Porque o cuidado passou a depender dele. Quando o histórico clínico, o exame ou a prescrição não estão disponíveis, íntegros e restritos a quem deve vê-los, o atendimento atrasa, erra ou para. O Ministério da Saúde diz que a Rede Nacional de Dados em Saúde (RNDS) "estabelece a infraestrutura nacional para o compartilhamento padronizado de dados de saúde" e, em janeiro de 2026, a secretária de Informação e Saúde Digital do ministério, Ana Estela Haddad, chamou o uso de dados no SUS Digital de estratégico para "a continuidade do cuidado dos pacientes". A política brasileira de infraestruturas críticas define essas infraestruturas pelo impacto da interrupção, e é por esse critério que o dado de saúde deve ser gerido.
O que o Ministério da Saúde disse em janeiro de 2026
No Dia Internacional da Proteção de Dados Pessoais, 28 de janeiro, o Ministério da Saúde lembrou que informações de saúde são dados pessoais sensíveis, porque revelam diagnósticos, históricos clínicos e tratamentos, e que protegê-las evita discriminação, usos indevidos e violações de direitos. Na mesma nota, a secretária Ana Estela Haddad afirmou que, no SUS Digital, a proteção de dados pessoais e a segurança da informação são premissas "desde o início da construção de qualquer sistema, ferramenta ou painel que utiliza dados".
O ministério citou a Portaria GM/MS nº 3.232/2024, que instituiu o Programa SUS Digital e define dado pessoal sensível de saúde como o dado relativo à saúde do titular ou à atenção prestada a ele que revele informações sobre sua saúde física ou mental "no presente, passado ou futuro" (anexo, art. 4º, II). Na mesma notícia, anunciou a 3ª Jornada de Proteção de Dados Pessoais no SUS, com oficinas e foco no fortalecimento da atuação dos encarregados.
Um ecossistema interligado
A mesma portaria descreve o ecossistema de saúde digital como um sistema "complexo e interconectado": conectividade, equipamentos e dispositivos, redes, sistemas e bases de dados, prontuário eletrônico e protocolos, programas e aplicativos (anexo, art. 4º, III). E põe na saúde digital os dispositivos vestíveis e a internet das coisas (anexo, art. 3º, parágrafo único). A RNDS liga as redes públicas e privadas desse ecossistema: na página da RNDS, o ministério mostra o histórico de um paciente que passa por unidades públicas, por uma internação pelo plano de saúde num hospital com sistema próprio e por um exame registrado num sistema privado, para "um cuidado contínuo e integrado".
Em outubro de 2026, a Política Nacional de Informação e Saúde Digital, instituída pela Portaria GM/MS nº 12.301/2026, pôs a proteção dos dados pessoais, a soberania digital e o uso seguro e responsável de tecnologias emergentes entre os seus princípios e consolidou a RNDS como plataforma de interoperabilidade do ecossistema de dados do SUS, segundo o ministério.
O que a regra de infraestrutura crítica diz, e o que não diz
A Política Nacional de Segurança de Infraestruturas Críticas (Decreto nº 9.573/2018) define infraestruturas críticas como "instalações, serviços, bens e sistemas cuja interrupção ou destruição, total ou parcial, provoque sério impacto social, ambiental, econômico, político, internacional ou à segurança do Estado e da sociedade". E define resiliência como a capacidade de essas infraestruturas serem recuperadas depois de uma situação adversa (anexo, art. 1º, parágrafo único, I e IV).
A lista oficial de setores prioritários ainda não traz a saúde assistencial. A Resolução CNSIC nº 21/2026, que orienta os planos setoriais, enumera 14: o Ministério da Saúde responde pelo de biossegurança e bioproteção, e hospitais e dados de saúde não aparecem como setor (art. 2º, § 1º). Em janeiro de 2026, o ministério teve representantes designados para o grupo de trabalho que elabora a proposta de projeto de lei da política nacional (Resolução CNSIC nº 16/2026). Enquanto a lista não muda, a definição já basta para a gestão: o critério é o impacto da interrupção, e a interrupção do dado de saúde atinge o atendimento.
Três propriedades que o cuidado exige do dado
- Disponibilidade: o prontuário, o resultado do exame e a imagem precisam estar acessíveis na hora do atendimento. A Anvisa lembra que incidentes cibernéticos podem tornar inoperantes as redes hospitalares e interromper o cuidado (Guia nº 38/2020, seção 2).
- Integridade: um dado alterado pode ser tão perigoso quanto um dado ausente. A LGPD pede proteção contra destruição, perda e alteração, não só contra o acesso indevido (art. 46).
- Confidencialidade: dado de saúde é dado pessoal sensível (LGPD, art. 5º, II), e o próprio ministério liga a proteção dele a evitar discriminação e usos indevidos.
O dado de saúde na pauta do comitê
Tratar o dado de saúde como infraestrutura crítica muda as perguntas de gestão, e cada uma tem um dono no comitê:
- Quais fluxos de dados, se interrompidos, param o atendimento, e quanto tempo cada um aguenta fora do ar? (diretoria e TI hospitalar)
- Esses fluxos têm monitoramento contínuo e um plano de contenção que não derrube o serviço clínico? (CISO)
- O backup é testado com restauração, e a recuperação foi ensaiada? (TI e engenharia clínica)
- O inventário diz onde estão os dados sensíveis, inclusive nas integrações com laboratórios, operadoras e a RNDS? E os contratos com quem guarda ou processa esses dados preveem continuidade e comunicação de incidente? (DPO e compras)
Como a Vortex ajuda
A Vortex trata a continuidade assistencial como parte da segurança, com detecção e resposta 24x7x365 e plano de recuperação dos serviços essenciais, para reduzir o tempo fora do ar e manter o atendimento; as páginas de cibersegurança para hospitais e redes de saúde e de segurança para ambientes de saúde detalham o serviço. O Cyber Defense Center, o NG-SOC Convergente da Vortex, opera a partir de dois centros ativos, no Rio de Janeiro e em São Paulo: se um falhar, o outro assume. A Vortex é certificada na ISO 22301, de continuidade de negócios. Antes de levar dados clínicos para a IA, leia o guia Segurança de IA.