Prontuário eletrônico e LGPD: o que sua clínica precisa

Resposta curta, para quem tem cinco minutos: não existe certificado de LGPD emitido pela ANPD, o prontuário precisa ser guardado por no mínimo 20 anos a contar do último registro, o papel pode ser eliminado depois de digitalizado desde que a clínica cumpra as condições da Lei 13.787/2018, e você não depende do consentimento do paciente para manter o prontuário, porque a base legal aqui é a tutela da saúde.

O que protege a clínica de verdade não é um selo na parede. É conseguir demonstrar rotina: quem acessa o quê, onde os dados estão, quem é o fornecedor e o que o contrato com ele diz, se o backup foi testado alguma vez e o que a clínica fez quando algo deu errado. Este texto organiza essas decisões na ordem em que um gestor consegue executar na segunda de manhã.

LGPD na clínica, traduzida para a rotina do consultório

Olhe em volta agora. Ficha de papel na gaveta com o nome do paciente na etiqueta, tomografia gravada em pendrive dentro do balcão, resultado de exame saindo pelo WhatsApp da recepção, e a mesma senha usada por três pessoas no computador da frente. Nenhuma dessas cenas é rara. Todas são tratamento de dados pessoais sensíveis.

A LGPD (Lei 13.709/2018) classifica dado de saúde como dado pessoal sensível no art. 5º, inciso II, e reserva o art. 11 para o regime especial desse tipo de dado. Prontuário, evolução clínica, laudo, radiografia, tomografia, modelo 3D de escaneamento intraoral e até a informação de que fulano tem consulta marcada com determinado especialista entram nessa categoria. O agendamento já é dado sensível, porque revela a condição de saúde por dedução.

Aqui aparece a diferença que muita clínica não faz. Sigilo profissional é obrigação do médico e do dentista, prevista no Código de Ética Médica (Resolução CFM 2.217/2018) e no Código de Ética Odontológica do CFO, e recai sobre a pessoa do profissional. Proteção de dados é obrigação da organização e alcança quem nunca fez juramento nenhum: a recepcionista, o auxiliar, o estagiário, a empresa de contabilidade, o laboratório parceiro e o software que hospeda tudo. Um profissional impecável no sigilo pode estar em uma clínica irregular na LGPD.

Repare também em quem responde pelo quê. A clínica é controladora: decide por que e como os dados são tratados. O software de gestão, o laboratório terceirizado, o contador e o serviço de nuvem são operadores: tratam dados por conta da clínica. Isso não significa que o controlador leva a culpa sozinho, mas significa que a decisão (e a explicação para o paciente e para a ANPD) começa sempre na clínica. E, para encerrar uma confusão comum: HIPAA é norma dos Estados Unidos e não vale aqui. Fornecedor que vende HIPAA como argumento de adequação brasileira está falando de outra coisa.

Você precisa de consentimento para guardar o prontuário? Quase nunca

O erro mais caro em adequação de clínica é achar que tudo se resolve com um termo de consentimento assinado na recepção. Consentimento é apenas uma das bases legais da LGPD, e em saúde raramente é a principal.

Para o atendimento e para a guarda do prontuário, a base legal é a tutela da saúde, prevista no art. 11, inciso II, alínea f, combinada com o cumprimento de obrigação legal e regulatória (a norma do conselho que manda guardar o prontuário). Ou seja: você registra e mantém o prontuário porque a lei e o conselho exigem, não porque o paciente autorizou.

Consentimento é necessário em outras situações, e essas quase sempre passam batido:

• Envio de campanha de marketing, mensagem promocional e newsletter.
• Uso de foto clínica, antes e depois, radiografia ou vídeo em rede social e material publicitário.
• Compartilhamento de dado com terceiro fora do cuidado (parceiro comercial, pesquisa não assistencial).
• Programas de indicação e sorteio que usem a base de pacientes.

Uma consequência prática que resolve discussão no balcão: o paciente pode pedir a eliminação dos seus dados (art. 18), mas esse direito não derruba obrigação legal de guarda. O art. 16 da LGPD prevê a conservação do dado para cumprimento de obrigação legal ou regulatória. Você não apaga o prontuário de um paciente que pediu, dentro do prazo de guarda. Você explica isso por escrito, e para o marketing você para de mandar mensagem no mesmo dia.

O que a clínica precisa ter, sim, é um aviso de privacidade curto, em linguagem de gente, afixado na recepção e publicado no site: quais dados são coletados, para quê, com quem são compartilhados, por quanto tempo ficam guardados e como falar com a clínica sobre isso. Uma página. Não precisa de contrato de dez laudas assinado por cada paciente.

Quem pode ver o quê dentro da clínica

O princípio da necessidade tem uma tradução simples: cada pessoa acessa só o que precisa para fazer o trabalho dela. Isso não é desconfiança da equipe, é redução do estrago quando uma senha vaza ou um computador fica logado.

A recepção precisa de agenda, cadastro, contato e situação financeira do paciente. Não precisa da evolução clínica nem do laudo. O auxiliar precisa dos dados do procedimento do dia. O profissional assistente precisa do histórico completo dos pacientes que ele atende. O gestor precisa de faturamento, produção e indicadores, geralmente agregados, e não do conteúdo clínico. E o profissional solicitante externo precisa apenas do exame daquele paciente que ele pediu, entregue por área restrita, não do prontuário inteiro.

Três erros de rotina derrubam qualquer matriz bonita no papel:

1. Login único na recepção. Se três pessoas usam a mesma conta, a trilha de auditoria vira ficção e ninguém responde por nada. Um usuário por pessoa, sempre.
2. Computador logado e sem bloqueio de tela. Configure bloqueio automático em 5 minutos nas máquinas da área de circulação.
3. Quem saiu continua entrando. Acesso de antigo colaborador ativo meses depois é achado clássico em qualquer auditoria.

Monte um checklist de desligamento com três linhas: revogar o acesso no mesmo dia da saída, trocar toda senha que era compartilhada e registrar por escrito a data e o responsável pela revogação. Some a isso um termo de confidencialidade assinado por toda a equipe, inclusive estagiário, terceirizado e profissional que atende em horários específicos.

Por fim, a trilha de auditoria. Saber quem abriu qual prontuário, em que dia e a que hora, é o registro que resolve uma reclamação de paciente ou uma acusação interna. Sem log, a clínica só tem a palavra de uma pessoa contra a de outra.

Ficha de papel, pendrive e a gaveta que ninguém abre

O diagnóstico honesto do consultório médio: arquivo morto no fundo da sala, pastas com o nome completo do paciente na etiqueta visível, e uma gaveta com CDs e pendrives de tomografia sem identificação clara. Ninguém sabe direito o que tem ali dentro.

Mídia removível é o pior lugar possível para exame. Não tem registro de acesso, não tem backup, geralmente não tem criptografia, cabe no bolso de qualquer pessoa e some sem deixar rastro. Se um pendrive com dez tomografias desaparece, a clínica sequer consegue dizer de quais pacientes eram.

A transição funciona melhor em duas frentes combinadas: digitalizar do mais recente para o mais antigo (o passado distante quase nunca é consultado) e digitalizar sob demanda, sempre que um paciente antigo retorna. Enquanto o papel existir, armário trancado, sala com controle de quem entra e nada de ficha aberta em cima do balcão. Papel que sai de circulação vai para fragmentadora, nunca para o lixo comum, e com registro do que foi eliminado, quando e por quem.

Para imagem, o caminho é substituir mídia física por armazenamento com controle de acesso e compartilhamento rastreável. É exatamente o papel de um sistema de radiologia PACS com integração RIS: o exame em DICOM fica no repositório, o solicitante entra em área restrita e vê apenas o estudo daquele paciente, e cada abertura fica registrada. Vale para tomografia, para radiografias odontológicas e para arquivos STL de scanner intraoral, que hoje viajam por WhatsApp com uma naturalidade preocupante. Se a clínica recebe imagem direto do equipamento, vale conferir como funciona a integração com tomógrafos antes de continuar gravando mídia.

Por quanto tempo guardar (e quando o papel pode ir embora)

O prazo que vale para o prontuário do paciente é de no mínimo 20 anos a contar do último registro. Ele aparece na Resolução CFM 1.821/2007 e foi confirmado pela Lei 13.787/2018, que estabelece que, decorrido esse prazo, o prontuário em papel e o digitalizado podem ser eliminados.

Na odontologia, o Código de Ética Odontológica do CFO obriga a elaborar e manter o prontuário, e a Lei 13.787/2018 fala em prontuário de paciente de forma geral, o que abrange o consultório odontológico. Na prática, a orientação sensata é adotar os mesmos 20 anos e cruzar com os prazos prescricionais aplicáveis à responsabilidade civil e às relações de consumo. Antes de eliminar qualquer coisa, confirme com o seu CRO ou CRM e com o jurídico da clínica, porque quem elimina cedo demais fica sem prova.

Sobre a eliminação do papel, a Lei 13.787/2018 não diz apenas que pode. Ela impõe condições: o método de digitalização precisa garantir integridade, autenticidade e confidencialidade do documento, e a eliminação do original deve passar por análise de comissão permanente de avaliação de documentos, preservando o que tiver valor histórico. Não é escanear no aparelho da recepção, salvar em uma pasta e jogar a pasta física fora na sexta.

É nesse ponto que entra a certificação SBIS/CFM de sistemas de registro eletrônico em saúde (S-RES), com os níveis de garantia de segurança NGS1 e NGS2. É o selo que o setor usa como referência para prontuário eletrônico e, especialmente, para a eliminação do papel. Duas observações importantes: o selo é do software, não da clínica, e ele não substitui a rotina interna descrita acima. Se a eliminação de papel em massa está no seu plano, converse com o seu conselho e verifique o nível de certificação do sistema que você usa antes de assinar qualquer termo de eliminação.

Situações que mudam o relógio: paciente menor de idade (o prazo prescricional para reclamar não corre normalmente contra o incapaz), paciente falecido e prontuário envolvido em processo judicial ou sindicância de conselho. Nesses casos, a regra é simples: não elimine nada e pergunte antes.

E, passado o prazo, elimine mesmo. Guardar tudo para sempre por via das dúvidas é o oposto do princípio da necessidade: aumenta o volume de dado sensível exposto sem trazer benefício nenhum.

Backup não é opcional: é parte da LGPD

O art. 46 da LGPD manda adotar medidas de segurança aptas a proteger os dados de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda e alteração. Leia de novo: perder o prontuário também é falha de proteção de dados. Não é só vazamento.

Os cenários são conhecidos por quem já passou por eles. O disco do computador da recepção queima na quinta à noite. Um ransomware criptografa a pasta compartilhada e pede resgate. O notebook do consultório é levado no assalto do estacionamento. Em qualquer um dos três, a pergunta é a mesma: quanto tempo de informação a clínica perde?

A regra 3 2 1 traduzida para clínica: pelo menos três cópias dos dados, em dois tipos de lugar diferentes, e uma delas fora do consultório. Backup que mora no mesmo prédio que o servidor não protege contra incêndio, roubo nem ransomware que se espalha pela rede local.

E backup que ninguém testa não é backup, é esperança. Marque uma restauração de teste por semestre, com data no calendário, e registre o resultado por escrito: o que foi restaurado, quanto tempo levou e se o arquivo abriu. Esse registro de duas linhas é uma das provas mais fortes de adequação que uma clínica pequena consegue produzir.

Servidor próprio na recepção contra nuvem é a decisão seguinte. Não é ideologia, é operação: quem aplica atualização de segurança, quem confere se o backup rodou, quem atende às 22h de sexta quando o disco falha. Se as três respostas forem "a gente vê depois", o servidor local é um risco assumido sem controle. Nos dois modelos, exija criptografia em trânsito (HTTPS/TLS) e senhas armazenadas apenas em hash. Use essas palavras exatas quando perguntar ao fornecedor.

Sinais claros de risco: planilha do financeiro com nome de paciente circulando em email pessoal, backup manual que depende de alguém lembrar de plugar o HD, e arquivos de exame em pasta do computador sem nenhuma cópia.

Vazou. E agora?

Incidente de segurança, na rotina real, quase nunca tem cara de filme. É o resultado de exame enviado ao paciente errado. É o celular da clínica esquecido no táxi com o WhatsApp da recepção aberto. É a planilha de pacientes compartilhada por engano com quem não deveria. É o antigo colaborador que ainda entra no sistema.

A LGPD determina que o controlador comunique à ANPD e aos titulares afetados a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante. A regulamentação da ANPD sobre comunicação de incidentes fixa prazo curto contado da ciência do fato, na casa de poucos dias úteis, e define o conteúdo mínimo da comunicação. Antes de qualquer incidente acontecer, confira o texto vigente da resolução no site da ANPD e deixe o formulário e o prazo anotados no seu procedimento interno. Descobrir isso no dia do problema é tarde.

Um plano de resposta cabe em cinco passos e em uma folha:

1. Conter. Revogar acesso, trocar senha, tirar o equipamento da rede, suspender o compartilhamento.
2. Registrar. Data, hora, quem detectou, o que aconteceu, quais dados e quantos titulares estão envolvidos.
3. Avaliar o risco. Dado sensível de saúde eleva a gravidade quase sempre.
4. Comunicar. ANPD e titulares afetados, dentro do prazo, mais o fornecedor envolvido.
5. Corrigir. Mudar o processo que permitiu o erro e anotar a mudança.

O registro interno é o que vira defesa. A LGPD traz a responsabilização e a prestação de contas como princípio expresso: a clínica precisa ser capaz de demonstrar o que fez. Uma clínica que documenta o incidente, comunica e corrige está em posição muito diferente de uma que apagou o rastro.

Vale lembrar que controlador e operador podem responder de forma conjunta pelos danos. Por isso o contrato com o fornecedor precisa dizer, com prazo em horas, quem avisa quem quando um incidente ocorre do lado dele. Sem essa cláusula, você descobre pelo cliente.

O que perguntar ao fornecedor do seu software (checklist para copiar)

Copie esta lista e mande por email ao seu fornecedor. Peça resposta escrita. A resposta vira documento de adequação da sua clínica.

1. O tráfego entre o navegador e o sistema é criptografado com HTTPS/TLS?
2. As senhas dos usuários ficam armazenadas apenas em hash, sem possibilidade de leitura em texto?
3. Existe acesso por perfil de usuário, com permissões diferentes para recepção, auxiliar, profissional e gestor?
4. Há log de auditoria mostrando quem abriu cada prontuário e quando? Eu consigo consultar esse log sozinho?
5. Qual a frequência do backup, onde ele fica e como eu solicito um teste de restauração?
6. Em que país e em qual estrutura os dados ficam hospedados?
7. Quem, dentro da equipe do fornecedor, consegue visualizar dado de paciente? Em que situação e com que registro?
8. O contrato tem cláusula de tratamento de dados, definindo você como operador e a clínica como controladora?
9. Em quanto tempo vocês me comunicam um incidente de segurança e por qual canal?
10. Se eu encerrar o contrato, como exporto minha base completa, em qual formato e em quanto tempo?
11. O compartilhamento de exame com profissional solicitante é feito por área restrita com controle de acesso?
12. O sistema possui certificação SBIS/CFM (S-RES) e em qual nível, NGS1 ou NGS2?

Como ler as respostas: "somos alinhados à LGPD" é uma declaração, não uma prova. Peça o como. Bandeiras vermelhas: fornecedor que não sabe dizer onde os dados estão hospedados, que não oferece exportação da sua base, que trata log de acesso como recurso opcional, e sobretudo o que promete "certificação LGPD", porque isso não existe.

Do nosso lado, para você comparar com transparência: o Transfermed é 100% na nuvem, no ar desde 2011, com acesso por perfil de usuário, acesso separado para equipe e para paciente, tráfego criptografado HTTPS/TLS, senhas armazenadas apenas em hash, backup diário automático e alinhamento à LGPD, sem prometer certificação que não temos. No dia a dia, isso aparece como prontuário eletrônico em uma tela com histórico, evoluções e anexos, GED para os documentos e distribuição de exames por área restrita em vez de email e pendrive.

Duas perguntas extras se a clínica faz teleatendimento ou fatura convênio: verifique como o sistema atende à Resolução CFM 2.314/2022 em software de telemedicina, inclusive o registro da consulta no prontuário, e como os dados clínicos usados no faturamento TISS de convênios trafegam até a operadora.

Alinhamento à LGPD não é certificado: as 7 provas que a clínica precisa ter

Volto à tese central, porque ela economiza dinheiro e ansiedade: não existe selo oficial de LGPD, nem para clínica nem para software. Nenhuma consultoria emite algo com validade perante a ANPD. O que protege a clínica é conseguir demonstrar, em uma pasta, o que ela faz.

Sete itens formam o mínimo viável para um consultório:

• Aviso de privacidade ao paciente, na recepção e no site, em linguagem simples.
• Mapeamento dos dados: quais dados a clínica tem, onde estão (sistema, papel, planilha, celular) e por quanto tempo ficam.
• Matriz de acesso por perfil, como a tabela deste artigo, adaptada à sua equipe.
• Termo de confidencialidade assinado por todos, incluindo terceirizados e estagiários.
• Contratos com fornecedores (operadores) com cláusula de tratamento de dados e de comunicação de incidente.
• Rotina de backup testada, com o registro do último teste de restauração.
• Registro de incidentes, mesmo dos pequenos, com o que foi feito para corrigir.

Falta o encarregado pelo tratamento de dados, o DPO. Pode ser alguém da própria clínica, o gestor ou um sócio, e pode ser um profissional externo contratado. A ANPD prevê tratamento simplificado para agentes de pequeno porte, e clínicas pequenas costumam se enquadrar, mas em qualquer cenário é preciso divulgar um canal de contato para o titular. Um endereço de email publicado no aviso de privacidade resolve.

Coloque no calendário uma rotina trimestral de 30 minutos: abrir a lista de usuários ativos e desativar quem saiu, conferir se o backup rodou e restaurar um arquivo de teste, e olhar o que ainda está em papel para decidir o próximo lote a digitalizar. Três tarefas, quatro vezes por ano. É mais eficaz do que qualquer parecer jurídico guardado na gaveta.

Nenhuma clínica fica segura porque comprou um sistema. Ela fica segura quando combina sistema com rotina: menos papel, menos gaveta, menos pendrive, e um registro claro de quem viu o quê. O resto é conversa de fornecedor.

Perguntas frequentes

Por quanto tempo a clínica precisa guardar o prontuário do paciente?

O prazo mínimo é de 20 anos a contar do último registro no prontuário, conforme a Resolução CFM 1.821/2007 e a Lei 13.787/2018, que permite a eliminação depois de decorrido esse período. O prazo vale tanto para o prontuário em papel quanto para o digitalizado e o eletrônico, incluindo exames, imagens e laudos que fazem parte dele. Em casos de paciente menor de idade, falecido ou de prontuário envolvido em processo, não elimine nada e consulte o conselho e o jurídico antes.

Posso eliminar as fichas de papel depois de digitalizar o prontuário?

Sim, mas com condições. A Lei 13.787/2018 exige que o método de digitalização garanta integridade, autenticidade e confidencialidade do documento, e que a eliminação do original passe por análise de comissão permanente de avaliação de documentos, preservando o que tiver valor histórico. Na prática, o setor usa a certificação SBIS/CFM de sistemas S-RES, com níveis NGS1 e NGS2, como referência para esse processo, e o descarte deve ser feito em fragmentadora, com registro do que foi eliminado, quando e por quem.

A secretária ou recepcionista pode acessar o prontuário clínico do paciente?

Pelo princípio da necessidade da LGPD, não. A recepção precisa de agenda, cadastro, contato e situação financeira do paciente, e isso não inclui evolução clínica, laudo ou imagem. O ideal é que o software permita configurar perfis com essa separação, com um usuário individual por pessoa, nunca um login compartilhado, e com log de auditoria registrando quem abriu cada prontuário.

A clínica precisa do consentimento do paciente para guardar o prontuário eletrônico?

Não. A base legal aplicável é a tutela da saúde, prevista no art. 11, inciso II, alínea f da LGPD, somada ao cumprimento de obrigação legal e regulatória de guarda do prontuário. O consentimento é necessário em outras situações, como envio de marketing, uso de foto ou imagem clínica em redes sociais e compartilhamento de dados fora do contexto de cuidado.

Existe certificação de LGPD para software de clínica?

Não existe certificação ou selo de LGPD emitido pela ANPD, nem para clínicas nem para fornecedores de software. O que existe é a capacidade de demonstrar boas práticas: aviso de privacidade, matriz de acesso, contratos com operadores, backup testado e registro de incidentes. Para prontuário eletrônico existe a certificação SBIS/CFM de sistemas S-RES, mas ela é um selo do software e não substitui a rotina de adequação da clínica.

Se o sistema vazar dados de pacientes, quem responde: a clínica ou o fornecedor?

Os dois podem responder. A clínica é controladora, porque decide por que e como os dados são tratados, e o fornecedor é operador, porque trata os dados por conta dela, e a LGPD prevê responsabilização que pode alcançar ambos. Por isso o contrato precisa definir claramente as obrigações de segurança do fornecedor e em quanto tempo ele comunica um incidente à clínica, e a clínica precisa manter registro interno do que fez para conter, avaliar, comunicar e corrigir.