Prontuário médico e segurança de dados: por quanto tempo guardar, quem acessa e o que fazer num incidente

A maioria dos textos sobre segurança da informação na saúde termina no firewall e no treinamento contra phishing. As perguntas que chegam a quem dirige uma clínica são mais estreitas: por quanto tempo guardamos este prontuário? Quem o abriu na terça? Precisamos avisar que o notebook sumiu? E em quantos dias o paciente recebe a cópia?

Este guia responde às quatro para o Brasil. O prontuário médico, em papel ou digital, está sob a Lei 13.787/2018 (guarda, digitalização, armazenamento) e a LGPD (segurança, incidentes, direitos do titular). A HIPAA, nos EUA, entra como comparação, não como modelo.

A pegadinha: as regras acompanham o prontuário a vida toda. Um termo assinado em 2026 pode continuar sendo responsabilidade sua em 2046.

Para colher a assinatura do paciente à distância, há outro guia: como colher a assinatura dos formulários do paciente online. Na página da Chaindoc para saúde estão os documentos que as clínicas enviam por aqui.

Nos EUA, boa parte da segurança passa por um único regulamento, e os números acima mostram onde ele é testado: quatro em cada cinco violações grandes foram invasões ou incidentes de TI, quase sempre num servidor de rede. No Brasil as exigências se dividem entre dois textos que se completam, e para prontuários guardados perguntam o mesmo: quem chega ao servidor, você perceberia e conseguiria restaurá-lo?

O art. 46 da LGPD manda os agentes de tratamento adotarem medidas de segurança, técnicas e administrativas, aptas a proteger os dados de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado. Dado de saúde é dado sensível (art. 5º, II), e o § 1º permite à ANPD fixar padrões técnicos mínimos, em especial para esses dados. A Lei 13.787 diz o mesmo do prontuário: os meios de armazenamento devem protegê-lo do acesso, do uso, da alteração, da reprodução e da destruição não autorizados (art. 4º).

Prontuário médico: requisitos de segurança para o que fica guardado

• Acesso só a quem precisa. Permitir o manuseio do prontuário por quem não está obrigado ao sigilo profissional é infração do Código de Ética Médica (art. 85). Cada pessoa com login próprio, e o acesso acaba no dia em que ela sai.
• Proteção contra acesso, uso, alteração, reprodução e destruição não autorizados (Lei 13.787, art. 4º).
• Segurança desde a concepção. As medidas valem da fase de concepção do produto ou do serviço até a execução (LGPD, art. 46, § 2º).
• Registro das operações de tratamento, a cargo do controlador e do operador (art. 37).
• Dever que sobrevive ao fim do tratamento (art. 47).
• Backups dos quais você já restaurou algo, fora do alcance de quem invade sua rede.

Tudo isso se documenta: o princípio da responsabilização e prestação de contas (art. 6º, X) pede que você demonstre medidas eficazes e a eficácia delas.

Para ser franco, o backup é a linha que as clínicas mais subestimam. Cópia da qual você nunca restaurou nada é esperança, não plano.

Quem pesquisa o tempo de guarda do prontuário médico encontra hoje um número claro: 20 anos. Ele vem do art. 6º da Lei 13.787/2018: decorrido o prazo mínimo de 20 anos a partir do último registro, os prontuários em papel e os digitalizados poderão ser eliminados. Conta-se do último registro, não da abertura da ficha nem do fim do ano. E vale para todos os prontuários, qualquer que seja a forma de armazenamento, inclusive os que já nascem eletrônicos (§ 5º).

Três detalhes da mesma lei costumam passar batidos. O prazo é mínimo, e um regulamento pode fixar prazos diferentes, conforme o potencial de uso em pesquisa ou para fins legais e probatórios (§ 1º). Em vez de eliminar, o prontuário pode ser devolvido ao paciente (§ 2º). E a eliminação precisa resguardar a intimidade, o sigilo e a confidencialidade, com a destinação final registrada (§§ 3º e 4º). Quem digitaliza o papel para descartá-lo tem exigências extras: certificado digital ICP-Brasil ou outro padrão legalmente aceito (art. 2º, § 2º) e análise prévia de uma comissão permanente de revisão de prontuários (art. 3º).

Vários relógios correm ao mesmo tempo: os 20 anos da lei, prazos fixados em regulamento, processos em andamento e as exigências do seu seguro de responsabilidade. Vale o mais longo. Nossa análise de como juntar vários prazos num só calendário mostra como reuni-los.

A guarda é a parte da segurança que se esquece, porque no dia do erro nada quebra. Um hábito dos hospitais grandes que vale copiar: anotar a data de eliminação no dia em que a ficha é aberta. O que seria uma decisão em vinte anos vira uma linha numa planilha.

É aqui que a segurança passa a ser demonstrável. A LGPD manda controlador e operador manterem registro das operações de tratamento (art. 37), e o Código de Ética Médica exige que o prontuário seja preenchido, a cada avaliação, em ordem cronológica, com data, hora, assinatura e número de registro no CRM (art. 87, § 1º). Nenhum dos dois lista os campos de um registro de acesso; montá-lo cabe a você. Registro que ninguém lê só prova que existe, e a LGPD pede que você demonstre também a eficácia das medidas (art. 6º, X).

O que um registro de acesso útil anota

Imagine o paciente perguntando: "Quem olhou o meu prontuário?" Cada entrada precisa de:

1. 1.
   A pessoa, com o login próprio. Contas compartilhadas tornam isso impossível.
2. 2.
   O prontuário em que ela mexeu.
3. 3.
   O que fez: abriu, alterou, exportou, imprimiu ou apagou.
4. 4.
   Quando, até o minuto.
5. 5.
   De onde, e se deu certo. Tentativas que falharam costumam ser as interessantes.

A integridade é a outra metade. A Lei 13.787 exige que o prontuário digitalizado preserve integridade e autenticidade (art. 2º) e que o sistema que o controla seja especializado em gerenciamento eletrônico de documentos (art. 4º, parágrafo único). A Alemanha é mais direta: o § 630f BGB só permite corrigir se o conteúdo original e a data da alteração continuarem reconhecíveis, inclusive no prontuário eletrônico. É boa regra mesmo onde ninguém a impõe. Nosso guia sobre o que um histórico de acessos defensável precisa registrar percorre cada campo.

Por quanto tempo guardar os registros de acesso

Nem a LGPD nem a Lei 13.787 dão um número para os registros. Nossa opinião: guarde-os enquanto o paciente puder pedir explicações ou ajuizar uma ação, porque um registro apagado não diz quem abriu o prontuário. Mas os registros também têm dados pessoais dos seus funcionários. Fixe o prazo por escrito, justifique e depois apague.

Quando a segurança falha, o art. 48 da LGPD decide o que vem depois. O ponto de partida é o incidente de segurança que possa acarretar risco ou dano relevante aos titulares: perda, acesso indevido, alteração, destruição ou divulgação não autorizados. O notebook esquecido no táxi, o laudo enviado ao destinatário errado, o ransomware no servidor da clínica. Com dados de saúde, a avaliação raramente cai em "sem risco".

Os prazos, como a ANPD os fixa:

ANPD e pacientes. O controlador comunica o incidente à ANPD e ao titular (art. 48), em prazo razoável conforme definido pela autoridade (§ 1º). Esse prazo está na Resolução CD/ANPD nº 15/2024: três dias úteis, segundo a página da ANPD sobre incidentes. Avisar só a ANPD não basta; o aviso ao titular deve ser, sempre que possível, individual e direto, em linguagem simples.

O que dizer. O § 1º pede no mínimo a natureza dos dados afetados, as informações sobre os titulares, as medidas técnicas de segurança usadas, os riscos, os motivos da demora e as medidas para reverter ou mitigar os efeitos. Faltam informações no prazo? A ANPD aceita uma comunicação preliminar, complementada em até 20 dias úteis.

Dados ininteligíveis. Na avaliação da gravidade pesa a comprovação de que os dados afetados foram tornados ininteligíveis para terceiros não autorizados (§ 3º).

Seu operador. Quem trata dados em nome da clínica, como um sistema na nuvem, deve informar o incidente ao controlador sem demora injustificada. Sem aviso fixado em contrato, o prazo dele e o seu correm em sequência.

A ANPD pode ir além. Verificada a gravidade, ela pode determinar ampla divulgação do fato na mídia e medidas para reverter ou mitigar os efeitos (§ 2º). Guarde as provas de tudo o que comunicou e decidiu, e trate esse dossiê com o mesmo cuidado dos prontuários.

Como comparação, a HIPAA deixa até 60 dias, como explica o resumo da Breach Notification Rule do HHS. Três dias úteis são cerca de vinte vezes menos.

Como faço para pegar meu prontuário médico? O paciente pede ao médico, à clínica ou ao hospital que o guarda. Negar acesso ao prontuário, ou deixar de fornecer cópia quando solicitada, é infração do Código de Ética Médica (art. 88), salvo quando houver risco ao próprio paciente ou a terceiros. Para quem guarda, é também um assunto de segurança, mas simpático: conferir quem pede, achar tudo e entregar sem expor dados de outras pessoas.

Quando o paciente tem direito ao prontuário? A qualquer momento. A LGPD dá ao titular o direito de acessar seus dados a qualquer hora (art. 18, II) e fixa o prazo: formato simplificado, imediatamente, ou declaração completa em até 15 dias (art. 19). O titular escolhe o meio, eletrônico seguro ou impresso (§ 2º). Quem entrega cópia a terceiros precisa de ordem judicial, autorização escrita do paciente ou defesa própria (Código de Ética Médica, art. 89).

Qual a diferença entre prontuário e relatório médico? O prontuário é o registro cronológico de todo o atendimento (art. 87 do Código). O relatório, o laudo ou o atestado é um documento avulso que o médico emite, quando solicitado, para um fim específico (arts. 86 e 91).

O que torna o pedido indolor é saber onde está cada parte do prontuário e conseguir exportá-la sem redigitar.

Pastas compartilhadas são onde a gestão de documentos da saúde desanda em silêncio: um encaminhamento escaneado numa pasta pessoal, um link configurado como "qualquer pessoa com o link". Antes de pôr prontuário numa nuvem, confira três coisas.

A primeira é o papel de cada um. Pela LGPD, o operador trata os dados segundo as instruções do controlador, que verifica se elas são cumpridas (art. 39), e ambos respondem pelo dano que causarem (art. 42). Você é o controlador: peça por escrito ao fornecedor que medidas ele aplica. Não afirmamos aqui o que Google ou Dropbox oferecem em contrato. A segunda é o sigilo: quem tem acesso a prontuário está sob ele, fornecedor técnico incluído. A terceira é a configuração: links, permissões e aplicativos conectados.

Para comparar com os EUA, estas eram as informações das páginas de ajuda dos fornecedores em 14 de outubro de 2026. Elas tratam da HIPAA, não da LGPD.

Dropbox. Administradores de certos planos de equipe (Standard, Advanced, Enterprise e Education estão entre os citados) podem assinar eletronicamente um business associate agreement (BAA) no console de administração. Vale só para clientes sediados nos EUA, e os aplicativos de terceiros conectados ao Dropbox não são cobertos.

Google Drive. Os administradores precisam revisar e aceitar um BAA no console antes de usar informações de saúde protegidas nos serviços do Google; sem ele, não devem usá-las no Workspace nem no Cloud Identity. Quais serviços o BAA cobre consta numa lista separada do Google, então confirme que o Drive está nela para a sua edição. A página fala só de clientes Workspace e Cloud Identity.

Justiça seja feita: os dois transformam o contrato num passo que o administrador dá sozinho, não numa reunião de vendas. A lógica vale aqui. Nenhum produto é adequado por si só; uma conta passa a servir quando o contrato está firmado, as permissões fechadas e os aplicativos conectados revisados. A pergunta que corresponde ao BAA, no Brasil, é quais instruções o fornecedor segue como operador. Faça-a antes de enviar o primeiro arquivo.

A Chaindoc cobre uma parte da segurança de dados na saúde: os documentos que precisam de assinatura, como termos de consentimento, fichas de admissão, acordos de encaminhamento e contratos de pessoal e de fornecedores. Ela não é um sistema de prontuário eletrônico nem o prontuário em si, e não deveria ser o único lugar onde um registro existe. O que ela oferece para os documentos que guarda:

• Certificação. ISO 27001 para gestão da segurança da informação e ISO 9001 para gestão da qualidade; a auditoria de certificação ISO 27001 é a nossa única auditoria externa.
• Transporte por TLS, e sem criptografia de ponta a ponta. Nossos servidores leem os arquivos para convertê-los, analisá-los e assiná-los; só as chaves privadas de assinatura são criptografadas, com AES-256. Se a sua análise de risco exige um fornecedor que não consiga ler arquivos armazenados, esse não somos nós.
• Quem abre o quê. Perfis nos espaços de trabalho de equipe mantêm as fichas de admissão na recepção e as notas fiscais no financeiro.
• Um registro de assinatura por documento, exportável em PDF para o seu arquivo.
• No blockchain, e só isto. A impressão digital de uma versão do documento quando você a publica e a prova de cada signatário quando ele conclui. Arquivos, conteúdos, identidades e visualizações ficam fora do blockchain.
• Verificação de identidade dos signatários, opcional, nunca uma etapa obrigatória.

Os arquivos ficam na biblioteca própria da Chaindoc, sem conexão com o seu Drive nem com o S3, então o seu calendário de guarda precisa de uma etapa de exportação. Planeje agora, não na última semana de um contrato.

Um limite que importa no Brasil: a Chaindoc não oferece assinatura com certificado ICP-Brasil. Se você digitaliza prontuários em papel para descartar o original, a Lei 13.787 exige esse certificado ou outro padrão legalmente aceito (art. 2º, § 2º); faça isso no seu sistema de prontuário, não aqui.

Também não chamamos a Chaindoc de "em conformidade com a LGPD". O que a lei exige de você depende do seu papel e dos seus contratos. Antes de enviar o primeiro prontuário, peça-nos por escrito as condições de segurança e de tratamento como operador.

Fora do Brasil, as mesmas perguntas chegam com outros prazos. Nos EUA vale a HIPAA, com até 60 dias para notificar. Em Portugal vale o RGPD, com as 72 horas do art. 33, e a Lei n.º 12/2005 (art. 3.º) diz que a informação de saúde é propriedade da pessoa e que as unidades de saúde são depositárias dela, sem fixar um prazo de conservação. A Alemanha guarda o prontuário por 10 anos, a França por 20 em hospitais e clínicas, a Espanha e o México por 5. Todos os mínimos estão na tabela acima.

Pouco tempo neste trimestre? Gaste-o onde apontam os números de 2024.

1. 1.
   Acessos primeiro. Quatro em cada cinco violações grandes nos dados dos EUA foram invasões ou incidentes de TI. Um login por pessoa, acesso cortado no dia da saída e autenticação em dois fatores onde seus sistemas oferecerem.
2. 2.
   Backups dos quais você já restaurou algo, fora do alcance de quem invade a sua rede.
3. 3.
   Uma revisão de registros com nome e sobrenome: quem lê os registros de acesso, com que frequência e para onde vão as anotações.
4. 4.
   Um calendário de guarda que liste cada prazo (Lei 13.787, regulamentos, processos em andamento) e a data em que cada prontuário pode sair.
5. 5.
   Um dossiê de crise antes da crise: o modelo de avaliação de risco, um rascunho de aviso aos pacientes e os passos do formulário de comunicação à ANPD.
6. 6.
   Um procedimento para pedidos de cópia que ache tudo sobre um paciente e exporte num formato que ele consiga abrir.

Nada disso exige software novo. Exige uma pessoa com tempo e autoridade. É isso que o prontuário médico e a segurança têm de rotina: tarefas sem brilho, feitas no prazo, por escrito e repetíveis quando a ANPD ou um paciente perguntar.