. A pergunta estratégica deixa então de ser somente quem pode entrar? e passa a incluir outra: quem possui capacidade autônoma para provar quem entrou? Um Estado que depende de terceiros para reconstruir sua própria memória operacional possui uma vulnerabilidade diferente daquela produzida pelo armazenamento externo, mas não necessariamente menor.

É nesse ponto que a discussão sobre nuvem precisa abandonar tanto o fetiche tecnológico quanto a paranoia. Dependência não significa automaticamente espionagem; suporte não equivale a leitura de conteúdo; contrato com empresa norte-americana não prova acesso do governo dos Estados Unidos. Mas soberania também não pode ser reduzida à ausência de uma invasão comprovada. Ela é capacidade positiva: substituir fornecedores, controlar privilégios, custodiar chaves, auditar sessões, preservar logs, dominar padrões e manter sistemas essenciais funcionando mesmo quando interesses comerciais, jurídicos ou geopolíticos externos entram em conflito com os nacionais. A verdadeira medida da autonomia aparece quando o país precisa dizer não.

Por isso, o achado central desta investigação não é que o Brasil tenha perdido seus dados. É mais incômodo: o Brasil preservou grande parte deles enquanto permitiu que sua autonomia sobre diferentes camadas da infraestrutura se tornasse desigual. O território continuou nacional; a soberania tornou-se estratificada. E quanto mais profundamente uma dependência se incorpora à máquina pública, menos ela se parece com uma escolha contratual e mais passa a funcionar como limite material da política.

A porta existia. O acesso, não provamos.

Toda investigação séria sobre soberania de dados precisa responder à pergunta que sua própria evidência produz: quem efetivamente acessou o quê? Examinamos contratos, auditorias, privilégios e cadeias de suporte de IBGE, Serpro e Dataprev. Encontramos portas técnicas, operadores com acesso a camadas sensíveis e uma superfície ampliada de confiança. Não encontramos prova de que Big Techs ou qualquer governo estrangeiro tenham usado essas portas para acessar as bases estratégicas examinadas.

O caso AWS é exemplar. A relação contratual com o Serpro incluía Enterprise Support, Professional Services e execução de serviços mediante Statements of Work, os SOWs. Há evidências de que esse modelo permitia interação técnica da Amazon com projetos e clientes públicos. Mas as buscas não localizaram SOW individual, ordem de serviço, log ou outro documento primário capaz de provar que profissionais da AWS tenham administrado microdados do IBGE.

A mesma disciplina vale para Microsoft, Oracle e demais fornecedores. Não encontramos prova de que o CNIS tenha sido entregue à Azure, de que a Microsoft controlasse as bases previdenciárias, de que a Oracle lesse o conteúdo armazenado em seus bancos ou de que fabricantes estrangeiros tenham realizado os acessos indevidos identificados nos sistemas tributários.

Porque a questão estratégica começa antes da espionagem. Um Estado não precisa sofrer uma intrusão para descobrir que é vulnerável. Basta que funções das quais não pode prescindir dependam de tecnologias que não domina, especialistas que não consegue substituir rapidamente, contratos difíceis de romper, credenciais cuja governança precisa ser terceirizada ou ferramentas cuja atualização permanece sob controle externo. Segurança nacional não se mede apenas pelo registro de quem atravessou uma porta. Mede-se também por quem fabricou a fechadura, quem consegue repará-la, quem possui conhecimento para auditá-la e quanto custa ao Estado substituí-la quando seus interesses exigirem.

É por isso que a ausência de uma prova espetacular não absolve a arquitetura. Ao contrário, desloca a denúncia para onde ela é mais sólida. O problema documentado não é que alguém tenha roubado as chaves do Brasil. É que o Estado construiu partes de sua casa dependendo de chaves, fechaduras e manutenção que não domina integralmente. Essa dependência atravessou a mudança de governo. E é justamente aí que a investigação deixa de olhar apenas para a herança de Bolsonaro e passa a interrogar o governo Lula.

A herança continua. E Lula precisa rompê-la

Seria intelectualmente desonesto terminar esta investigação em Bolsonaro. O terceiro governo Lula recebeu uma infraestrutura digital atravessada por dependências acumuladas durante décadas e aprofundadas no ciclo aberto em 2016. Recebeu contratos, sistemas legados, conhecimento técnico especializado, padrões proprietários e custos de migração que não podem ser apagados por decreto. Recebeu também um Congresso hostil a parte importante de sua agenda, enorme poder econômico das plataformas e uma correlação internacional em que infraestrutura digital, semicondutores, nuvem e inteligência artificial se tornaram instrumentos de disputa entre Estados. Nada disso, porém, absolve o governo. Herança explica constrangimentos; não pode se transformar em álibi para insuficiência estratégica.

Lula avançou. Em 2023, seu governo estabeleceu regras específicas para contratação de nuvem pelo Executivo federal; em 2024, Serpro e Dataprev foram formalmente incorporados à Nuvem de Governo para cargas que exigem maior segurança e soberania. A Infraestrutura Nacional de Dados passou a tratar dados como ativos estratégicos e a associar explicitamente sua governança ao fortalecimento da soberania nacional e das empresas públicas. Em agosto de 2026, o SUS iniciou a migração progressiva do CadSUS e da Rede Nacional de Dados em Saúde, que reúne mais de 5 bilhões de registros, para infraestrutura soberana operada com o Serpro. E, neste mesmo mês, Lula anunciou a Nuvem Brasileira, iniciativa que pretende colocar dados e controle da infraestrutura em mãos nacionais, estimular fornecedores brasileiros e reduzir dependências tecnológicas. São movimentos relevantes. Também são a medida de quanto ainda falta fazer.

Porque o próprio Estado começa a reconhecer agora, tecnicamente, aquilo que esta investigação encontrou historicamente. O Serpro já trata soberania como um problema de gradientes de controle e avalia localização dos dados, custódia das chaves criptográficas, jurisdição estrangeira, autonomia operacional, atualizações, licenciamento, padrões abertos, cadeia de suprimentos e capacidade de continuidade. É quase a confissão institucional de que “dados no Brasil” nunca bastou. Mais revelador ainda: a Nuvem Brasileira, anunciada em agosto de 2026, permanece na fase inicial de estudos e diagnóstico; sua modelagem ainda será construída e a escuta pública do mercado está marcada para setembro. Dez anos depois de 2016 e quase quatro anos depois da volta de Lula ao Planalto, o Brasil ainda está desenhando parte da infraestrutura necessária para reduzir a dependência que já conhece.

É aqui que a crítica precisa ser feita sem concessões. O governo Lula recolocou soberania digital no vocabulário do Estado, fortaleceu Serpro e Dataprev e começou a deslocar cargas críticas para ambientes submetidos a maior controle nacional. Mas reconhecer a soberania como princípio não é ainda reorganizar a base material da dependência. O próprio Serpro registrou que sua Nuvem de Governo avançou em 2025 com soluções estruturantes baseadas também em tecnologias de provedores globais. O desafio brasileiro, portanto, não se resolve trocando o endereço comercial da nuvem nem cercando tecnologia estrangeira com contratos brasileiros. Exige capacidade de substituir fornecedores, dominar operação e atualização, custodiar chaves, auditar acessos, desenvolver padrões abertos, formar quadros, financiar tecnologia nacional e assegurar que nenhuma infraestrutura crítica possa ser paralisada porque uma licença, uma atualização ou uma decisão tomada fora do país se tornou indispensável ao seu funcionamento.

Essa deveria ser uma das prioridades estratégicas de um eventual quarto mandato de Lula. Não por fetiche tecnológico, nem por autarquia digital, mas porque a disputa sobre a nuvem é uma disputa sobre capacidade de Estado. Saúde, previdência, tributação, estatística, inteligência artificial, educação, planejamento econômico e políticas sociais dependem crescentemente da infraestrutura que transforma dados em decisão. Para um país do Sul Global, permanecer apenas consumidor das tecnologias que organizam essa capacidade significa aceitar uma divisão internacional do trabalho também no mundo digital: uns desenvolvem as arquiteturas, controlam padrões e acumulam conhecimento; outros alugam capacidade, fornecem dados e administram dependências.

Lula não criou essa estrutura. Tampouco poderá desmontá-la sozinho ou de uma vez. Mas um próximo governo que se proponha a defender a soberania brasileira precisará tratá-la como aquilo que ela se tornou: infraestrutura básica da independência nacional. Isso exige política industrial, compras públicas orientadas ao desenvolvimento, empresas estatais tecnologicamente fortes, pesquisa, formação, software aberto quando estratégico, capacidade computacional nacional e uma política de nuvem que transforme soberania em requisito verificável, não em palavra de apresentação institucional. A correlação de forças explica por que essa transição será difícil. É precisamente por isso que ela exige estratégia.

O ciclo iniciado em 2016 deixou uma lição que o Brasil não pode carregar para a próxima década. Soberania não existe apenas na Constituição, no território ou no discurso diplomático. Ela precisa existir também na infraestrutura que permite ao Estado enxergar sua população, conhecer sua economia e decidir seu futuro. O Brasil recuperou o governo. Agora precisa recuperar capacidade material sobre a máquina digital que governa junto com ele. Porque, no século XXI, um Estado que não controla suficientemente as condições tecnológicas da própria existência pode continuar independente no mapa e dependente no código.