Prontuário eletrônico: o que o CFM exige

Equipe MedClinic360 · atualizado em 07/10/2026

Trocar o papel pelo prontuário eletrônico (PEP) é permitido, mas não é só abrir um programa e começar a digitar. Três normas definem as regras: a Resolução CFM 1.821/2007, a Lei 13.787/2018 e a LGPD. Este guia resume o que cada uma pede ao médico que atende no consultório.

O que é o prontuário eletrônico do paciente

O prontuário eletrônico é o registro do atendimento (anamnese, exame físico, hipóteses, condutas, prescrições e evolução) feito e guardado em um sistema, em vez de fichas de papel. O dever de manter um prontuário para cada paciente é o mesmo nos dois formatos. O que muda são as regras de guarda, de assinatura e de segurança.

Nos considerandos que abrem a Resolução CFM 1.821/2007, o CFM lembra dois pontos que valem para qualquer meio:

• o prontuário fica sob a guarda de quem presta o atendimento, seja a clínica ou o consultório;
• os dados pertencem ao paciente. Só podem ser divulgados com autorização dele ou do responsável, por dever legal ou por justa causa, e precisam estar disponíveis para fornecer cópias quando ele pedir.

O que diz a Resolução CFM 1.821/2007

A resolução aprova as normas técnicas para digitalizar e usar sistemas informatizados na guarda do prontuário. Os pontos principais:

Sistema eletrônico sem papel exige NGS2

O CFM autoriza o prontuário 100% eletrônico, sem obrigação de registro em papel, desde que o sistema atenda integralmente ao Nível de Garantia de Segurança 2 (NGS2). Esse nível é definido no Manual de Certificação para Sistemas de Registro Eletrônico em Saúde, elaborado pelo CFM com a Sociedade Brasileira de Informática em Saúde (SBIS). É o que diz o art. 3º.

Usar só o NGS1 não autoriza eliminar o papel, por falta de amparo legal (art. 4º). Como o NGS2 exige assinatura digital, a resolução autoriza o certificado digital padrão ICP-Brasil (art. 5º).

Digitalização de prontuários antigos

Digitalizar fichas de papel é permitido (art. 2º). Para isso, a digitalização precisa reproduzir todas as informações do original, e os arquivos devem ficar em um sistema de gerenciamento de documentos que atenda ao NGS2. A resolução também condiciona a digitalização à análise obrigatória da Comissão de Revisão de Prontuários.

Prazos de guarda na resolução

Para o papel que não foi digitalizado, o prazo mínimo é de 20 anos a partir do último registro (art. 8º). Para o prontuário arquivado em meio eletrônico, a resolução falava em guarda permanente (art. 7º). Esse ponto foi tratado depois pela Lei 13.787/2018.

O que mudou com a Lei 13.787/2018

A Lei 13.787/2018 passou a regular por lei a digitalização e a guarda do prontuário. Os pontos que mais afetam o consultório:

• Digitalização com certificado digital: a digitalização deve garantir integridade, autenticidade e confidencialidade, usando certificado digital ICP-Brasil ou outro padrão legalmente aceito (art. 2º).
• Destruição do papel depois de digitalizar: é permitida, desde que cumpridos esses requisitos e depois da análise de uma comissão permanente de revisão de prontuários e avaliação de documentos (art. 3º).
• Mesmo valor de prova: o documento digitalizado conforme a lei tem o mesmo valor probatório do original (art. 5º).
• Prazo de 20 anos para todos os formatos: decorridos 20 anos do último registro, os prontuários em papel e os digitalizados podem ser eliminados. A regra vale também para os prontuários criados já em meio eletrônico (art. 6º e § 5º). A eliminação é uma possibilidade, não uma obrigação.
• Devolução ao paciente: em vez de eliminar, o prontuário pode ser devolvido ao paciente (art. 6º, § 2º).
• Proteção do arquivo digital: os meios de armazenamento devem proteger os documentos contra acesso, uso, alteração, reprodução e destruição não autorizados (art. 4º).

Prontuário eletrônico e LGPD

Para a Lei Geral de Proteção de Dados (Lei 13.709/2018), dado referente à saúde é dado pessoal sensível (art. 5º, II). Ele só pode ser tratado nas hipóteses do art. 11. Uma delas é a tutela da saúde em procedimento feito por profissionais de saúde, serviços de saúde ou autoridade sanitária. É essa hipótese que cobre o registro clínico do atendimento.

A LGPD também exige medidas de segurança, técnicas e administrativas, que protejam os dados contra acessos não autorizados, perda, alteração ou vazamento (art. 46). No dia a dia do consultório, isso significa:

• cada pessoa com o próprio login, sem senha compartilhada na recepção;
• acesso ao prontuário só para quem atende, e não para todos da equipe;
• conexão criptografada e cuidado com prints e envios por aplicativo de mensagem;
• saber quem é o responsável pelos dados. Em geral, o médico ou a clínica é o controlador, e a empresa do sistema atua como operadora, tratando os dados em nome dele.

Checklist para avaliar um sistema de prontuário

Antes de contratar ou trocar de sistema, faça estas perguntas ao fornecedor:

Como o MedClinic360 trata o prontuário

O MedClinic360 é um sistema de agenda, prontuário e financeiro para o médico do particular. No prontuário:

• a conexão é sempre criptografada (HTTPS), com opção de entrar com código enviado ao celular;
• cada consultório só enxerga os próprios dados;
• o prontuário de quem já é paciente na plataforma só é liberado com a autorização dele;
• o tratamento dos dados segue a LGPD, como descrito na política de privacidade.

Se você precisa dispensar totalmente o papel, verifique os requisitos de assinatura digital acima com qualquer sistema que avaliar, inclusive o nosso.

Este conteúdo é informativo e resume normas públicas. Ele não substitui a orientação jurídica do seu Conselho Regional de Medicina ou de um advogado.