9 Controles da LGPD para Projetos de Análise Territorial em Saúde Pública são necessários para que secretarias de saúde usem mapas, notificações, imagens aéreas e indicadores sem expor pessoas ou comunidades.
Em setembro de 2026, a análise territorial já integra decisões sobre vigilância epidemiológica, controle de endemias, distribuição de equipes e priorização de áreas com risco de arboviroses.
O desafio da governança de dados em saúde não está apenas em proteger bancos de dados.
É preciso conectar finalidade, segurança, qualidade da informação, transparência e responsabilidade institucional desde o planejamento até o descarte dos dados.
Quando o território é analisado com critérios adequados, gestores conseguem identificar padrões de transmissão, direcionar visitas e avaliar intervenções.
Quando a proteção é negligenciada, uma informação aparentemente anônima pode revelar domicílios, rotas, condições sociais ou pessoas vulneráveis.
Este guia apresenta nove controles aplicáveis a projetos de análise territorial em saúde pública, com orientações para coordenadores de vigilância, epidemiologistas, analistas, profissionais de TI e encarregados pelo tratamento de dados.
Por que os 9 Controles da LGPD para Projetos de Análise Territorial em Saúde Pública exigem planejamento
A Lei Geral de Proteção de Dados Pessoais, instituída pela Lei nº 13.709/2018, alcança operações realizadas por órgãos públicos quando há tratamento de dados pessoais.
Isso inclui coleta, armazenamento, consulta, cruzamento, análise, compartilhamento e eliminação.
Em uma análise territorial, o dado raramente aparece isolado.
Uma coordenada geográfica pode ser combinada com idade, condição clínica, endereço, notificação de dengue ou situação socioeconômica.
O conjunto pode identificar alguém mesmo quando o nome foi removido.
Como os 9 Controles da LGPD para Projetos de Análise Territorial em Saúde Pública começam pela finalidade
O primeiro passo é registrar uma finalidade específica, legítima e informada.
“Melhorar a saúde pública” é amplo demais para orientar uma operação segura; “identificar áreas prioritárias para inspeção de criadouros do Aedes aegypti” é mais verificável.
Esse registro deve explicar qual decisão o dado apoiará, quem utilizará o resultado, por quanto tempo a informação será mantida e quais categorias de dados serão necessárias.
A finalidade da governança de dados em saúde também impede que uma base criada para vigilância seja reutilizada sem avaliação para objetivos incompatíveis.
Os dados pessoais tratados em saúde exigem cautela ampliada porque podem revelar informações sobre condição clínica, atendimento ou situação epidemiológica.
Dados referentes à saúde são classificados como dados pessoais sensíveis pela LGPD.
- Descreva a pergunta de saúde pública que o tratamento pretende responder.
- Separe dados indispensáveis de informações apenas convenientes.
- Defina o produto final: mapa agregado, painel, relatório ou alerta operacional.
- Registre as áreas, equipes e instituições autorizadas a consultar cada camada.
O risco da precisão excessiva no mapa
Um mapa com pontos exatos pode ser útil para uma equipe de campo, mas inadequado para publicação aberta.
A localização de um caso, de uma residência com possível criadouro ou de um atendimento pode permitir reidentificação em bairros pouco povoados.
Por isso, a resolução espacial deve acompanhar a finalidade.
Para planejamento municipal, talvez seja suficiente trabalhar com setores censitários, bairros ou grades agregadas.
Para uma visita operacional, a equipe autorizada pode receber uma camada mais detalhada, com controle de acesso e prazo de retenção reduzido.
Segundo o IBGE, o Censo Demográfico de 2022 oferece referências territoriais e populacionais úteis para análises de cobertura, densidade e vulnerabilidade.
Porém, dados censitários também precisam ser interpretados com cuidado, pois uma combinação de variáveis pode aumentar a possibilidade de identificação indireta.
Os nove controles essenciais para dados territoriais em saúde
Os 9 Controles da LGPD para Projetos de Análise Territorial em Saúde Pública devem ser tratados como um sistema integrado, e não como uma lista burocrática preenchida somente antes da publicação.
Um controle pode reduzir determinado risco, mas não substitui os demais.
A anonimização, por exemplo, não elimina a necessidade de definir finalidade, limitar acessos ou avaliar compartilhamentos.
Controles 1 a 3: finalidade, base legal e minimização
Controle 1 — Finalidade documentada: descreva o problema sanitário, a decisão esperada e o produto analítico.
O documento deve ser compreensível para gestores e revisável pelo encarregado.
Controle 2 — Base legal definida: indique a hipótese legal aplicável ao tratamento.
Em atividades de saúde pública, a análise jurídica deve considerar as competências do órgão, a execução de políticas públicas, a proteção da vida e as regras específicas para dados sensíveis.
Controle 3 — Minimização: utilize somente os atributos necessários.
Se a equipe precisa localizar áreas de incidência, não deve receber nomes, documentos ou informações clínicas detalhadas que não influenciem a decisão.
- Retire identificadores diretos sempre que eles não forem indispensáveis.
- Converta endereços em unidades territoriais compatíveis com a finalidade.
- Evite manter campos históricos sem justificativa operacional.
Controles 4 a 6: qualidade, segregação e acesso
Controle 4 — Qualidade e atualização: registre origem, data, método de coleta e limitações.
Um mapa desatualizado pode levar equipes para locais que já foram tratados ou ignorar mudanças recentes no território.
Controle 5 — Segregação: mantenha separados os dados identificáveis e os produtos analíticos agregados.
A chave de ligação, quando necessária, deve ficar em ambiente restrito, com responsáveis definidos.
Controle 6 — Acesso mínimo: conceda permissões conforme a função.
Um analista que produz mapa de calor não precisa consultar o nome completo de cada pessoa notificada.
Os acessos da governança de dados em saúde devem ser revisados quando há troca de equipe, encerramento de contrato, mudança de função ou conclusão de uma etapa.
Registros de autenticação, consulta, exportação e alteração ajudam a investigar incidentes e demonstrar responsabilidade.
Controles 7 a 9: segurança, transparência e descarte
Controle 7 — Segurança técnica: adote criptografia, autenticação robusta, cópias de segurança protegidas, segmentação de rede e correções de segurança.
A proteção precisa existir tanto no armazenamento quanto na transmissão.
Controle 8 — Transparência: explique, em linguagem acessível, por que os dados são usados, quais resultados são produzidos e com quem podem ser compartilhados.
Transparência não significa publicar informações que permitam identificar pacientes.
Controle 9 — Retenção e descarte: estabeleça prazos e procedimentos para eliminar, anonimizar ou arquivar dados.
A retenção indefinida amplia o impacto de um eventual incidente sem necessariamente melhorar a vigilância.
Esses controles de governança de dados em saúde formam uma base prática para os 9 Controles da LGPD para Projetos de Análise Territorial em Saúde Pública, mas cada órgão deve adaptá-los ao fluxo real de trabalho e às normas internas.
Como aplicar os 9 Controles da LGPD para Projetos de Análise Territorial em Saúde Pública ao ciclo de dados
Os 9 Controles da LGPD para Projetos de Análise Territorial em Saúde Pública funcionam melhor quando são distribuídos ao longo do ciclo de vida da informação.
Não basta revisar o mapa final se a coleta original já ocorreu sem critérios.
Na coleta e na integração de fontes
Antes de importar notificações, imagens, registros de campo, dados climáticos ou informações socioeconômicas, faça um inventário das fontes.
Registre o responsável, a periodicidade, o formato, a precisão espacial e as limitações conhecidas.
O programa TechDengue utiliza drones e geoprocessamento para apoiar o mapeamento de focos de dengue e outros possíveis criadouros do Aedes aegypti.
Em uma operação desse tipo, a equipe deve avaliar a resolução das imagens, a possibilidade de captar pessoas ou interiores de imóveis e os procedimentos para restringir o uso às áreas autorizadas.
O mapeamento aéreo pode identificar recipientes com água parada, terrenos baldios, caixas d’água descobertas e descarte irregular de resíduos.
A imagem, porém, não deve ser tratada como prova automática de uma condição individual: ela precisa ser validada, contextualizada e usada para orientar ações de saúde pública.
- Defina previamente a área autorizada para voo e coleta.
- Evite registrar imagens além do necessário para a análise territorial.
- Documente o procedimento de revisão e descarte de imagens sem utilidade.
- Separe camadas operacionais detalhadas de produtos públicos agregados.
Na análise espacial e na produção de indicadores
A análise espacial pode cruzar focos identificados, notificações, precipitação, temperatura, cobertura vegetal, descarte de resíduos, saneamento e ocupação urbana.
O cruzamento ajuda a encontrar padrões, mas não transforma correlação em causalidade automaticamente.
Geoprocessamento em saúde deve ser acompanhado de metadados, critérios de agregação e documentação das decisões.
Se um indicador for calculado por bairro, a equipe precisa saber como foram tratados bairros com população pequena ou áreas sem notificações.
Indicadores como incidência, positividade, densidade de focos, tempo entre notificação e visita e cobertura de inspeção podem apoiar a priorização.
A publicação deve evitar mapas que revelem poucos casos em locais facilmente reconhecíveis.
Na entrega, no compartilhamento e no encerramento
Antes de entregar um painel ou relatório, faça uma revisão de reidentificação.
Pergunte se alguém com conhecimento local conseguiria descobrir quem está por trás de um ponto, de uma categoria rara ou de uma sequência temporal.
A entrega também deve informar a finalidade, o nível de acesso, o período de validade e as limitações.
Um mapa produzido para orientar agentes de endemias não deve circular livremente em grupos de mensagens ou ser incorporado a apresentações sem avaliação.
Ao final do ciclo, confirme quais cópias foram eliminadas, quais dados foram anonimizados e quais registros precisam ser preservados por obrigação legal.
O encerramento deve gerar evidência, não apenas uma declaração informal.
Anonimização, agregação e controle de reidentificação territorial
Em análise territorial, retirar o nome não garante anonimização.
Endereço, horário, faixa etária, condição rara e localização exata podem funcionar como identificadores indiretos.
Quando agregar pontos melhora a proteção
A agregação reúne registros em áreas ou períodos maiores.
Em vez de mostrar a residência de cada notificação, o painel pode apresentar o número de ocorrências por bairro, setor censitário ou grade territorial.
O tamanho da unidade deve considerar densidade populacional, quantidade de registros e possibilidade de reconhecimento local.
Não existe uma resolução universalmente segura; o risco depende do contexto.
Anonimização, pseudonimização, agregação espacial e supressão de células pequenas são técnicas diferentes.
A pseudonimização substitui identificadores, mas mantém possibilidade de reversão com uma chave; por isso, continua exigindo proteção de dados pessoais.
Como testar o risco antes da publicação
Crie um roteiro de revisão com perguntas objetivas:
- Há áreas com apenas um ou poucos registros?
- O período analisado permite associar o evento a uma notícia local?
- As camadas podem ser sobrepostas para revelar um domicílio?
- Os filtros do painel permitem chegar a grupos muito pequenos?
- O arquivo baixável contém campos ocultos ou coordenadas originais?
Faça o teste com profissionais de diferentes áreas.
O analista pode não perceber que um agente local reconhece imediatamente uma escola, uma residência ou uma instituição de longa permanência a partir de uma coordenada.
Nos 9 Controles da LGPD para Projetos de Análise Territorial em Saúde Pública, a revisão de reidentificação deve ocorrer antes da publicação, depois de alterações no painel e sempre que uma nova fonte for integrada.
Governança, segurança e resposta a incidentes em secretarias de saúde
A proteção de dados não é apenas uma tarefa da tecnologia da informação.
Ela depende de decisões da vigilância epidemiológica, da gestão, do jurídico, do encarregado e das equipes que coletam informações em campo.
Quem decide, quem executa e quem fiscaliza
Defina papéis por escrito.
O controlador decide as finalidades e os meios essenciais; o operador trata dados em nome do controlador; o encarregado facilita a comunicação e orienta a organização sobre privacidade.
Contratos com fornecedores devem especificar confidencialidade, subcontratação, segurança, localização de armazenamento, devolução ou eliminação de dados e comunicação de incidentes.
A contratação de uma ferramenta não transfere automaticamente a responsabilidade institucional.
Governança de dados em saúde precisa conectar políticas, pessoas, processos e tecnologia.
Uma planilha com coordenadas exportada para um computador pessoal pode comprometer controles que estavam bem implementados no sistema oficial.
Medidas técnicas que fazem diferença
Priorize autenticação multifator para contas administrativas, permissões por função, criptografia em trânsito e em repouso, cópias de segurança testadas e monitoramento de exportações.
Também é necessário testar restauração de cópias.
Uma cópia que nunca foi recuperada pode falhar justamente quando um ataque, defeito ou erro humano interromper o serviço.
- Revise usuários ativos pelo menos em ciclos definidos pela instituição.
- Bloqueie contas de pessoas que deixaram a equipe.
- Registre downloads de camadas detalhadas e relatórios identificáveis.
- Separe ambientes de desenvolvimento, teste e produção.
- Proteja dispositivos usados em campo contra perda e acesso indevido.
O que fazer diante de um incidente
O plano de governança de dados em saúde deve indicar quem identifica, contém, analisa, comunica e documenta o incidente.
A equipe também precisa estabelecer critérios para avaliar risco e impacto sobre titulares, continuidade do serviço e integridade dos dados.
A Resolução CD/ANPD nº 15/2024 estabeleceu regras para comunicação de incidentes de segurança que possam acarretar risco ou dano relevante.
Conforme a regulamentação, a comunicação à Autoridade Nacional de Proteção de Dados e aos titulares deve ocorrer em até três dias úteis, quando aplicável.
O prazo não elimina a necessidade de investigação.
Registros de acesso, cópias preservadas, versões dos arquivos e decisões tomadas ajudam a reconstruir o ocorrido e corrigir a causa.
Como a inteligência territorial apoia o combate à dengue sem ampliar riscos
Os 9 Controles da LGPD para Projetos de Análise Territorial em Saúde Pública devem proteger a informação sem impedir respostas rápidas.
A finalidade é permitir que o dado gere ação de prevenção com o menor nível de exposição possível.
Do mapa de criadouros à ação de campo
O programa TechDengue pode apoiar secretarias municipais de saúde com mapas georreferenciados, relatórios de áreas de risco e recomendações para combate a focos.
O uso de drones favorece a cobertura de grandes áreas e bairros inteiros em comparação com vistorias exclusivamente manuais.
A geointeligência cruza mapeamento aéreo com fatores ambientais, climáticos e urbanos.
Saneamento inadequado, descarte irregular de resíduos, padrões de construção e ocupação podem indicar condições que favorecem criadouros, sem significar que todos os imóveis daquela área apresentem o mesmo risco.
Para reduzir exposição, a entrega pode ser dividida em níveis:
- Mapa agregado para comunicação e planejamento público.
- Mapa operacional restrito para coordenadores e supervisores.
- Lista de trabalho limitada ao agente ou à equipe responsável pela visita.
- Relatório de avaliação com indicadores, sem identificadores desnecessários.
Prevenção comunitária e comunicação responsável
A prevenção continua sendo responsabilidade coletiva.
Pratos de vasos, calhas, pneus, garrafas, caixas d’água sem tampa, piscinas sem manutenção e lixo acumulado podem se tornar criadouros do Aedes aegypti.
Uma inspeção de aproximadamente 10 minutos por semana ajuda moradores a encontrar recipientes com água parada.
Essa orientação deve ser acompanhada de acesso a informações claras, coleta adequada de resíduos e atuação do poder público em áreas de maior vulnerabilidade.
Dengue, zika e chikungunya são arboviroses transmitidas principalmente pelo Aedes aegypti, mas apresentam manifestações e riscos diferentes.
Febre alta, dor intensa, manchas, dor atrás dos olhos, vômitos persistentes, sangramento, dor abdominal forte, sonolência ou dificuldade para respirar exigem avaliação de um serviço de saúde.
Campanhas não devem expor famílias ou apontar publicamente imóveis associados a notificações.
A comunicação deve enfatizar o problema coletivo, as medidas de prevenção e os canais oficiais de atendimento.
Indicadores para avaliar se a intervenção funcionou
O mapa não é o resultado final.
A equipe deve acompanhar se a ação reduziu focos, ampliou a cobertura de inspeção, diminuiu o tempo de resposta e alcançou áreas prioritárias.
Também é útil comparar o período anterior e posterior à intervenção, considerando chuva, temperatura, mudanças na notificação e possíveis atrasos de registro.
Sem esse cuidado, uma queda aparente pode refletir subnotificação ou mudança no processo de coleta.
O programa TechDengue pode contribuir com análises de correlação espacial, identificação de agrupamentos de transmissão, mapas de calor, painéis de monitoramento e alertas de áreas críticas.
Esses produtos devem apoiar decisões baseadas em evidências, não substituir a avaliação epidemiológica local.
Roteiro de implementação e auditoria dos nove controles
Uma secretaria não precisa reformular todos os seus sistemas de uma só vez.
É mais seguro começar pelo fluxo de maior risco, documentar os aprendizados e expandir os controles para outras análises.
Plano prático para os primeiros 90 dias
Nos primeiros 30 dias, faça o inventário das bases, dos responsáveis, dos usuários, das integrações e dos produtos publicados.
Classifique as informações por nível de sensibilidade e registre os fluxos de entrada e saída.
Entre o 31º e o 60º dia, revise finalidade, base legal, minimização, permissões, retenção e procedimentos de anonimização.
Execute testes de reidentificação em mapas e painéis que já estejam disponíveis.
Entre o 61º e o 90º dia, aprove os procedimentos, treine as equipes, simule um incidente e estabeleça uma rotina de auditoria.
A revisão deve considerar mudanças na legislação, nas ferramentas e no perfil epidemiológico.
Lista de verificação para cada entrega
- A finalidade está escrita em linguagem clara?
- A base legal e as responsabilidades foram registradas?
- Os campos utilizados são realmente necessários?
- A resolução territorial é proporcional ao uso?
- As camadas identificáveis estão protegidas?
- Os acessos foram concedidos pelo princípio do menor privilégio?
- O painel apresenta risco de reidentificação?
- O prazo de retenção está definido?
- Existe procedimento para incidente e descarte?
- As limitações metodológicas acompanham o produto?
Nos 9 Controles da LGPD para Projetos de Análise Territorial em Saúde Pública, a auditoria de governança de dados em saúde precisa verificar tanto a documentação quanto a prática.
Um procedimento assinado não protege dados se as equipes continuarem exportando arquivos para canais sem controle.
Como demonstrar conformidade com evidências
Guarde registros de inventário, avaliações de risco, atas de decisão, revisões de acesso, treinamentos, testes de restauração, relatórios de anonimização e comprovantes de descarte.
Essas evidências ajudam a responder perguntas de auditoria e mostram maturidade institucional.
Também permitem corrigir falhas antes que elas afetem titulares ou interrompam uma ação de vigilância.
O cenário de 2026 exige integração entre proteção de dados, segurança cibernética, qualidade estatística e capacidade operacional.
A melhor governança não é a que impede o uso da informação, mas a que define limites claros para que a informação seja usada com responsabilidade.
Próximos passos para uma análise territorial segura e útil
Os 9 Controles da LGPD para Projetos de Análise Territorial em Saúde Pública oferecem um roteiro aplicável a mapas de incidência, imagens aéreas, dados de campo, painéis epidemiológicos e modelos de priorização.
Comece identificando a finalidade, reduza a coleta ao necessário, limite a precisão quando possível, controle acessos e documente cada decisão.
Depois, teste a possibilidade de reidentificação, prepare a resposta a incidentes e estabeleça prazos de retenção.
Para operações de mapeamento de criadouros, o programa TechDengue pode apoiar a vigilância com geoprocessamento, mapas de risco e análises territoriais.
A contratação ou adoção de qualquer solução de governança de dados em saúde deve ser acompanhada da avaliação de privacidade e dos controles institucionais correspondentes.
O próximo passo pode ser uma oficina com vigilância epidemiológica, TI, jurídico, encarregado e gestão.
Em poucas horas, o grupo consegue desenhar o fluxo, apontar riscos e definir prioridades para proteger dados sem perder velocidade no combate às arboviroses.
Perguntas Frequentes
Dados geográficos usados em projetos de saúde pública são considerados dados pessoais?
Podem ser considerados dados pessoais quando permitem identificar uma pessoa, residência ou grupo específico, especialmente em combinação com outras informações.
Coordenadas, endereços e mapas detalhados devem ser avaliados conforme o risco de reidentificação e o contexto do projeto.
É necessário obter consentimento para realizar análise territorial em saúde pública?
Nem sempre.
Órgãos públicos podem utilizar outras bases legais previstas na LGPD, como o cumprimento de obrigação legal ou a execução de políticas públicas.
A justificativa deve ser documentada e limitada à finalidade legítima do projeto.
Como reduzir o risco de identificação em mapas epidemiológicos?
É possível agregar os dados por áreas maiores, ocultar pontos individuais e aplicar regras de supressão para regiões com poucos registros.
Também é importante restringir a visualização de camadas sensíveis e avaliar o risco de reidentificação antes da publicação.
Quais profissionais devem participar de um projeto de análise territorial conforme a LGPD?
O projeto deve envolver, conforme sua complexidade, gestores de saúde, epidemiologistas, analistas de dados, profissionais de tecnologia e o encarregado pelo tratamento de dados.
Essa atuação integrada ajuda a alinhar objetivos sanitários, controles de segurança e responsabilidades institucionais.
Como controlar o acesso aos dados territoriais de saúde?
O acesso deve seguir o princípio do menor privilégio, permitindo que cada profissional consulte apenas as informações necessárias à sua função.
Contas individuais, autenticação forte, registros de atividade e revisões periódicas ajudam a prevenir usos indevidos.
Por quanto tempo os dados de projetos de saúde pública podem ser armazenados?
O período de retenção deve estar relacionado à finalidade do projeto, às obrigações legais e à necessidade de auditoria ou avaliação das políticas públicas.
A instituição deve definir prazos, revisar a necessidade de manutenção e eliminar ou anonimizar os dados quando possível.
O compartilhamento de dados territoriais entre órgãos públicos é permitido?
O compartilhamento pode ocorrer quando houver finalidade pública definida, necessidade demonstrada e controles compatíveis com a LGPD.
É recomendável formalizar responsabilidades, categorias de dados, medidas de segurança, prazo de uso e regras para novos compartilhamentos.
O que fazer em caso de incidente envolvendo dados de análise territorial?
A equipe deve preservar evidências, conter o acesso indevido, avaliar os dados afetados e registrar as providências tomadas.
Quando houver risco ou dano relevante aos titulares, a instituição deve seguir os procedimentos aplicáveis de comunicação à Autoridade Nacional de Proteção de Dados e aos envolvidos.
