Prontuário eletrônico: aspectos legais e regras atuais
O prontuário eletrônico é permitido no Brasil, mas sua adoção não elimina as responsabilidades do médico ou da instituição sobre qualidade do registro, guarda, sigilo, acesso do paciente e proteção das informações.
Também é importante diferenciar duas situações: criar registros originalmente em formato eletrônico e digitalizar documentos que já existiam em papel. Um prontuário pode nascer digital; não é necessário criar uma versão física para depois digitalizá-la. Já a conversão de documentos físicos existentes precisa seguir requisitos específicos.
As principais referências para entender essas obrigações são o Código de Ética Médica, as Resoluções CFM nº 1.638/2002 e nº 1.821/2007, a Lei nº 13.787/2018 e a Lei Geral de Proteção de Dados Pessoais (LGPD).
O que é prontuário e por que ele tem valor jurídico?
A Resolução CFM nº 1.638/2002 define o prontuário como um documento único formado pelas informações, sinais e imagens produzidos a partir da saúde do paciente e da assistência prestada. Ele possui caráter legal, sigiloso e científico e também permite a comunicação entre os integrantes da equipe assistencial.
O Código de Ética Médica estabelece que o médico deve elaborar um prontuário legível para cada paciente. Os registros necessários à condução do caso devem ser feitos em ordem cronológica e conter data, hora, identificação e registro do médico.
Portanto, trocar o papel por uma plataforma não muda a obrigação de registrar adequadamente a assistência. A tecnologia altera o suporte e os mecanismos de segurança, não a responsabilidade profissional sobre o conteúdo.
É legal manter o prontuário somente em formato eletrônico?
Sim, desde que sejam atendidos os requisitos aplicáveis ao sistema e ao processo utilizado.
A Resolução CFM nº 1.821/2007 autoriza sistemas informatizados para guarda e manuseio de prontuários e permite eliminar a obrigatoriedade do registro em papel quando o sistema atende integralmente aos requisitos do Nível de Garantia de Segurança 2 (NGS2) previstos no Manual de Certificação para Sistemas de Registro Eletrônico em Saúde.
A mesma resolução não autoriza a eliminação do papel quando forem atendidos somente os requisitos do antigo NGS1.
Isso não significa que qualquer arquivo eletrônico ou documento PDF seja, por si só, equivalente a um sistema de prontuário que atende ao NGS2. É necessário avaliar o conjunto de requisitos de segurança, autenticação, integridade e funcionamento aplicáveis ao S-RES.
O que significa NGS2?
NGS2 é um conjunto de requisitos de segurança aplicável aos Sistemas de Registro Eletrônico de Saúde. Ele incorpora requisitos relacionados à proteção da informação e acrescenta mecanismos necessários para processos que dispensam o registro em papel.
Entre os elementos associados ao NGS2 está o uso de assinatura digital dentro dos padrões técnicos e jurídicos aplicáveis. Por isso, não basta instalar um aplicativo genérico de assinatura e concluir que todo o sistema passou a atender à norma.
A Sociedade Brasileira de Informática em Saúde mantém atualmente documentação do processo de certificação de S-RES, incluindo requisitos específicos para prontuário eletrônico de consultórios, clínicas e outros contextos.
Há ainda uma distinção relevante: o artigo da Resolução CFM nº 1.821/2007 que previa um selo de qualidade expedido conjuntamente pelo CFM e pela SBIS foi revogado em 2018. Assim, a conformidade com os requisitos técnicos e a existência de uma certificação vigente não devem ser tratadas como conceitos idênticos.
Como funciona a digitalização de prontuários em papel?
A Lei nº 13.787/2018 determina que a digitalização seja realizada de modo a assegurar integridade, autenticidade e confidencialidade do documento digital.
O processo deve reproduzir todas as informações existentes nos documentos originais e utilizar certificado digital emitido no âmbito da Infraestrutura de Chaves Públicas Brasileira (ICP-Brasil) ou outro padrão legalmente aceito, observados os demais requisitos aplicáveis.
A lei também determina que os documentos digitalizados sejam armazenados de forma protegida contra acesso, uso, alteração, reprodução ou destruição não autorizados.
Portanto, digitalizar prontuários não significa apenas escanear folhas e armazená-las em uma pasta. Quando há intenção de substituir os originais pelo acervo digital, o processo precisa observar os requisitos legais de digitalização, gestão documental e eliminação.
Quando o prontuário em papel pode ser destruído?
Há duas situações que não devem ser confundidas.
Quando documentos físicos são digitalizados para substituir os originais, a Lei nº 13.787/2018 condiciona a destruição à digitalização conforme os requisitos legais e à análise da comissão competente de revisão de prontuários e avaliação de documentos. Documentos reconhecidos como de valor histórico devem ser preservados.
Além disso, a lei estabelece prazo mínimo de 20 anos a partir do último registro antes de permitir a eliminação de prontuários em papel ou digitalizados. A eliminação não é automática: a intimidade, o sigilo e a confidencialidade precisam ser preservados, e a destinação final deve ser registrada conforme a regulamentação aplicável.
Antes de descartar um acervo, portanto, a instituição deve avaliar a situação documental concreta e eventuais obrigações legais, administrativas, judiciais ou arquivísticas que possam exigir preservação adicional.
Quem é responsável pela guarda do prontuário?
O Código de Ética Médica estabelece que o prontuário fica sob a guarda do médico ou da instituição que presta assistência ao paciente.
Isso não significa que o responsável pela guarda possa utilizar livremente as informações. O prontuário reúne dados protegidos pelo sigilo profissional e por regras de proteção de dados.
O paciente também possui direito de acesso. O Código de Ética Médica veda negar ao paciente ou, na sua impossibilidade, ao representante legal, acesso ao prontuário e cópia quando solicitada, ressalvadas as situações excepcionais previstas na própria norma.
LGPD: dados do prontuário são dados pessoais sensíveis
A LGPD classifica informações referentes à saúde como dados pessoais sensíveis. Isso exige atenção reforçada à finalidade do tratamento, aos acessos concedidos, ao compartilhamento e às medidas de segurança.
É impreciso afirmar que todo tratamento de dados do prontuário depende necessariamente do consentimento do paciente. A LGPD prevê diferentes bases legais para dados sensíveis e inclui, entre elas, hipóteses relacionadas à tutela da saúde, ao cumprimento de obrigações legais ou regulatórias e ao exercício regular de direitos, conforme o caso.
Ao mesmo tempo, essas bases legais não afastam o sigilo profissional nem autorizam o compartilhamento indiscriminado do prontuário.
Na prática, clínicas e consultórios precisam avaliar quem pode acessar cada informação, com qual finalidade, como os acessos são controlados, como incidentes são tratados e quais dados realmente precisam ser coletados.
O paciente pode receber uma cópia do prontuário eletrônico?
Sim. O formato eletrônico não elimina o direito de acesso do paciente às informações de seu prontuário.
Além do Código de Ética Médica, que assegura acesso e fornecimento de cópia nas condições aplicáveis, a regulamentação da telemedicina prevê expressamente o direito do paciente ou de seu representante legal de solicitar e receber cópia dos dados do registro em mídia digital ou impressa.
A clínica deve ter um processo seguro para conferir legitimidade da solicitação, preparar a cópia e realizar a entrega sem expor informações a terceiros não autorizados.
Telemedicina tem uma regra específica para o prontuário eletrônico
Nos atendimentos por telemedicina, a Resolução CFM nº 2.314/2022 contém requisitos específicos.
O atendimento deve ser registrado em prontuário e, quando utilizado um Sistema de Registro Eletrônico de Saúde, o SRES deve atender integralmente aos requisitos do NGS2, no padrão ICP-Brasil ou outro padrão legalmente aceito.
A norma também exige que o sistema possibilite captura, armazenamento, apresentação, transmissão e impressão das informações, além de tratar de interoperabilidade, confidencialidade, integridade e responsabilidade pela guarda dos dados.
Quando uma empresa ou instituição participa do atendimento, a guarda envolve também o diretor ou responsável técnico. Em serviços terceirizados de arquivamento, a resolução prevê compartilhamento contratual da responsabilidade entre o médico e a contratada.
Todo prontuário eletrônico precisa ser certificado?
A pergunta exige uma distinção entre requisitos de conformidade e certificação do produto.
O CFM mantém a exigência de atendimento integral ao NGS2 nas situações previstas em sua regulamentação, como a eliminação da obrigatoriedade do papel e o SRES utilizado em telemedicina.
Por outro lado, o antigo dispositivo que determinava a expedição de um selo conjunto CFM/SBIS foi revogado pela Resolução CFM nº 2.218/2018.
A SBIS continua mantendo um processo de Certificação S-RES, com listas públicas de requisitos e de sistemas certificados. Essa certificação pode ser um elemento relevante na avaliação técnica, mas a clínica não deve reduzir toda a análise regulatória à presença ou ausência de um selo.
O que avaliar antes de escolher um prontuário eletrônico?
A escolha deve considerar tanto a rotina clínica quanto os requisitos de segurança e documentação aplicáveis.
- controle de acesso: diferentes usuários devem receber apenas as permissões compatíveis com suas funções;
- identificação e rastreabilidade: o sistema deve permitir identificar registros, responsáveis e alterações de acordo com os requisitos aplicáveis;
- integridade das informações: registros clínicos não podem ficar sujeitos a alterações não controladas;
- exportação e acesso: é importante entender como o prontuário pode ser fornecido ao paciente ou recuperado em caso de troca de fornecedor;
- continuidade e guarda: a clínica precisa compreender políticas de armazenamento, disponibilidade, cópias de segurança e encerramento contratual;
- LGPD e segurança da informação: responsabilidades do fornecedor e da clínica devem estar claras, inclusive para incidentes e acessos;
- NGS2: quando aplicável, é necessário verificar efetivamente a aderência aos requisitos correspondentes, e não apenas aceitar uma afirmação comercial genérica.
Prontuário eletrônico não elimina a responsabilidade profissional
A legislação brasileira admite o prontuário eletrônico e estabelece mecanismos para que registros digitais tenham segurança e valor jurídico. Mas a tecnologia não transfere integralmente para o software as responsabilidades do médico, da clínica ou do responsável técnico.
Qualidade do registro, sigilo, guarda, acesso do paciente e proteção dos dados continuam sendo partes da rotina assistencial.
O iMedicina reúne conteúdos e recursos relacionados a prontuário eletrônico e gestão da rotina médica. Antes de adotar qualquer sistema em um cenário que exija requisitos regulatórios específicos, confirme com o fornecedor as características técnicas, certificações vigentes e condições aplicáveis à sua operação.
