Prontuário Médico Eletrônico: Normas de Segurança 2026

O prontuário médico eletrônico acumula dois regimes que não se sobrepõem: o da proteção de dados pessoais, que trata as informações de saúde como uma categoria particular sujeita a uma proibição de princípio, e o do Código de Saúde Pública francês, que impõe seus próprios prazos de conservação e seus próprios direitos de acesso. Uma conformidade com o primeiro não equivale à conformidade com o segundo, e a maior parte das falhas constatadas decorre dessa confusão.

A hospedagem: uma certificação obrigatória

Toda pessoa que hospeda dados de saúde de caráter pessoal por conta de terceiros, no âmbito de atividades de prevenção, diagnóstico ou cuidados, deve ser certificada para esse fim.

Essa obrigação é estruturante e frequentemente descoberta tardiamente. Ela não depende do volume de dados nem do tamanho da estrutura: um consultório que confia seu software de gestão a um prestador on-line deve garantir que a hospedagem dos dados seja realizada por um ator certificado. A responsabilidade por essa verificação cabe ao controlador do tratamento, ou seja, ao profissional ou ao estabelecimento, e não ao prestador.

Dois pontos práticos decorrem disso: o contrato de subcontratação deve mencionar explicitamente essa certificação e seu escopo, e uma mudança de prestador ou de infraestrutura pressupõe reverificar essa cobertura.

O regime dos dados de saúde

Os dados relativos à saúde fazem parte de uma categoria particular cujo tratamento é, em princípio, proibido. O tratamento só é lícito se se enquadrar em uma das exceções previstas de forma limitativa — notadamente o atendimento sanitário, a medicina preventiva ou o consentimento explícito da pessoa.

Essa arquitetura invertida tem uma consequência direta: para cada tratamento, é preciso ser capaz de indicar a exceção que o fundamenta. Um uso secundário dos dados — estatísticas internas, aprimoramento de uma ferramenta, pesquisa — não decorre automaticamente da licitude do tratamento assistencial; exige seu próprio fundamento.

A isso se somam as obrigações gerais: registro das atividades de tratamento, informação às pessoas, prazos de conservação definidos, análise de impacto quando o tratamento apresenta risco elevado — o que é frequentemente o caso de um prontuário de paciente informatizado.

Os prazos de conservação

Eles decorrem do Código de Saúde Pública francês e não apenas do princípio de limitação de dados.

O prontuário médico constituído em um estabelecimento de saúde é conservado por vinte anos a partir da última internação ou da última consulta externa. Duas regras particulares se sobrepõem a isso:

• Para um paciente menor de idade no momento do atendimento, a conservação se estende até seu vigésimo oitavo aniversário, quando esse prazo for mais distante.
• Em caso de óbito do paciente ocorrido em menos de dez anos após o último atendimento, o prontuário é conservado por pelo menos dez anos a partir da data do óbito.

Esses prazos são suspensos por qualquer recurso administrativo ou judicial que vise responsabilizar o estabelecimento ou os profissionais.

A articulação com os prazos de ação por responsabilidade é direta: a ação prescreve em dez anos a partir da consolidação do dano, e um prontuário destruído prematuramente priva o profissional de seu principal meio de defesa — questão detalhada em nosso artigo sobre a responsabilidade civil profissional.

A rastreabilidade dos acessos

É a exigência mais operacional, e aquela cuja ausência é a mais difícil de reparar.

Todo acesso ao prontuário deve ser registrado em log: quem consultou, qual elemento, em qual data. Esse registro cumpre duas funções distintas e complementares.

Ele previne e detecta acessos indevidos, que constituem uma das violações mais frequentes em estabelecimentos — consulta ao prontuário de um colega, de um parente, de uma pessoa conhecida.

Ele protege o profissional, permitindo demonstrar que um acesso questionado não ocorreu, ou que um acesso contestado de fato decorria do atendimento. Sem o registro, uma suspeita não pode ser nem comprovada nem descartada.

As permissões de acesso devem, além disso, ser diferenciadas conforme as funções: pertencer à equipe assistencial não abre acesso a todo o prontuário, mas apenas às informações necessárias, como explica nosso artigo sobre o sigilo médico.

O direito de acesso do paciente

O paciente acessa diretamente todas as informações relativas à sua saúde, sem precisar justificar seu pedido.

A comunicação ocorre, no mínimo, após um prazo de reflexão e, no máximo, dentro de um prazo que se estende quando as informações têm mais de cinco anos. Os eventuais custos se limitam ao valor de reprodução e envio.

Dois limites regem esse direito: as informações obtidas junto a terceiros que não participam do atendimento estão excluídas, assim como aquelas referentes a esses terceiros. Após o óbito, o acesso dos herdeiros segue um regime distinto, limitado às informações necessárias ao motivo invocado.

Cenários de uso

Mudança de software de gestão. Verificar a certificação de hospedagem do novo prestador, a reversibilidade dos dados e o formato de exportação. Uma migração sem plano de recuperação expõe à perda de prontuários cujos prazos de conservação ainda estão em curso.

Consultório em grupo. Diferenciar as permissões de acesso por profissional e por paciente, em vez de abrir todo o prontuário para todos. Esse é o ponto de controle mais frequente, e depende tanto da organização quanto da tecnologia — tema abordado em nosso artigo sobre a conformidade administrativa de um consultório médico.

Pedido de acesso de um paciente. Verificar a identidade, isolar as informações excluídas, respeitar o prazo aplicável conforme a antiguidade. Registrar o pedido e a resposta: o cumprimento do prazo se comprova.

Perguntas frequentes

É necessário um hospedeiro certificado? Sim, sempre que dados de saúde forem hospedados por conta de terceiros em contexto de prevenção, diagnóstico ou cuidados. A verificação cabe ao controlador do tratamento, não ao prestador.

Por quanto tempo conservar um prontuário médico? Vinte anos a partir da última passagem pelo estabelecimento, com prorrogação até os vinte e oito anos do paciente, caso fosse menor de idade, e no mínimo dez anos a partir do óbito ocorrido dentro de dez anos.

O paciente pode consultar seu prontuário? Sim, diretamente e sem necessidade de justificativa, dentro dos prazos previstos, que se estendem para informações com mais de cinco anos. Somente as despesas de reprodução e envio podem ser cobradas.

O registro em log dos acessos é obrigatório? Sim, e protege tanto o profissional quanto o paciente: sem o registro, um acesso contestado não pode ser nem comprovado nem descartado.

Um profissional pode consultar qualquer prontuário da estrutura? Não. O acesso se limita às informações necessárias à sua função no atendimento do paciente em questão. As permissões de acesso devem ser diferenciadas em consequência.

É possível usar os dados para fins estatísticos? Não a título do tratamento assistencial. Todo uso secundário exige seu próprio fundamento de licitude e, se for o caso, uma informação específica às pessoas.

Para lembrar

Dois regimes se sobrepõem e devem ser tratados separadamente. A proteção de dados exige indicar, para cada tratamento, a exceção que o torna lícito — a finalidade assistencial não cobre os usos secundários. O Código de Saúde Pública francês impõe seus prazos de conservação, que se contam em décadas e se suspendem em caso de recurso.

Entre os dois, um dispositivo serve a ambos os regimes ao mesmo tempo: o registro em log dos acessos, associado a permissões diferenciadas. É isso que permite demonstrar que o limite do “necessário à função” foi respeitado, e é também isso que protege o profissional quando um acesso lhe é questionado. O raciocínio se aproxima daquele aplicável à coleta de consentimento: o que não é registrado não pode ser nem comprovado nem refutado.