Trocar o Dropbox pelo Nextcloud, ou o Google Analytics pelo Matomo, altera a sua posição jurídica mais do que a maioria dos guias admite. No momento em que o seu VPS guarda o nome, o e-mail, o endereço IP ou a fotografia de outra pessoa, passa a ser responsável pelo tratamento ao abrigo do RGPD, e o seu fornecedor de alojamento é o seu subcontratante. «É só o meu homelab» deixa de ser verdade assim que familiares, sócios de um clube ou clientes têm contas próprias.
Não existe um «VPS conforme com o RGPD» que se possa comprar. A conformidade é uma propriedade da sua configuração, não do fornecedor. O que um fornecedor pode dar são os documentos e a residência dos dados que tornam a conformidade possível.
O único documento de que precisa mesmo
O artigo 28.º, n.º 3 do RGPD exige um contrato escrito entre si e qualquer subcontratante que trate dados pessoais por sua conta. Em português é o contrato de subcontratação; em inglês, um Data Processing Agreement (DPA). Sem ele, o seu alojamento não é conforme por melhor que tenha configurado o servidor.
Os três grandes fornecedores europeus de baixo custo emitem-no diretamente no painel de controlo, sem custos adicionais:
| Fornecedor | Onde obter o contrato | Notas |
|---|---|---|
| Hetzner | Celebrado diretamente na sua conta de cliente | Cobre os deveres do art. 28.º (responsável/subcontratante); as medidas técnicas e organizativas são auditadas anualmente pela TÜV Rheinland (i-sec GmbH) |
| Netcup | CCP → Master Data → Order Processing | Gerador de contrato, sem encargos adicionais |
| Contabo | Painel de controlo → Data Processing Agreement → «Create new» | Cobre VPS, VDS, servidores dedicados, Object Storage e colocation |
A Contabo oferece ainda as cláusulas contratuais-tipo da UE se a localização de servidor que escolheu ficar fora da UE – vale a pena saber, porque a Contabo vende as regiões dos EUA e da Ásia ao mesmo preço das alemãs.
Onde os dados estão fisicamente
A escolha da região é onde mais gente se engana, porque os fornecedores misturam localizações da UE e de fora da UE atrás de um único início de sessão.
A Hetzner traça aqui uma distinção explícita. Falkenstein, Nuremberga e Helsínquia mantêm na UE tanto os seus dados de cliente como os dados do seu servidor. Ashburn (Virgínia), Hillsboro (Oregon) e Singapura estão também no menu – nessas, os dados do servidor saem da UE enquanto os dados de cliente lá permanecem. Escolher uma região norte-americana num fornecedor alemão não mantém na Europa os ficheiros dos seus utilizadores.
A Netcup opera Nuremberga e Viena. O nível mais barato da Contabo vem definido para a Alemanha por predefinição, mas vende regiões dos EUA, do Reino Unido, de Singapura e da Austrália a partir do mesmo menu pendente.
A regra prática: escolha a região de forma deliberada no aprovisionamento e verifique-a depois, em vez de confiar na predefinição.
A questão dos fornecedores dos EUA não está resolvida
A DigitalOcean, a Vultr e a Akamai/Linode operam todas centros de dados na UE, e as três têm sede nos Estados Unidos. Isso importa porque o CLOUD Act alcança as empresas norte-americanas independentemente de onde esteja o hardware – uma questão distinta de saber se o centro de dados fica em Frankfurt.
O terreno jurídico é aqui realmente instável, por isso trate como desatualizado qualquer guia que fale com certeza:
- A decisão de adequação da Comissão Europeia de julho de 2023 sobre o Data Privacy Framework UE-EUA é direito em vigor hoje.
- Em 3 de setembro de 2025, o Tribunal Geral da UE rejeitou a ação de Philippe Latombe contra ela, considerando o Data Protection Review Court suficientemente independente.
- Latombe recorreu em 31 de outubro de 2025. O processo está no Tribunal de Justiça como processo C-703/25 P e mantém-se pendente, sem data de audiência anunciada em maio de 2026.
- Dois pilares de apoio vacilam: o PCLOB, que fiscaliza as salvaguardas de informações do framework, está num limbo jurídico, e a Secção 702 da FISA funciona com uma prorrogação de curta duração.
Se o TJUE anular o framework quanto ao mérito, seria, depois do Safe Harbour e do Privacy Shield, o terceiro mecanismo transatlântico de transferência derrubado. Para quem faz self-hosting, a leitura pragmática é simples: um fornecedor de propriedade europeia numa região da UE contorna toda a questão – e não custa mais.
O que o RGPD pede ao próprio servidor
O artigo 32.º exige uma segurança «adequada ao risco» em vez de uma lista fixa, e é por isso que os conselhos genéricos são inúteis. Em concreto, para uma configuração num único VPS:
- Cifre as cópias de segurança, não apenas o disco. Os snapshots do fornecedor ficam normalmente sem cifra na mesma conta.
resticouborgcom uma frase-passe, enviados para armazenamento separado, são a medida que conta. - Saiba onde as cópias vão parar. Um servidor Hetzner em Falkenstein que faz cópia para um bucket S3 norte-americano é uma transferência que tem de documentar.
- Reduza a retenção de registos. O Nginx e o Traefik registam por predefinição endereços IP completos, e um IP é um dado pessoal. Anonimize o último octeto ou rode de forma agressiva – 7 a 14 dias chegam para depurar sem acumular responsabilidade.
- Mantenha um registo nos termos do art. 30.º. Para a maioria de quem faz self-hosting cabe numa página: o que trata, porquê, onde reside, quem mais lhe acede e durante quanto tempo o conserva.
- Liste os seus subcontratantes ulteriores. O seu host de VPS, o seu destino de cópias, o seu relay de correio e a sua CDN contam cada um.
Notas ao nível das aplicações
Nextcloud guarda nomes de ficheiros, ligações de partilha e IP de início de sessão – o alcance completo, e os seus registos de servidor exigem a mesma disciplina de retenção do reverse proxy.
Matomo e Plausible são muitas vezes a própria razão da migração: ambos funcionam sem cookies e sem banner de consentimento quando configurados para anonimizar os IP, exatamente o que o Google Analytics não pode oferecer. Veja como fazer self-hosting do Plausible.
Vaultwarden guarda um cofre cifrado que o servidor não consegue ler, mas o e-mail da conta e os carimbos de data/hora de início de sessão continuam a ser dados pessoais.
Entre dois fornecedores alemães, não é o RGPD que decide, mas as características e o preço – veja a nossa comparação Hetzner contra Netcup e a comparação VPS completa.
Isto é um resumo prático, não aconselhamento jurídico. Se trata dados de saúde, dados de crianças ou algo em grande escala, fale com um advogado especializado em proteção de dados.
Frequently asked questions
Um fornecedor alemão torna-me automaticamente conforme com o RGPD?
Não. Um fornecedor alemão elimina o problema da transferência internacional e disponibiliza com facilidade o contrato de subcontratação. Mas as obrigações que reprovam numa auditoria continuam a ser suas enquanto responsável: o registo do artigo 30.º, os prazos de conservação, a notificação de violações em 72 horas e a resposta aos pedidos de acesso.
Preciso de um contrato de subcontratação para um servidor puramente pessoal?
Se for a única pessoa cujos dados estão no servidor, aplica-se em geral a exceção doméstica e não é necessário qualquer contrato. A Hetzner assinala esta exceção para uso privado. Assim que um utilizador externo tiver uma conta, a exceção deixa de se aplicar.
Hetzner ou Netcup, qual é melhor para o RGPD?
Nenhum dos dois tem vantagem legal. São duas empresas alemãs que disponibilizam o contrato de subcontratação diretamente no painel de controlo. Decida então pelas características e pelo preço em vez do RGPD: no plano legal, os dois equivalem-se.