Prontuário Eletrônico: O Que CFM e LGPD Exigem do Médico Autônomo

Você abriu o consultório, escolheu um software de prontuário que pareceu razoável, e seguiu em frente. Faz sentido. Só que aí aparece alguém falando em “certificação SBIS obrigatória”, outro falando de LGPD e dado sensível, e de repente parece que você vai cair em falta ética por usar um sistema que “não tem o selo certo”.

Vou te contar o que a Resolução CFM nº 1.821/2007 e a Lei nº 13.709/2018 (LGPD) realmente exigem do médico autônomo — sem alarmismo e sem te deixar na mão em caso de fiscalização do CRM.

Spoiler: não é tão complicado quanto parece. Mas tem uns pontos que bastante médico ignora e que podem custar caro.

O Que a Resolução CFM 1.821/2007 Realmente Exige

A Resolução CFM nº 1.821/2007 é o documento central sobre prontuário eletrônico no Brasil. Ela trouxe o Manual de Certificação para Sistemas de Registro Eletrônico em Saúde, desenvolvido com a Sociedade Brasileira de Informática em Saúde (SBIS), e definiu dois níveis de garantia de segurança para sistemas digitais.

O ponto que confunde todo mundo: certificação SBIS não é obrigatória. Isso está confirmado em pareceres do próprio CFM — de 2023 a 2025 há vários CRMs regionais esclarecendo exatamente isso. O que o CFM exige é que o sistema atenda a requisitos técnicos mínimos. Certificação SBIS é a via mais fácil de provar que esses requisitos foram cumpridos, mas não é a única.

Existem dois caminhos na prática:

Caminho 1 — Sistema sem NGS2 (Nível de Garantia de Segurança 2): Se o software não usa assinatura digital no padrão ICP-Brasil com NGS2, você pode usar — mas precisa imprimir e assinar fisicamente cada registro clínico. Volta pro papel, basicamente.

Caminho 2 — Sistema com NGS2 + ICP-Brasil: Assinatura digital válida pela Infraestrutura de Chaves Públicas Brasileiras. Aqui você elimina o papel completamente e o prontuário tem validade legal plena sem imprimir nada.

Vi isso de perto numa consulta de cardiologia em novembro de 2025 — fui por causa do histórico cardiovascular da família. Enquanto ele lia meus exames, observei como registrava no sistema. Ele anotava só as alterações, clicava em “assinar registro” e seguia pro próximo item. Trinta segundos por nota, sem impressão, sem papel. O recurso existia porque o software tinha NGS2 integrado. Sem isso, com 15 pacientes por turno, cada nota teria que ser impressa e assinada à mão. Não funciona.

E o requisito de guarda não muda com o nível técnico: prontuários digitalizados devem ser guardados de forma permanente, conforme a própria Resolução CFM 1.821/2007. Prontuários em papel têm prazo mínimo de 20 anos conforme a Lei nº 13.787/2018. Mas — isso é vital — o paciente pode solicitar acesso ao prontuário a qualquer momento, e você é obrigado a fornecer.

Se você está procurando um guia amplo de obrigações de compliance no consultório, vale ler também nosso checklist mínimo de LGPD para médico solo, que cobre controle de acesso, política de privacidade e registro de atividades com uma lista de ação direta.

LGPD e Dados de Saúde: Por Que Prontuário É Categoria Especial

Dados de saúde são dados sensíveis pela Lei nº 13.709/2018, artigo 11. Não é detalhe. É a diferença entre infração leve (R$ 50 mil por ocorrência) ou infração grave (até R$ 50 milhões) em caso de incidente com dado sensível.

A ANPD começou a fiscalizar de verdade. Em 2024, a autoridade publicou orientação específica sobre tratamento de dados de saúde e reforçou que a base legal para tratar dado de paciente não é o consentimento genérico na ficha de cadastro — é o artigo 11, II, ‘f’: tutela da saúde. Você trata o dado porque é necessário para o atendimento clínico. Mas isso não te desobriga de proteger esse dado adequadamente.

Rolou que eu vivi isso na prática quando construí o Pego Plantão. Em 2024, quando li o relatório completo da ANPD sobre processamento de dados de terceiros em grupos de WhatsApp, ficou claro que o modelo que eu tinha arquitetado ia bater no muro com a LGPD. O bot lia mensagens de todos os médicos do grupo — não só do cliente. Levei 3 meses reescrevendo a arquitetura pra garantir que cada médico acessa apenas os próprios dados, no próprio WhatsApp, sem que eu veja nada de terceiros. A mesma lógica se aplica ao prontuário: você trata dado do seu paciente, na sua instância, com base legal clara. Terceirizar isso sem garantias não cola.

Para o prontuário eletrônico, as obrigações LGPD que mais pesam pro médico autônomo são:

Segurança técnica: criptografia em trânsito e em repouso, controle de acesso com autenticação, backup com proteção. Se o sistema guarda prontuário em servidor compartilhado sem criptografia, você está exposto.
Política de privacidade: paciente tem direito de saber como os dados são usados. Um documento de 1 página cobre isso.
Retenção obrigatória: você não pode deletar prontuário a pedido do paciente. A Lei nº 13.787/2018 define 20 anos mínimo — prevalece sobre o direito de exclusão da LGPD.
Notificação de incidente: se houver vazamento ou acesso indevido, você notifica a ANPD e o paciente afetado em até 72 horas.

Aliás, se você faz teleconsultas, as obrigações se acumulam — prontuário eletrônico mais consentimento explícito de gravação mais armazenamento seguro da sessão. Escrevemos sobre isso em detalhe em o que CFM e LGPD exigem na teleconsulta.

Certificação SBIS: Vale a Pena Ou Não?

Não é obrigatória. Mas vou explicar por que vale a pena escolher um sistema certificado mesmo assim.

A certificação SBIS-CFM tem dois níveis:

NGS1: controles básicos — identificação de usuário, trilha de auditoria, integridade dos dados. Permite prontuário eletrônico com algumas limitações técnicas.
NGS2: tudo do NGS1 mais assinatura digital ICP-Brasil. Elimina o papel completamente.

Um sistema não certificado pode atender os requisitos — só que você não tem como provar facilmente. Se o CRM regional auditar seu consultório e pedir documentação técnica do sistema, com certificação SBIS o fornecedor já entrega o laudo. Sem certificação, você monta o dossiê você mesmo. Não é impossível. Só é chato.

E cilada: médico usando Google Docs pra prontuário. Sério. Google Docs não tem trilha de auditoria imutável, não tem assinatura digital ICP-Brasil, não garante integridade de documento. Se você está nesse grupo, muda agora.

Sistemas com certificação em 2026: iClinic, MV Saúde (módulo ambulatorial), Tasy (Philips), Nuvem Médica, Docway. A SBIS mantém lista atualizada no site oficial. Antes de contratar qualquer software, confirma o nível de certificação diretamente nessa lista — não no catálogo do fornecedor.

Mas e quem está começando com orçamento limitado? Sistema com NGS1 cobre o essencial para consultório solo. NGS2 você adiciona conforme o volume cresce. O que não dá é planilha ou WhatsApp como prontuário principal.

Checklist Mínimo para Estar em Conformidade

Traduzindo tudo em ações práticas. Vi médico montar esse checklist em menos de uma tarde quando entendeu o que estava em jogo — não é auditoria de banco.

1. Sistema com trilha de auditoria imutável Todo registro clínico deve ter data, hora, autoria e ser imutável após finalização. Nada de editar nota clínica retroativamente sem rastro auditável.

2. Assinatura digital (NGS2) ou impressão física Se o sistema não tem ICP-Brasil com NGS2, você imprime cada registro e assina. Escolha NGS2 e resolve o problema de forma definitiva.

3. Backup criptografado fora do consultório HD local embaixo da mesa não conta como segurança. Use nuvem com criptografia em repouso. Custo: R$ 20-80/mês dependendo do volume de dados.

4. Controle de acesso por senha individual Nunca senha compartilhada com a secretária. Se ela acessa o sistema, tem login próprio com auditoria de acesso.

5. Política de privacidade visível ao paciente Um documento de 1 página: o que é coletado, como é armazenado, com quem pode ser compartilhado (laboratório, especialista) e por quanto tempo. Afixe na recepção ou envie por WhatsApp antes da primeira consulta.

6. Plano de resposta a incidente Se o laptop com prontuários for roubado: notifica a ANPD no portal gov.br/anpd em até 72 horas e avisa o paciente afetado. Simples assim.

Mas deixa eu ser honesto: o maior risco real para médico autônomo não é o CRM batendo na sua porta amanhã. É um ransomware criptografando tudo ou um notebook roubado cheio de dados de paciente sem senha. Aí você tem problema com o paciente, com o CRM e com a ANPD ao mesmo tempo.

Para aprofundar no tema de prontuário com IA — transcrição automática de consulta e geração de SOAP —, vale ver como gravar consulta com IA sem violar o CFM, que explica os requisitos técnicos para cada caminho.

FAQ

Posso continuar usando prontuário em papel em 2026?

Sim. Papel é perfeitamente legal. Não existe obrigação de digitalizar. Se usa papel, guarda por 20 anos conforme a Lei nº 13.787/2018. O problema do papel é operacional (busca, backup, espaço físico), não jurídico.

Google Sheets ou planilha serve como prontuário eletrônico?

Não. Planilha não tem trilha de auditoria imutável, não tem assinatura digital válida e não atende os requisitos da Resolução CFM nº 1.821/2007 para validade legal plena. Use um sistema de prontuário real.

O paciente pode pedir pra deletar o próprio prontuário?

Não. A Lei nº 13.787/2018 determina guarda mínima de 20 anos. O direito de exclusão da LGPD não se aplica quando há obrigação legal de retenção — e guarda de prontuário é exatamente esse caso.

Preciso contratar um DPO (Encarregado de Proteção de Dados)?

Para consultório solo, não há obrigação formal de DPO pela LGPD brasileira. Mas você responde como controlador dos dados do paciente. Recomendo ao menos uma revisão anual da política de privacidade com advogado ou consultoria especializada em saúde digital.

Qual a multa se houver vazamento de prontuário?

Infração por dado sensível pode chegar a 2% do faturamento anual, limitado a R$ 50 milhões por infração, conforme o artigo 52 da Lei nº 13.709/2018. Para médico autônomo, a ANPD aplica proporcionalidade — mas multa de R$ 50 mil por infração leve já saiu em 2024. Não é teoria.

Por Que Escrevemos Sobre Isso

Construindo o Pego Plantão, aprendi LGPD da forma mais concreta possível: quase errando. Em 2024, quando li o relatório da ANPD sobre processamento de dados de terceiros em grupos de WhatsApp, percebi que o modelo que tinha construído — bot que lia mensagens de todos no grupo — ia bater no muro cedo ou tarde. Levei 3 meses reescrevendo a arquitetura inteira pra garantir que só o médico cliente acessa os próprios dados, no WhatsApp dele, sem eu processar nada de terceiros.

Nesse processo, vi médico usando WhatsApp pessoal como prontuário, Google Docs sem senha, sistema sem backup — e sem nenhuma consciência do risco. Não é falta de cuidado com paciente. É falta de informação sobre o que a lei exige.

Esse post é o que eu queria ter lido antes. Não é parecer jurídico formal — é o mapa prático do que a Resolução CFM 1.821/2007 e a LGPD realmente exigem de quem atende paciente em consultório próprio em 2026.

Disclaimer: este post é informativo e não substitui consulta jurídica específica. Para adequação completa à LGPD e às normas do CFM, consulte um advogado especializado em saúde digital.