Arquivo Médico Eletrônico: Padrões de Segurança 2026

O prontuário médico eletrónico acumula dois regimes que não se sobrepõem: o da proteção de dados pessoais, que trata as informações de saúde como uma categoria particular sujeita a uma proibição de princípio, e o do Código de Saúde Pública francês, que impõe os seus próprios prazos de conservação e os seus próprios direitos de acesso. A conformidade com o primeiro não equivale a conformidade com o segundo, e a maioria das falhas constatadas resulta desta confusão.

O alojamento: uma certificação obrigatória

Toda a pessoa que aloje dados de saúde de caráter pessoal por conta de terceiros, no âmbito de atividades de prevenção, diagnóstico ou cuidados, deve ser certificada para esse efeito.

Esta obrigação é estruturante e é frequentemente descoberta tardiamente. Não depende do volume de dados nem da dimensão da estrutura: um consultório que confia o seu software de gestão a um prestador online deve assegurar-se de que o alojamento dos dados é garantido por um ator certificado. A responsabilidade desta verificação cabe ao responsável pelo tratamento, ou seja, ao profissional ou ao estabelecimento, e não ao prestador.

Daqui decorrem dois pontos práticos: o contrato de subcontratação deve mencionar explicitamente essa certificação e o seu âmbito, e uma mudança de prestador ou de infraestrutura implica revalidar essa cobertura.

O regime dos dados de saúde

Os dados relativos à saúde enquadram-se numa categoria particular cujo tratamento é, em princípio, proibido. O tratamento só é lícito se se enquadrar numa das exceções taxativamente previstas — nomeadamente a prestação de cuidados de saúde, a medicina preventiva, ou o consentimento explícito da pessoa.

Esta arquitetura invertida tem uma consequência direta: para cada tratamento, é preciso ser capaz de indicar a exceção que o fundamenta. Um uso secundário dos dados — estatísticas internas, melhoria de uma ferramenta, investigação — não decorre da licitude do tratamento de cuidados; exige o seu próprio fundamento.

A isto acrescem as obrigações gerais: registo dos tratamentos, informação das pessoas, prazos de conservação definidos, avaliação de impacto quando o tratamento apresenta um risco elevado — o que é frequentemente o caso de um prontuário de paciente informatizado.

Os prazos de conservação

Estes decorrem do Código de Saúde Pública francês e não apenas do princípio da limitação.

O prontuário médico constituído num estabelecimento de saúde conserva-se durante vinte anos a contar da última estadia ou da última consulta externa. Sobrepõem-se-lhe duas regras específicas:

• Para um paciente menor no momento da tomada a cargo, a conservação prolonga-se até ao seu vigésimo oitavo aniversário, quando este prazo for mais longínquo.
• Em caso de falecimento do paciente ocorrido menos de dez anos após a última passagem, o prontuário é conservado durante, pelo menos, dez anos a contar da data do falecimento.

Estes prazos são suspensos por qualquer recurso gracioso ou contencioso que vise pôr em causa a responsabilidade do estabelecimento ou dos profissionais.

A articulação com os prazos de ação em responsabilidade é direta: a ação prescreve em dez anos a contar da consolidação do dano, e um prontuário destruído prematuramente priva o profissional do seu principal meio de defesa — assunto detalhado no nosso artigo sobre a responsabilidade civil profissional.

A rastreabilidade dos acessos

É a exigência mais operacional, e aquela cuja ausência é mais difícil de colmatar.

Cada acesso ao prontuário deve ser registado: quem consultou, que elemento, em que data. Este registo cumpre duas funções distintas e complementares.

Ela previne e deteta os acessos indevidos, que constituem uma das violações mais frequentes em estabelecimentos — consulta do prontuário de um colega, de um familiar, de uma pessoa conhecida.

Ela protege o profissional, ao permitir demonstrar que um acesso contestado não teve lugar, ou que um acesso questionado se enquadrava efetivamente na prestação de cuidados. Sem registo, uma suspeita não pode ser nem comprovada nem afastada.

As autorizações devem, além disso, ser diferenciadas em função das funções: pertencer à equipa de cuidados não abre o acesso à totalidade do prontuário, mas apenas às informações necessárias, como explica o nosso artigo sobre o sigilo médico.

O direito de acesso do paciente

O paciente acede diretamente à totalidade das informações relativas à sua saúde, sem ter de justificar o seu pedido.

A comunicação ocorre, no mínimo, após um prazo de reflexão, e no máximo dentro de um prazo que se alarga quando as informações têm mais de cinco anos. Os eventuais custos limitam-se ao custo de reprodução e envio.

Duas limitações enquadram este direito: as informações recolhidas junto de terceiros que não intervêm na prestação de cuidados ficam excluídas, tal como as que dizem respeito a esses terceiros. Após o falecimento, o acesso dos herdeiros obedece a um regime distinto, limitado às informações necessárias ao motivo invocado.

Cenários de uso

Mudança de software de gestão. Verificar a certificação de alojamento do novo prestador, a reversibilidade dos dados e o formato de exportação. Uma migração sem plano de recuperação expõe a uma perda de prontuários cujos prazos de conservação continuam a correr.

Consultório em grupo. Diferenciar as autorizações por profissional e por paciente, em vez de abrir a totalidade do prontuário a todos. É o ponto de controlo mais frequente, e depende tanto da organização como da técnica — tema abordado no nosso artigo sobre a conformidade administrativa de um consultório médico.

Pedido de acesso de um paciente. Verificar a identidade, isolar as informações excluídas, respeitar o prazo aplicável consoante a antiguidade. Registar o pedido e a resposta: o cumprimento do prazo prova-se.

Perguntas frequentes

É necessário um alojador certificado? Sim, sempre que dados de saúde sejam alojados por conta de terceiros num contexto de prevenção, diagnóstico ou cuidados. A verificação cabe ao responsável pelo tratamento, não ao prestador.

Durante quanto tempo se deve conservar um prontuário médico? Vinte anos a contar da última passagem em estabelecimento, com prolongamento até aos vinte e oito anos do paciente se este era menor, e no mínimo dez anos a contar do falecimento ocorrido nos dez anos seguintes.

O paciente pode consultar o seu prontuário? Sim, diretamente e sem necessidade de justificação, dentro dos prazos previstos, que se alargam para as informações com mais de cinco anos. Só podem ser cobrados os custos de reprodução e envio.

O registo dos acessos é obrigatório? Sim, e protege tanto o profissional como o paciente: sem registo, um acesso contestado não pode ser nem comprovado nem afastado.

Um profissional pode consultar qualquer prontuário da estrutura? Não. O acesso limita-se às informações necessárias à sua função na prestação de cuidados ao paciente em causa. As autorizações devem ser diferenciadas em conformidade.

É possível utilizar os dados para fins estatísticos? Não ao abrigo do tratamento de cuidados. Qualquer uso secundário exige o seu próprio fundamento de licitude e, se for caso disso, uma informação específica às pessoas.

A reter

Sobrepõem-se dois regimes que devem ser tratados separadamente. A proteção de dados impõe indicar, para cada tratamento, a exceção que o torna lícito — a finalidade de cuidados não cobre os usos secundários. O Código de Saúde Pública francês impõe os seus prazos de conservação, que se contam em décadas e se suspendem em caso de recurso.

Entre os dois, um dispositivo serve ambos os regimes simultaneamente: o registo dos acessos, associado a autorizações diferenciadas. É isso que permite demonstrar que o limite do «necessário à função» foi respeitado, e é também isso que protege o profissional quando um acesso lhe é imputado. O raciocínio junta-se ao aplicável à recolha do consentimento: o que não é registado não pode ser nem provado nem refutado.