Dados sanitários de 210 milhões de brasileiros estão armazenados em “depósitos”, sob risco de captura por corporações ou potências estrangeiras. Há uma alternativa política e técnica: dispô-los em fluxos, ou “trilhos”, sob controle de seus titulares e do SUS, mas a salvo de invasões
Por Fabiano Tonaco Borges*, em Outras Palavras
Existem duas abordagens para o documento do cuidado, quer seja uma receita, um pedido de exame, um encaminhamento, ou mesmo um laudo. A primeira envolve armazená-lo como um dado estático em um depósito institucional, onde a receita reside no sistema da clínica, o laudo no do laboratório e o atestado no do consultório. Na segunda, ele vira um objeto em circulação: um só, com dono nomeado a cada instante, atravessando as instituições por gestos registrados. A primeira maneira é um depósito. A segunda é um trilho. Depósito estoca. Trilho conduz.
Eu trabalho com análise comparada de sistemas de saúde, e a pergunta que me faço com frequência é: de quem depende a memória do cuidado de um país? Quando falamos em soberania do cuidado em saúde, pensamos em vacinas, insumos, fábricas. Raramente pensamos nos documentos. A receita, o laudo, o atestado, o pedido de exame. Eles são a memória operacional do cuidado. Onde essa memória mora, e em que forma, é questão de soberania.
Hoje, essa memória vive como dado guardado em silos institucionais. Silo é o depósito fechado que só o dono abre. E convém ser justo: o silo não é errado. É a forma natural de cada instituição fazer bem o próprio trabalho. O problema é o que o silo acumula. Cada depósito concentra, em um lugar só, os diagnósticos de uma população inteira. Para o cuidado, isso já é ruim. Para a segurança, é um alvo.
Todo desenho de sistema precisa responder a uma pergunta desconfortável: o que um ataque cibernético bem-sucedido encontra? No mundo dos silos, encontra tudo. Remédios, doses, diagnósticos, endereços. O depósito é um pote de mel, um estoque concentrado que vale a invasão. Em tempo de paz, o estoque vaza para quem paga. Em tempo de guerra eletrônica, quando redes viram campo de sabotagem entre países, o estoque vira mapa: quem toma o quê, quem está doente, e onde cada pessoa está. Nenhum cofre resolve isso, porque o problema não é só a fechadura, mas sim o acúmulo de dados num lugar só.
Num conflito, cartografar ou sabotar o sistema de saúde de uma população é objetivo estratégico, não dano colateral. A defesa, aqui, não é levantar um muro mais alto: é mudar a forma do dado, para que não exista um único ponto cujo colapso derrube o cuidado de todos. Resiliência deixa de ser plano de contingência e passa a ser postura de defesa nacional.
A proposta do trilho cabe em três propriedades sobre cada documento do cuidado. A primeira é a identidade única: um número que nenhum outro documento repete, válido em qualquer instituição. A segunda é o estado corrente: emitido, a caminho, cumprido. A terceira é a custódia, a posse explícita do objeto a cada instante.
Existe sempre um único detentor. Toda passagem de mãos é um gesto registrado, com hora e com nome. E o detentor padrão, aquele com quem o objeto fica quando ninguém mais precisa dele, é o cidadão, ancorado a uma chave que identifica a pessoa, como a chave do Pix ancora o dinheiro.
O que esse desenho compra em segurança, nenhum cofre compra. Em primeiro lugar, o que circula entre as instituições não é o conteúdo, e sim a etiqueta de posse: quem detém o objeto, quando, em que estado. O conteúdo clínico fica no próprio objeto, minimizado, e não se replica em cópias acumuladas por cada depósito. Uma violação da camada de circulação encontra etiquetas, não o prontuário de uma população inteira. O valor do saque despenca, e com ele o incentivo.
Em segundo lugar, a conferência acontece sem exposição. Qualquer parte verifica que o documento existe e em que estado está, sem abrir o conteúdo. Terceiro, o desenho se deteriora sem se quebrar. Quando a rede cai, imprime-se. A via física nasce no papel e morre no papel, e fica registrada como física assim que a rede permite. Continuidade, aqui, é propriedade do desenho, e não plano de contingência.
Some-se a isso o livro-razão que ninguém edita. Cada gesto entra em uma lista de fatos que só cresce, na qual nada se apaga. Adulterar a história de um objeto deixa de ser invisível, pois qualquer costura falsa aparece. A perícia não precisa confiar. Ela confere.
Há uma segunda soberania em jogo, mais silenciosa. A resposta fácil da última década para financiar plataformas de saúde foi vender o que circula: perfis, hábitos, diagnósticos agregados. Um país cujos documentos do cuidado viram mercadoria não terceiriza só o dado. Terceiriza a decisão sobre o próprio cuidado.
No desenho do trilho, essa resposta não existe. Um armazém de dados pode ser vendido. Um trilho não tem o que vender. A receita do sistema precisa nascer de quem o opera, nunca de quem ele serve. A privacidade deixa de ser cláusula de contrato e passa a ser consequência do desenho.
E há uma terceira soberania, a mais esquecida que é a do paciente sobre o próprio caminho. O sistema de saúde é hiperfragmentado. Clínica, laboratório, hospital, farmácia. Cada um com o seu sistema, nenhum falando com o outro. Quem costura essa fragmentação, hoje, é o paciente, carregando cópias de um depósito a outro. Ele virou a camada de integração de último recurso do sistema que deveria servi-lo. No desenho do trilho, o documento mora com quem ele serve e atravessa as instituições por gestos registrados. O paciente deixa de carregar o sistema nas costas. Carrega a própria chave.
Soberania do cuidado em saúde, ao fim e ao cabo, não seria fazer o documento do cuidado circular por um trilho que o país consegue inspecionar, auditar e manter de pé no pior dia?
O motor já existe. Foi construído em um projeto de extensão tecnológica da UFPE, no Departamento de Engenharia Biomédica do Centro de Tecnologia e Geociências: PicSaúde, Plataforma de Integração do Cuidado e Infraestrutura Computacional de Custódia Sanitária para o SUS.
A arquitetura dos trilhos, códigos e testes estão publicados em github.com/Tonaco-13/PicSaude.
O desenho foi apresentado, em detalhe técnico, no artigo From Pix to Care Rails a common architectural core for prescriptions, lab orders, reports, and dispensing, aceito no XXIX Congresso Brasileiro de Engenharia Biomédica (Fortaleza, 28 de setembro a 2 de outubro de 2026).
*Sanitarista e Chefe do Departamento de Engenharia Biomédica do Centro de Tecnologia e Geociências (CTG) da Universidade Federal de Pernambuco (UFPE).
