Secretaria de saúde: tarjamento em lote em e-SUS antes de publicar
Na publicacao em transparencia ativa, o documento que mais escapa do fluxo na Secretaria de Saude costuma ser o relatorio mensal exportado do e-SUS (por exemplo, producao ambulatorial/atendimentos). Ele sai “pronto” do sistema, vira PDF em poucos cliques e vai para o site como se fosse so mais um anexo rotineiro.
O problema e que esses relatorios trazem informacoes de pacientes misturadas com indicadores operacionais: em alguns modelos, o nome aparece no corpo; em outros, o dado sensivel nao esta visivel, mas fica embutido como texto selecionavel ou em metadados do arquivo gerado. Quando o envio vira rotina e em volume, a chance de publicar algo que deveria estar sob hipotese legal de sigilo aumenta justamente porque o documento parece padronizado.
Afirmacao exclusiva: no relatorio do e-SUS, o dado sensivel pode estar “invisivel”, mas exportado como texto selecionavel e reaparece ao copiar/colar
Em muitos relatorios do e-SUS, a tela mostra apenas a tabela “limpa” (com codigo de procedimento, data, unidade, profissional, quantidade). Mas a exportacao pode incluir colunas que nao aparecem na visualizacao, ou campos que so aparecem no arquivo final: nome do paciente, CNS, CPF, endereco, numero do prontuario ou identificadores de visita domiciliar.
Isso gera um tipo de falha especifica: a equipe revisa visualmente o PDF, nao encontra o nome na pagina, publica; depois alguem seleciona a area da tabela e cola em um editor de texto, e la estao os identificadores. Nao e “quebra de sigilo por hacker”; e o conteudo exportado na camada digital do arquivo. Por isso, desenhar um retangulo preto por cima do texto (ou “cobrir” com uma forma no editor) nao resolve: o conteudo continua no PDF e pode ser extraido por selecao, copia, busca interna ou exportacao para CSV.
Quando o documento vem digitalizado (por exemplo, um relatorio impresso que foi anexado por scanner), ocorre o oposto: cobrir a area nao remove nada da imagem; sem OCR, nem mesmo voce consegue localizar todos os trechos. Em ambos os casos, o ponto e o mesmo: o tarjamento so e seguro quando o conteudo e efetivamente removido do arquivo, e nao apenas ocultado na tela. Para alinhar isso ao fluxo de transparencia ativa, vale tratar a exportacao do e-SUS como documento sensivel por padrao e criar uma rotina de verificacao antes de publicar.
O que revisar antes de publicar: checklist pratico para tarjamento em lote nesses relatorios
Como o cenario e transparencia ativa e o volume costuma ser alto, a revisao precisa ser repetivel e com criterios claros. Abaixo vai um checklist que funciona bem para relatorio mensal exportado do e-SUS em PDF, quando voce precisa tarjar em lote sem paralisar a publicacao.
- Confirme o tipo de relatorio e o objetivo da publicacao: indicadores agregados podem ser publicados; listagens nominativas (mesmo que “de trabalho”) normalmente nao deveriam ir a transparencia ativa. Se o relatorio e nominativo, a primeira decisao nao e “tarjar melhor”, e sim trocar o tipo de relatorio por um agregado.
- Procure pelos campos que costumam vir escondidos no PDF exportado, mesmo quando nao aparecem na tela: CNS, CPF, nome completo, data de nascimento, endereco, numero do prontuario, nome da mae, telefone, observacoes.
- Teste a camada de texto do PDF: selecione uma linha inteira da tabela (arrastando o mouse), copie e cole em um editor simples. Se aparecer informacao que nao esta visivel, voce esta diante do caso “invisivel, mas exportado”.
- Use a busca interna do PDF por termos curtos que denunciam identificadores: “CNS”, “CPF”, “Pront”, “Nasc”, “Mae”, “Rua”, “Av”, “CEP”. Esse teste costuma achar cabecalhos de colunas ocultas e rodapes com identificacao.
- Verifique cabecalho e rodape: alguns modelos inserem nome do paciente ou identificador em rodape de pagina, principalmente em impressao “por paciente” ou “por domicilio”. Em lote, esse e um ponto que passa batido.
- Revise metadados e anexos incorporados: PDFs gerados por alguns sistemas podem carregar propriedades com nome da unidade, usuario exportador e, em casos menos comuns, identificadores. A publicacao em site indexa isso.
- Se o arquivo for digitalizado, rode OCR antes de qualquer tentativa de localizar trechos: sem OCR, voce nao encontra todos os campos e corre o risco de tarjar apenas o que viu.
- Tarje removendo o conteudo (na camada certa): se o texto e selecionavel, o processo precisa eliminar o texto do PDF; se for imagem com OCR, precisa remover a area na imagem e atualizar/limpar a camada de texto reconhecida para nao “sobrar” o que foi lido.
- Padronize a regra de substituicao: ao inves de deixar um “buraco” que confunde, substitua por marcador consistente (ex.: “DADO SOB SIGILO LEGAL”) para facilitar auditoria interna do que foi removido.
- Registre a decisao de publicacao: guarde, no processo interno, qual versao foi publicada (hash ou identificador), qual relatorio de origem e qual criterio de remocao. Isso protege o servidor que executou o procedimento.
Se sua equipe hoje “tarja” apenas cobrindo com retangulo no editor, vale ler e compartilhar internamente o alerta tecnico de que tarja preta nao protege quando o PDF tem texto por baixo. E se a duvida for operacional (como executar a remocao de fato), a referencia mais direta e este passo a passo: como colocar tarja preta em PDF, com orientacao para o que precisa ser removido do arquivo.
Quando o gargalo for volume (mesmo relatorio, todo mes, varias unidades), a estrategia e tratar como pipeline: exportar, validar camada de texto, aplicar regras de remocao e gerar uma saida final pronta para publicar. Para entender formatos e opcoes de fluxo, esta pagina ajuda a organizar o conceito e os cuidados: tarjamento.
Ferramentas como o MavenDoc entram quando voce precisa aplicar regras consistentes em muitos PDFs, mantendo rastreabilidade do que foi removido e reduzindo o retrabalho na revisao final, especialmente em tarjar dados em PDF em lote. Mas em alguns orgaos, so a mudanca de rotina (trocar relatorio nominativo por agregado e validar a camada de texto antes de publicar) resolve grande parte do risco sem depender de software novo.
Verificacao pratica para hoje: pegue um PDF de relatorio do e-SUS ja pronto para transparencia ativa, selecione uma linha inteira da tabela, copie e cole no Bloco de Notas. Se aparecer nome/CNS/CPF ou algo alem do que esta visivel na pagina, esse PDF nao pode ser “tarjado” com retangulo: ele exige remocao real do conteudo.
Perguntas frequentes
1) Nosso relatorio do e-SUS nao mostra nome na tela. Mesmo assim preciso revisar?
Sim, porque o problema comum e a divergencia entre a visualizacao e o que foi exportado. O teste mais rapido e copiar uma area da tabela e colar em um editor de texto. Se vierem campos extras (CNS/CPF/nome), eles estao no arquivo e podem ser extraidos por qualquer pessoa que baixar o PDF.
2) Se eu “imprimir em PDF” de novo, isso remove os dados sensiveis?
Nem sempre. Em alguns casos, reimprimir achata o layout e reduz a extração direta, mas pode manter texto selecionavel, pode manter metadados e ainda pode gerar outro PDF com camada de texto. O criterio correto nao e o metodo (exportar vs imprimir), e sim o resultado: apos o processo, o conteudo sensivel precisa deixar de existir no arquivo final.
3) Quando o relatorio veio escaneado (imagem), basta cobrir com caixas pretas?
Nao. Cobrir apenas oculta visualmente, mas a imagem original continua no arquivo. Alem disso, se houver OCR (feito antes ou depois), o texto reconhecido pode manter os dados mesmo que voce tape a imagem. O fluxo seguro e: rodar OCR para localizar, remover a area na imagem de forma definitiva e limpar/atualizar a camada de texto para que nao reste o dado sensivel.
Se voce precisa publicar esses relatorios de forma recorrente, o proximo passo e transformar o que hoje e “revisao no olho” em rotina verificavel: um teste de camada de texto, um checklist de campos e uma saida final versionada para o portal. Quando isso estiver firme, fica mais simples decidir o que entra em automacao e o que fica como etapa humana de conferência.
