Prontuário eletrônico: requisitos de segurança, guarda e certificação

Por que o prontuário eletrônico também é responsabilidade da TI

Muitas clínicas tratam o prontuário eletrônico como uma escolha de software: a equipe escolhe o sistema, cadastra os profissionais e começa a atender. Mas o prontuário do paciente é um documento com valor legal, ético e probatório. O Conselho Federal de Medicina (CFM), a legislação federal e a Lei Geral de Proteção de Dados (LGPD) definem como ele deve ser criado, assinado, protegido e guardado. Boa parte dessas exigências só se cumpre com uma infraestrutura de TI bem planejada.

Na prática, a pergunta deixa de ser "qual sistema vamos usar?" e passa a ser "conseguimos provar que este registro está íntegro, que só pessoas autorizadas tiveram acesso e que ele estará disponível daqui a 20 anos?". Um servidor sem backup testado, senhas compartilhadas na recepção ou um computador infectado por ransomware podem transformar um problema técnico em processo ético, ação judicial ou incidente de dados pessoais.

Este artigo reúne os principais requisitos de segurança, guarda e certificação do prontuário eletrônico. Também mostra o que a TI da clínica, seja uma equipe interna ou um parceiro, precisa garantir para que o sistema funcione dentro das regras.

O que o CFM e a legislação exigem do prontuário

A base normativa vem de algumas regras que se complementam. A Resolução CFM nº 1.638/2002 define o prontuário como o documento único que reúne informações, sinais e imagens sobre a saúde do paciente e a assistência prestada. Ela também torna obrigatória a Comissão de Revisão de Prontuários nas instituições de saúde. Já a Resolução CFM nº 1.821/2007 aprova as normas técnicas para digitalização e uso de sistemas informatizados na guarda e no manuseio dos prontuários. Foi ela que abriu caminho para eliminar o papel quando o sistema atende aos requisitos de segurança.

Em 2018, a Lei nº 13.787 levou o tema para o nível federal. A lei autoriza a digitalização e o uso de sistemas informatizados para guardar o prontuário, desde que o processo garanta integridade, autenticidade e confidencialidade do documento digital, com uso de certificado digital do padrão ICP-Brasil. Ela também determina que os meios de armazenamento protejam os documentos contra acesso, uso, alteração, reprodução e destruição não autorizados.

Somam-se a isso o Código de Ética Médica, que trata do sigilo profissional e do direito do paciente de acessar o próprio prontuário, e a Resolução CFM nº 2.299/2021, que regula a emissão de documentos médicos eletrônicos, como atestados, receitas e relatórios. Em resumo, as exigências se apoiam em quatro pilares:

• Integridade: o registro não pode ser alterado sem deixar rastro.
• Autenticidade: é preciso comprovar quem escreveu e assinou cada informação.
• Sigilo: só profissionais autorizados e o próprio paciente podem acessar o conteúdo.
• Disponibilidade e guarda: o documento precisa existir e poder ser aberto durante todo o prazo legal.

Certificação SBIS/CFM: o que significam NGS1 e NGS2

Para dar critérios objetivos ao mercado, a Sociedade Brasileira de Informática em Saúde (SBIS), em convênio com o CFM, mantém um processo de certificação de Sistemas de Registro Eletrônico em Saúde (S-RES). O manual de certificação define requisitos de estrutura, conteúdo e funcionalidade, além de dois Níveis de Garantia de Segurança: NGS1 e NGS2.

O NGS1 reúne controles essenciais: identificação e autenticação individual de cada usuário, controle de sessão, perfis de acesso, trilha de auditoria de quem acessou, incluiu ou alterou dados, proteção dos dados armazenados, sincronização de horário e documentação do sistema. O NGS2 inclui tudo isso e acrescenta a assinatura digital com certificado ICP-Brasil, que dá aos registros eletrônicos validade jurídica equivalente à assinatura de próprio punho. Na prática, só um sistema em conformidade com o NGS2 permite trabalhar sem papel com segurança jurídica.

Um sistema certificado não garante, sozinho, uma clínica em conformidade. A certificação avalia o software. A senha anotada no monitor, o servidor sem backup e a rede Wi-Fi aberta ficam do lado da clínica.

Ao escolher ou revisar o sistema de prontuário, vale pedir ao fornecedor a comprovação da certificação e do nível de segurança atendido. Também convém verificar se a versão em uso é a mesma que foi certificada. Do lado da TI, o trabalho é garantir que o ambiente onde o sistema roda (estações, servidores, rede, nuvem e certificados digitais dos profissionais) não anule os controles que o software oferece.

Guarda por 20 anos: preservar dados por décadas

A Lei nº 13.787/2018 estabelece que os prontuários só podem ser eliminados ou devolvidos ao paciente depois de, no mínimo, 20 anos a partir do último registro. A Resolução CFM nº 1.821/2007 vai além e prevê guarda permanente para prontuários arquivados eletronicamente. A eliminação também depende de avaliação da Comissão de Revisão de Prontuários, que deve preservar documentos de valor histórico ou científico. Para a TI, isso significa planejar a retenção pensando em décadas, não nos próximos dois ou três anos.

Vinte anos é muito tempo em tecnologia. Discos rígidos falham, formatos de arquivo caem em desuso, fornecedores de software são vendidos ou encerram as atividades, e sistemas operacionais deixam de receber atualizações. Uma clínica que hoje guarda os prontuários num servidor dentro de um armário precisa se perguntar se conseguirá abrir esses dados em 2045. A resposta depende de decisões tomadas agora:

1. Backup em várias camadas: seguir a regra 3-2-1 (três cópias, em dois tipos de mídia, uma fora do local) e incluir uma cópia imutável, que não pode ser apagada nem criptografada por um ransomware.
2. Testes de restauração periódicos: um backup que nunca foi restaurado não serve como prova de que os dados estão preservados.
3. Formatos abertos e exportáveis: exigir do fornecedor a exportação completa dos dados e anexos em formato legível, como PDF/A para documentos e padrões estruturados para dados clínicos.
4. Cláusulas contratuais de saída: o contrato com o fornecedor do sistema deve prever a devolução integral dos dados ao fim da relação, com prazo e formato definidos.
5. Migração planejada de mídia e plataforma: revisar o ambiente de armazenamento a cada ciclo de renovação de hardware e documentar cada migração.

Também é importante lembrar que documentos digitalizados a partir do papel precisam seguir o processo previsto em lei, com assinatura digital ICP-Brasil, para ter o mesmo valor probatório do original. Digitalizar com um scanner comum e salvar numa pasta da rede não atende aos requisitos.

Segurança no dia a dia: acesso, auditoria e proteção contra ataques

Clínicas, laboratórios e consultórios estão entre os alvos preferidos de ataques de ransomware. O motivo é simples: o dado clínico é sensível, a operação não pode parar e muitas vezes a estrutura de TI é enxuta. Um ataque pode deixar a agenda e o histórico dos pacientes indisponíveis por dias, além de expor informações sigilosas. Por isso, a segurança do prontuário vai muito além do login no sistema.

Os controles mais importantes para a TI da clínica são:

• Usuário individual para cada profissional, sem contas compartilhadas, com perfis de acesso de acordo com a função (médico, enfermagem, recepção, faturamento).
• Autenticação multifator (MFA) em acessos remotos, e-mail e sistemas em nuvem, especialmente quando o profissional consulta o prontuário fora da clínica.
• Trilha de auditoria preservada: os registros de acesso e alteração precisam ser guardados e protegidos contra exclusão, porque servem como prova em caso de questionamento.
• Criptografia dos dados em trânsito (HTTPS, VPN) e em repouso (discos de servidores, notebooks e backups).
• Gestão de atualizações e antivírus corporativo com monitoramento centralizado, para que nenhuma estação fique vulnerável sem que ninguém perceba.
• Gestão dos certificados digitais dos profissionais: controle de validade, renovação antecipada e orientação para que tokens e senhas não sejam compartilhados.
• Segmentação da rede, com a rede de visitantes separada da rede administrativa e dos equipamentos clínicos.

Disponibilidade também é um requisito de segurança. Se o servidor para no meio da manhã e os médicos atendem sem acesso ao histórico do paciente, o risco é assistencial, e não apenas operacional. Um plano de continuidade, com redundância, monitoramento ativo e tempo de recuperação definido, faz parte de um prontuário eletrônico bem implantado.

LGPD na saúde: dados sensíveis exigem cuidado redobrado

Para a LGPD, informações referentes à saúde são dados pessoais sensíveis e recebem proteção reforçada. A lei permite o tratamento desses dados para a tutela da saúde, em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária. Por isso, o atendimento clínico não depende de consentimento para cada registro. Essa base legal, porém, não dispensa a clínica do dever de adotar medidas técnicas e administrativas capazes de proteger os dados contra acessos não autorizados e situações acidentais ou ilícitas.

A clínica é a controladora dos dados e responde pelo que acontece com eles, inclusive quando usa um sistema em nuvem de terceiros, que atua como operador. Na prática, isso exige contratos com cláusulas de proteção de dados, mapeamento de onde os dados de pacientes estão (sistema, e-mail, WhatsApp, planilhas, pastas compartilhadas), registro das operações de tratamento e uma pessoa encarregada definida. Em caso de incidente de segurança que possa trazer risco ou dano relevante aos titulares, a ANPD e os pacientes afetados devem ser comunicados. A regulamentação da ANPD fixa prazo de três dias úteis para essa comunicação.

Responder a um incidente em três dias úteis só é possível quando a clínica já tem logs, inventário de sistemas e um parceiro técnico capaz de investigar o que aconteceu. Isso precisa estar pronto antes do incidente, não depois.

Um cuidado frequentemente esquecido: dados clínicos circulam fora do prontuário. Exames enviados por e-mail pessoal, fotos de lesões em celulares particulares e laudos trocados em grupos de mensagens ficam fora dos controles do sistema certificado e expõem a clínica. Uma política clara de uso de dispositivos e canais oficiais de comunicação completa a proteção.

Checklist da TI e como a Duk apoia clínicas e consultórios

Para resumir, uma clínica que leva o prontuário eletrônico a sério precisa, no mínimo, de:

1. Sistema de prontuário com certificação SBIS/CFM, de preferência no nível NGS2 para operar sem papel.
2. Certificados digitais ICP-Brasil válidos e bem gerenciados para todos os profissionais que assinam registros.
3. Backup 3-2-1 com cópia imutável e testes de restauração documentados.
4. Política de retenção de no mínimo 20 anos, com plano de migração de mídia e cláusulas contratuais de devolução dos dados.
5. Controle de acesso individual, MFA, criptografia e trilha de auditoria protegida.
6. Proteção contra ransomware, atualização contínua e monitoramento das estações e servidores.
7. Adequação à LGPD: mapeamento de dados, contratos com operadores e plano de resposta a incidentes.

A Duk Informática & Cloud atua há mais de 18 anos como parceira de TI de empresas que não podem parar, e hoje atende mais de 550 clientes, incluindo clínicas, consultórios e laboratórios. Como Microsoft Gold Partner, implementamos ambientes com controle de identidade, autenticação multifator e proteção de dados em Microsoft 365 e Azure. No nosso data center próprio em Alphaville, oferecemos hospedagem e backup em nuvem com dados mantidos no Brasil, retenção de longo prazo e cópias protegidas contra ransomware.

Nosso suporte 24/7 com SLA monitora servidores, estações e backups continuamente, para que a equipe da clínica se dedique ao paciente, e não ao servidor. Se você quer avaliar se a infraestrutura do seu prontuário eletrônico atende às exigências do CFM e da LGPD, fale com a Duk. Fazemos um diagnóstico do ambiente atual e montamos com você um plano de adequação realista, com prioridades claras e prazos definidos.