Prontuário eletrônico e LGPD: regras de segurança para dados de saúde

Compliance 25 de outubro de 2026 7 min de leitura

O prontuário do paciente reúne informações que a Lei Geral de Proteção de Dados Pessoais (LGPD) classifica como dados pessoais sensíveis. Quando esse documento sai do papel e passa a ficar em servidores, na nuvem ou em sistemas de gestão, a clínica, o hospital ou o laboratório responde ao mesmo tempo por três conjuntos de regras: a lei específica de digitalização de prontuários, a LGPD e as normas técnicas do conselho profissional. Este guia organiza o que cada uma delas exige em matéria de segurança da informação.

Quais leis regem o prontuário eletrônico no Brasil?

A base é a Lei nº 13.787, de 27 de dezembro de 2018, publicada no Diário Oficial da União em 28 de dezembro daquele ano. Ela trata da digitalização e da utilização de sistemas informatizados para a guarda, o armazenamento e o manuseio de prontuário de paciente. Logo no art. 1º, a lei determina que essas atividades são regidas por ela e pela Lei nº 13.709/2018, a LGPD. Na prática, o gestor não escolhe entre uma e outra: as duas se aplicam juntas.

A LGPD inclui entre os dados sensíveis aqueles referentes à saúde, quando vinculados a uma pessoa natural (art. 5º, II). O art. 11 lista as hipóteses em que esse tipo de dado pode ser tratado. Além do consentimento dado de forma específica e destacada, a lei admite o tratamento sem consentimento quando ele for indispensável para, entre outras situações, o cumprimento de obrigação legal ou regulatória, o exercício regular de direitos em processo judicial, administrativo ou arbitral, a proteção da vida e a tutela da saúde, esta exclusivamente em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária.

O mesmo artigo traz uma restrição relevante para quem mantém grandes bases de pacientes. O § 4º veda a comunicação ou o uso compartilhado, entre controladores, de dados sensíveis referentes à saúde com objetivo de obter vantagem econômica, com exceções ligadas à prestação de serviços de saúde, de assistência farmacêutica e de assistência à saúde, em benefício dos interesses dos titulares.

Para a medicina, há ainda a Resolução CFM nº 1.821, de 11 de julho de 2007, que aprovou normas técnicas para a digitalização e o uso de sistemas informatizados na guarda e no manuseio dos prontuários, autorizando a eliminação do papel e a troca de informação identificada em saúde. Este guia trata apenas da norma do CFM entre as regras de conselhos profissionais.

Que requisitos de segurança a lei impõe ao prontuário digital?

O art. 2º da Lei nº 13.787/2018 fixa três propriedades que o processo de digitalização precisa assegurar ao documento digital: integridade, autenticidade e confidencialidade. O § 1º do mesmo artigo acrescenta que os métodos de digitalização devem reproduzir todas as informações contidas nos documentos originais.

Em termos operacionais, integridade se relaciona à garantia de que o registro não sofreu alteração indevida; autenticidade, à possibilidade de comprovar a origem e a autoria do documento; confidencialidade, à restrição de acesso a quem tem legitimidade para consultar aquela informação. São esses três atributos que sustentam o valor jurídico do arquivo: pela lei, o documento digitalizado em conformidade com as suas normas e com os regulamentos tem o mesmo valor probatório do documento original.

Na esfera da LGPD, o regulamento da Autoridade Nacional de Proteção de Dados (ANPD) sobre incidentes exige que o controlador, ao comunicar uma falha, descreva as medidas técnicas e de segurança utilizadas para a proteção dos dados pessoais, adotadas antes e após o incidente. Ou seja, a comunicação inclui a descrição da proteção que já existia no momento da falha, e não apenas da reação a ela.

No caso dos médicos, a Resolução CFM nº 1.821/2007 vincula a segurança ao Manual de Certificação para Sistemas de Registro Eletrônico em Saúde (S-RES), elaborado em convênio entre o Conselho Federal de Medicina e a Sociedade Brasileira de Informática em Saúde (SBIS). A resolução também registra o papel do CFM como autoridade certificadora dos médicos, com o CRM-Digital em padrão ICP-Brasil.

Quando o prontuário eletrônico substitui o papel e por quanto tempo guardar?

Pela Resolução CFM nº 1.821/2007, a autorização para eliminar o papel depende de que os sistemas de guarda e manuseio de prontuários atendam integralmente aos requisitos do Nível de Garantia de Segurança 2 (NGS2), definidos no Manual de Certificação. O manual da SBIS registra que os S-RES classificados como NGS2 estão, a princípio, autorizados a substituir a preservação das informações de saúde em papel, e traz requisitos próprios para os sistemas de gerenciamento eletrônico de documentos (S-GED), usados na digitalização, na guarda e no manuseio dos prontuários em meio eletrônico.

A Lei nº 13.787/2018 permite eliminar os originais em papel depois da digitalização, desde que observados os requisitos do art. 2º e após análise obrigatória de uma comissão permanente de revisão de prontuários e avaliação de documentos, criada especificamente para essa finalidade. Cabe a essa comissão constatar a integridade dos documentos digitais e avalizar a eliminação dos documentos que os originaram. Os documentos de valor histórico identificados pela comissão são preservados de acordo com a legislação arquivística.

Quanto ao prazo, o art. 6º da lei estabelece que, decorrido o mínimo de 20 anos a partir do último registro, os prontuários em suporte de papel e os digitalizados podem ser eliminados; o § 1º prevê a possibilidade de prazos diferenciados de guarda. Como alternativa à eliminação, o prontuário pode ser devolvido ao paciente. Em qualquer hipótese, o processo de eliminação precisa resguardar a intimidade do paciente e o sigilo e a confidencialidade das informações.

O que a ANPD exige quando há incidente com dados de saúde?

A ANPD publicou no Diário Oficial da União de 26 de abril de 2024 a Resolução CD/ANPD nº 15, de 24 de abril de 2024, que aprovou o Regulamento de Comunicação de Incidente de Segurança (RCIS). A norma aparece como vigente na página de regulamentações da autoridade.

O art. 4º do regulamento determina que o controlador comunique à ANPD e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares. O art. 5º detalha quando isso acontece: o incidente precisa poder afetar significativamente interesses e direitos fundamentais dos titulares e, cumulativamente, envolver ao menos um dos critérios listados na norma, entre eles o tratamento de dados em larga escala.

O prazo para a comunicação à ANPD é de três dias úteis, contado do conhecimento pelo controlador de que o incidente afetou dados pessoais, ressalvada a existência de prazo previsto em legislação específica (art. 6º). A comunicação deve conter, entre outras informações, a descrição da natureza e da categoria dos dados pessoais afetados, o número de titulares atingidos, discriminando crianças, adolescentes e idosos quando aplicável, e as medidas técnicas e de segurança adotadas antes e após o incidente.

Para uma base de prontuários, esses itens pressupõem um inventário feito com antecedência: quais categorias de dados estão em cada sistema e quantos pacientes estão cadastrados em cada um. Sem esse mapeamento, reunir as informações exigidas dentro de três dias úteis tende a ser mais difícil.

Pontos de atenção

A Lei nº 13.787/2018 e a LGPD se aplicam em conjunto ao prontuário digital, por determinação expressa do art. 1º da lei de 2018.
A eliminação do papel depende da análise da comissão permanente de revisão de prontuários e avaliação de documentos; a digitalização, sozinha, não autoriza o descarte.
Para prontuários médicos, a substituição do papel pelo sistema eletrônico está ligada ao NGS2 do Manual de Certificação S-RES, conforme a Resolução CFM nº 1.821/2007.
O prazo mínimo de 20 anos a partir do último registro vale tanto para prontuários em papel quanto para os digitalizados.
O uso compartilhado de dados de saúde com objetivo de vantagem econômica é vedado pela LGPD, salvo as exceções do art. 11, § 4º.
O prazo de três dias úteis para comunicar incidente à ANPD corre a partir do conhecimento de que dados pessoais foram afetados.

Fontes consultadas

Este conteúdo é informativo e não substitui a análise do seu caso.

Quer preparar sua instituição para a LGPD?

Faço o diagnóstico, estruturo a documentação e atuo como encarregado externo — no ritmo da sua instituição.

Falar com o Dr. Denis no WhatsApp