Controle de acesso em hospitais municipais: o que a maternidade e a farmácia central exigem além da catraca

Pergunte a um gestor de saúde municipal o que é controle de acesso hospitalar e a resposta provável é catraca, crachá de funcionário, talvez uma recepção com identificação de visitante. É uma resposta correta e incompleta. As duas áreas de um hospital com maior risco real não ficam na porta de entrada: ficam no berçário, onde a troca ou o sequestro de um recém-nascido é o pesadelo de qualquer maternidade, e na farmácia central, onde o desvio de medicamento controlado é um risco silencioso que não aparece em nenhuma câmera de CFTV voltada para o estacionamento.

A legislação brasileira ainda trata a identificação do recém-nascido de forma mínima. O Estatuto da Criança e do Adolescente, a Lei 8.069/90, exige apenas o registro da impressão plantar do bebê e da impressão digital da mãe. Não exige pulseira eletrônica, não exige sensor de saída, não exige nada que um hospital de hoje, com tecnologia disponível, consideraria suficiente. Projetos de lei tentam mudar isso há anos. Já são lei em nível estadual no Mato Grosso e em nível municipal no Rio de Janeiro. Em nível federal, seguem tramitando na Câmara dos Deputados.

O ponto cego do controle de acesso: a catraca não é o problema

Municípios que já investem em controle de acesso em prédios públicos municipais tendem a aplicar a mesma lógica ao hospital: uma catraca na entrada, talvez com reconhecimento facial para funcionários, crachá para visitante. Isso resolve quem entra no prédio. Não resolve o que acontece depois que a pessoa já está dentro.

Um hospital tem zonas de risco muito diferentes entre si, e tratá-las com o mesmo nível de controle é ineficiente dos dois lados: excesso de fricção em corredor comum, de menos em ala crítica. A norma que orienta essa segmentação no Brasil é a RDC 50 da Anvisa, resolução que define o planejamento físico funcional de estabelecimentos assistenciais de saúde e que serve de base regulatória para decidir onde o acesso precisa ser mais restrito. Na prática, isso significa classificar ambientes por criticidade antes de escolher tecnologia: nem toda porta de hospital exige o mesmo nível de autenticação, e tratar a farmácia como se fosse um corredor de espera é subestimar o risco.

Maternidade: o que muda quando o titular do dado é um recém-nascido

A Câmara Municipal de Curitiba tramita o projeto de lei 005.00194.2021, de autoria do vereador Tico Kuzma. A proposta obriga hospitais e maternidades a colocar no recém-nascido, ainda na sala de parto, uma pulseira com sensor eletrônico sonoro, removida somente na alta hospitalar e na presença da mãe ou do responsável. O texto vai além da pulseira em si: exige que os estabelecimentos instalem sistemas em todas as saídas capazes de ativar o sensor sonoro caso alguém tente retirar o bebê da unidade sem autorização. A Câmara Municipal do Recife tramita um projeto com a mesma lógica.

A tecnologia por trás dessas propostas já existe e é usada por maternidades privadas: antenas de RFID captam o sinal da pulseira em tempo real, disparam alerta em caso de movimento suspeito perto de uma saída e ajudam a confirmar o pareamento correto entre mãe e bebê durante a internação. Para uma maternidade municipal, adotar esse tipo de sistema antes que a lei federal torne obrigatório tem uma vantagem clara: dá tempo para testar o processo, treinar a equipe de enfermagem e ajustar falso alarme, em vez de implantar tudo sob prazo legal apertado.

E essa parte importa: a implantação não é automática nem trivial. Reportagem da Gazeta do Povo mostrou que maternidades relatam dificuldades práticas na adoção da pulseira eletrônica. A lição para o gestor municipal não é esperar a obrigatoriedade federal para começar a pensar no assunto. É começar o piloto cedo, com a unidade de maior volume de partos, justamente porque a curva de aprendizado da equipe custa tempo que a lei, quando chegar, não vai dar.

Vale registrar o paralelo com outro público vulnerável que a Akva já cobriu: o controle de acesso em escolas municipais com reconhecimento facial também lida com titular de dado que é criança, e a mesma cautela redobrada em base legal e consentimento se aplica ao berçário. A diferença é que na maternidade o recém-nascido não tem sequer documento próprio ainda, o que torna a pulseira, hoje, o único elo técnico entre identidade e corpo.

Farmácia central: rastreabilidade é controle de acesso, mesmo sem porta nova

O segundo ponto cego é a farmácia hospitalar, em especial o depósito de medicamentos controlados, os chamados de tarja preta. Quem entra fisicamente na sala é só metade da pergunta. A outra metade é saber, com precisão, quem retirou qual dose, de qual lote, em qual horário, e se aquele volume bate com o que deveria ter sido dispensado.

Em 2026, o Hospital Municipal da Brasilândia Adib Jatene, unidade da Secretaria Municipal da Saúde de São Paulo administrada pelo Instituto de Medicina, Estudos e Desenvolvimento, apresentou uma modernização da farmácia central voltada exatamente para esse problema. O sistema permite fracionar, embalar e individualizar doses, com corte automático de blister, dispensação individualizada, rotulagem e rastreabilidade de cada unidade por medicamento, dose, concentração, lote e validade. O secretário municipal de saúde da capital paulista visitou a unidade para acompanhar o processo pessoalmente, o que sinaliza o peso institucional dado ao projeto.

Isso não é controle de acesso no sentido de crachá ou biometria na porta. É rastreabilidade de medicamento, e cumpre a mesma função que um log de acesso cumpre num prédio: transforma "quem tinha permissão para entrar" em "quem efetivamente pegou o quê, quando". Para o gestor de saúde municipal, o recado é que investir só na porta da farmácia, com fechadura eletrônica ou biometria de entrada, resolve metade do problema. A outra metade é saber o que aconteceu depois que a porta abriu.

Junto com isso, a prática recomendada pelo setor é segmentar por criticidade: corredor comum pode usar crachá simples, mas farmácia e sala de medicamento controlado pedem biometria ou reconhecimento facial, com cada entrada e saída registrada em log de auditoria. Enfermeiro e médico autorizados a acessar aquele ambiente ficam identificados individualmente, não por um crachá genérico de setor que qualquer pessoa da equipe poderia usar.

LGPD: dado de saúde e biometria juntos num mesmo ambiente

Hospital municipal que adota pulseira eletrônica de recém-nascido, biometria de farmácia ou reconhecimento facial de acesso está lidando com duas categorias de dado sensível ao mesmo tempo: dado de saúde e dado biométrico. A LGPD trata as duas como sensíveis, o que exige base legal específica, política de retenção clara e, principalmente, justificativa proporcional ao risco que a tecnologia resolve.

O tema já foi tratado com profundidade no texto sobre reconhecimento facial e LGPD: a base legal para tratamento de biometria em ambiente público não pode ser genérica, tem que estar amarrada a uma finalidade concreta e auditável. No caso hospitalar, a finalidade é fácil de justificar (segurança do recém-nascido, integridade da cadeia de medicamento controlado), mas isso não dispensa o hospital de documentar o tratamento, restringir quem acessa os dados biométricos coletados e definir por quanto tempo cada registro fica armazenado depois da alta ou da dispensação.

O que muda para quem decide, na prática

O erro mais comum não é falta de tecnologia. É tratar o hospital como um prédio público qualquer e aplicar controle de acesso uniforme, quando a arquitetura de risco de uma unidade de saúde é mais parecida com um cofre com várias câmaras do que com um edifício de escritórios. Três decisões concretas ajudam a sair desse ponto cego:

Primeiro, mapear o hospital por zona de criticidade antes de comprar qualquer sistema, usando a RDC 50 como referência de segmentação física. Segundo, tratar maternidade e farmácia como projetos prioritários e distintos entre si, não como um item genérico de "segurança hospitalar" dentro de uma licitação maior. Terceiro, documentar desde o início a base legal de LGPD para cada fluxo de dado biométrico ou de saúde envolvido, porque corrigir isso depois que o sistema já está em produção custa muito mais do que planejar antes.

Faz sentido também escolher a unidade certa para começar. Rede municipal de saúde raramente tem orçamento para modernizar maternidade e farmácia de todos os hospitais ao mesmo tempo, e tentar fazer isso de uma vez costuma resultar em projeto piloto malfeito em vários lugares em vez de um projeto sólido em um só. A maternidade de maior volume de partos da rede é o ponto de partida mais defensável: concentra o maior risco absoluto e gera o maior número de casos de uso em menos tempo, o que acelera o ajuste do sistema antes de replicar para as demais unidades. O mesmo raciocínio vale para a farmácia central que abastece toda a rede, em vez de tentar rastrear medicamento em cada posto de saúde isoladamente.

Outro ponto que passa despercebido é a integração com o que o município já tem. Hospital municipal não opera isolado de central de comando, guarda municipal ou defesa civil, e um sistema de alerta de saída de maternidade só cumpre a função completa se o alarme chegar a alguém capaz de agir em segundos, não só soar dentro do prédio. Cidades que já estruturaram uma central de comando integrada largam na frente aqui, porque o canal de resposta rápida já existe. Quem ainda não tem esse tipo de integração corre o risco de instalar um sistema tecnicamente correto que, na prática, depende só do porteiro ouvir o alarme.

A pulseira eletrônica ainda não é obrigatória em todo o país. A farmácia rastreável ainda não é padrão em toda rede municipal. Mas o hospital que espera a lei para agir chega depois da cidade que já testou o processo, ajustou a curva de aprendizado da equipe e sabe, na prática, onde o sistema falha antes de o CIOSP ou a Anvisa perguntarem por quê.