Prontuário eletrônico é obrigatório? As normas CFM e SBIS que regem o registro clínico

Não existe lei que obrigue o formato eletrônico do prontuário, mas o conteúdo e a guarda do registro são obrigatórios em qualquer suporte. Para eliminar o papel com validade jurídica, o sistema precisa ter certificação SBIS/CFM no Nível de Garantia de Segurança 2 (NGS2), conforme a Resolução CFM nº 1.821/2007.

Prontuário eletrônico é obrigatório por lei no Brasil?

Não há lei federal nem resolução do CFM que torne o formato eletrônico obrigatório para nenhum consultório, clínica ou hospital. A obrigação recai sobre o conteúdo e a guarda do prontuário, não sobre o suporte usado para registrá-lo.

A Resolução CFM nº 1.638/2002 define prontuário médico como o conjunto de documentos padronizados e ordenados usados para registrar os cuidados prestados ao paciente, e obriga toda instituição de saúde a manter uma Comissão de Revisão de Prontuários. O médico pode optar por papel, por sistema híbrido ou por prontuário eletrônico puro, desde que cumpra os requisitos de guarda, sigilo e integridade da informação previstos na norma.

Isso significa que uma clínica pequena, com um único consultório, pode continuar anotando evolução em ficha de papel sem cometer infração, desde que o registro seja completo, legível e guardado pelo prazo exigido. O problema aparece quando a clínica quer eliminar o papel de vez.

O que muda com a Resolução CFM nº 1.821/2007

A Resolução CFM nº 1.638/2002 diz o que precisa constar no prontuário. A Resolução CFM nº 1.821/2007 diz como o sistema eletrônico precisa ser construído para que esse prontuário digital tenha o mesmo valor jurídico do papel, sem necessidade de guardar uma segunda via física. É essa segunda norma que interessa ao médico empreendedor que quer digitalizar de ponta a ponta.

A resolução autoriza a eliminação do papel somente se o sistema informatizado for certificado pela Sociedade Brasileira de Informática em Saúde (SBIS) em conjunto com o CFM, no Nível de Garantia de Segurança 2, o NGS2. Sem essa certificação, a clínica pode usar sistema eletrônico no dia a dia, gerar receita e evoluir o atendimento pela tela, mas continua exposta a precisar de uma via em papel ou microfilmada com validade jurídica caso haja fiscalização, auditoria de convênio ou processo ético.

Na prática, isso cria dois níveis de maturidade digital. Um consultório pode informatizar a agenda, a receita e o financeiro sem nenhuma certificação, porque isso não envolve eliminação de prova documental. Já a clínica que quer arquivo morto zero, sem nenhuma pasta física, depende de o fornecedor ter passado pela auditoria da SBIS naquele produto específico, não em outro sistema do mesmo grupo.

NGS1 x NGS2: o que muda na prática

Quanto tempo a clínica precisa guardar o prontuário

O prazo mínimo é de 20 anos, contados a partir do último registro feito no prontuário, e não da data de nascimento ou do primeiro atendimento do paciente. É o que estabelece a Resolução CFM nº 1.639/2002, que também trata da possibilidade de digitalizar e descartar o papel depois desse período.

Esse prazo vale tanto para prontuário em papel quanto para prontuário eletrônico, e é o parâmetro que auditorias de convênio, perícias e processos no Conselho Regional de Medicina usam para cobrar documentação de um atendimento antigo. Um lote de prontuários de paciente atendido pela última vez em 2010, por exemplo, só completa o prazo em 2030, mesmo que o paciente nunca mais tenha voltado.

Por que a Resolução CFM nº 2.135/2015 importa para consultório isolado

A Resolução CFM nº 2.135/2015 trata das normas mínimas para funcionamento de consultórios médicos e inclui a manutenção de prontuário do paciente entre os itens de estrutura exigidos, ao lado de equipamentos de urgência, condições de biossegurança e identificação do responsável técnico.

Isso importa em especial para quem atua em consultório isolado, sem o aparato de uma rede hospitalar. Na visita de rotina, a vigilância sanitária verifica se existe prontuário organizado, seja em papel ou eletrônico, se há controle de acesso a esse registro e se o consultório consegue localizar o atendimento de um paciente específico quando solicitado. A resolução em si não fixa valor de multa, mas a penalização por falha de estrutura ocorre pela legislação sanitária estadual ou municipal, que costuma prever advertência, multa e, em caso grave ou reincidente, interdição do estabelecimento, além da possibilidade de apuração ética paralela pelo conselho regional.

Para se preparar, o médico empreendedor deve manter um checklist simples: prontuário de cada paciente localizável em minutos, evolução legível e datada, e evidência de que só profissionais autorizados têm acesso ao conteúdo clínico. Isso vale independente de o consultório usar papel, sistema eletrônico sem certificação ou prontuário eletrônico certificado NGS2.

Quem precisa se adequar e o que acontece em caso de falha

A exigência de manter prontuário completo se aplica a todo médico com registro ativo no CRM, atuando isoladamente ou em pessoa jurídica, e a hospitais, clínicas e consultórios que atendam pacientes. Não é uma obrigação restrita a grandes redes hospitalares.

Prontuário incompleto, apagado sem critério ou inacessível quando solicitado pode configurar infração ética, apurada pelo Conselho Regional de Medicina com base no Código de Ética Médica, a Resolução CFM nº 2.217/2018. As penas variam de advertência confidencial a cassação do exercício profissional, dependendo da gravidade e da reincidência, e costumam pesar mais em processos judiciais e perícias, onde a ausência de registro claro joga contra o médico independentemente da conduta clínica ter sido correta.

Prontuário eletrônico e LGPD: dado sensível exige cuidado extra

O prontuário, em qualquer suporte, contém dado de saúde, classificado como dado pessoal sensível pela Lei Geral de Proteção de Dados.

"O tratamento de dados pessoais sensíveis somente poderá ocorrer quando o titular ou seu responsável legal consentir, de forma específica e destacada, para finalidades específicas, ou nas demais hipóteses previstas em lei.", art. 11, Lei nº 13.709/2018 (LGPD)

Na prática, isso significa que o sistema usado pela clínica precisa restringir acesso por perfil, registrar log de quem abriu cada prontuário e ter base legal clara para o tratamento, normalmente a execução do próprio atendimento. O descumprimento da LGPD pode gerar multa de até 2% do faturamento da pessoa jurídica no Brasil no último exercício, limitada a R$ 50 milhões por infração, conforme o art. 52 da mesma lei.

Números e prazos na prática

Três números concretos ajudam a calibrar a urgência do tema. O prazo de guarda de 20 anos, já citado, é o piso que qualquer sistema, certificado ou não, precisa respeitar antes de qualquer descarte, conforme a Resolução CFM nº 1.639/2002. A multa da LGPD, de até 2% do faturamento e limite de R$ 50 milhões por infração, mostra o tamanho do risco financeiro de um incidente de segurança envolvendo prontuário, conforme o art. 52 da Lei nº 13.709/2018.

O terceiro dado é qualitativo, mas relevante: a SBIS mantém lista pública de sistemas certificados por nível, mas não existe estatística oficial nacional consolidada sobre quantas clínicas brasileiras ainda operam só com prontuário em papel, nem sobre o tempo médio de resposta de cada fornecedor para emitir certificado. Isso reforça por que o passo prático não é confiar em número de mercado, e sim pedir ao próprio fornecedor, por escrito, o protocolo e a validade da certificação daquele sistema específico antes de decidir eliminar qualquer via física.

Como colocar a clínica em dia

1. Levante quantos prontuários ainda existem só em papel e calcule o prazo de guarda de cada lote, a partir da data do último registro.
2. Solicite por escrito ao fornecedor o certificado SBIS/CFM com número de protocolo, nível (NGS1 ou NGS2) e data de validade. Se não tiver, peça prazo para obtenção ou comece processo de migração para sistema certificado.
3. Defina política de acesso por perfil, de forma que a recepção não veja a evolução clínica e o financeiro não veja o conteúdo do atendimento.
4. Confirme que o sistema gera trilha de auditoria completa, com registro de quem acessou cada prontuário e quando, exigência central do nível NGS2.
5. Revise o termo de consentimento do cadastro: separe coleta de dado de saúde, necessária para o atendimento, de marketing, que exige opt-in ativo. Documente quem é o encarregado de dados (DPO), conforme a LGPD, art. 5º, inciso VIII.

Ferramentas como a Salte organizam o prontuário eletrônico com receita digital e assinatura dentro da rotina da recepção. Mas a escolha do sistema deve considerar se ele tem certificação SBIS/CFM, pois sem ela a clínica continua obrigada a manter via em papel.

O que fazer esta semana

Antes de trocar de sistema ou digitalizar o arquivo morto, peça ao fornecedor atual o certificado SBIS/CFM do produto, com número de protocolo e nível de garantia de segurança por escrito. Se a clínica ainda mantém prontuário só em papel, separe os processos com mais de 20 anos do último registro e decida com a diretoria clínica o que pode ser eliminado com segurança documental, seguindo o prazo da Resolução CFM nº 1.639/2002.