Prontuário eletrônico e legislação: CFM, Lei 13.787 e LGPD

Adotar um prontuário eletrônico traz muitos ganhos de organização, mas também levanta dúvidas: por quanto tempo guardar, quem pode acessar, como fica a LGPD e quando a assinatura digital é exigida. Reunimos aqui as principais normas que tratam do tema, em linguagem direta.

Este conteúdo é informativo e não substitui orientação jurídica. Normas mudam; confira sempre a versão vigente.

As principais normas sobre prontuário

Resolução CFM 1.638/2002

Define o que é o prontuário médico e torna obrigatória a Comissão de Revisão de Prontuários nas instituições de saúde.

Resolução CFM 1.821/2007

Estabelece normas técnicas para a digitalização e o uso de sistemas informatizados na guarda e no manuseio do prontuário. Ela condiciona a eliminação do papel ao uso de sistemas que atendam ao Nível de Garantia de Segurança 2 (NGS2), que inclui certificação digital ICP-Brasil.

Código de Ética Médica (Resolução CFM 2.217/2018)

Trata do sigilo e da guarda do prontuário nos artigos 85 a 90. O artigo 85 veda permitir o manuseio do prontuário por pessoas não obrigadas ao sigilo profissional, e o artigo 87 proíbe deixar de elaborar prontuário legível para cada paciente.

Lei 13.787/2018

Dispõe sobre a digitalização e o uso de sistemas informatizados para guarda, armazenamento e manuseio do prontuário. Estabelece o prazo mínimo de guarda de 20 anos a partir do último registro.

Resolução CFM 2.299/2021

Regulamenta a emissão de documentos médicos eletrônicos, como receitas, atestados e relatórios, com assinatura digital ICP-Brasil.

Lei 14.063/2020 e MP 2.200-2/2001

Definem os níveis de assinatura eletrônica e a Infraestrutura de Chaves Públicas Brasileira (ICP-Brasil), mantida pelo ITI, que dá validade jurídica à assinatura digital. Veja mais em assinatura digital na saúde.

O que a LGPD muda para o prontuário

A Lei Geral de Proteção de Dados (Lei 13.709/2018) classifica dados de saúde como dados pessoais sensíveis (arts. 5º, II, e 11). Na prática, isso significa:

• Coletar só o necessário para a finalidade do atendimento.
• Controlar o acesso, garantindo que cada pessoa veja apenas o que precisa para sua função.
• Adotar medidas de segurança para proteger os dados contra acessos não autorizados e incidentes (art. 46).
• Comunicar incidentes de segurança relevantes à autoridade e aos titulares (art. 48).

Na relação com o sistema, a clínica é a controladora dos dados, e a empresa fornecedora do software atua como operadora.

Boas práticas para cumprir as normas no dia a dia

• Registre o atendimento no prontuário, não em papéis soltos ou aplicativos de mensagem.
• Defina permissões por função: a recepção agenda, o conteúdo clínico fica com quem presta o cuidado.
• Não deixe telas com dados de pacientes voltadas para a sala de espera.
• Emita receitas e atestados eletrônicos com assinatura digital ICP-Brasil.
• Mantenha o certificado digital dentro da validade.

Como o WSaúde ajuda na adequação

O WSaúde foi desenvolvido com base nos requisitos de segurança da SBIS-CFM (NGS1 e NGS2) e segue em evolução contínua. Entre os recursos que ajudam a clínica na adequação estão:

• Controle de acesso por perfil e grupo, em 57 áreas do sistema com quatro tipos de ação cada.
• Edição restrita: só o autor edita um registro, e apenas durante o atendimento ativo.
• Trilha de auditoria das alterações, com usuário, data, valor anterior e valor novo.
• Assinatura digital com validade jurídica ICP-Brasil em receitas, atestados, relatórios e outros documentos, com QR Code e validador público.
• Dados armazenados em servidores AWS no Brasil, tanto o banco de dados quanto os arquivos.
• Isolamento dos dados de cada clínica e conexão protegida por HTTPS.

Perguntas frequentes

Prontuário eletrônico tem validade jurídica?

Sim. A Lei 13.787/2018 e as resoluções do CFM tratam do prontuário em sistemas informatizados. Documentos como receitas e atestados eletrônicos ganham validade jurídica com assinatura digital ICP-Brasil.

Por quanto tempo devo guardar o prontuário?

No mínimo 20 anos a partir do último registro, conforme a Lei 13.787/2018.

Dados de saúde são dados sensíveis na LGPD?

Sim. A LGPD classifica dados referentes à saúde como dados pessoais sensíveis, o que exige cuidados adicionais de segurança e de acesso.

Prontuário eletrônico com segurança no WSaúde

Controle de acesso, trilha de auditoria e assinatura digital ICP-Brasil integrados ao atendimento. Conheça os benefícios do prontuário eletrônico e teste o WSaúde grátis, sem cartão de crédito.