500 mil pacientes tiveram dados expostos. Nenhum deles estava em uma blockchain

"A tecnologia que promete blindar o prontuário resolve um problema que o prontuário não tem. O problema que ele tem — guarda, acesso e rastro de quem olhou — continua aberto, e é onde os incidentes acontecem."

Em 8 de julho de 2026, a Agência Nacional de Proteção de Dados instaurou processo de sanção contra o Instituto Saúde e Cidadania, organização social que administra hospitais, ambulatórios, UPAs e centros de saúde públicos em seis estados.

O incidente havia ocorrido em janeiro de 2025 e afetou cerca de 500 mil registros. Desses, 78.772 eram de crianças e adolescentes e 47.921 de idosos. O conteúdo incluía nome, data de nascimento, histórico de exames, prontuários, prescrições, atendimentos ambulatoriais, internações, diagnósticos e procedimentos realizados.

A ANPD investiga falhas na adoção de medidas de segurança e na comunicação às vítimas.

Nenhum desses 500 mil registros estava em uma blockchain. Estavam onde sempre estão: em um sistema convencional, acessado por credencial, dentro de uma instituição com fornecedor terceirizado.

É por isso que a pergunta certa sobre prontuário eletrônico não é "como tornar o registro imutável". É outra, bem menos elegante: quem acessou, com que autorização, e o que ficou registrado disso.

A contradição que derruba a tese

A promessa mais repetida sobre blockchain na saúde é a imutabilidade absoluta: uma vez gravado, o dado médico não pode ser alterado, apagado ou editado retroativamente.

A segunda promessa mais repetida, no parágrafo seguinte do mesmo material, é a conformidade nativa com a LGPD.

As duas não coexistem.

O art. 18 da Lei nº 13.709/2018 garante ao titular, entre outros direitos, a correção de dados incompletos, inexatos ou desatualizados (inciso III) e a eliminação de dados tratados com consentimento (inciso VI). O art. 16 determina a eliminação após o término do tratamento. Na União Europeia, o art. 17 do GDPR estabelece o direito ao apagamento.

Um registro que não pode ser alterado nem apagado viola os três dispositivos simultaneamente.

E o problema não é teórico. Prontuário tem erro de digitação, diagnóstico retificado após exame complementar, laudo refeito, prescrição suspensa. Um sistema desenhado para nunca permitir correção é um sistema que a ANPD pode sancionar exatamente por não permitir.

O que a arquitetura séria faz de verdade

Aqui está a inversão técnica que quase nunca aparece no material de divulgação.

Na arquitetura que funciona, o prontuário não vai para a cadeia. O que vai é o hash — uma impressão digital criptográfica do documento — e o ponteiro para onde ele está armazenado. O dado clínico permanece em base convencional, sob guarda da instituição.

Isso significa que a imutabilidade é do registro de que aquele dado existiu e não foi alterado desde então. Não é do dado.

A distinção não é semântica. Se o prontuário estivesse de fato on-chain, ele seria imutável — e portanto ilegal sob a LGPD. A arquitetura que funciona só funciona porque o dado fica fora da cadeia.

Quem promete as duas coisas ao mesmo tempo está descrevendo um sistema que não existe.

Integridade não é veracidade

A segunda confusão é mais sutil e mais consequente.

Blockchain prova que um documento existia naquele momento e não foi alterado depois. Não prova que o conteúdo é verdadeiro.

Um laudo falso, inserido legitimamente na cadeia por quem tinha credencial para isso, permanece falso — e agora é falso com certificado de autenticidade que não se pode corrigir. A fraude documental deixa de ser corrigível e passa a ser imutável.

Integridade e veracidade são propriedades diferentes. A primeira é sobre o recipiente; a segunda, sobre o conteúdo. Nenhuma tecnologia de registro distribuído resolve a segunda, porque ela depende de quem preencheu o campo e do que ele tinha para preencher.

Silo de dados é problema de padrão, não de infraestrutura

O terceiro erro é o mais comum: apresentar blockchain como solução para a falta de interoperabilidade.

Silo de dados é problema de padrão semântico. Duas instituições podem estar na mesma cadeia e continuar sem se entender, porque uma registra "infarto agudo do miocárdio" e a outra "IAM"; uma usa CID-10 e a outra CID-11; uma guarda pressão arterial em mmHg e a outra em outra unidade.

O que resolve isso tem nome, e não é blockchain: HL7 FHIR, openEHR, terminologias clínicas unificadas.

E o Brasil tem uma prova disso funcionando. A Rede Nacional de Dados em Saúde é uma plataforma centralizada — e é justamente por ser centralizada e por impor padrão que ela conecta os prontuários dos hospitais universitários a mais de 44 mil Unidades Básicas de Saúde.

Em julho de 2026, o Ministério da Saúde apresentou a estratégia de federalização da RNDS, concluindo a articulação com os estados e passando à municipalização. A formulação oficial é precisa: consolidar a RNDS como "infraestrutura pública nacional de interoperabilidade, capaz de conectar União, estados e municípios de forma segura, integrada e descentralizada".

Descentralizada na governança. Centralizada no padrão. É o oposto do que a narrativa de blockchain propõe — e é o que está em operação.

"O paciente é dono dos dados" não é o que a lei diz

A LGPD não trabalha com a categoria de propriedade. O titular tem direitos sobre o dado, não domínio sobre ele. A distinção tem consequência prática.

E prontuário não é dado que o paciente apaga quando quer. Há obrigação legal de guarda, e ela é longa.

A Resolução CFM nº 1.821/2007, que autorizou a digitalização e a eliminação do papel, estabelece no art. 8º o prazo mínimo de vinte anos, a partir do último registro, para a preservação dos prontuários. A Lei nº 13.787/2018 confirmou o prazo no art. 6º e acrescentou, no art. 2º, que o processo de digitalização deve assegurar integridade, autenticidade e confidencialidade do documento digital.

A razão do prazo é interesse público, não burocracia: defesa do próprio paciente em processo judicial, auditoria, continuidade do cuidado por outro profissional, vigilância epidemiológica.

Um modelo em que o paciente revoga acesso a qualquer momento cria dois problemas de uma vez. O médico perde o histórico de que precisa para atendê-lo. E a instituição descumpre o dever de guarda.

Há ainda um detalhe que enfraquece a tese em vez de fortalecê-la. Dado de saúde é sensível sob o art. 11 da LGPD, e o consentimento não é a única base legal — a tutela da saúde, em procedimento realizado por profissionais de saúde ou entidades sanitárias, é base própria e suficiente. Um sistema que depende de consentimento granular revogável é juridicamente mais frágil, não mais forte.

Onde os incidentes realmente acontecem

Vale olhar para o padrão dos casos de 2026, porque ele desmente a premissa de que o risco está no banco de dados central.

O incidente do ISAC não foi um ataque bem-sucedido a um repositório inviolável. Foi falha de segurança e de comunicação. Em outubro de 2026, o Hospital Sírio-Libanês confirmou incidente cibernético em um sistema interno de relatórios de projetos sociais — não na base geral de pacientes — e notificou a ANPD e a Polícia Federal.

O padrão é consistente: endpoint, credencial, fornecedor terceirizado, sistema periférico. Nenhum desses vetores é endereçado por registro distribuído.

E a escala do problema é conhecida. O Brasil concentra 51% dos ataques de ransomware ao setor de saúde na América Latina, e a saúde aparece entre os dez setores mais afetados do país, com 10,4% das vítimas. Levantamento da Sophos aponta que 67% das organizações de saúde relataram ataque de ransomware no último ano. O custo médio de uma violação de dados na saúde é o maior de qualquer indústria.

Blockchain não reduz nenhum desses números. E adiciona um vetor novo e particularmente cruel: gestão de chave privada. Se o paciente é o único detentor da chave e a perde, perde acesso ao próprio histórico. Não há suporte, não há recuperação administrativa, não há "esqueci minha senha" em criptografia assimétrica.

O que a ANPD já fiscaliza

Há uma dimensão do tema que costuma ficar de fora da conversa sobre tecnologia, e é a que produz consequência.

Em junho de 2026, a ANPD concluiu a primeira fase de dois processos de monitoramento sobre obrigações legais relativas à indicação de encarregados pelo tratamento de dados e à existência de canais de comunicação entre controladores e titulares. Foram 56 agentes monitorados — 39 órgãos públicos e 17 empresas privadas. Vinte e sete cumpriram integralmente, oito apresentaram pendências e 21 não responderam e serão avaliados para sanção.

O processo contra o ISAC, por sua vez, investiga exatamente as duas falhas que nenhuma arquitetura de registro resolve sozinha: medidas de segurança inadequadas e comunicação insuficiente às vítimas.

Ou seja: a fiscalização não pergunta qual tecnologia a instituição usa. Pergunta se ela tem encarregado, canal, medida de segurança e comunicação de incidente. São obrigações de processo, não de infraestrutura.

Onde blockchain faz sentido na saúde

Não é em lugar nenhum do que a narrativa comercial descreve. É em dois usos bem mais modestos e bem mais defensáveis.

Trilha de auditoria de acesso. Registrar quem abriu qual prontuário, quando, de onde e com qual justificativa — de forma que o log não possa ser apagado por quem tem interesse em apagá-lo. Isso resolve um problema real, é compatível com a LGPD e não toca no dado clínico.

Registro de consentimento e revogação. Provar que o paciente autorizou determinado compartilhamento em determinada data, e que a autorização não foi forjada depois.

Nos dois casos, o dado sensível fica fora da cadeia. O que fica dentro é o registro de um evento — e é exatamente para isso que a tecnologia foi desenhada.

Conclusão

A pergunta que abriu este artigo era como compartilhar dados médicos sem abrir brechas. A resposta que o mercado oferece — imutabilidade absoluta — não é uma resposta: é uma violação da LGPD com bom marketing.

O que de fato protege prontuário é menos elegante e mais difícil: controle de acesso por perfil, autenticação forte, criptografia em repouso e em trânsito, segregação de ambiente, contrato com fornecedor, plano de resposta a incidente, encarregado atuante e comunicação em prazo. Nada disso é distribuído. Tudo isso é auditável.

E há uma ironia que vale registrar. A tecnologia que promete eliminar a necessidade de confiar em uma instituição central exige, na prática, confiar em mais atores: no fornecedor da cadeia, no operador dos nós, no custodiante da chave, no código do contrato. A confiança não desaparece. Ela se redistribui para partes que o paciente não escolheu e não conhece.

Fica uma pendência que nenhuma arquitetura resolve. Nem a LGPD, nem a Resolução CFM 1.821/2007, nem a Lei 13.787/2018, nem a estratégia da RNDS definem um padrão nacional para o log de acesso ao prontuário — quais campos ele registra, por quanto tempo é retido, quem pode consultá-lo e como o paciente o acessa.

Sem esse padrão, a pergunta "quem olhou meu prontuário" continua sem resposta verificável em qualquer tecnologia. E é essa pergunta, não a da imutabilidade, que os 500 mil pacientes do ISAC tinham o direito de fazer.

Referências

AGÊNCIA NACIONAL DE PROTEÇÃO DE DADOS. ANPD instaura processo de sanção contra OS por falha na proteção de dados de 500 mil pacientes. Brasília: ANPD, 8 jul. 2026. Disponível em: https://www.gov.br/anpd/pt-br/assuntos/noticias/anpd-instaura-processo-de-sancao-contra-organizacao-social-por-falha-na-protecao-de-dados-de-500-mil-pacientes-de-unidades-publicas-de-saude. Acesso em: 28 out. 2026.

AGÊNCIA NACIONAL DE PROTEÇÃO DE DADOS. ANPD conclui monitoramento de encarregados de dados e vai avaliar sanção a 21 empresas e órgãos públicos. Brasília: ANPD, 25 jun. 2026. Disponível em: https://www.gov.br/anpd/pt-br/assuntos/noticias/anpd-conclui-monitoramento-avaliar-sancao-empresas-orgaos-publicos. Acesso em: 28 out. 2026.

BRASIL. Lei nº 13.709, de 14 de agosto de 2018. Lei Geral de Proteção de Dados Pessoais. Brasília: Presidência da República, 2018. Disponível em: https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/L13709.htm. Acesso em: 28 out. 2026.

BRASIL. Lei nº 13.787, de 27 de dezembro de 2018. Dispõe sobre a digitalização e a utilização de sistemas informatizados para a guarda, o armazenamento e o manuseio de prontuário de paciente. Brasília: Presidência da República, 2018. Disponível em: https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13787.htm. Acesso em: 28 out. 2026.

CONSELHO FEDERAL DE MEDICINA. Resolução CFM nº 1.821, de 11 de julho de 2007. Aprova as normas técnicas concernentes à digitalização e uso dos sistemas informatizados para a guarda e manuseio dos documentos dos prontuários dos pacientes. Brasília: CFM, 2007. Disponível em: https://www.gov.br/conarq/pt-br/legislacao-arquivistica/resolucoes/resolucao-cfm-no-1-821-de-11-de-julho-de-2007. Acesso em: 28 out. 2026.

MINISTÉRIO DA SAÚDE. Ministério da Saúde apresenta estratégia sobre Rede Nacional de Dados em Saúde. Brasília: MS, 14 jul. 2026. Disponível em: https://www.gov.br/saude/pt-br/assuntos/noticias-ms/2026/julho/ministerio-da-saude-apresenta-estrategia-sobre-rede-nacional-de-dados-em-saude. Acesso em: 28 out. 2026.

MINISTÉRIO DA SAÚDE. [MGDI] Rede Nacional de Dados em Saúde (RNDS) — Portal de Dados Abertos do SUS. Brasília: MS, out. 2026. Disponível em: https://dadosabertos.saude.gov.br/dataset/mgdi-rede-nacional-de-dados-em-saude-rnds. Acesso em: 28 out. 2026.

SOCIEDADE BRASILEIRA DE INFORMÁTICA EM SAÚDE. CBIS 2026 debate transformação digital do SUS e equidade no uso da Inteligência Artificial. São Paulo: SBIS, 25 set. 2026. Disponível em: https://sbis.org.br/noticia/cbis-2026-debate-transformacao-digital-do-sus-e-equidade-no-uso-da-inteligencia-artificial. Acesso em: 28 out. 2026.

SAÚDE DIGITAL NEWS. Brasil concentra 51% dos ataques de ransomware ao setor de saúde na América Latina. São Paulo, 7 jul. 2026. Disponível em: https://saudedigitalnews.com.br/07/07/2026/brasil-concentra-51-dos-ataques-de-ransomware-ao-setor-de-saude-na-america-latina. Acesso em: 28 out. 2026.

KPMG BRASIL. Saúde na mira dos crimes cibernéticos. São Paulo, 1º set. 2026. Disponível em: https://kpmg.com/br/pt/insights/2026/09/saude-crimes-ciberneticos.html. Acesso em: 28 out. 2026.

ESTADÃO. Hospital Sírio-Libanês confirma incidente cibernético em sistema interno de relatórios. São Paulo, 16 out. 2026. Disponível em: https://www.estadao.com.br/tecmundo/ciberseguranca/hospital-sirio-libanes-confirma-vazamento-de-dados-em-sistema-interno-de-relatorios/. Acesso em: 28 out. 2026.

CNN BRASIL. ANPD investiga ataque cibernético que vazou dados de 500 mil pacientes. São Paulo, 8 jul. 2026. Disponível em: https://www.cnnbrasil.com.br/nacional/brasil/anpd-investiga-ataque-cibernetico-que-vazou-dados-de-500-mil-pacientes/. Acesso em: 28 out. 2026.

Nadelson Costa Nogueira Júnior