Uma investigação conduzida por pesquisadores da Universidade Federal do Rio de Janeiro em parceria com o laboratório de segurança digital InternetLab revelou, nesta semana, que o aplicativo de monitoramento fetal distribuído gratuitamente pelo Sistema Único de Saúde transmite dados sensíveis de gestantes para servidores hospedados na Malásia e nas Ilhas Cayman, territórios com os quais o Brasil não mantém acordos bilaterais ou multilaterais de proteção de dados pessoais. O aplicativo, adotado em 14 estados brasileiros como parte do programa de pré-natal digital lançado em 2024, coleta informações como frequência cardíaca fetal, histórico de complicações gestacionais, localização geográfica das usuárias e dados de identificação do cartão do SUS. O caso expõe uma falha estrutural na cadeia de contratações públicas de tecnologia em saúde e coloca em xeque a capacidade do Estado brasileiro de garantir a soberania sobre informações de altíssima sensibilidade.
Como os dados saem do Brasil sem que ninguém autorize explicitamente
O aplicativo em questão, desenvolvido pela startup HealthBridge Solutions com sede em São Paulo, foi contratado pelo Ministério da Saúde após processo licitatório realizado em outubro de 2023. O edital exigia que os dados fossem armazenados em território nacional, conforme determina o artigo 33 da Lei Geral de Proteção de Dados para casos que envolvam órgãos públicos. O que os auditores descobriram, porém, é que a arquitetura técnica do sistema usa uma cadeia de subprocessadores que não foi declarada à Autoridade Nacional de Proteção de Dados durante o processo de due diligence. Na prática, o servidor primário fica em São Paulo, mas rotinas automatizadas de backup e sincronização de modelos preditivos de inteligência artificial são executadas em infraestrutura terceirizada localizada fora do país.
O mecanismo funciona da seguinte forma: a cada 72 horas, pacotes de dados anonimizados segundo os critérios da própria empresa são enviados para aprimorar os algoritmos de detecção de anomalias cardíacas fetais. O problema está no que a empresa chama de ‘anonimização’. Pesquisadores identificaram que os pacotes incluem o código de vinculação ao cartão do SUS, a unidade de saúde de referência da paciente e a semana gestacional no momento da coleta. A combinação desses três campos permite, com técnicas triviais de re-identificação, associar os registros a indivíduos específicos em municípios de menor porte, onde o número de gestantes em cada semana de gravidez é estatisticamente pequeno. O que a empresa vende como dado anônimo é, na prática, um dado pseudonimizado com proteção insuficiente.
A Malásia não integra nenhum dos acordos de adequação reconhecidos pela União Europeia e tampouco possui tratado específico com o Brasil no âmbito da LGPD. As Ilhas Cayman, por sua vez, são um território ultramarino britânico sem legislação própria de proteção de dados aplicável a operações comerciais de terceiros. Isso significa que, caso haja vazamento, comercialização indevida ou acesso por autoridades locais, o Brasil não tem qualquer instrumento jurídico para exigir responsabilização ou recuperação dos dados.
O silêncio da ANPD e as brechas no processo de contratação pública
A Autoridade Nacional de Proteção de Dados recebeu em março de 2025 uma notificação prévia sobre o sistema, mas classificou a análise como procedimento de baixa prioridade por entender que o aplicativo envolvia apenas dados de saúde pública de caráter agregado. A classificação foi feita com base em documentação fornecida pela própria HealthBridge, sem auditoria técnica independente. Fontes internas da ANPD ouvidas sob condição de anonimato afirmam que o órgão não dispõe de equipe técnica suficiente para auditar contratos de tecnologia firmados pelos ministérios, situação que se agravou com o contingenciamento orçamentário de 2025 que reduziu em 34% o quadro de servidores especializados em análise de sistemas.
O Tribunal de Contas da União abriu, em setembro deste ano, uma fiscalização sobre os contratos de tecnologia do Ministério da Saúde após denúncia de um grupo de parlamentares, mas o escopo inicial não incluía a verificação de fluxos internacionais de dados. O relatório parcial divulgado em agosto havia apontado irregularidades em processos de renovação automática de contratos, mas sem aprofundamento na camada de infraestrutura digital. A investigação da UFRJ e do InternetLab, portanto, preenche uma lacuna que os mecanismos oficiais de controle não haviam alcançado.
Há também uma dimensão contratual relevante. O termo de referência assinado entre o Ministério da Saúde e a HealthBridge exige que a empresa ‘adote medidas técnicas adequadas de proteção de dados’, mas não especifica o que configura adequação, não proíbe expressamente o uso de subprocessadores internacionais e não estabelece obrigação de notificação ao contratante em caso de mudança na arquitetura de infraestrutura. É um contrato que delega responsabilidade sem criar mecanismo de verificação, um padrão que especialistas em direito digital vêm criticando há anos em compras públicas de software.
O que isso significa para as gestantes e para o sistema de saúde
Para as aproximadamente 2,3 milhões de mulheres que utilizaram o aplicativo desde seu lançamento, o impacto imediato mais concreto é a incerteza sobre o paradeiro de informações extremamente sensíveis. Dados de saúde gestacional podem ser explorados comercialmente por empresas de seguros, por plataformas de publicidade direcionada a produtos para bebês e, em cenários mais graves, por operadores de planos de saúde para ajuste de prêmios ou rejeição de cobertura. Em jurisdições sem acordo de proteção de dados, não existe barreira legal eficaz contra esses usos secundários.
Especialistas em saúde pública alertam ainda para o risco de que o escândalo reduza a adesão ao monitoramento fetal digital, que havia demonstrado resultados positivos na detecção precoce de sofrimento fetal em regiões com cobertura obstétrica deficiente. A tecnologia em si não é o problema: o problema é a ausência de governança. Países como Estônia e Canadá operam sistemas similares com auditorias técnicas independentes trimestrais e proibição contratual explícita de transferências internacionais sem cláusulas de adequação verificável. O Brasil construiu o front-end do sistema sem construir a espinha dorsal regulatória que o sustentaria.
O que acompanhar nos próximos meses
O Ministério da Saúde publicou nota na tarde de terça-feira afirmando que ‘determinará a revisão imediata da arquitetura técnica do sistema’ e que ‘suspenderá preventivamente as rotinas de sincronização internacional até a conclusão de auditoria independente’. A HealthBridge, por sua vez, negou que haja risco real às usuárias e afirmou que os dados transmitidos são ‘plenamente anonimizados conforme padrões internacionais’, sem especificar quais padrões ou por qual entidade foram certificados.
Nos próximos meses, vale observar três movimentos: se a ANPD abrirá processo administrativo sancionatório contra a empresa, o que testará pela primeira vez a capacidade do órgão de aplicar multas significativas em um contexto de contratação pública; se o TCU expandirá o escopo de sua fiscalização para incluir auditoria de fluxos de dados em contratos de tecnologia de saúde; e se o Congresso aproveitará o caso para avançar no projeto de lei que obriga auditorias técnicas independentes antes da homologação de qualquer sistema digital que processe dados sensíveis do SUS. O que está em jogo não é apenas a privacidade de 2,3 milhões de gestantes: é a credibilidade do Estado brasileiro como guardião de dados que os cidadãos entregam em troca de cuidado.