Quando li sobre a parceria entre o CIATox da Unicamp e a Polícia Técnico-Científica de São Paulo para criar o NSP-Monitor — um mapa inédito das novas drogas em circulação —, minha primeira reação foi de entusiasmo técnico. Uma base de dados capaz de cruzar informações toxicológicas, apreensões e registros de intoxicação em tempo real pode acelerar a resposta do sistema de saúde e de segurança pública. Mas, como engenheiro de software que já lidou com pipelines de dados sensíveis, a segunda reação foi um calafrio. Quantas camadas de privacidade serão sacrificadas nessa empreitada? A iniciativa é louvável, mas merece um olhar crítico sob a ótica de privacidade em produto, especialmente quando envolve inteligência artificial e dados pessoais de saúde.
O dilema dos dados sensíveis em escala
O NSP-Monitor pretende consolidar informações de diferentes fontes: laudos toxicológicos de pacientes atendidos em pronto-socorros, composição química de amostras apreendidas pela polícia e registros clínicos de intoxicações. Cada uma dessas fontes carrega dados sensíveis no sentido mais estrito da LGPD. Um laudo toxicológico não é apenas uma substância química — ele está vinculado a um paciente, a um local, a um horário e, muitas vezes, a um contexto criminal. A tentação de juntar todas essas peças para criar um "mapa de calor" das novas drogas é forte, mas o risco de reidentificação de indivíduos é real. Já vi projetos de saúde pública que, na ânsia de gerar evidências, negligenciaram a anonimização e expuseram informações de populações vulneráveis. A diferença aqui é que o dado sai do universo clínico e entra no policial, o que multiplica os riscos.
Anonimização: a camada que nunca é trivial
A primeira pergunta que faço é: como será feita a desidentificação dos dados? Granularidade espacial e temporal são os maiores vilões da anonimização. Se um mapa mostra a ocorrência de uma nova substância em um bairro específico na semana passada, e os registros de intoxicação daquele período têm poucos casos, é factível cruzar com outras bases (como internações hospitalares) e deduzir identidades. Experiência prática me mostrou que técnicas simples como remoção de nomes ou substituição de identificadores raramente bastam. O NSP-Monitor precisará aplicar métodos robustos como k-anonymity, l-diversity ou até privacidade diferencial, dependendo do volume de dados e dos cenários de consulta. Isso tem custo computacional e complexidade algorítmica que muitas equipes subestimam. Sou cético quando vejo promessas de "anonimização completa" sem especificar as métricas.
Infraestrutura em nuvem e soberania de dados
Outro ponto que me salta aos olhos é o armazenamento e processamento dessas informações. A iniciativa é financiada por agências de fomento e envolve uma universidade pública e uma instituição policial. É provável que os dados sejam hospedados em infraestrutura de nuvem — seja pública, privada ou híbrida. Em projetos anteriores, aprendi que a localização dos servidores, os contratos de confidencialidade com provedores e a auditoria de acessos são determinantes para a conformidade com a LGPD. Se os dados forem armazenados em nuvem de provedor estrangeiro sem garantias expressas de jurisdição brasileira, há risco de requisição judicial por autoridades de outros países. A saída mais segura seria usar nuvem soberana ou contratos específicos com cláusulas de proteção de dados. Mas, na prática, universidades e órgãos públicos brasileiros frequentemente optam por soluções de menor custo que negligenciam esses detalhes.
Inteligência Artificial e o risco de vieses
A notícia menciona que o monitoramento visa "identificar rapidamente" novas substâncias. Isso sugere o uso de algoritmos de matching ou classificação para detectar padrões emergentes. Por exemplo, comparar espectros de massas de amostras desconhecidas com bancos de dados existentes. Aí reside outro ponto crítico: a IA pode reforçar vieses. Se os dados históricos de apreensões e intoxicações forem mais abundantes para determinadas regiões ou perfis populacionais (como ocorre com frequência em políticas de segurança pública), o mapa tenderá a subnotificar novas drogas onde a coleta de dados é mais escassa. Isso cria um ciclo vicioso: a polícia vai mais a certos lugares, encontra mais amostras, alimenta o modelo que, por sua vez, sugere que aquela área é foco de novas drogas, justificando ainda mais incursões. É o viés de confirmação potencializado por tecnologia. E quando o dado é pessoal, o viés afeta diretamente a privacidade de grupos já estigmatizados.
Produto digital e consentimento: onde está o usuário?
O NSP-Monitor, como produto, não tem "usuários finais" no sentido tradicional — ele serve a órgãos de saúde e segurança. No entanto, os titulares dos dados (pacientes intoxicados, pessoas abordadas em apreensões) nunca deram consentimento explícito para que suas informações fossem usadas em um mapa de vigilância. A base legal provavelmente será o legítimo interesse ou o cumprimento de obrigação legal (artigos 7º e 11 da LGPD). Isso é legal, mas do ponto de vista de privacidade em produto, é insustentável não oferecer transparência. Um produto minimamente ético deveria prever: informar a existência do monitoramento, exibir quais dados são coletados e por quanto tempo, e permitir que o cidadão questione o uso de suas informações. Em sistemas públicos, isso raramente é implementado, e a justificativa é sempre "segurança pública". Já vi esse argumento usado para justificar a coleta indiscriminada de dados em outras áreas — nem sempre com resultados éticos.
Governança e auditoria: o que falta na mesa
Se eu fosse arquiteto de software desse projeto, sugeriria um desenho baseado em três pilares: minimização (coletar só o essencial para o objetivo — por exemplo, apenas a substância e uma região geográfica agregada), controle de acesso rigoroso (logs de consulta, autenticação multifator e revisão periódica de privilégios) e transparência pública (um relatório anual com estatísticas de uso e incidentes de privacidade). Não vi na divulgação inicial nenhuma menção a um comitê de ética ou a uma avaliação de impacto à proteção de dados (RIPD). No Brasil, a Autoridade Nacional de Proteção de Dados (ANPD) ainda não tem atuação forte em projetos governamentais, mas a ausência de RIPD é um sinal amarelo. Experiências internacionais, como o sistema de monitoramento de drogas sintéticas do EMCDDA (Europa), mostram que é possível conciliar utilidade pública e privacidade quando a governança é parte do projeto desde o início, não uma reflexão tardia.
Uma opinião técnica fundamentada: o risco de normalizar a vigilância
Acredito que iniciativas como o NSP-Monitor são necessárias e podem salvar vidas ao detectar rapidamente substâncias perigosas. Mas todo produto digital que lida com dados sensíveis, especialmente quando combina saúde e polícia, carrega o risco de normalizar a vigilância como solução padrão. Uma vez que o sistema esteja em produção, a pressão para expandir as fontes de dados será grande — "por que não incluir dados de receitas médicas ou de redes sociais?" — e os freios éticos precisam estar na arquitetura, não apenas em políticas de uso. Como engenheiro de software, sei que códigos refletem escolhas. Se a privacidade não for uma restrição técnica (uma coluna criptografada, um pipeline de anonimização, uma API que só devolve dados agregados), ela será descartada na primeira otimização de performance. Defendo que o NSP-Monitor seja um case de privacy by design no Brasil: que sirva de exemplo de como fazer vigilância de saúde pública sem sacrificar direitos individuais. Caso contrário, corremos o risco de trocar uma ferramenta de suporte à saúde por mais um instrumento de controle social seletivo.
O próximo capítulo desse projeto ainda está sendo escrito. Como profissionais de tecnologia, temos o dever de participar do debate — não apenas para elogiar a inovação, mas para questionar o preço dos dados que alimentam essas inovações.