Apêndice I — Interoperabilidade entre os Sistemas de Informação em Saúde

Os Sistemas de Informação em Saúde (SIS) brasileiros foram criados em épocas distintas, por áreas técnicas diferentes e para finalidades próprias. SIM, SINASC, SIH/SUS, SIA/SUS, SINAN, CNES, SISAB, SI-PNI e outros sistemas não compartilham necessariamente a mesma arquitetura, os mesmos conceitos ou os mesmos identificadores. Ainda assim, o cuidado, a vigilância e a gestão precisam combinar informações produzidas nesses ambientes. A interoperabilidade e o relacionamento de registros são duas respostas complementares a esse problema, mas atuam em momentos e de maneiras diferentes.

I.1 O que é interoperabilidade

Interoperabilidade é a capacidade de dois ou mais sistemas trocarem informações e utilizarem corretamente o que foi recebido. Não basta transportar um arquivo de um ponto a outro: o sistema receptor precisa reconhecer sua estrutura, compreender o significado dos campos, preservar o contexto do registro e empregar a informação de acordo com regras institucionais, jurídicas e assistenciais.

No SUS, a regulamentação distingue a interoperabilidade sintática da semântica. A primeira trata dos modelos e das técnicas computacionais que permitem a troca padronizada entre sistemas, redes e plataformas. A segunda depende de modelos de informação e de vocabulários padronizados — terminologias, classificações, taxonomias e ontologias — que preservem o significado para as pessoas e instituições envolvidas (BRASIL, 2017). Na prática, há ainda dimensões organizacional e jurídica: os participantes precisam definir responsabilidades, finalidades, fluxos, perfis de acesso, segurança, auditoria e resposta a incidentes (ver Quadro I.1).

Quadro I.1: Dimensões da interoperabilidade em saúde
Dimensão Pergunta central Exemplos nos SIS
Técnica Os sistemas conseguem conectar-se e transmitir os dados? Interfaces, autenticação, APIs e infraestrutura de rede
Sintática A mensagem recebida tem estrutura conhecida? Recursos FHIR, formatos de data, cardinalidade e campos obrigatórios
Semântica O dado tem o mesmo significado na origem e no destino? CID para diagnósticos, LOINC para observações laboratoriais e SIGTAP para procedimentos
Organizacional Os processos e as responsabilidades estão articulados? Definição de quem registra, envia, corrige, consulta e audita
Jurídica e ética O intercâmbio tem finalidade e base legal adequadas? Controle de acesso, minimização, rastreabilidade e proteção de dados pessoais

As dimensões se acumulam. Uma mensagem pode chegar ao destino e ser sintaticamente válida, mas conter um código usado com significado diferente pelo serviço de origem. Também pode ser tecnicamente e semanticamente correta, mas ter sido consultada por um perfil sem autorização para aquela finalidade. A interoperabilidade efetiva só ocorre quando todas as dimensões necessárias ao uso estão presentes.

NotaIntegração e interoperabilidade

Integração permite que sistemas se conectem. Interoperabilidade acrescenta a capacidade de usar corretamente a informação trocada, com significado preservado e governança definida.

I.2 Aplicação aos SIS

Em sistemas isolados, cada área recebe arquivos, interpreta leiautes próprios, mantém tabelas auxiliares e cria rotinas particulares de importação. Esse arranjo amplia o custo de manutenção e favorece divergências. Com padrões comuns, um sistema local pode representar um atendimento, uma vacina ou um resultado laboratorial de modo que outros componentes autorizados reconheçam o registro sem uma tradução construída exclusivamente para cada par de sistemas.

A Rede Nacional de Dados em Saúde (RNDS), apresentada na Capítulo 16, é a plataforma oficial de interoperabilidade do Ministério da Saúde. Ela conecta sistemas de saúde e estabelece uma infraestrutura para o compartilhamento padronizado, com acesso aos dados individuais condicionado ao perfil e à finalidade (BRASIL, 2026b). Modelos como o Registro de Atendimento Clínico (RAC), o Resultado de Exames Laboratoriais (REL), o Registro de Imunobiológico Administrado (RIA) e o Modelo de Informação da Regulação Assistencial (MIRA) organizam tipos específicos de informação. Sua representação computacional emprega o padrão FHIR e terminologias controladas conforme o contexto (BRASIL, 2026c).

Uma integração desse tipo pode fazer com que uma vacina registrada em um sistema de origem seja consultada pelo cidadão e por um profissional autorizado, ou que uma informação de regulação seja transmitida à RNDS segundo um modelo nacional. O identificador da pessoa, do estabelecimento e do profissional; as datas do evento e do envio; os códigos clínicos; e as versões do documento precisam conservar seu significado durante o percurso.

A interoperabilidade não elimina os sistemas finalísticos nem corrige automaticamente seus problemas. Se um diagnóstico foi registrado de maneira imprecisa, se o CNS foi associado à pessoa errada ou se o estabelecimento não enviou o evento, a troca padronizada pode apenas transportar ou tornar mais visível o problema original. Também não garante cobertura nacional uniforme: sistemas, modelos, territórios e serviços podem estar em estágios distintos de integração.

Além da integração de pessoas e eventos assistenciais, há interoperabilidade entre cadastros e objetos administrativos. O código do CNES permite associar produção ambulatorial, internações e características do estabelecimento; códigos municipais permitem combinar eventos e denominadores territoriais; e terminologias comuns aproximam diagnósticos, exames e procedimentos. Essas junções por estabelecimento, território ou código não são necessariamente um relacionamento de pessoas.

I.3 O que é linkage

Linkage, ou relacionamento de registros, é o processo de identificar quais registros de uma ou mais bases se referem à mesma entidade do mundo real. A entidade pode ser uma pessoa, um estabelecimento, um episódio assistencial, uma gestação ou outro objeto de interesse. O termo costuma ser empregado para o relacionamento de pessoas quando não existe, não está disponível ou não é confiável uma chave única comum às bases.

O relacionamento pode unir bases diferentes, como SIM e SINASC, ou procurar duplicidades dentro da mesma base. No primeiro caso, permite acrescentar informações sobre a trajetória de uma pessoa ou de um evento; no segundo, ajuda a identificar registros repetidos. O resultado não deve ser entendido automaticamente como verdade: trata-se de uma classificação de pares ou conjuntos de registros, sujeita a falsos positivos e falsos negativos.

Interoperabilidade e linkage se distinguem sobretudo pelo momento e pelo mecanismo. A interoperabilidade organiza a troca entre sistemas, em geral no fluxo operacional, com contratos de informação e identificadores definidos. O linkage costuma atuar depois da produção dos dados, comparando registros que já existem. Uma arquitetura interoperável pode reduzir a necessidade de inferir identidades, mas não elimina o relacionamento de bases históricas, sistemas legados ou registros com identificadores ausentes e incorretos (ver Quadro I.2).

Quadro I.2: Diferenças entre interoperabilidade e relacionamento de registros
Aspecto Interoperabilidade Linkage
Problema principal Trocar e usar informações entre sistemas Reconhecer registros da mesma entidade
Momento típico Durante o fluxo de registro, envio e consulta Depois que as bases foram produzidas ou extraídas
Mecanismo Padrões, modelos, terminologias, interfaces e governança Chaves, regras de comparação, escores e classificação de pares
Resultado Informação compreensível e utilizável pelo sistema receptor Base relacionada, chave de vínculo ou conjunto de pares
Erro característico Falha de transmissão, mapeamento ou interpretação Falso pareamento ou perda de um par verdadeiro
Relação entre ambos Identificadores e semântica comuns facilitam o relacionamento Pode recompor vínculos que a integração não produziu

I.4 Principais métodos de relacionamento

I.4.1 Relacionamento determinístico

O método determinístico aplica regras explícitas. A forma mais simples exige igualdade em um identificador único confiável, como uma chave gerada e compartilhada pelos sistemas. Quando essa chave não existe, podem ser usadas combinações de campos, como nome, data de nascimento, nome da mãe e município de residência. É comum executar passos sucessivos: começa-se por uma regra estrita e, nos registros ainda não pareados, aplicam-se combinações alternativas.

O método é transparente, reproduzível e pode alcançar alta precisão quando os identificadores são completos e bem preenchidos. Em contrapartida, um erro de digitação, mudança de nome, data incompleta ou ausência de campo pode impedir o pareamento verdadeiro. Regras excessivamente flexíveis também podem unir pessoas diferentes, sobretudo quando os valores são frequentes.

I.4.2 Relacionamento probabilístico

O método probabilístico considera que concordâncias e discordâncias têm poderes distintos de identificação. Concordar em um sobrenome raro tende a ser mais informativo do que concordar em um nome muito frequente; uma pequena diferença ortográfica pode ser compatível com o mesmo indivíduo, enquanto datas muito divergentes oferecem evidência contrária. No modelo clássico de Fellegi e Sunter, as comparações recebem pesos segundo sua ocorrência esperada entre pares verdadeiros e não verdadeiros, produzindo um escore para classificar os pares (FELLEGI; SUNTER, 1969).

Como comparar todos os registros de duas bases pode gerar um número impraticável de combinações, aplica-se a blocagem: somente pares que concordam em uma ou mais características iniciais seguem para comparação detalhada. Os pares com escore alto são aceitos, os de escore baixo são rejeitados e uma faixa intermediária pode ser submetida a revisão manual. O método tolera melhor erros e variações, mas depende de boa preparação, escolha das variáveis, parâmetros, limiares e validação.

I.4.3 Estratégias híbridas e métodos de classificação

Na prática, muitos projetos combinam abordagens. Pares de alta confiança são obtidos por regras determinísticas; os registros restantes passam por comparações aproximadas de texto, tolerância em datas e um modelo probabilístico. Métodos de aprendizado de máquina também podem classificar pares a partir de exemplos previamente rotulados. Eles são úteis em bases volumosas ou com padrões complexos, mas a qualidade depende do conjunto de treinamento e da estabilidade desses padrões em outros períodos e populações.

O relacionamento com preservação de privacidade transforma ou codifica identificadores antes da comparação e pode empregar resumos criptográficos, filtros de Bloom ou protocolos seguros entre instituições. Essas técnicas reduzem a exposição direta dos identificadores, mas não tornam o processo isento de risco nem dispensam governança. Parâmetros inadequados podem reduzir a qualidade do pareamento, e valores pseudonimizados continuam sujeitos à proteção de dados quando podem ser associados a uma pessoa por informação adicional (BRASIL, 2018; SCHNELL; BACHTELER; REIHER, 2009) (ver Quadro I.3).

Quadro I.3: Métodos de relacionamento de registros
Método Como decide Vantagem Limitação principal
Determinístico por chave Igualdade em identificador comum Simples e preciso quando a chave é confiável Falha com chaves ausentes, erradas ou indisponíveis
Determinístico por regras Igualdade em combinações sucessivas de campos Transparente e fácil de auditar Sensível a erros e à escolha das regras
Probabilístico Peso das concordâncias e discordâncias Acomoda variações e dados incompletos Exige parametrização, limiares e validação
Híbrido Regras estritas seguidas de comparação aproximada Aproveita pares fáceis e concentra esforço nos difíceis Fluxo mais complexo e dependente da ordem das etapas
Aprendizado de máquina Classificador treinado com pares rotulados Pode representar padrões complexos e operar em escala Depende de exemplos confiáveis e pode perder desempenho em outro contexto
Preservação de privacidade Compara representações protegidas dos identificadores Reduz o compartilhamento de identificadores em claro Não elimina risco, erros nem obrigações legais

I.5 Etapas de um linkage

Antes da comparação, é necessário definir a entidade, a população elegível e a relação esperada. Um óbito infantil deve encontrar no máximo uma declaração de nascido vivo correspondente, mas uma pessoa pode ter várias internações ou notificações. A cardinalidade esperada — um para um, um para muitos ou muitos para muitos — orienta o algoritmo e a avaliação dos resultados.

  1. Definir a finalidade e a população. Delimitar a pergunta, o período, os sistemas, os critérios de inclusão e a unidade relacionada.

  2. Preparar os campos. Padronizar caracteres, espaços, datas e códigos; separar componentes quando necessário; e preservar as versões originais para auditoria.

  3. Avaliar os identificadores. Medir completude, validade, frequência, estabilidade e distribuição dos valores em cada fonte.

  4. Gerar pares candidatos. Usar chaves ou blocagem para reduzir as comparações sem descartar uma parcela excessiva de pares verdadeiros.

  5. Comparar e classificar. Aplicar regras, funções de similaridade, pesos ou classificadores e registrar a evidência que levou a cada decisão.

  6. Resolver conflitos. Examinar empates, relações incompatíveis com a cardinalidade esperada e pares situados na faixa de dúvida.

  7. Validar. Estimar precisão, sensibilidade e taxas de falsos positivos e falsos negativos com amostra revisada, padrão de referência ou análises de consistência.

  8. Documentar e proteger. Registrar versões das bases, parâmetros, limiares, decisões manuais, incerteza e medidas de segurança; divulgar somente o necessário para a finalidade.

Os erros não são apenas técnicos. Um falso positivo atribui a uma pessoa o evento de outra; um falso negativo fragmenta sua trajetória. Se a probabilidade de erro variar por idade, raça/cor, território ou qualidade do preenchimento, o relacionamento pode introduzir viés diferencial. Por isso, relatar apenas a quantidade de pares encontrados é insuficiente.

I.6 Exemplos com SIS brasileiros

O relacionamento entre SIM e SINASC permite recuperar informações do nascimento de crianças que morreram antes de completar um ano, melhorar a completude de variáveis comuns e estudar fatores associados à mortalidade infantil. Em cinco cidades brasileiras, um estudo relacionou 90% dos óbitos infantis às respectivas declarações de nascido vivo; 74,5% dos pares foram obtidos na etapa determinística, e a etapa probabilística contribuiu para os demais (MAIA; SOUZA; MENDES, 2015). O exemplo mostra por que estratégias sequenciais são úteis: chaves e regras resolvem os pares mais claros, enquanto métodos tolerantes a erros recuperam parte dos restantes.

O Ministério da Saúde recomenda o relacionamento entre SIH/SUS e SIM como uma das estratégias para qualificar registros inespecíficos de mortes por causas externas. As informações da internação podem apoiar a investigação da circunstância do óbito, mas não devem substituir de forma automática o que foi atestado; inconsistências exigem exame das fontes e, quando necessário, investigação adicional (BRASIL, 2023).

Outras combinações respondem a perguntas distintas. SINAN e SIM podem identificar óbitos entre casos notificados e contribuir para avaliar encerramento e subnotificação. SIH/SUS e SIA/SUS podem recompor partes da utilização de serviços ao longo do tempo quando há identificadores adequados. SISAB, SI-PNI ou sistemas laboratoriais podem ser relacionados para investigar continuidade do cuidado, vacinação e resultados de exames. Em todos esses casos, cobertura, população-alvo e finalidade administrativa dos sistemas permanecem diferentes; encontrar a mesma pessoa não torna os eventos diretamente equivalentes.

Também há relacionamentos que não envolvem pessoas. O CNES conecta produção e características dos estabelecimentos, códigos municipais permitem integrar indicadores territoriais e códigos de procedimentos ou diagnósticos aproximam tabelas de sistemas diferentes. Esses vínculos costumam ser determinísticos, mas ainda exigem atenção a mudanças de código, vigência temporal e relações de muitos para muitos.

I.7 Dados públicos e bases institucionais

Os dados disseminados ao público não são uma cópia integral das bases operacionais. Para proteger o sigilo e cumprir a legislação, produtos públicos podem retirar identificadores diretos, suprimir ou agrupar categorias, reduzir precisão de datas e localização, selecionar variáveis ou divulgar apenas agregados. No caso do SIM, o Ministério da Saúde informa expressamente que as bases públicas são anonimizadas e que campos pessoais e sensíveis são removidos antes da oferta para tabulação e obtenção de microdados (BRASIL, 2026a). Outros SIS adotam produtos e procedimentos próprios, que precisam ser verificados em cada fonte e versão.

As secretarias de saúde e o Ministério da Saúde podem dispor, conforme sua competência, finalidade, perfil e autorização, de dados identificados ou mais detalhados necessários à assistência, vigilância, regulação, auditoria e gestão. Isso não significa acesso irrestrito por qualquer servidor nem uma base perfeita e universalmente “completa”. Os sistemas têm fluxos descentralizados, versões, retificações, atrasos e campos não preenchidos; o acesso deve observar necessidade, base legal, segurança, rastreabilidade e responsabilização. A LGPD classifica dados de saúde como pessoais sensíveis e disciplina seu tratamento e uso compartilhado (BRASIL, 2018) (ver Quadro I.4).

Quadro I.4: Diferenças gerais entre produtos públicos e bases institucionais
Característica Produto público Base de acesso institucional
Finalidade predominante Transparência, estatística, pesquisa e controle social Assistência, vigilância, gestão, regulação e funções legais
Identificação de pessoas Removida, anonimizada ou não disponibilizada Pode existir quando necessária e autorizada
Detalhamento Pode haver seleção, recodificação, agrupamento ou supressão Pode conservar campos operacionais e maior granularidade
Atualização Segue calendário e versão de disseminação Pode acompanhar fluxos preliminares, correções e consolidações
Acesso Aberto ou sujeito às condições do portal Controlado por perfil, finalidade, órgão e ambiente
Possibilidade de linkage individual Limitada pelos campos divulgados e pelo risco de reidentificação Maior quando há identificadores e base legal para o relacionamento

A retirada de identificadores afeta diretamente o linkage. Sem uma chave comum, o relacionamento determinístico individual pode tornar-se impossível; sem nomes, datas completas ou localização detalhada, o probabilístico perde poder de discriminação. Ainda pode ser possível integrar dados em nível agregado — por município, estabelecimento, período ou categoria — mas isso responde a perguntas ecológicas e administrativas, não recompõe trajetórias individuais.

Por outro lado, a presença de identificadores nas bases institucionais permite vínculos mais precisos e pode reduzir pares duvidosos. Padrões de interoperabilidade ajudam a estabilizar identificadores, datas, códigos e significados entre sistemas. Se o dado original estiver errado ou ausente, contudo, um identificador comum também pode propagar uma associação incorreta. Bases históricas e sistemas legados continuarão demandando rotinas de linkage, mesmo em um ambiente mais interoperável.

AvisoInteroperabilidade não é abertura

Um dado pode circular entre sistemas autorizados e permanecer protegido. Interoperabilidade define como a informação é trocada e compreendida; dados abertos definem o que pode ser divulgado ao público. Uma condição não implica a outra.

I.8 Privacidade, segurança e uso responsável

Relacionar bases aumenta o valor analítico, mas também pode aumentar o risco informacional. A combinação de datas, eventos raros, pequenos territórios e trajetórias assistenciais pode distinguir uma pessoa mesmo quando nome e CPF foram retirados. Por isso, anonimização não deve ser confundida com simples remoção de identificadores, e pseudonimização não deve ser tratada como autorização automática para divulgar ou reutilizar dados.

O princípio da necessidade orienta a seleção do menor conjunto de dados suficiente para a finalidade. Identificadores devem ser separados dos dados analíticos quando possível; chaves de vínculo precisam ser protegidas; acessos e decisões devem ser auditáveis; resultados com pequenas contagens ou trajetórias singulares exigem controle de divulgação; e arquivos intermediários devem ter retenção definida. O compartilhamento entre órgãos também precisa explicitar objeto, finalidade, base legal, responsabilidades e medidas de segurança.

A qualidade metodológica e a proteção de dados são inseparáveis. Um projeto bem governado não apenas restringe o acesso: ele documenta por que o relacionamento é necessário, mede seus erros, preserva a rastreabilidade sem expor identidades e limita a divulgação ao que sustenta a finalidade pública. Interoperabilidade confiável e linkage responsável ampliam a capacidade de compreender trajetórias, qualificar registros e coordenar o cuidado sem transformar circulação técnica em acesso indiscriminado.

I.9 Síntese

Interoperabilidade permite que sistemas troquem e usem dados com estrutura, significado e governança comuns. Linkage identifica registros da mesma entidade em bases já produzidas, por chaves, regras, probabilidades ou métodos de classificação. Identificadores e padrões compartilhados aproximam as duas práticas: melhor interoperabilidade torna o relacionamento mais simples e preciso, enquanto o linkage ajuda a integrar o legado e a lidar com falhas de identificação.

A possibilidade concreta de relacionamento depende da versão dos dados. Bases institucionais podem conservar identificadores e detalhes necessários às funções do SUS, sob controle de acesso; produtos públicos são preparados para disseminação e podem não conter os campos necessários ao vínculo individual. Portanto, resultados obtidos com microdados públicos não devem ser generalizados para o que seria possível nos ambientes autorizados, e a maior capacidade técnica desses ambientes não dispensa finalidade, proteção, validação e transparência metodológica.

I.10 Veja também