Quase todo fornecedor de prontuário eletrônico diz estar em conformidade com a LGPD. Praticamente nenhum contrato explica o que isso significa, e a pergunta que o médico faz na reunião de vendas raramente é a que importa. A pergunta comum é "o sistema é seguro?". A pergunta útil é outra, e tem três partes: onde o dado fica, quem consegue lê-lo e o que acontece no dia em que vazar.
Este texto é um guia prático, escrito para quem coordena um consultório ou uma clínica. Não é parecer jurídico, e caso específico se discute com advogado. O que ele faz é traduzir o que a Lei nº 13.709/2018 exige de quem guarda prontuário, em linguagem de quem vai ter de operar isso na segunda-feira.
1. Dado de saúde não é dado comum, e a diferença é grande
A LGPD separa dado pessoal de dado pessoal sensível, e põe dado referente à saúde na segunda categoria. Não é uma distinção de grau: é um regime diferente, com hipóteses de tratamento próprias, listadas no art. 11.
Na prática, significa que uma planilha com nome, telefone e data da cirurgia da sua carteira de pacientes não é um cadastro comercial. É um conjunto de dado sensível, e a consequência de tratá-lo como lista de contatos aparece toda vez que alguém exporta "só para conferir em casa".
2. Consentimento quase nunca é a base legal do prontuário
Este é o erro mais caro e o mais comum. Muita clínica monta um termo de consentimento genérico, colhe assinatura na recepção e acha que resolveu. Duas coisas estão erradas aí.
A primeira é que o prontuário não existe porque o paciente consentiu: ele existe porque a assistência à saúde exige registro, e o próprio art. 11 prevê a tutela da saúde, em procedimento realizado por profissionais e serviços de saúde, como hipótese autônoma. Apoiar o prontuário em consentimento cria um problema prático imediato, que é a segunda coisa errada: consentimento pode ser revogado. Se a base fosse essa, o paciente insatisfeito poderia exigir que o registro do atendimento sumisse, e ele não pode, porque há obrigação legal de guarda.
Onde o consentimento continua fazendo falta é em tudo que não é assistência: usar a foto do antes e depois, mandar campanha de marketing, encaminhar caso para publicação, compartilhar com parceiro comercial. Aí sim, específico, destacado e por finalidade.
O teste de uma linha
Pergunte da atividade: "isso é assistência ao paciente, ou é interesse da clínica?"
Se é assistência, a base é a tutela da saúde e o termo de consentimento genérico não acrescenta nada. Se é interesse da clínica, nenhum termo genérico basta: precisa ser consentimento específico, para aquela finalidade, revogável de verdade.
3. Guardar por vinte anos é obrigação, e muda a escolha do sistema
A legislação brasileira exige a guarda do prontuário por prazo longo, contado a partir do último registro do paciente, e a Lei nº 13.787/2018 trata da digitalização e das condições em que o documento original pode ser eliminado. O número que circula na prática, e que vale usar no planejamento, é vinte anos.
Vinte anos é mais tempo do que a maioria das empresas de software existe. É por isso que a pergunta "e se vocês fecharem?" não é grosseria numa reunião de vendas: é requisito. Se a resposta não incluir exportação completa, em formato legível sem o sistema deles, o risco de perder prontuário não é hipotético.
4. O que a lei cobra de segurança, sem jargão
A LGPD não publica uma lista de tecnologias obrigatórias. Ela exige medidas técnicas e administrativas capazes de proteger o dado, e cobra a demonstração de que elas existem. Traduzido para o consultório:
| O que a lei quer | O que isso é, na prática |
|---|---|
| Acesso mínimo necessário | A recepcionista não precisa ver a evolução clínica. Cada pessoa vê o que o trabalho dela exige, e nada além. |
| Rastreabilidade | Saber quem abriu qual prontuário e quando. Sem trilha, não há como investigar suspeita, nem como provar que não houve acesso indevido. |
| Registro do tratamento | Um documento que diz quais dados a clínica trata, para quê, com quem compartilha e por quanto tempo guarda. É o primeiro item que um questionamento formal pede. |
| Plano de incidente | Saber de antemão quem comunica, a quem e em quanto tempo. Incidente relevante se comunica à ANPD e ao titular, e improvisar isso sob pressão é como esse tipo de caso costuma piorar. |
| Canal do titular | Um endereço que o paciente usa para pedir acesso, correção ou informação sobre o próprio dado, com alguém encarregado de responder. |
Repare que quatro dos cinco itens são processo, não tecnologia. Sistema nenhum entrega isso sozinho, e é por isso que o selo no rodapé do site do fornecedor não significa nada sobre a sua clínica.
5. O paciente tem direito ao próprio prontuário
Pedido de cópia do prontuário é direito do paciente, e a discussão com o médico sobre o conteúdo não é motivo para recusar. Vale ter um procedimento escrito: quem recebe o pedido, como se confirma a identidade de quem pede, em quanto tempo se entrega e em que formato. Pedido que chega pelo WhatsApp da secretária e morre ali é o caminho mais curto para uma reclamação na ANPD.
6. Onde o dado mora importa mais do que parece
Quase todo prontuário vendido hoje no Brasil guarda os dados em nuvem estrangeira, com frequência nos Estados Unidos. Isso não é ilegal, e seria desonesto dizer que é. Mas cria duas consequências concretas que o contrato raramente explicita.
A primeira é jurisdição: dado hospedado sob lei estrangeira está sujeito a ela, e o pedido de acesso feito por uma autoridade estrangeira não passa pela sua clínica. A segunda é dependência: quando o dado só existe dentro da infraestrutura de um fornecedor, a negociação de preço no terceiro ano acontece com você sem alternativa.
A pergunta a fazer não é "é nuvem?", e sim "em que país, sob que lei, e como eu saio daqui levando tudo?".
7. As sete perguntas antes de assinar
Leve esta lista para a reunião de vendas. As respostas devem vir por escrito, no contrato ou em anexo, não na conversa:
- Em que país ficam os dados, e sob qual legislação.
- Quem, do lado do fornecedor, consegue ler prontuário, em que situação, e se isso fica registrado.
- Como é a exportação completa, em que formato, em quanto tempo, e se está garantida em caso de encerramento do contrato.
- Que trilha de auditoria existe, e se a clínica consegue consultar sozinha quem acessou o quê.
- Qual o procedimento em caso de incidente, com prazo de aviso à clínica declarado no contrato.
- O dado é usado para treinar modelo de inteligência artificial, e em que condições. Se a resposta for evasiva, a resposta é sim.
- Quem é o encarregado do fornecedor, com nome e canal de contato.
Conformidade não é um adesivo no rodapé do site. É a capacidade de responder, numa terça-feira qualquer, quem abriu o prontuário da paciente da sala 2 na semana passada.
Por que isso vira problema na cirurgia, especificamente
O processo cirúrgico é o momento em que o dado do paciente mais circula para fora do consultório: relatório para a operadora, exame para o anestesista, documentação para o hospital, pedido de material para o fornecedor de OPME. Cada envio é um compartilhamento de dado sensível, e quase sempre acontece por caminho informal, com anexo em conversa de aplicativo e arquivo no computador de quem enviou.
É a parte que ninguém mapeia, porque não parece um sistema: parece rotina. Mas se a pergunta for "por onde passou o exame desta paciente", uma clínica organizada consegue responder, e a maioria não.
É essa circulação que o Taiva assume e registra: a documentação da cirurgia anda por caminho único, com trilha, em infraestrutura própria no Brasil, e a equipe de tecnologia da sua clínica pode auditar isso antes de assinar qualquer coisa.
Leia também: onde a cirurgia se perde no controle de autorização de convênio e o que avaliar num software de agenda cirúrgica.