Google Drive não é repositório de preservação: o que a lei exige e por que nuvem estrangeira não cumpre

Um arquivo salvo no Google Drive há cinco anos continua ali, intacto e acessível. Para a maioria das pessoas, isso é o bastante. Mas para organizações públicas, universidades, institutos de pesquisa e empresas sob pressão regulatória, essa falsa sensação de segurança é uma bomba-relógio jurídica e administrativa.

O mito persiste: "Se está na nuvem, está preservado." Errado. Estar disponível não é o mesmo que estar preservado. E estar em uma nuvem estrangeira gerenciada por um terceiro sem vínculo institucional viola, simultaneamente, requisitos de cadeia de custódia, soberania digital e conformidade à LGPD — mesmo que ninguém tenha deletado nada.

O Google Drive é excelente para colaboração de curto prazo. Mas preservação digital é outro negócio — e tem definições, padrões internacionais e requisitos legais muito específicos.

Segundo a norma ISO 16363 (padrão internacional para auditoria e certificação de repositórios digitais confiáveis), um sistema de preservação digital deve garantir:

• Integridade criptográfica verificável ao longo do tempo
• Cadeia de custódia documentada em cada acesso, alteração ou migração de formato
• Plano de continuidade para obsolescência tecnológica (quando formatos envelhecem)
• Governança transparente sobre quem acessa, quando e por quê
• Independência institucional do provedor (o repositório não pode desaparecer por decisão de terceiros)
• Auditoria externa periódica comprovando cumprimento desses requisitos

O Google Drive oferece nenhum desses. Não porque seja um produto ruim, mas porque não foi projetado para isso. É armazenamento sincronizado em nuvem — não repositório de preservação.

Cadeia de custódia é o registro completo e verificável de quem tocou em um documento, quando, por quê e o quê foi feito. Não é opcional — é requisito legal em praticamente toda instituição pública brasileira e em muitas privadas, especialmente as sujeitas a auditorias, processos judiciais ou fiscalizações.

O artigo 5º da Lei de Acesso à Informação (Lei 12.527/2011) e a Resolução nº 1/2020 do CONARQ (Conselho Nacional de Arquivos) estabelecem que documentos públicos devem ser gerenciados com rastreabilidade total. Qualquer instituição que não prove "quem mexeu no arquivo" enfrenta:

• Nulidade em processos judiciais (o arquivo não prova sua autenticidade)
• Rejeição em auditorias (órgãos de controle não aceitam arquivos sem rastreamento)
• Impossibilidade de comprovar conformidade com políticas de retenção e destruição
• Violação da LGPD ao não demonstrar controle sobre acesso a dados pessoais

Quando um arquivo fica no Google Drive:

1. Você não controla quem Google dá acesso (políticas internas do Google, requisições governamentais dos EUA, etc.)
2. Não há log público/auditável de cada acesso
3. Atualizações automáticas de formato ou sistema são opacas
4. Se alguém compartilha o link, você não consegue rastrear quem copiou o arquivo
5. A posse legal do dado permanece ambígua (você tem licença de uso, não propriedade)

Resultado prático: Um Ministério que armazena portarias e decisões administrativas no Google Drive não consegue provar sua autenticidade em uma auditoria CGU. Uma universidade não consegue defender teses digitalizadas em um processo judicial. Uma empresa que precisa atender a uma requisição legal sobre retenção de dados não consegue demonstrar conformidade.

Há um mito paralelo: "A nuvem está em data center blindado. Isso é mais seguro que manter servidor na sala da TI." Verdade técnica, mentira jurídica.

A soberania digital é uma questão de jurisdição e controle. Quando seus dados estão em servidor nos EUA:

• O CLOUD Act (2018) permite ao governo americano exigir acesso a qualquer dado, independentemente de onde o usuário está
• A execução dessa lei é sumária — empresas como Google e Microsoft estão obrigadas a cumprir, sem aviso prévio ao titular dos dados
• Dados de órgãos públicos federais podem ser subpoenaados por tribunais americanos
• Dados pessoais (LGPD) saem do escopo de proteção brasileira — passam a ser regidos pela lei americana, muito mais permissiva

Isso não é teoria paranóica. É o que está acontecendo agora:

• A Resolução CGU nº 7/2023 recomenda explicitamente que instituições federais evitem armazenar dados pessoais em nuvens estrangeiras
• O Decreto 11.341/2023 sobre estrutura de órgãos federais menciona soberania digital como critério de infraestrutura
• O Ministério da Defesa já proibiu uso de serviços em nuvem estrangeira para dados sensíveis
• Universidades federais com pesquisa de interesse de defesa nacional não podem usar Google Drive ou OneDrive

Para o setor privado: Se sua empresa processa dados de clientes ou funcionários, armazená-los em nuvem estrangeira sem criptografia de ponta a ponta (que nem o Google oferece com chave sob seu controle) viola a LGPD. O órgão regulador — a ANPD — já começou a cobrar conformidade. A multa sobe até 2% do faturamento anual.

O custo real dessa confusão:

• Órgão público que armazena dados de cidadãos no Google Drive = descumprimento de LGPD + violação de soberania
• Universidade com pesquisa sensível no OneDrive = inviabilidade de parcerias com órgãos de defesa ou pesquisa crítica
• Empresa multinacional com dados RH em nuvem genérica = auditoria de conformidade falha + risco de multa regulatória

Um arquivo salvo hoje em .docx pode ser intocável daqui a 20 anos — não porque esteja corrompido, mas porque nenhum software conseguirá abri-lo. Formatos envelhecem. Plataformas são descontinuadas. Padrões mudam.

Preservação digital de verdade envolve migração preventiva de formatos. Um arquivo .tif preservado de forma confiável deve ser regularmente validado e, se necessário, migrado para novo formato — mantendo rastreamento completo dessa transformação.

Google Drive? Não faz nada disso. Você salva em PDF hoje e em 15 anos o PDF pode estar legível no navegador, mas:

• Você não sabe se o Google mantém o formato original ou se fez alterações silenciosas
• Não há certificado de integridade antes/depois
• Não há plano documentado de o que acontece se Google descontinuar o serviço
• Você não controla quando o formato é "atualizado"

Em relação à LGPD, o cenário fica ainda mais crítico:

A lei estabelece que dados pessoais devem ser armazenados com segurança apropriada. A ANPD deixou claro que "segurança apropriada" não significa só criptografia em trânsito — inclui controle sobre acesso, logs auditáveis e conformidade com requisitos de retenção e direito ao esquecimento.

Se um arquivo com dados pessoais fica no Google Drive:

1. Você não controla exclusão (o Google faz "backup" automático)
2. Você não consegue provar que deletou dentro do prazo legal
3. O direito ao esquecimento (LGPD, art. 17) fica impossível de cumprir com garantia
4. Auditorias encontram a não-conformidade imediatamente

Um repositório de preservação digital certificado (ISO 16363) oferece:

1. Infraestrutura soberana — servidores sob jurisdição nacional, governança transparente
2. Cadeia de custódia completa — log criptográfico de cada acesso, alteração, migração de formato
3. Validação de integridade — checksums criptográficos que comprovam que ninguém alterou o arquivo
4. Plano de migração — quando um formato fica obsoleto, o arquivo é transformado para novo padrão com rastreamento total
5. Auditoria externa — certificadoras independentes validam que o repositório segue os padrões internacionais
6. Controle de acesso granular — você decide quem vê o quê, quando, por quanto tempo
7. Conformidade LGPD — controle total sobre direito ao esquecimento, retenção, anonimização
8. Independência institucional — o repositório não desaparece porque a empresa muda política de negócio

Google Drive oferece:

• Armazenamento sincronizado
• Acesso compartilhado
• Colaboração em tempo real
• Backup automático

São coisas úteis. Mas nada disso é preservação digital.

Instituições públicas e grandes empresas que ainda confiam em Google Drive para armazenar acervos corporativos, documentos de pesquisa, dados de cidadãos ou teses enfrentam riscos imensos — muitos deles já materializando:

• Auditorias internas e externas (CGU, TCU, agências de controle) rejeitam documentação sem cadeia de custódia rastreável
• Processos judiciais são anulados porque a autenticidade do arquivo não pode ser comprovada
• Multas LGPD começam a chegar com severidade — ainda tímidas, mas crescentes
• Perda de memória institucional — quando alguém sai da organização, levando conhecimento não documentado ou documentado em contas pessoais de nuvem
• Risco de descontinuidade — Google descontinua serviços. Nunca pensou em "e se amanhã Google Drive mudar seus termos de serviço?"
• Incompatibilidade regulatória — órgãos federais não conseguem estabelecer parcerias com instituições que violam soberania digital

O custo de remediar é exponencialmente maior que o custo de implementar desde agora.

Uma instituição que gastou cinco anos salvando dados no Google Drive precisará depois:

1. Extrair tudo (processo manual, caro, propenso a erros)
2. Recriar metadados e cadeia de custódia (muitas vezes impossível retroativamente)
3. Validar integridade (como você prova que ninguém mexeu nos últimos cinco anos?)
4. Migrar para repositório certificado
5. Enfrentar auditoria com achados negativos

Nenhuma dessas etapas é gratuita ou rápida.

Se sua instituição ainda usa Google Drive como repositório principal, o primeiro passo não é correr para uma solução — é mapear o tamanho real do problema:

• Quanto acervo está lá? (dados pessoais, documentos públicos, pesquisa, propriedade intelectual?)
• Por quanto tempo precisa ser preservado? (requisito legal, memória institucional?)
• Quem acessa e com que frequência?
• Você consegue rastrear todas essas ações?

Depois, construir uma estratégia de governança documental que inclua:

• Classificação de dados (o que é crítico vs. o que é efêmero)
• Infraestrutura soberana para dados críticos e pessoais
• Cadeia de custódia documentada desde a criação até a destruição autorizada
• Conformidade LGPD pela raiz, não como retrofit
• Plano de preservação com migração preventiva de formatos
• Auditoria periódica comprovando cumprimento

Soluções de preservação digital confiáveis (certificadas ISO 16363) integram:

• Infraestrutura nacional
• IA para extração, anonimização e governança
• Conformidade automática com requisitos legais
• Cadeia de custódia criptográfica
• Acesso granular e rastreável

O diferencial crítico é que preservação não é um adicional — é a base sobre a qual tudo se constrói.

Google Drive é uma ferramenta excelente. Mas não é repositório de preservação digital, e usar como tal expõe sua instituição a riscos jurídicos, regulatórios e administrativos imensos.

A lei brasileira (LGPD, LAI, Resolução CONARQ) é clara: você precisa de cadeia de custódia documentada, soberania de dados e conformidade auditável. Nenhum desses requisitos é opcional, e todos eles falham em solução genérica.

A diferença é simples:

• Backup = segurança operacional (o arquivo não foi deletado)
• Preservação = garantia jurídica, memória institucional, compliance (você consegue provar autenticidade, rastreamento e controle)

O custo de implementar preservação digital confiável agora é uma fração do custo de lidar com auditorias, processos anulados e multas LGPD depois. E a memória institucional que você preserva — pesquisa, decisões administrativas, memória coletiva — não tem preço.

Sua instituição merece melhor que uma ilusão de segurança. Merece preservação de verdade.