Guia de Anonimização Geográfica para Mapas de Casos de Arboviroses

Guia de Anonimização Geográfica para Mapas de Casos de Arboviroses orienta equipes de saúde a transformar dados territoriais em informação útil sem expor pessoas, domicílios ou pequenos grupos, promovendo a privacidade de dados geoespaciais.

A proposta é preservar a capacidade de identificar áreas prioritárias para vigilância epidemiológica, ao mesmo tempo que reduz o risco de reidentificação de pacientes.

Mapas de casos de dengue, zika e chikungunya ajudam gestores a distribuir agentes, planejar bloqueios, comunicar riscos e avaliar intervenções.

Porém, um ponto geográfico muito preciso pode revelar a residência de uma pessoa quando há poucos registros em uma rua, condomínio ou comunidade, comprometendo a privacidade de dados geoespaciais.

A anonimização geográfica resolve esse problema por meio de técnicas como agregação espacial, supressão de pequenas contagens, deslocamento controlado de coordenadas e redução da precisão territorial.

A escolha não deve ser automática: depende da finalidade do mapa, do tamanho da população, da frequência dos casos e do público que terá acesso ao material.

Em novembro de 2026, a governança de dados em saúde exige uma combinação de rigor epidemiológico, segurança da informação e transparência.

A melhor solução não é simplesmente esconder o mapa, mas definir o nível adequado de detalhe para cada decisão pública.

Guia de Anonimização Geográfica para Mapas de Casos de Arboviroses: objetivos e limites

Um mapa epidemiológico precisa responder a uma pergunta concreta: onde concentrar uma ação? Se a resposta depender da identificação de uma residência específica, há um problema metodológico e ético.

A vigilância deve trabalhar com padrões territoriais, não com a exposição de pessoas.

Por que a localização exata pode revelar pacientes

Coordenadas obtidas por endereço, aplicativo de campo ou sistema de notificação podem apresentar precisão suficiente para indicar uma casa.

Mesmo sem nome, CPF ou número da ficha, a combinação entre localização, data, idade aproximada e doença pode permitir uma dedução.

O risco aumenta em municípios pequenos, localidades rurais, áreas com poucos domicílios e situações em que uma única notificação aparece em determinado período.

Um mapa público com um ponto isolado pode ser interpretado como a localização de uma pessoa infectada.

A reidentificação indireta ocorre quando informações aparentemente anônimas são cruzadas com outras fontes.

Redes sociais, cadastros públicos, notícias locais e conhecimento comunitário podem completar as lacunas deixadas pelo mapa.

Por isso, a proteção não deve considerar apenas o campo “nome”.

Endereço, data de atendimento, idade, sexo, ocupação, unidade notificadora e coordenada também podem funcionar como identificadores quando combinados.

Como definir a finalidade antes de anonimizar

O primeiro passo é registrar a finalidade do produto cartográfico.

Um mapa para orientar uma equipe de campo pode ter mais detalhe do que um painel aberto à população, desde que existam controles de acesso e regras claras de uso.

O princípio da necessidade ajuda a evitar excessos.

Se a equipe precisa saber qual setor censitário apresenta maior concentração de notificações, não há justificativa para divulgar pontos individuais dentro de cada lote.

• Defina se o mapa será usado para planejamento interno, comunicação pública, pesquisa ou prestação de contas.
• Identifique quem poderá consultar, baixar, imprimir ou compartilhar o arquivo.
• Estabeleça o período de atualização e o prazo de retenção da camada original.
• Registre quais variáveis são indispensáveis para a decisão e quais podem ser removidas.
• Documente os riscos residuais e a pessoa responsável pela aprovação do mapa.

A Lei Geral de Proteção de Dados Pessoais, Lei nº 13.709/2018, diferencia dado anonimizado de dado pessoal e exige avaliação contextual.

A anonimização precisa ser analisada considerando meios razoáveis e disponíveis para reidentificar alguém, e não apenas a remoção de nomes, garantindo também a privacidade de dados geoespaciais.

Guia de Anonimização Geográfica para Mapas de Casos de Arboviroses com agregação espacial

A agregação espacial substitui coordenadas individuais por unidades territoriais maiores.

Em vez de mostrar o ponto de cada notificação, o sistema apresenta a quantidade de casos em setor censitário, bairro, área de abrangência da unidade ou célula regular.

Essa técnica é simples de explicar e costuma funcionar bem para relatórios de gestão.

Ainda assim, a unidade escolhida deve ser suficientemente grande para reduzir a possibilidade de reconhecimento, sem destruir a utilidade para o controle vetorial.

Escolhendo a unidade territorial adequada

O setor censitário pode ser útil porque possui referência estatística e facilita a comparação com dados populacionais.

Entretanto, setores muito pequenos ou pouco povoados podem continuar revelando uma ocorrência quando a contagem é baixa.

Bairros são fáceis de compreender, mas variam muito de tamanho.

Um bairro extenso pode esconder diferenças importantes entre áreas com saneamento adequado, descarte irregular de resíduos e maior presença de criadouros.

As áreas de atuação dos agentes de controle de endemias oferecem uma alternativa operacional.

Elas conectam o mapa à rotina de campo, mas precisam ser revisadas quando há mudanças no território ou na distribuição das equipes.

• Use bairros ou setores mais amplos para mapas destinados ao público geral.
• Considere células regulares quando os limites administrativos produzirem distorções.
• Evite unidades territoriais com apenas um ou dois domicílios quando o caso for raro.
• Compare a unidade cartográfica com a capacidade real de deslocamento das equipes.
• Não divulgue o nome da unidade de saúde quando isso permitir inferir a residência do paciente.

Um procedimento útil é testar o mapa com pessoas que não participaram da produção.

Pergunte o que elas conseguem deduzir sobre os casos.

Essa avaliação prática frequentemente revela riscos que não aparecem na análise técnica.

Definindo um limiar mínimo para exibição

O limiar mínimo é a quantidade de registros necessária para que uma área apareça com seu valor.

Quando a contagem fica abaixo do limite, o sistema pode ocultar o número, agrupar a área com vizinhas ou apresentar uma categoria ampla, como “baixa ocorrência”.

Não existe um número universal adequado para todos os municípios.

O parâmetro deve considerar densidade populacional, tamanho da área, comportamento da doença, disponibilidade de outras bases e risco de cruzamento com informações externas.

Um município pode adotar um limiar mais rigoroso para publicação na internet e outro, com regras de acesso, para uso interno.

A diferença precisa ser formalizada para impedir que arquivos detalhados circulem sem controle.

O controle de pequenas contagens é especialmente importante em mapas de zika, chikungunya e outras condições menos frequentes.

Em localidades pequenas, até uma contagem baixa pode ser suficiente para identificar uma família ou um domicílio.

Guia de Anonimização Geográfica para Mapas de Casos de Arboviroses: técnicas complementares

A agregação é apenas uma camada de proteção.

Quando o território é muito conhecido ou os registros são escassos, outras técnicas devem ser combinadas para reduzir a precisão sem comprometer a leitura epidemiológica.

Deslocamento controlado e redução da precisão

O deslocamento controlado altera a posição visual do ponto dentro de uma área autorizada.

A técnica pode ser usada em ambientes internos, mas não deve sugerir uma residência real nem deslocar o registro para outro bairro ou município.

Outra alternativa é reduzir a precisão da coordenada, removendo casas decimais ou transformando o ponto em uma célula.

Quanto maior a redução, menor a capacidade de localizar um domicílio, mas também menor a utilidade para uma vistoria muito localizada.

O deslocamento aleatório puro exige cautela.

Se aplicado sem limites, pode colocar um caso em um terreno vazio, em uma área de preservação ou em outro setor administrativo, criando interpretações erradas para a vigilância.

A precisão espacial adequada à finalidade deve ser definida antes da exportação.

Um mapa para acompanhar tendência semanal precisa de menos detalhe do que uma camada interna usada para organizar visitas a quarteirões.

Supressão, generalização e mascaramento temporal

A supressão remove completamente pontos ou valores que apresentem risco elevado.

É preferível não exibir uma informação a publicar uma localização que permita reconhecer um paciente.

A generalização transforma uma data exata em semana epidemiológica, mês ou período mais amplo.

Essa medida reduz a possibilidade de associar o caso a uma notícia, internação ou evento conhecido pela comunidade.

O mascaramento temporal é relevante porque um caso divulgado no mesmo dia do atendimento pode ser identificado com facilidade.

Para certos produtos públicos, a defasagem entre a coleta e a publicação pode oferecer proteção adicional, desde que não prejudique uma emergência sanitária.

• Retire o horário de atendimento dos mapas destinados à consulta pública.
• Prefira semana epidemiológica ou mês a dia e hora quando a data não for indispensável.
• Oculte categorias raras de idade, ocupação ou local de exposição.
• Remova campos que não contribuem para a decisão territorial.
• Examine os metadados do arquivo, pois eles podem conter o caminho da base original ou o nome do responsável.

A anonimização por camadas combina medidas de localização, tempo e atributos.

Ela costuma ser mais segura do que aplicar uma única técnica de forma rígida, porque a reidentificação normalmente acontece pela combinação de várias pistas.

Como validar a proteção antes de publicar um mapa epidemiológico

A validação deve ocorrer antes da publicação e sempre que houver mudança na escala, na população ou nas fontes utilizadas.

Uma camada considerada segura em janeiro pode se tornar identificável após novas notificações ou após a inclusão de uma variável demográfica.

Teste de reidentificação e revisão por pares

O teste de reidentificação simula o comportamento de alguém que possui acesso a informações auxiliares.

A equipe tenta responder perguntas como: “é possível saber qual rua concentra o caso?”, “o ponto coincide com um único imóvel?” ou “a data permite relacionar o mapa a uma notícia local?”.

A revisão por pares acrescenta uma segunda leitura.

Um analista de geoprocessamento pode avaliar a precisão espacial, enquanto um profissional de vigilância verifica se a generalização ainda permite planejar ações.

Também é recomendável envolver a área jurídica, a segurança da informação e a gestão responsável pela publicação.

A decisão não é apenas cartográfica; ela envolve governança, comunicação de risco e responsabilidade institucional.

Indicadores técnicos para avaliar o resultado

O relatório de validação deve registrar quantas áreas foram agregadas, quantas pequenas contagens foram suprimidas e qual é a menor população representada em cada unidade.

Esses indicadores permitem comparar versões e justificar decisões.

Quando houver dados populacionais confiáveis, a taxa de casos por população pode ser mais informativa do que a quantidade absoluta.

Porém, taxas de áreas muito pequenas também podem oscilar bastante e expor eventos raros.

O risco residual deve ser classificado como baixo, moderado ou alto, com justificativa.

Não é adequado afirmar que um mapa é “100% anônimo”, porque novas bases e técnicas podem alterar a capacidade de associação.

Uma matriz de validação pode incluir:

• possibilidade de localizar um imóvel específico;
• possibilidade de inferir uma pessoa ou família;
• quantidade mínima de casos por unidade;
• presença de atributos sensíveis no arquivo;
• risco de cruzamento com dados públicos;
• utilidade do mapa para a ação de saúde prevista.

O princípio da utilidade proporcional ajuda a resolver conflitos.

Se retirar toda a precisão torna o mapa inútil, a solução pode ser criar duas versões: uma pública, mais agregada, e outra restrita, com acesso individualizado e registro de consulta.

Governança, LGPD e fluxo seguro para equipes de saúde

Anonimizar o mapa não elimina a necessidade de proteger a base original.

Coordenadas precisas, endereços e notificações devem permanecer em ambientes com controle de acesso, autenticação, registro de operações e cópias de segurança, preservando a privacidade de dados geoespaciais.

A equipe também precisa separar a finalidade de vigilância da finalidade de comunicação.

Um arquivo criado para investigação de surto não deve ser encaminhado automaticamente para redes sociais, imprensa ou grupos de mensagens.

Responsabilidades de cada área

A vigilância epidemiológica define quais perguntas precisam ser respondidas e interpreta os padrões de transmissão.

A equipe de geoprocessamento transforma os dados em camadas e aplica as técnicas de generalização.

A tecnologia da informação administra permissões, armazenamento, trilhas de auditoria e segurança das interfaces.

A gestão decide quem aprova a publicação e como os riscos serão comunicados.

O controle de acesso por perfil evita que todos os usuários vejam a mesma quantidade de detalhe.

Um gestor pode consultar indicadores municipais, enquanto uma equipe autorizada acessa áreas de trabalho mais específicas.

Documentação e transparência sem exposição

O método de anonimização deve ser documentado em linguagem técnica e também em formato compreensível para a população.

Informar que os mapas são agregados, que pequenas contagens podem ser ocultadas e que os dados têm finalidade de saúde pública aumenta a confiança.

A documentação deve conter fonte, período de referência, unidade territorial, regras de supressão, responsável pela aprovação, data da última revisão e limitações conhecidas.

Isso facilita auditorias e evita interpretações equivocadas.

A privacidade de dados geoespaciais não deve ser tratada como obstáculo à transparência.

Ela permite divulgar informação útil sem transformar pessoas doentes em pontos identificáveis no mapa.

Em uma rotina madura, os arquivos públicos passam por uma lista de verificação antes da publicação:

1. Confirmar a finalidade e o público do mapa.
2. Remover identificadores diretos e atributos desnecessários.
3. Aplicar agregação, supressão ou redução de precisão.
4. Testar tentativas plausíveis de reidentificação.
5. Revisar legenda, título, metadados e nomes de arquivos.
6. Registrar a aprovação e a versão disponibilizada.

Uso responsável de tecnologia na vigilância de arboviroses

Mapas anonimizados ganham valor quando são conectados a informações sobre criadouros, chuva, temperatura, saneamento, ocupação urbana e notificações.

O objetivo é reconhecer padrões e priorizar ações, não produzir uma imagem detalhada de cada paciente.

O programa TechDengue utiliza drones e geoprocessamento para apoiar o mapeamento de focos de dengue e outros criadouros do Aedes aegypti.

Os produtos podem incluir mapas georreferenciados de focos, relatórios de áreas de risco e recomendações para ações de combate.

Da informação agregada à decisão de campo

Uma secretaria pode combinar áreas com maior concentração de focos, notificações e condições ambientais favoráveis.

O resultado ajuda a direcionar equipes para terrenos baldios, caixas d’água descobertas, recipientes abandonados e locais com descarte irregular de resíduos.

A análise espacial não substitui a visita técnica.

Ela melhora a ordem de prioridade, reduz deslocamentos desnecessários e permite que a equipe compare a situação antes e depois da intervenção.

O mapeamento aéreo de grandes áreas pode acelerar a identificação de locais de risco em comparação com uma busca exclusivamente manual.

Ainda assim, a confirmação em campo é necessária para verificar se o recipiente contém água, se há larvas e qual medida de controle é adequada.

Prevenção e comunicação com a comunidade

Dengue, zika e chikungunya são transmitidas principalmente pelo Aedes aegypti.

A prevenção depende da eliminação de água parada em pratos de vasos, calhas, pneus, garrafas, piscinas sem manutenção, caixas d’água sem tampa e recipientes descartados.

Reservar 10 minutos por semana para vistoriar a residência é uma orientação prática de prevenção.

A inspeção deve incluir áreas externas, lajes, ralos pouco usados, brinquedos, bebedouros de animais e materiais armazenados.

Segundo dados do Ministério da Saúde divulgados em 2024, o Brasil registrou mais de 6 milhões de casos prováveis de dengue naquele ano, evidenciando a dimensão do desafio para a saúde pública.

Os números podem ser revisados conforme a investigação e a atualização dos sistemas de notificação, por isso a fonte e a data precisam aparecer em qualquer painel.

A Organização Mundial da Saúde também descreveu 2024 como um período de intensa circulação da dengue em diferentes regiões do mundo, com milhões de casos notificados.

Dados de vigilância devem ser interpretados com cautela, porque mudanças na testagem, no acesso aos serviços e na notificação influenciam as séries históricas.

O programa TechDengue pode apoiar ações educativas, palestras e consultorias para gestão pública, sempre conectando tecnologia a medidas concretas de controle vetorial.

A geointeligência orienta a prioridade, mas a participação dos moradores continua indispensável.

Febre alta, dor intensa no corpo, dor atrás dos olhos, manchas, náuseas e mal-estar podem ocorrer na dengue.

Dor articular intensa é comum na chikungunya, enquanto zika frequentemente apresenta manchas e coceira, mas os sintomas podem se sobrepor.

Ao apresentar sinais de alarme, como dor abdominal intensa, vômitos persistentes, sangramento, sonolência, dificuldade para respirar ou piora repentina, a pessoa deve procurar atendimento imediatamente.

O diagnóstico e a orientação sobre medicamentos devem ser feitos por profissionais de saúde.

Implementação prática em 30 dias para uma secretaria de saúde

Uma implantação gradual permite corrigir falhas antes que um mapa seja divulgado amplamente.

O cronograma deve começar por um produto de baixo risco e avançar somente após a validação das regras de acesso e anonimização.

Semana 1: inventário e avaliação de risco

Liste as fontes utilizadas: notificações, resultados laboratoriais, registros de atendimento, focos identificados, dados climáticos e limites territoriais.

Para cada fonte, registre responsável, periodicidade, finalidade e nível de sensibilidade.

Em seguida, mapeie o fluxo completo.

Onde a coordenada é capturada? Quem corrige o endereço? Em qual sistema o dado é armazenado? Quem exporta a camada? Em que momento o arquivo deixa o ambiente restrito?

• Classifique as variáveis como necessárias, úteis ou dispensáveis.
• Identifique áreas com população pequena ou casos muito raros.
• Verifique se os limites territoriais estão atualizados.
• Escolha o responsável técnico e o responsável institucional.

Semana 2: desenho das regras cartográficas

Crie pelo menos duas versões: uma para uso restrito e outra para publicação.

Defina a menor unidade territorial, o limiar de contagem, o tratamento de datas e o procedimento para áreas com poucos registros.

O Guia de Anonimização Geográfica para Mapas de Casos de Arboviroses deve ser convertido em uma norma operacional interna, com exemplos visuais de situações permitidas e proibidas.

Assim, novos analistas não precisam tomar decisões diferentes para problemas iguais.

Semanas 3 e 4: teste, treinamento e publicação

Teste o mapa com dados históricos e simule cenários de baixa ocorrência, aumento repentino e concentração em área pequena.

Verifique se o sistema continua ocultando pequenas contagens quando filtros são aplicados.

Treine as equipes para não compartilhar capturas de tela, planilhas ou arquivos temporários com coordenadas precisas.

Uma política de segurança perde eficácia quando os dados são copiados para dispositivos pessoais ou grupos sem controle.

Antes de publicar, aplique o Guia de Anonimização Geográfica para Mapas de Casos de Arboviroses à versão final, não apenas à base de origem.

Legendas, filtros, tabelas, rótulos e arquivos para baixar também podem revelar detalhes que o mapa principal esconde.

Após a publicação, acompanhe dúvidas, erros de interpretação e solicitações de acesso.

A revisão periódica deve ocorrer quando houver mudança na doença, no território, na legislação, na tecnologia ou no perfil do público.

O monitoramento epidemiológico responsável equilibra velocidade e cautela.

Em uma emergência, a divulgação precisa ser ágil, mas a pressa não justifica expor pacientes ou transformar uma suspeita em acusação contra uma comunidade.

Para equipes que desejam estruturar esse processo, o Guia de Anonimização Geográfica para Mapas de Casos de Arboviroses oferece um ponto de partida para organizar finalidade, escala, supressão, validação e governança.

O próximo passo é reunir vigilância, tecnologia da informação, geoprocessamento e comunicação em uma decisão única.

Adote uma regra simples: divulgar o máximo de informação necessário para proteger a população e o mínimo de detalhe capaz de identificar alguém.

Com mapas bem construídos, dados territoriais apoiam o controle do Aedes aegypti, direcionam recursos públicos e fortalecem a prevenção sem transformar privacidade em custo da transparência.