Prontuário eletrônico e LGPD em 2026

O prontuário eletrônico deixou de ser diferencial e virou o padrão do consultório brasileiro. Só que, junto com a praticidade, ele trouxe uma responsabilidade que muitos médicos e gestores de clínica ainda subestimam: a LGPD — a Lei Geral de Proteção de Dados — trata informações de saúde como dados pessoais sensíveis, a categoria com o nível mais alto de proteção. Um consultório pequeno, com um único médico e uma secretária, está tão sujeito à lei quanto um hospital.

Neste guia, explicamos o que a LGPD exige na prática de quem mantém prontuário eletrônico, como escolher o software certo, e por que a adequação também passa pela gestão e pela contabilidade da clínica.

Prontuário é dado pessoal sensível — e isso muda tudo

A LGPD classifica dados referentes à saúde entre os dados sensíveis, ao lado de informações como origem racial, convicção religiosa e vida sexual. Na prática, isso significa que tudo o que está no prontuário — diagnósticos, exames, prescrições, histórico familiar, fotos clínicas — exige cuidado reforçado no armazenamento, no acesso e no compartilhamento.

O detalhe que muda tudo: a responsabilidade pelo tratamento desses dados não é só do médico que atende. A pessoa jurídica do consultório é controladora dos dados dos pacientes e responde por eventuais incidentes. Vazamento de prontuário não é apenas falha ética individual; é incidente de segurança da empresa, com potencial de sanção administrativa, ação judicial do paciente e dano de reputação difícil de reverter.

O que a LGPD exige do consultório na prática

A lei não pede perfeição tecnológica — pede diligência demonstrável. Para um consultório ou clínica, isso se traduz em três frentes.

1. Controle de acesso e segurança

Cada pessoa da equipe deve acessar apenas o que precisa para trabalhar. A recepção precisa da agenda e dos dados cadastrais; não precisa ler a evolução clínica. Isso exige software com perfis de permissão, senha individual por usuário (nunca senha compartilhada no post-it do monitor) e registro de quem acessou o quê. Backup criptografado e computadores com bloqueio automático completam o básico.

2. Finalidade e uso dos dados

Dados coletados para a assistência ao paciente devem ser usados para a assistência ao paciente. Usar a base de prontuários para disparar campanhas de marketing, vender listas ou compartilhar informações com parceiros comerciais sem autorização é desvio de finalidade — uma das violações mais comuns e mais fáceis de evitar. Para comunicações que não são assistenciais (aniversário, campanha de check-up, novidades da clínica), o caminho é pedir autorização expressa e registrá-la.

3. Direitos do paciente

O paciente pode solicitar acesso aos seus dados, cópia do prontuário, correção de informações cadastrais e esclarecimentos sobre como os dados são tratados. O consultório precisa de um fluxo simples para responder a essas solicitações — na prática, basta definir quem responde, em que prazo e como a entrega é documentada.

Como escolher um software de prontuário adequado

O software é o coração da adequação: se ele for frágil, o resto desmorona. Ao avaliar plataformas de prontuário eletrônico — como o iClinic, sistema de gestão para consultórios e clínicas —, verifique pelo menos:

• Servidores e criptografia: onde os dados ficam armazenados e se trafegam criptografados;
• Perfis de permissão: se é possível limitar o que cada usuário vê e edita;
• Trilha de auditoria: registro de acessos e alterações no prontuário;
• Exportação de dados: se você consegue extrair os prontuários caso troque de sistema (evita "sequestro" da sua base);
• Termos de tratamento de dados: se o contrato com o fornecedor define as responsabilidades de cada parte, já que ele atua como operador dos dados da sua clínica.

Planilhas soltas, prontuário em arquivo de texto no desktop e grupos de WhatsApp com foto de exame são exatamente o que a adequação precisa eliminar. Se a sua clínica está estruturando a operação do zero, vale ler nosso guia completo de sistemas ERP para clínicas de saúde.

Guarda e descarte: prontuário não é arquivo descartável

Prontuário tem regras próprias de guarda definidas pelas normas do conselho profissional — o paciente pode precisar do histórico décadas depois, e o documento é a principal defesa do médico em questionamentos éticos ou judiciais. Antes de definir a política de retenção e descarte da sua clínica, consulte as orientações vigentes no portal do Conselho Federal de Medicina, que concentra as normas sobre documentação médica e prontuário.

O ponto de atenção da LGPD aqui é o equilíbrio: guardar pelo tempo devido, com segurança, e descartar de forma controlada quando o prazo terminar — nunca jogar prontuário físico no lixo comum nem deixar backups antigos esquecidos em HDs sem criptografia.

Checklist de adequação do consultório à LGPD

1. Software de prontuário com criptografia, permissões por usuário e trilha de auditoria;
2. Senha individual para cada membro da equipe — zero senhas compartilhadas;
3. Mapeamento de quais dados a clínica coleta, onde ficam e quem acessa;
4. Termo de autorização para usos não assistenciais (marketing, fotos, depoimentos);
5. Contrato com fornecedores de software definindo responsabilidades sobre os dados;
6. Fluxo definido para responder solicitações de pacientes (acesso, cópia, correção);
7. Treinamento básico da equipe — a maioria dos vazamentos começa em erro humano;
8. Plano de resposta a incidentes: quem faz o quê se algo vazar;
9. Política de guarda e descarte alinhada às normas do conselho;
10. Documentação de tudo — na LGPD, diligência que não está registrada não existe.

O que a LGPD tem a ver com a contabilidade da clínica

Mais do que parece. Primeiro, os investimentos em adequação — software, consultoria, treinamento — são despesas operacionais da PJ e devem entrar corretamente na contabilidade, inclusive para efeito de apuração de resultado. Segundo, a clínica organizada juridicamente (contrato social atualizado, CNAE correto, registros em dia) tem muito mais facilidade para formalizar as políticas que a LGPD pede. E terceiro, quem atende por telemedicina soma às obrigações da LGPD as exigências específicas da norma do CFM — explicamos os detalhes no artigo sobre a Resolução CFM 2.314 e a PJ médica.

Clínica que trata dado de paciente com seriedade costuma ser a mesma que trata a própria gestão com seriedade — e isso aparece no resultado.

Como a Contabilidade Zen ajuda consultórios e clínicas

Somos especializados em contabilidade para clínicas e consultórios e em contabilidade para médicos: estruturamos a PJ com o CNAE e o objeto social corretos, classificamos os investimentos em tecnologia e adequação como despesas da atividade, calculamos o regime tributário mais eficiente e mantemos as obrigações da empresa em dia — para que a única preocupação com dados na sua clínica seja clínica, não fiscal. Conheça nossos planos, com preço transparente.

FAQ — Prontuário eletrônico e LGPD no consultório

1. Consultório pequeno também precisa se adequar à LGPD?

Sim. A LGPD se aplica a qualquer pessoa jurídica que trate dados pessoais, independentemente do porte. Um consultório com um médico e uma secretária trata dados sensíveis de saúde todos os dias e responde pela proteção deles como qualquer clínica grande.

2. Preciso do consentimento do paciente para manter o prontuário?

Para a finalidade assistencial — registrar e acompanhar o cuidado do paciente — o prontuário é inerente ao atendimento e à tutela da saúde. O que exige autorização expressa são os usos fora da assistência, como enviar campanhas de marketing, publicar fotos de casos ou compartilhar dados com parceiros comerciais.

3. Prontuário eletrônico na nuvem é permitido?

Sim, desde que o sistema ofereça segurança adequada: criptografia, controle de acesso por usuário, backups e um contrato claro com o fornecedor sobre o tratamento dos dados. A nuvem bem configurada costuma ser mais segura que o computador local sem backup do consultório.

4. Quem responde se houver vazamento: o médico ou a clínica?

A pessoa jurídica da clínica, como controladora dos dados, responde administrativamente e civilmente pelo incidente. O médico pode responder também na esfera ética, pelo dever de sigilo profissional. Por isso a adequação protege os dois: a empresa e o profissional.

5. Quanto custa adequar o consultório à LGPD?

Depende do tamanho da operação, mas para consultórios o essencial — software adequado, políticas internas, termos com fornecedores e treinamento da equipe — tem custo acessível e é despesa dedutível da atividade. O custo de não se adequar (sanções, ações de pacientes e dano de imagem) é muito maior.