Um aplicativo de monitoramento fetal homologado pela Agência Nacional de Vigilância Sanitária e integrado ao Sistema Único de Saúde em pelo menos onze estados brasileiros está transferindo dados sensíveis de gestantes para servidores localizados na Irlanda sem que o contrato firmado com o SUS preveja qualquer cláusula de repatriação ou de exclusão definitiva dessas informações. A revelação, apurada pelo Mundo Agora a partir de documentos obtidos via Lei de Acesso à Informação e análise técnica do tráfego de dados do aplicativo, coloca em xeque não apenas a segurança de milhares de mulheres em acompanhamento pré-natal pelo sistema público, mas também a eficácia dos mecanismos de controle que o Brasil construiu ao longo dos últimos anos para proteger dados pessoais de natureza sensível.
O que o contrato com o SUS não diz e por que isso importa
O aplicativo em questão, desenvolvido por uma empresa com sede em São Paulo e parceria tecnológica com um grupo irlandês especializado em infraestrutura de saúde digital, foi aprovado pela Anvisa na categoria de software como dispositivo médico de risco classe II. A aprovação, concedida em março de 2025, habilitou o produto a ser utilizado em serviços públicos de saúde, o que abriu caminho para sua incorporação em contratos municipais e estaduais de atenção ao pré-natal de alto risco.
Os contratos analisados pelo Mundo Agora, provenientes de secretarias de saúde dos estados do Pará, Goiás e Rio Grande do Norte, descrevem as funcionalidades da plataforma, os indicadores de desempenho esperados e os prazos de entrega de relatórios clínicos. O que nenhum desses documentos menciona é o destino final dos dados coletados. Informações como frequência cardíaca fetal, histórico obstétrico, resultados de exames laboratoriais, geolocalização das consultas e dados identificadores das gestantes são transmitidas para servidores da empresa parceira irlandesa sem que haja, nos contratos, qualquer dispositivo que obrigue a devolução, a anonimização ou a destruição dessas informações após o encerramento da prestação de serviço.
A ausência dessas cláusulas não é um detalhe burocrático menor. A Lei Geral de Proteção de Dados, em seu artigo 7º, exige base legal clara para o tratamento de dados pessoais sensíveis, categoria na qual se enquadram todas as informações de saúde. O artigo 33º, por sua vez, estabelece condições específicas para a transferência internacional de dados, exigindo que o país receptor ofereça grau de proteção adequado ou que existam garantias contratuais suficientes. A Irlanda, como membro da União Europeia, está coberta pelo GDPR, o que em tese oferece um patamar regulatório elevado. O problema, segundo especialistas ouvidos pela reportagem, é que a adequação do país receptor não dispensa a necessidade de cláusulas contratuais que assegurem ao titular dos dados, no caso a gestante brasileira, o exercício dos seus direitos previstos na LGPD, incluindo o direito ao esquecimento e à portabilidade.
A Anvisa aprovou o dispositivo, mas quem fiscaliza o fluxo dos dados?
A análise técnica conduzida por pesquisadores do Laboratório de Privacidade Digital da Universidade Estadual de Campinas, compartilhada com exclusividade com o Mundo Agora, identificou que o aplicativo realiza chamadas para endpoints hospedados em infraestrutura da Amazon Web Services na região eu-west-1, que corresponde fisicamente ao datacenter de Dublin, na Irlanda. Essas transmissões ocorrem mesmo quando o usuário não está ativamente utilizando o aplicativo, em intervalos regulares que os pesquisadores descrevem como consistentes com sincronização contínua de dados clínicos.
O ponto de tensão institucional aqui é preciso: a Anvisa avalia se o software funciona adequadamente como dispositivo médico, ou seja, se os algoritmos de interpretação da cardiotocografia fetal produzem resultados clinicamente confiáveis. Não é atribuição da agência auditar fluxos de dados ou verificar conformidade com a LGPD. Essa responsabilidade recairia sobre a Autoridade Nacional de Proteção de Dados, a ANPD, que desde 2023 possui mandato fortalecido para fiscalizar o setor público. Contudo, segundo apuração desta reportagem, a ANPD não foi comunicada sobre a incorporação do aplicativo nos contratos do SUS e não há registro de qualquer processo de avaliação de impacto à proteção de dados, o chamado RIPD, vinculado a esses contratos.
A empresa desenvolvedora do aplicativo, procurada pela reportagem, respondeu por e-mail que ‘todos os dados são tratados em conformidade com a legislação brasileira e europeia aplicável’ e que ‘a parceria com o grupo irlandês segue as melhores práticas internacionais de segurança da informação’. A resposta não esclareceu se existe um RIPD, não informou quais cláusulas contratuais protegem os direitos das gestantes e não explicou por que os contratos firmados com secretarias estaduais de saúde não mencionam a transferência internacional.
O que isso significa para as gestantes e para o sistema de saúde
Na prática, uma gestante atendida pelo SUS em Belém, Natal ou Goiânia que utiliza o aplicativo para acompanhar o desenvolvimento do feto não tem como saber, por meios acessíveis, que seus dados clínicos estão sendo armazenados em servidores fora do Brasil. Ela não assinou um termo de consentimento específico para essa transferência internacional, porque os contratos institucionais entre a empresa e as secretarias de saúde não preveem esse mecanismo de ciência individual. A relação contratual é entre a empresa e o ente público, e a gestante figura apenas como usuária final de um serviço que o Estado lhe oferece.
Essa estrutura cria um problema duplamente grave. Primeiro, porque dados de saúde reprodutiva de mulheres de baixa renda, que são o principal público do SUS, têm valor comercial significativo para empresas de tecnologia, seguradoras e indústria farmacêutica. Segundo, porque a ausência de cláusulas de repatriação significa que, se o contrato for rescindido ou a empresa falir, não há mecanismo jurídico acionável para garantir que esses dados sejam destruídos ou devolvidos ao controlador brasileiro. O histórico obstétrico de dezenas de milhares de mulheres pode permanecer em servidores estrangeiros indefinidamente, sem qualquer obrigação legal de eliminação.
O impacto sistêmico vai além das gestantes individualmente. Dados agregados de monitoramento fetal coletados em escala nacional representam um ativo epidemiológico de enorme valor para pesquisa e para políticas públicas. Se esses dados migrarem de forma irrestrita para infraestrutura privada estrangeira sem cláusulas de acesso compartilhado, o Brasil perde soberania sobre informações geradas no âmbito do seu próprio sistema público de saúde.
O que observar a partir de agora
O caso expõe uma lacuna estrutural no processo de contratação de tecnologias de saúde digital pelo setor público brasileiro: a Anvisa certifica a eficácia clínica, mas não há um protocolo obrigatório de avaliação de conformidade com a LGPD antes da assinatura de contratos com o SUS. A ANPD possui autoridade para exigir essa avaliação, mas ainda não estabeleceu um rito específico para dispositivos médicos digitais que envolvam transferência internacional de dados.
Nos próximos meses, vale acompanhar se a ANPD abrirá investigação formal sobre os contratos identificados, se o Ministério da Saúde emitirá orientação às secretarias estaduais para suspender o uso do aplicativo até que as lacunas contratuais sejam sanadas e se o Congresso Nacional avançará no projeto de lei que tramita na Câmara desde 2024 propondo a criação de um regime específico para dados de saúde gerados no âmbito do SUS. O que este caso deixa claro é que a aprovação regulatória de um produto não é garantia de que o ecossistema de dados que ele cria está sob controle do Estado ou dos cidadãos que o financiam com seus impostos e com sua intimidade.