Prontuário digital: o que a Lei 13.787 exige das clínicas

Quem guarda prontuário em computador ou servidor responde, ao mesmo tempo, à Lei 13.787/2018, à LGPD e às normas do Conselho Federal de Medicina. Este texto resume o que dizem os textos oficiais, sem afirmar o que eles não dizem, e mostra onde a proteção dos computadores entra.

O que a Lei 13.787 diz

A lei estabelece que a digitalização e o uso de sistemas informatizados para guarda, armazenamento e manuseio de prontuário são regidos por ela e pela LGPD. O processo de digitalização deve assegurar integridade, autenticidade e confidencialidade do documento digital, reproduzir todas as informações do original e usar certificado digital da ICP-Brasil ou outro padrão legalmente aceito.

Os documentos originais só podem ser destruídos depois da digitalização conforme a lei e após análise obrigatória de uma comissão permanente de revisão de prontuários. A lei ainda diz que o documento digitalizado tem o mesmo valor probatório do original, desde que a guarda e o manuseio também sigam a lei e os regulamentos.

Proteção dos meios de armazenamento

O art. 4º determina que os meios de armazenamento dos documentos digitais devem protegê-los do acesso, do uso, da alteração, da reprodução e da destruição não autorizados. Os documentos oriundos da digitalização devem ser controlados por um sistema especializado de gerenciamento eletrônico de documentos, cujos requisitos dependem de regulamento.

Em outras palavras, a lei trata o servidor e as estações que guardam o prontuário como parte do que precisa estar protegido. Um ataque de ransomware que criptografa ou destrói esses arquivos é, ao mesmo tempo, um problema de atendimento e um problema de conformidade.

O que o CFM adiciona

A Resolução CFM 1.821/2007 trata dos sistemas informatizados de prontuário. Ela condiciona a eliminação do papel ao uso de sistemas que atendam ao nível de garantia de segurança 2 (NGS2) do manual de certificação para sistemas de registro eletrônico em saúde, que exige assinatura digital, e a resolução registra que o nível 1 sozinho não autoriza a eliminação do papel.

Essa certificação diz respeito ao sistema de prontuário e ao seu fornecedor. A clínica deve perguntar ao fornecedor se o sistema atende ao nível exigido; a proteção dos computadores é outra camada, complementar.

Quanto tempo guardar

A Lei 13.787 diz que, decorrido o prazo mínimo de 20 anos a partir do último registro, os prontuários em papel e os digitalizados podem ser eliminados, e prevê que prazos diferentes possam ser fixados por regulamento. A Resolução CFM 1.821, em seu texto, ainda fala em guarda permanente para os prontuários arquivados eletronicamente.

Há, portanto, uma tensão entre os dois textos. A política de guarda e de descarte de uma clínica deve ser definida com o jurídico, que verifica qual norma prevalece e o que consta em eventual regulamento ou resolução mais recente.

O que a LGPD acrescenta

Dado de saúde é dado pessoal sensível (art. 5º, II). O tratamento é permitido em hipóteses específicas, como a tutela da saúde em procedimento realizado por profissionais da área da saúde (art. 11, II, f). A lei também exige medidas de segurança técnicas e administrativas (art. 46) e a comunicação de incidentes que possam causar risco ou dano relevante (art. 48).

Na prática, a comunicação ao titular e à ANPD entra em jogo quando o prontuário é acessado indevidamente, criptografado ou vazado, e é por isso que ter evidência do que aconteceu importa. O artigo LGPD e antivírus corporativo detalha a relação.

Por onde a clínica começa

Comece perguntando ao fornecedor do prontuário como o sistema atende à lei e ao CFM, e onde os dados ficam. Em seguida, proteja as estações e o servidor que acessam esse sistema, com gestão central e criptografia de disco nos notebooks.

A página de segurança para clínicas mostra o que a Codlinx faz, e o diagnóstico gratuito aponta as lacunas antes de qualquer proposta.