25/08/2026
Saúde NewsNotícias de saúde com contexto e evidência

Saúde Pública

Nuvem soberana do SUS começa sem datas para migrar CadSUS e RNDS

Anúncio de 11 de agosto abre fase de arquitetura e inventário; Ministério não documentou transferência de dados em produção.

Por5 min
7 fontes checadas
Compartilhar no WhatsApp — abre em nova guia
Imagem ilustrativa da reportagem: Nuvem soberana do SUS começa sem datas para migrar CadSUS e RNDS

O Ministério da Saúde iniciou em 11 de agosto de 2026 a preparação técnica para migrar sistemas e dados do SUS a uma “nuvem soberana”, com CadSUS e RNDS na primeira frente, mas não documentou a transferência de bases para operação na nova infraestrutura. A nota oficial descreve inventário, revisão da arquitetura atual, definição de requisitos e desenho da arquitetura-alvo antes de uma migração progressiva.

O que foi anunciado para CadSUS e RNDS

A Rede Nacional de Dados em Saúde, a RNDS, reúne mais de 5 bilhões de registros, segundo o Ministério. O Cadastro Nacional de Usuários do SUS, o CadSUS, tinha 228.602.858 usuários ativos com CPF e 4.822.980 sem CPF, e o DataSUS mantinha cerca de 459 sistemas e soluções sob sua custódia.

Esses volumes mostram a escala da iniciativa, mas não equivalem a uma relação de dados já migrados. A agenda pública do ministro registrou uma coletiva e a assinatura de ordem de serviço no mesmo dia, sem informar quais bases foram movidas, a quantidade de dados transferida, testes de aceitação, indicadores de disponibilidade ou a entrada dos sistemas em produção.

Qual é o prazo e o que muda no Brasil

A Portaria GM/MS nº 7.678, de julho de 2025, prevê até cinco anos para mover cargas com informações pessoais, restritas e preparatórias — quando não houver impedimento legal — para ambiente próprio ou nuvem de governo sob responsabilidade de entidade pública. A regra estabelece uma janela máxima para a política, mas não traz datas para CadSUS, RNDS, Meu SUS Digital, vigilância, regulação, assistência farmacêutica ou outras bases.

A estratégia exige que projetos apresentem arquitetura, tecnologias, volumetria, projeções de custo, análise de impacto contratual e pareceres técnicos, além das aprovações previstas na governança. Os documentos específicos que permitiriam examinar esses requisitos para CadSUS e RNDS não foram localizados no material público consultado.

A mudança pode alterar a custódia dos dados de saúde, a jurisdição aplicável ao ambiente, as garantias de continuidade dos serviços e a responsabilização em caso de falhas. A nota do Ministério afirma que os dados do SUS serão armazenados e processados em território nacional “pela primeira vez”, mas uma ata do Comitê de Governança Digital de julho de 2025 registra que Serpro e Dataprev asseguravam o armazenamento dos dados no Brasil na infraestrutura então utilizada. Esse registro impede tratar a expressão “pela primeira vez” como uma questão já esclarecida publicamente.

Quem governará o acesso aos dados

A Secretaria de Informação e Saúde Digital, com apoio do DataSUS, deve assegurar o uso da nuvem segundo a estratégia, enquanto o Comitê de Governança Digital delibera sobre temas como contratações relevantes, segurança, conformidade e continuidade.

Para a RNDS, o Decreto nº 12.560 prevê governança coordenada pela área de informação e saúde digital do Ministério e determina uma norma complementar sobre responsabilidades, segurança, atendimento aos titulares e transparência, precedida de consulta pública. A regulamentação complementar e a consulta correspondente não foram localizadas na apuração documental.

O decreto restringe o acesso de profissionais e estabelecimentos ao contexto do atendimento e permite compartilhamentos somente nas hipóteses legais. Ele também proíbe uso secundário incompatível e limita o tratamento dos dados da RNDS às finalidades de assistência, vigilância, gestão, pesquisa e políticas públicas de saúde.

Não estão publicamente demonstrados, porém, os perfis de autorização por usuário, a separação entre operadores de infraestrutura e equipes assistenciais, as regras de acesso emergencial, os prazos de retenção, a revogação de credenciais, as trilhas de auditoria acessíveis aos titulares e os mecanismos de fiscalização por estados e municípios.

O que a promessa de soberania ainda não prova

O Ministério cita criptografia, autenticação multifator, gestão de identidades, controle de acesso, monitoramento, auditoria, cópias de segurança e recuperação de dados como elementos da arquitetura pretendida. A Portaria também exige análise de riscos, inventário de ativos, interoperabilidade, alta disponibilidade, rastreamento das cargas e estratégia de saída do fornecedor. Esses itens são requisitos e intenções de projeto, não uma auditoria pública que comprove sua implantação e seus testes para RNDS e CadSUS.

Em maio de 2026, o Tribunal de Contas da União determinou que Serpro e Dataprev apresentassem, em 180 dias, um plano de redundância geográfica com ao menos dois data centers geograficamente distintos por fornecedor nas soluções de nuvem de governo. O tribunal também recomendou restringir a autoridades brasileiras uma cláusula contratual do Serpro com a AWS sobre divulgação de dados por ordem de autoridades estrangeiras. A recomendação não prova acesso irregular nem envolve, de forma comprovada no acórdão, dados do SUS.

Limitações da documentação. A estratégia admite tratamento de dados fora do país se houver cópia de segurança atualizada em data center nacional e os demais requisitos legais forem cumpridos. Por isso, a residência nacional não demonstra sozinha os fluxos de processamento, metadados, suporte técnico ou dependências tecnológicas de cada carga. O anúncio menciona um novo contrato previsto, mas não divulga valor, preços, teto de consumo, níveis de serviço, multas ou cláusulas de saída; sem esses documentos, o custo e uma eventual economia não podem ser calculados.

A LGPD classifica dados de saúde como sensíveis e exige medidas técnicas e administrativas contra acessos não autorizados e outros tratamentos ilícitos. Os relatórios de impacto específicos da RNDS e do CadSUS para a migração não foram localizados, de modo que o anúncio não permite atestar aderência material à LGPD para cada base. A documentação disponível sustenta uma migração planejada e regulada em fase inicial, não uma transferência já concluída para uma infraestrutura plenamente auditada.

Transparência desta reportagem

7

fontes consultadas

7

fontes primárias

4

etapas de checagem

Esta reportagem foi produzida com apoio de inteligência artificial na apuração e na redação. Douglas Machado responde pela linha editorial humana; isso não equivale a revisão clínica individual. As regras públicas proíbem citar qualquer fonte não aberta durante a apuração. Leia o método completo.

Fontes desta reportagem

7 no total · 7 primárias
  1. 01
    Fonte primáriabtcu.apps.tcu.gov.br
    Acórdão do Tribunal de Contas da União sobre nuvem de governo

    Tribunal de Contas da União

  2. 02
    Documento oficialgov.br
    Ministério da Saúde inicia jornada para a nuvem soberana do SUS

    Ministério da Saúde

  3. 03
  4. 04
  5. 05
    Documento oficialgov.br
    Decreto nº 12.560, de 23 de julho de 2025

    Ministério da Saúde

  6. 06
    Documento oficialgov.br
    Lei Geral de Proteção de Dados Pessoais — Lei nº 13.709/2018

    Ministério da Saúde

  7. 07
    Documento oficialeagendas.cgu.gov.br
    Agenda pública do ministro da Saúde

    Controladoria-Geral da União

Conteúdo informativo — não substitui consulta, diagnóstico ou tratamento médico. Encontrou um erro? Fale com a redação.

Continue lendo

Outras reportagens

Boletim Saúde News

A edição do dia, sem ruído

Entre na lista de lançamento do boletim diário. Para acompanhar agora, use o RSS geral ou escolha uma editoria.