Sigilo do paciente no prontuário eletrônico: o que a CFM 1.821/2007 exige

O que a Resolução CFM 1.821/2007 exige sobre sigilo

A norma trata da guarda e do manejo do prontuário do paciente, tanto em papel quanto em meio digital, e condiciona a eliminação do papel a um nível de segurança específico para o sistema eletrônico.

O texto integral da Resolução CFM 1.821/2007 estabelece que o prontuário eletrônico só substitui o papel quando atende a requisitos de segurança que impeçam acesso indevido e assegurem a autenticidade, a integridade e, quando necessário, o sigilo das informações. Isso significa que não basta ter senha de login: o sistema precisa distinguir quem é médico, quem é recepção e quem é financeiro, e cada perfil vê só o que a função exige.

A resolução foi editada em 2007 e continua vigente, tendo revogado a Resolução CFM 1.639/2002, que tratava do mesmo tema de forma mais genérica. Quem ainda cita a 1.639/2002 como referência está usando norma revogada.

A quem essa exigência se aplica

Se aplica a todo médico e a toda pessoa jurídica que mantém prontuário de paciente, seja consultório individual, clínica de grupo ou hospital, independente do porte ou da especialidade.

A responsabilidade não recai só sobre quem desenvolve o sistema. O diretor técnico e o médico titular respondem perante o Conselho Regional de Medicina pelo sigilo das informações registradas, mesmo quando usam um software fornecido por terceiros. Contratar uma plataforma que promete conformidade não transfere a responsabilidade ética: transfere só a execução técnica.

A equipe de recepção e secretaria entra nessa exigência porque manipula dado sensível todos os dias, ao abrir prontuário para confirmar agenda ou emitir documento. O controle de acesso existe justamente para que a secretaria veja o nome, o horário e o contato do paciente, mas não veja diagnóstico ou evolução clínica sem necessidade.

Como funciona o controle de acesso na prática

Controle de acesso significa que cada usuário do sistema tem login próprio, e o sistema define o que aquele login pode ver, editar ou apagar, conforme o perfil profissional.

Na prática, isso se traduz em três camadas: autenticação individual (nunca senha compartilhada entre a equipe), permissão por função (médico acessa evolução clínica completa, recepção acessa agenda e dados de contato, financeiro acessa cobrança) e bloqueio automático de edição em registros já assinados. Um prontuário eletrônico que permite qualquer usuário editar qualquer campo, sem distinção de perfil, não atende ao nível de segurança exigido pela norma.

Na prática, um sistema que atende a essa exigência bloqueia automaticamente a edição de um registro já assinado pelo médico. Se houver necessidade de correção, o sistema gera um novo registro vinculado ao original, e o log identifica quem fez a alteração e quando. Esse comportamento é o que diferencia um sistema com controle de acesso real de uma planilha ou editor de texto com senha genérica.

Quando a clínica usa um sistema com certificação SBIS, essa segregação de perfil já vem configurada como requisito de certificação, o que reduz a chance de a equipe montar o controle de acesso de forma improvisada.

O que é trilha de auditoria e por que ela é obrigatória

Trilha de auditoria é o registro automático de quem acessou, alterou ou tentou acessar cada informação do prontuário, com data e hora, de forma que esse histórico não possa ser apagado nem editado por ninguém, incluindo o administrador do sistema.

Essa exigência decorre diretamente do princípio de segurança da Resolução CFM 1.821/2007: se o sistema não consegue provar quem fez o quê, ele não garante autenticidade nem sigilo. Em caso de investigação ética, judicial ou de auditoria de convênio, a trilha de auditoria é a prova de que o registro não foi adulterado depois do atendimento.

A trilha de auditoria também protege o médico. Se um registro é alterado sem autorização, ou se alguém de fora da equipe clínica acessa um prontuário sem necessidade, o log identifica exatamente quem, quando e o que foi feito. Sem essa trilha, a defesa do médico em um processo depende só da palavra dele contra a de quem alega irregularidade.

Essa mesma lógica de rastreabilidade aparece entre as falhas que costumam gerar glosa e problema em auditoria de convênio: quando o sistema não registra quem fez cada alteração, tanto o sigilo quanto a cobrança do atendimento ficam vulneráveis a questionamento.

O que muda com a Lei 13.709/2018 (LGPD) somado à norma do CFM

A Lei 13.709/2018, a LGPD, classifica dado de saúde como dado sensível no artigo 11, o que soma uma camada de responsabilidade civil e administrativa à responsabilidade ética que já existia pela norma do CFM.

Isso significa que uma falha de sigilo no prontuário eletrônico pode gerar, ao mesmo tempo, processo ético no Conselho Regional de Medicina e notificação à Autoridade Nacional de Proteção de Dados, a ANPD. A clínica precisa ter um canal de encarregado de dados (DPO) definido e um protocolo de resposta a incidente, porque a LGPD exige comunicação em caso de vazamento que possa gerar risco ao titular do dado.

Na prática, isso reforça a mesma exigência: controle de acesso restrito e log completo não são só boa prática de sistema, são a evidência que a clínica vai apresentar se um paciente ou a ANPD questionar quem teve acesso a um dado de saúde específico.

Quais são as penalidades por falha de sigilo

A penalidade por violação de sigilo médico corre em duas frentes distintas: a ética, pelo Conselho Regional de Medicina, e a sanitária ou civil, conforme o caso.

Na frente ética, o processo por quebra de sigilo pode resultar em advertência, censura, suspensão do exercício profissional ou cassação do registro, dependendo da gravidade apurada pelo CRM. Na frente sanitária, condutas que violem a legislação de vigilância podem ser enquadradas pela Lei 6.437/1977, que segue vigente e trata das infrações à legislação sanitária federal, com multa e outras sanções administrativas. Na frente civil, o paciente pode buscar reparação por dano decorrente do vazamento ou uso indevido do próprio dado de saúde.

A soma dessas três frentes é o motivo pelo qual controle de acesso e trilha de auditoria deixaram de ser um detalhe técnico de sistema e passaram a ser um requisito de governança da clínica.

Quais erros mais comuns quebram o sigilo na rotina da clínica

Os erros mais frequentes não são invasão externa, são falha de rotina interna: senha compartilhada entre a equipe, tela de prontuário aberta e visível na recepção, envio de resultado de exame por WhatsApp pessoal sem canal seguro, e uso do mesmo login para funções diferentes.

Corrigir o controle de acesso e revisar quem tem cada permissão resolve boa parte desses pontos de exposição antes que gerem incidente.

Prontuário eletrônico sem certificação garante o sigilo exigido?

Não necessariamente. Um sistema sem certificação pode ter senha de login, mas isso não garante que ele atenda ao nível de segurança, integridade e trilha de auditoria que a norma exige para eliminar o papel com validade jurídica.

A certificação pela Sociedade Brasileira de Informática em Saúde avalia justamente esses critérios de segurança, incluindo controle de acesso, trilha de auditoria e assinatura eletrônica do registro. O post sobre certificação SBIS detalha quando ela é exigida e quando o prontuário eletrônico sem ela ainda é válido, desde que a clínica mantenha o papel como registro oficial. Vale lembrar também que a guarda do prontuário em papel segue prazo de 20 anos a partir do último registro, conforme o artigo 6 da Lei 13.787/2018, independente de a clínica usar sistema eletrônico em paralelo.

O que fazer esta semana

Revise com a equipe quem tem login no sistema de prontuário e se cada perfil vê só o que a função exige. Confirme se o sistema mantém trilha de auditoria que ninguém da clínica consegue editar ou apagar, e verifique se existe um canal definido para tratar incidente de dado sensível, com responsável nomeado para responder à equipe e, se necessário, à ANPD.