ACÓRDÃO Nº 2885/2026 - TCU - Plenário

ACÓRDÃO Nº 2885/2026 - TCU - Plenário
Considerando que se trata do 5º ciclo de acompanhamento da estrutura de
governança, riscos e controles dos processos e atividades de tecnologia da informação no
Ministério da Saúde, tendo por escopo a Estratégia de Saúde Digital para o Brasil 2020-
2028 (ESD28), a Rede Nacional de Dados em Saúde (RNDS), o Programa SUS Digital e o
Cadastro Nacional de Usuários do SUS (CadSUS), realizado em cumprimento ao item 9.4 do
Acórdão 309/2025-TCU-Plenário, de relatoria do Ministro Bruno Dantas.
Considerando que o acompanhamento também abarcou o monitoramento das
deliberações constantes do Acórdão 1.842/2025-TCU-Plenário (item 9.3) e do Acórdão
309/2025-TCU-Plenário (itens 9.1.1, 9.1.2, 9.1.3, 9.2.1 e 9.2.2);
Considerando que, quanto à higienização da base de dados do CadSUS, o
Ministério da Saúde reduziu o número de cadastros de mais de 340 milhões para cerca de
233 milhões, promovendo, no período, o saneamento de mais de 106 milhões de registros,
tendo o CPF como identificador primário, restando cumprida a determinação contida no
item 9.3 do Acórdão 1.842/2025-TCU-Plenário;
Considerando que foram atendidas as determinações contidas nos itens 9.1.1 e
9.1.2 do Acórdão 309/2025-TCU-Plenário, relativas, respectivamente, à estrutura de
governança e à divulgação do Plano Estratégico Institucional 2024-2027;
Considerando que a determinação contida no item 9.1.3 do Acórdão 309/2025-
TCU-Plenário, referente aos fluxos e critérios de priorização dos modelos informacionais e
computacionais da RNDS, encontra-se em cumprimento, uma vez que ainda não há
definição formal de data para publicação da portaria destinada a formalizar tais fluxos e
critérios;
Considerando que foram implementadas as recomendações contidas nos itens
9.2.1 e 9.2.2 do Acórdão 309/2025-TCU-Plenário, atinentes ao estudo do quantitativo de
servidores necessários à gestão da segurança da informação e ao programa de
conscientização em segurança da informação;
Considerando que, não obstante concluído o estudo do quantitativo de pessoal
especializado para a área de Segurança da Informação, a proposta de suprimento do
quadro ainda se encontra em análise pela alta gestão do Ministério da Saúde, pendente de
manifestação conclusiva, subsistindo elevado risco potencial de ataques cibernéticos e de
vazamento do imenso volume de dados pessoais sensíveis geridos pela Pasta;
Considerando que, no âmbito da fiscalização, foi identificado o 'Achado 1 -
Descontinuidade de atuação do Comitê Gestor de Saúde Digital (CGSD)', tendo em conta a
ausência de reuniões mensais entre setembro de 2024 e março de 2025 e entre outubro
de 2025 e maio de 2026, em contrariedade ao art. 244-M da Portaria de Consolidação-
GM/MS 1/2017, o que compromete a governança da ESD28 e da Política Nacional de
Informação e Informática em Saúde (PNIIS);
Considerando que os comentários dos gestores, apresentados pela Secretaria
de Atenção Primária à Saúde (Saps) e pela Secretaria de Informação e Saúde Digital
(Seidigi), não alteraram o entendimento da equipe de fiscalização acerca dos
encaminhamentos propostos, tendo o próprio DataSUS manifestado concordância com a
proposta de recomendação relativa à atuação do CGSD;
Considerando que a continuidade do acompanhamento se mostra necessária,
ante o alto grau de relevância da Saúde Digital e o contínuo progresso da ESD28, da RNDS
e do Programa SUS Digital;
Considerando as razões expostas na instrução elaborada pela Unidade
Especializada de Auditoria em Saúde (AudSaúde) e acolhidas pelo relator;
Considerando os pareceres uniformes da AudSaúde;
Os Ministros do Tribunal de Contas da União, reunidos em sessão do Plenário,
ACORDAM, por unanimidade, com fundamento nos arts. 143, inciso V, alínea "a", e 243 do
Regimento Interno do TCU e na Resolução-TCU 315/2020, em:
a) considerar cumprida a determinação contida no item 9.3 do Acórdão
1.842/2025-TCU-Plenário;
b) considerar cumpridas as determinações contidas nos itens 9.1.1 e 9.1.2 do
Acórdão 309/2025-TCU-Plenário;
c) considerar em cumprimento a determinação contida no item 9.1.3 do
Acórdão 309/2025-TCU-Plenário;
d) considerar implementadas as recomendações contidas nos itens 9.2.1 e 9.2.2
do Acórdão 309/2025-TCU-Plenário;
e) adotar as medidas elencadas no item 1.8 deste acórdão;
f) autorizar a continuidade ao acompanhamento.
g) monitorar as recomendações contidas nos subitens 1.8.1 e 1.8.2 no próximo
ciclo do acompanhamento;
h) dar ciência desta deliberação e remeter cópia da instrução (peça 96) ao
Ministério da Saúde.
1. Processo TC-004.828/2025-9 (RELATÓRIO DE ACOMPANHAMENTO)
1.1. Apensos: 016.371/2025-9 (DENÚNCIA).
1.2. Interessados: Assessoria Especial de Controle Interno do Ministério da
Saúde (); Secretaria-executiva do Ministério da Saúde (00.394.544/0173-12)
1.3. Unidade Jurisdicionada: Ministério da Saúde.
1.4. Relator: Ministro Bruno Dantas.
1.5. Representante do Ministério Público: não atuou.
1.6. Unidade Técnica: Unidade de Auditoria Especializada em Saúde
(AudSaúde).
1.7. Representação legal: não há.
1.8. Determinações/Recomendações/Orientações:
1.8.1. determinar ao Ministério da Saúde, com fundamento no art. 250, inciso
II, do Regimento Interno do TCU e no art. 7º, § 3º, inciso VI, da Resolução-TCU 315/2020,
que, no prazo de trinta dias, informe os resultados da análise da proposta de suprimento
de pessoal especializado para a área de Segurança da Informação, conforme o estudo
apresentado no Despacho CGIE/DATASUS/SEIDIGI/MS (peça 26), apresentando cronograma
de ações com as medidas adotadas e a adotar, de forma a permitir que o TCU acompanhe
a deliberação em questão, em virtude do grande risco potencial de ataques cibernéticos e
vazamentos do imenso volume de dados pessoais sensíveis geridos;
1.8.2. recomendar ao Ministério da Saúde, com fundamento no art. 250, inciso
III, do Regimento Interno do TCU e no art. 11 da Resolução-TCU 315/2020, que observe a
necessidade de atuação ininterrupta do Comitê Gestor de Saúde Digital, mediante a
realização de reuniões mensais ordinárias, a fim de que a governança da Estratégia de
Saúde Digital 2020-2028 e da Política Nacional de Informação e Informática em Saúde seja
conduzida com efetividade, em cumprimento ao art. 244-M da Portaria de Consolidação-
GM/MS 1/2017.