Prontuário eletrônico e a LGPD

Clínicas e consultórios devem proteger o prontuário eletrônico com acesso individual, registro de atividades, cópias de segurança e compartilhamento limitado à finalidade assistencial ou legal.

• Definir uma base legal da LGPD para cada uso dos dados de saúde.
• Liberar o acesso conforme a função e a necessidade profissional.
• Registrar consultas, alterações, exportações e tentativas de acesso.
• Criptografar os dados armazenados e transmitidos.
• Manter cópias de segurança testadas e separadas do ambiente principal.
• Formalizar contratos com fornecedores de sistemas e serviços em nuvem.
• Entregar cópias ao paciente sem expor informações de terceiros.
• Adotar um plano para incidentes que considere o prazo de 3 dias úteis.

Uma senha compartilhada, um prontuário enviado pelo aplicativo errado ou um backup que nunca passou por teste pode gerar exposição de dados sensíveis. Critérios objetivos ajudam a identificar essas falhas antes que elas afetem pacientes, profissionais e a reputação da clínica.

As regras que se aplicam ao prontuário eletrônico

Dados de saúde são dados pessoais sensíveis, conforme o artigo 5º da Lei 13.709 de 2018, e por isso exigem controles mais rigorosos do que uma agenda com nomes e telefones. A clínica deve mapear cada operação porque coleta, consulta, alteração, transmissão, arquivamento e exclusão constituem tratamento de dados.

A LGPD disciplina as finalidades e a segurança do tratamento, enquanto as normas do Conselho Federal de Medicina orientam a elaboração, a guarda, o manuseio e a disponibilidade do prontuário. A Lei 13.787 de 2018 também regula a digitalização e o uso de sistemas informatizados para guardar prontuários.

A Resolução CFM 1.821 de 2007 reconhece sistemas informatizados e estabelece requisitos para digitalização, enquanto a Resolução CFM 2.314 de 2022 reforça deveres relacionados aos documentos médicos. Embora a tecnologia mude, a clínica continua responsável pela confidencialidade e pela disponibilidade das informações.

O paciente é titular dos dados, mas a instituição ou o médico mantém a guarda do prontuário. Isso significa que o paciente pode acessar as informações e solicitar cópias, enquanto o responsável pela guarda precisa preservar a integridade do documento e impedir alterações indevidas.

Base legal não significa consentimento para tudo

A clínica precisa identificar uma hipótese do artigo 11 da LGPD antes de tratar dados de saúde, mas nem toda atividade depende de consentimento. A tutela da saúde permite o tratamento por profissionais, serviços de saúde ou autoridades sanitárias quando a finalidade realmente se relaciona à assistência.

A clínica também pode tratar dados para cumprir obrigação legal ou regulatória, exercer direitos em processos e proteger a vida do titular. Contudo, uma hipótese válida para atendimento médico não autoriza automaticamente publicidade, formação de perfis comerciais ou envio indiscriminado a parceiros.

O consentimento precisa ser específico e destacado quando a clínica o utiliza, pois uma autorização genérica inserida na ficha cadastral não legitima qualquer uso futuro. Além disso, o titular pode revogar o consentimento, embora a revogação não elimine deveres legais de guarda.

Finalidade e minimização

A recepção pode confirmar dados cadastrais, mas não precisa visualizar anotações clínicas completas. Da mesma forma, o setor financeiro pode acessar valores e situação de pagamento, embora normalmente não necessite consultar diagnóstico, prescrição ou evolução médica.

Uma clínica com 12 colaboradores, por exemplo, pode criar perfis separados para médicos, enfermagem, recepção, faturamento e administração. Cada perfil deve exibir somente os campos necessários, o que reduz a exposição causada por curiosidade, erro ou credencial comprometida.

Armazenamento seguro e disponibilidade do prontuário

Um prontuário eletrônico seguro preserva confidencialidade, integridade, autenticidade e disponibilidade. A clínica precisa conseguir demonstrar quem registrou uma informação, quando ocorreu a alteração e se o conteúdo permaneceu íntegro depois do atendimento.

O banco de dados deve usar criptografia em repouso, enquanto a comunicação entre navegador, aplicativo e servidor deve utilizar conexão criptografada. A criptografia, porém, não corrige permissões excessivas, porque um usuário autorizado ainda pode consultar informações além de sua função.

Backup e continuidade do atendimento

A clínica deve aplicar a estratégia 3, 2, 1 sempre que a estrutura permitir: manter 3 cópias dos dados, usar 2 tipos de mídia ou ambientes e conservar 1 cópia fora do ambiente principal. Entretanto, a existência de três cópias não comprova recuperação, pois arquivos corrompidos também podem entrar no backup.

Um teste trimestral pode restaurar uma amostra de prontuários em ambiente isolado, enquanto um teste anual pode simular a recuperação completa do sistema. A clínica deve registrar o tempo de recuperação porque uma indisponibilidade de 8 horas pode comprometer consultas, prescrições e decisões clínicas.

• Automatizar as cópias e monitorar falhas diariamente.
• Separar as credenciais do backup das credenciais usadas no sistema principal.
• Criptografar as cópias antes de enviá-las para outro ambiente.
• Definir um tempo máximo aceitável para retomar o atendimento.
• Documentar cada teste de restauração e corrigir os erros encontrados.

Computação em nuvem e fornecedores

A nuvem pode oferecer redundância e escalabilidade, mas a clínica continua responsável pelas decisões sobre os dados. Por isso, o contrato deve especificar medidas de segurança, disponibilidade, suporte, exclusão, devolução da base e comunicação de incidentes.

A clínica também deve saber onde o fornecedor armazena os dados, quais suboperadores utiliza e como realiza transferências internacionais. Se houver envio para outro país, a operação deve cumprir os artigos 33 a 36 da LGPD e as regras da ANPD sobre transferência internacional.

A certificação de um Sistema de Registro Eletrônico de Saúde, conhecida como S-RES, ajuda a avaliar requisitos técnicos, enquanto o nível de garantia de segurança NGS2 sustenta operações sem papel nos termos aplicáveis da Resolução CFM 1.821 de 2007. Contudo, certificação e NGS2 não substituem governança, treinamento ou análise contratual.

Acesso por perfil e rastreabilidade

Cada profissional deve usar uma conta individual, porque a senha compartilhada impede a atribuição confiável de uma consulta ou alteração. Quando cinco médicos usam o mesmo usuário, o registro indica apenas a conta coletiva e não identifica quem abriu o prontuário.

A autenticação em 2 fatores reduz acessos indevidos porque exige uma segunda verificação além da senha. A clínica pode combinar senha com aplicativo autenticador ou chave física, enquanto códigos por mensagem podem permanecer como alternativa quando o sistema não aceita métodos mais resistentes.

O sistema deve bloquear sessões inativas, limitar tentativas de entrada e revogar acessos assim que um profissional encerra o vínculo. Além disso, revisões a cada 90 dias ajudam a localizar contas esquecidas, perfis incompatíveis e permissões temporárias que nunca foram removidas.

O que o registro de atividades deve mostrar

O registro de atividades deve identificar usuário, data, horário, prontuário consultado, operação realizada e origem do acesso. A trilha de auditoria precisa registrar leitura, inclusão, alteração, impressão e exportação, pois o vazamento pode ocorrer sem modificação do conteúdo.

A clínica deve proteger os registros contra edição pelo próprio usuário monitorado, enquanto a equipe responsável precisa analisar alertas de comportamento anormal. Um acesso a 150 prontuários durante a madrugada, por exemplo, merece apuração mesmo que a credencial pertença a um funcionário ativo.

Compartilhamento dentro e fora da clínica

A clínica deve compartilhar somente os dados necessários para uma finalidade legítima, mesmo quando o destinatário também atua na área da saúde. Encaminhar todo o prontuário quando um laudo específico basta contraria o princípio da necessidade previsto na LGPD.

O compartilhamento entre profissionais envolvidos no cuidado pode apoiar a tutela da saúde, desde que a clínica confirme a identidade do destinatário e use um canal seguro. Já o envio para seguradoras, empregadores, familiares, pesquisadores ou parceiros exige análise específica da finalidade e da base legal.

Entrega ao paciente e representantes

O paciente pode solicitar acesso ao prontuário e receber uma cópia, enquanto a clínica deve confirmar a identidade para evitar entrega à pessoa errada. Se um representante apresentar o pedido, a equipe precisa validar a procuração ou o documento que demonstra a representação.

Em prontuários que contenham dados de outra pessoa, a clínica deve avaliar a separação das informações antes de entregar a cópia. Em pediatria e situações de incapacidade, a análise também precisa considerar representação legal, melhor interesse e eventual risco concreto ao paciente.

Canais adequados para transmissão

Portais autenticados, arquivos criptografados e integrações com controle de acesso oferecem mais proteção do que anexos enviados sem senha. Se a clínica usar correio eletrônico, deve confirmar o endereço, proteger o arquivo e comunicar a senha por canal separado.

Aplicativos de mensagens exigem cautela porque sincronização automática, cópias em nuvem e aparelhos pessoais ampliam a exposição. Quando a urgência justificar o canal disponível, a equipe deve limitar o conteúdo, confirmar o destinatário e registrar o compartilhamento no prontuário.

Prazo de guarda e descarte seguro

A Lei 13.787 de 2018 estabelece guarda mínima de 20 anos após o último registro, mas esse prazo não autoriza uma exclusão automática no dia seguinte ao vencimento. A instituição deve realizar avaliação documental e considerar obrigações assistenciais, regulatórias, probatórias e históricas.

A retenção mínima de 20 anos conta a partir do último registro, e não da primeira consulta ou da data de nascimento do paciente. Se o paciente retornar após 6 anos e receber nova anotação, a contagem recomeça a partir desse registro mais recente.

O descarte deve impedir a reconstrução das informações, enquanto a clínica precisa registrar o procedimento, a data, os critérios e os responsáveis. Para arquivos digitais, apagar um atalho ou formatar rapidamente um disco não garante eliminação, pois ferramentas técnicas podem recuperar os dados.

A política de retenção deve abranger banco de dados, documentos digitalizados, imagens, cópias locais, backups e arquivos exportados. Além disso, a troca de sistema exige planejamento porque a clínica deve migrar o histórico, preservar a trilha de auditoria e validar a leitura dos documentos antigos.

Incidentes e prazo de comunicação

O controlador deve comunicar à ANPD e aos titulares um incidente capaz de causar risco ou dano relevante, conforme a LGPD e a Resolução CD ANPD 15 de 2024. A regra geral adota o prazo de 3 dias úteis, contado do conhecimento de que o incidente afetou dados pessoais.

A comunicação não substitui a contenção, pois a equipe deve bloquear credenciais, preservar evidências e limitar a exposição assim que detectar o evento. Entretanto, apagar registros de acesso durante a correção prejudica a investigação e pode impedir a identificação dos titulares afetados.

1. Confirmar o incidente e acionar os responsáveis internos.
2. Conter o acesso indevido sem destruir registros técnicos.
3. Identificar sistemas, categorias de dados e pessoas afetadas.
4. Avaliar o risco de fraude, discriminação, exposição médica ou dano reputacional.
5. Documentar a decisão de comunicar ou não comunicar.
6. Corrigir a causa e acompanhar novas tentativas de acesso.

A clínica deve definir previamente quem fala com o fornecedor, a assessoria jurídica, o encarregado e a direção. Um plano testado economiza horas críticas, enquanto improvisar contatos depois de um ataque costuma atrasar a contenção.

Um processo sancionador relacionado a dados de pacientes demonstra que falhas de segurança podem gerar fiscalização e medidas administrativas. O caso pode ser consultado no conteúdo sobre o processo sancionador da ANPD após incidente com dados de pacientes.

A LGPD permite multa de até 2% do faturamento no Brasil, limitada a R$ 50 milhões por infração, além de advertência, publicização, bloqueio e eliminação de dados. Contudo, clínicas também enfrentam interrupção do atendimento, apuração ética, custos técnicos e perda de confiança.

Erros que expõem prontuários

Senhas compartilhadas eliminam a rastreabilidade individual, enquanto contas de ex-funcionários mantêm portas abertas sem necessidade. Esses erros aparecem com frequência porque a clínica configura o sistema no início da operação, mas não revisa os acessos após mudanças na equipe.

• Usar uma única conta para toda a recepção ou para vários médicos.
• Enviar o prontuário completo quando apenas um exame atende à solicitação.
• Guardar cópias em computadores pessoais e serviços gratuitos de nuvem.
• Manter telas abertas em balcões visíveis a pacientes e fornecedores.
• Contratar software sem cláusulas sobre incidente, portabilidade e exclusão.
• Produzir backups diariamente, mas nunca testar a restauração.
• Excluir registros clínicos para atender a um pedido sem avaliar a obrigação de guarda.
• Tratar o consentimento como autorização ampla para qualquer finalidade.

A tela da recepção deve ocultar informações clínicas sempre que alguém puder observá-la, enquanto impressões precisam permanecer em locais controlados. Uma película de privacidade ajuda, mas o posicionamento do monitor e o bloqueio automático oferecem proteção adicional.

Programa de adequação para clínicas e consultórios

A adequação começa pelo inventário dos dados e termina em um ciclo contínuo de verificação. Uma planilha inicial pode mapear sistema, finalidade, base legal, usuários, destinatários, prazo de retenção e fornecedor, embora clínicas maiores possam usar ferramentas específicas de governança.

1. Mapear os dados desde o cadastro até o descarte.
2. Classificar os acessos conforme função e necessidade clínica.
3. Revisar contratos com software, nuvem, laboratório e faturamento.
4. Ativar autenticação em 2 fatores e registros de atividades.
5. Testar backups, restauração e continuidade do atendimento.
6. Criar um procedimento para pedidos de pacientes e representantes.
7. Treinar a equipe com exemplos reais de envio, impressão e acesso.
8. Simular um incidente e medir o tempo de resposta.

Uma clínica pequena pode concluir a revisão inicial em 30 a 60 dias, desde que nomeie responsáveis e obtenha cooperação do fornecedor do sistema. Entretanto, correções técnicas, migração de dados e renegociação contratual podem exigir um período maior.

O treinamento deve usar situações concretas, porque orientações genéricas raramente mudam hábitos. Um exercício pode apresentar dois pacientes com nomes semelhantes e pedir que a recepção confirme identificadores antes de enviar um documento.

A direção deve revisar indicadores pelo menos a cada 90 dias, incluindo contas inativas, falhas de backup, acessos fora do horário e pedidos pendentes. O prontuário eletrônico LGPD exige evidências de controle, pois políticas sem registros, testes ou responsáveis não demonstram execução.

Perguntas frequentes sobre prontuário eletrônico e LGPD