Prontuário eletrônico: o que o sistema da clínica precisa garantir para o registro valer?

Por Ramon Martins Andrade, advogado (OAB/RJ 188.374)

Para valer como documento daqui a dez ou vinte anos, o registro eletrônico precisa provar três coisas sem depender da memória de ninguém: quem escreveu, que nada foi alterado sem deixar rastro e que o arquivo continua legível e entregável enquanto durar o dever de guarda. Agenda integrada e tela rápida não respondem a nenhuma delas, e quem contrata o sistema, a clínica, é quem responde pelo arquivo.

O prontuário é a principal prova de um atendimento, e prova serve aos dois lados. Ao paciente, o registro íntegro permite reconstruir o que aconteceu; ao profissional, é a defesa contra a versão de memória.

Antes de tudo, o arquivo de papel: escanear não basta

A Lei 13.787/2018 cuida da “digitalização e a utilização de sistemas informatizados para a guarda, o armazenamento e o manuseio de prontuário de paciente”. Para o papel que vira arquivo, ela exige três coisas. O processo deve assegurar “a integridade, a autenticidade e a confidencialidade do documento digital” e reproduzir todas as informações do original. Deve usar “certificado digital emitido no âmbito da Infraestrutura de Chaves Públicas Brasileira (ICP-Brasil) ou outro padrão legalmente aceito”. E o original só pode ser destruído depois da “análise obrigatória de comissão permanente de revisão de prontuários e avaliação de documentos”, que constata a integridade dos arquivos e avaliza a eliminação.

Cumprido isso, vem o efeito do art. 5º: o documento digitalizado “terá o mesmo valor probatório do documento original para todos os fins de direito”. Descumprido, a clínica que escaneou as pastas e descartou o papel fica com cópias de valor discutível e sem os originais. A lei remete os detalhes do processo a regulamento, e a página oficial da lei não indica decreto que a regulamente; na prática, o parâmetro técnico disponível segue sendo o do Conselho Federal de Medicina.

A cada atendimento: quem assinou, e com que assinatura

O Código de Ética Médica manda preencher o prontuário, em cada avaliação, “em ordem cronológica com data, hora, assinatura e número de registro do médico no Conselho Regional de Medicina”. No sistema, assinatura é o que liga a anotação ao profissional de modo que um terceiro possa verificar. Um prontuário em que várias pessoas escrevem com a mesma senha não identifica ninguém.

Sobre qual assinatura serve, há duas normas que não dizem a mesma coisa. A Resolução CFM 1.821/2007 só dispensa o papel quando o sistema atende “integralmente aos requisitos do ‘Nível de garantia de segurança 2 (NGS2)’” de um manual de certificação, e registra que esse nível “exige o uso de assinatura digital”, com certificado padrão ICP-Brasil. A Lei 14.063/2020, posterior, classificou as assinaturas eletrônicas em simples, avançada e qualificada (a qualificada é a que usa certificado ICP-Brasil) e dispôs, no art. 14, que os documentos eletrônicos subscritos por profissionais de saúde “são válidos para todos os fins quando assinados por meio de” assinatura avançada ou qualificada. Receita de medicamento sujeito a controle especial e atestado ficam fora dessa regra e pedem a qualificada.

Um fornecedor dirá, com base nisso, que a assinatura avançada do próprio sistema basta. Penso que a clínica deve exigir a qualificada em cada registro, por duas razões. A resolução do CFM não foi alterada nesse ponto, e é ela que diz quando o médico pode abandonar o papel. E a assinatura avançada, pela definição da própria lei, é meio de comprovação “admitido pelas partes como válido ou aceito pela pessoa a quem for oposto o documento”; num litígio, a pessoa a quem o prontuário será oposto é o paciente, que nada combinou com o fornecedor do software. Já a assinatura com certificado ICP-Brasil carrega a presunção da Medida Provisória 2.200-2/2001: as declarações “presumem-se verdadeiros em relação aos signatários”.

O fornecedor tem ainda um trunfo na mesma Lei 14.063: as exigências de nível mínimo de assinatura “não se aplicam aos atos internos do ambiente hospitalar”. A lei não define ato interno. Eu não apoiaria nessa exceção a evolução clínica nem a prescrição lançada no prontuário, porque esse registro nasce para sair: vai ao paciente que pede cópia, ao perito, ao juiz.

As perguntas ao fornecedor, portanto: cada profissional tem acesso individual? A assinatura é aplicada a cada registro ou em lote, no fim do plantão, e com que certificado? Selo não é resposta: o artigo da resolução que previa um selo de qualidade do CFM com a Sociedade Brasileira de Informática em Saúde foi revogado em 2018, com o fim do convênio.

Quando alguém precisa corrigir: a trilha

Erros de anotação se corrigem; o ponto é como. O art. 4º da Lei 13.787/2018 exige que os meios de armazenamento protejam os documentos digitais “do acesso, do uso, da alteração, da reprodução e da destruição não autorizados”, e a Lei Geral de Proteção de Dados manda controlador e operador manterem “registro das operações de tratamento de dados pessoais”. Traduzido para a tela: correção datada e assinada, que não apaga a versão anterior, e registro de quem acessou, quem alterou e quando. É essa trilha que separa retificação de adulteração. Quando o sistema permite sobrescrever sem rastro, qualquer anotação posterior a uma reclamação fica suspeita, inclusive a verdadeira.

Há um segundo problema de integridade, menos lembrado: a anotação copiada. Steinkamp, Kantrowitz e Airan-Javia analisaram, em estudo de 2022 no JAMA Network Open, cerca de 104 milhões de notas clínicas de um sistema universitário de saúde dos Estados Unidos, escritas entre 2015 e 2020, e encontraram 50,1% do texto duplicado de anotações anteriores do mesmo paciente; a fração subiu de 33,0% nas notas de 2015 para 54,2% nas de 2020. A conclusão dos autores interessa ao direito: texto duplicado lança dúvida sobre a veracidade de toda a informação do prontuário. É um único sistema de saúde, de outro país, e a medida é de palavras, não de erros.

Uma revisão sistemática anterior (Tsou e colaboradores, Applied Clinical Informatics, 2017) encontrou uso rotineiro de copiar e colar por 66% a 90% dos clínicos e reconheceu que a evidência de dano direto ao paciente é escassa. Ainda assim, duas das recomendações que ela formula se dirigem ao sistema: tornar o material copiado facilmente identificável e manter disponível a sua origem. Cabem na lista de perguntas ao fornecedor.

No contrato com o fornecedor: quem responde pelos dados

Na relação com a empresa do software, a clínica decide sobre o tratamento dos dados e ocupa, em regra, a posição de controladora; o fornecedor trata os dados em nome dela, como operador. A LGPD reparte os deveres. O operador deve seguir as instruções do controlador, “que verificará a observância das próprias instruções e das normas sobre a matéria” (art. 39). O operador responde solidariamente pelos danos quando descumpre a legislação ou as instruções lícitas que recebeu (art. 42, § 1º, I). E cabe ao controlador comunicar à Agência Nacional de Proteção de Dados (ANPD) e ao titular o incidente de segurança “que possa acarretar risco ou dano relevante aos titulares” (art. 48).

A consequência prática do último dever é que a clínica só consegue comunicar o que fica sabendo. Contrato que não obriga o fornecedor a avisar o incidente a tempo, e que silencia sobre acesso, cópias de segurança, trilha de alterações e devolução dos dados, deixa a clínica responsável pelo que não controla. Se a clínica está para assinar ou renovar esse contrato, entre em contato com o escritório trazendo a minuta e o documento em que o fornecedor descreve assinatura, trilha e exportação: são as três cláusulas que mais pesam anos depois.

Vinte anos depois, ou na troca de fornecedor: guarda e eliminação

Para a Resolução CFM 1.821/2007, o prontuário, “em qualquer meio de armazenamento, é propriedade física da instituição onde o mesmo é assistido”, a quem cabe a guarda; os dados pertencem ao paciente e devem estar “permanentemente disponíveis”, de modo a permitir cópias autênticas quando ele pedir. Contratar um sistema não transfere esse dever ao fornecedor. Daí a pergunta sobre o fim do contrato: em que formato os registros saem, com assinaturas e histórico de alterações, se a clínica mudar de sistema ou se a empresa deixar o mercado? Do lado de quem pede, o caminho está em o que fazer quando o hospital nega a cópia.

Quanto ao prazo, a Lei 13.787/2018 fixa o mínimo de vinte anos a partir do último registro, depois do qual os prontuários “em suporte de papel e os digitalizados poderão ser eliminados”, e estende a regra aos “constituídos por documentos gerados e mantidos originalmente de forma eletrônica”. A resolução de 2007, por sua vez, ainda traz no art. 7º a “guarda permanente” para os prontuários arquivados eletronicamente em meio óptico, microfilmado ou digitalizado. A meu ver prevalece a lei, posterior e de hierarquia superior; mas o conselho não revogou o artigo, e a clínica que pretende apagar arquivo eletrônico aos vinte anos deve decidir sabendo disso.

Sobre o modo de eliminar, o Parecer CFM 19/2026, de maio deste ano, pede termo de eliminação com nome do paciente, número do prontuário, data do último registro e forma de destruição, a ser guardado permanentemente; o que isso significa para quem procura um prontuário antigo está no artigo sobre a clínica que fechou e o destino do prontuário. Para o sistema, a consequência é concreta: saber a data do último registro de cada paciente e guardar o comprovante do que foi eliminado.

O que nenhum sistema entrega

Nenhum software melhora uma anotação ruim. Se o registro é vago, copiado de um atendimento para o outro ou feito horas depois do fato, a assinatura digital apenas confirma, com segurança, quem escreveu algo pouco útil. O que faz do prontuário boa prova é o conteúdo clínico: o que foi examinado, informado e decidido, e por quê. O que entra nele além da consulta, como a troca de mensagens com o paciente, é questão vizinha, tratada no artigo sobre o WhatsApp da clínica.

Tampouco nasce direito, para o paciente, da simples fragilidade do sistema. Ninguém tem reparação a receber pelo atendimento só porque a clínica usava um software sem certificado ICP-Brasil; a responsabilidade por erro médico depende de falha no cuidado, de dano e do nexo entre os dois, como explica o guia sobre erro médico. O efeito do sistema frágil é outro: o registro perde força como prova, para os dois lados.

Discordo de quem trata a escolha do prontuário eletrônico como decisão de tecnologia. É a decisão sobre como a clínica vai provar, daqui a muitos anos, o que fez hoje, e o teste que eu aplicaria antes de assinar é concreto: pedir ao fornecedor que mostre, num prontuário de demonstração, a trilha de uma anotação corrigida e a exportação completa do arquivo, com assinaturas. O sistema que não consegue mostrar isso na venda não vai mostrar quando um perito pedir.

Ramon Martins Andrade (OAB/RJ 188.374) é advogado formado pela UFRJ em 2011, com mestrados pela Université Sorbonne Nouvelle e pela EGN (Marinha do Brasil). Atualmente pesquisador em Direitos Humanos e Saúde pela ENSP/Fiocruz.