Prontuário eletrônico: o que a lei exige do sistema (e o que quase ninguém prova)
A norma que permite dispensar o papel é a Resolução CFM 1.821/2007, e ela tem requisitos técnicos objetivos. Este texto lista o que o sistema precisa ter, o que o fornecedor precisa provar e as perguntas que separam o produto pronto do marketing.
O que a norma exige, em uma frase
A Resolução CFM 1.821/2007 autoriza o registro eletrônico e a eliminação do papel desde que o sistema atenda integralmente ao Nível de Garantia de Segurança 2 (NGS2) do Manual de Certificação para Sistemas de Registro Eletrônico em Saúde, feito em convênio entre o CFM e a SBIS.
Ela também fixa dois pontos que costumam ser esquecidos: a guarda é da instituição (a clínica), os dados são do paciente; e o prazo mínimo de preservação é de 20 anos a partir do último registro.
Os quatro requisitos técnicos que realmente pesam
Assinatura digital com certificado ICP-Brasil — o NGS2 exige assinatura. O certificado do profissional (A1 ou A3) é o que dá autoria ao documento.
Integridade do documento — o arquivo assinado não pode ser alterado depois. Na prática, é o que a assinatura PAdES garante com o par de chaves e o hash.
Carimbo de tempo — é o que fixa a data. Sem carimbo de uma Autoridade de Carimbo do Tempo (ACT) credenciada na ICP-Brasil, a assinatura não tem validade plena para dispensar o papel.
Retenção de 20 anos — o sistema precisa guardar e conseguir provar o que guardou. Isso envolve backup, integridade e a capacidade de localizar o registro décadas depois.
O que perguntar ao fornecedor (e exigir por escrito)
1. O sistema assina em PAdES com o certificado do profissional? Com qual política de assinatura (RB ou RT)?
2. Tem carimbo de tempo de ACT credenciada? Se não tem, o fornecedor sabe que não pode afirmar conformidade plena ao NGS2?
3. O certificado e a senha ficam onde? Quem tem acesso ao arquivo do certificado?
4. O sistema mantém trilha de auditoria com autor, data e ação para cada acesso a documento? Ela é exportável?
5. Qual é o plano de retenção dos 20 anos — backup, formato e verificação de integridade?
Fornecedor que responde as cinco está pronto para a auditoria. Fornecedor que responde “nós somos seguros” está vendendo confiança, não conformidade.
O que quase ninguém entrega: a prova
A parte mais difícil não é assinar: é provar. Uma clínica que precise demonstrar conformidade a um perito, a um convênio ou à ANPD precisa de um documento que liste o que foi acessado, por quem e quando.
É por isso que a Axioma emite uma Certidão de Sigilo mensal: um relatório assinado com o certificado da clínica, com os acessos do período. Não substitui o laudo de certificação — mas é a evidência que a clínica consegue gerar sozinha, hoje.
E a certificação SBIS?
A certificação de conformidade do software é feita por entidade externa, com laudo. Não é o mesmo que ter os requisitos implementados — e não se autodeclara.
Ao comparar sistemas, separe: “o sistema tem os requisitos do NGS2 implementados” e “o sistema tem certificação vigente”. São duas frases diferentes, e a segunda vem com número de certificado e data de validade.
Perguntas frequentes
Prontuário eletrônico sem assinatura digital vale como prova?
O registro eletrônico existe como prova, mas a eliminação do papel exige o NGS2 — que inclui assinatura digital com certificado ICP-Brasil. Sem assinatura e sem carimbo de tempo, o sistema não atende à Resolução CFM 1.821/2007 para dispensar o papel.
Por quanto tempo o prontuário precisa ser guardado?
A Resolução CFM 1.821/2007 estabelece o prazo mínimo de 20 anos a partir do último registro para os prontuários em papel que não foram arquivados eletronicamente. Para os arquivados eletronicamente, a norma fala em guarda permanente, considerando a evolução tecnológica.
O que é NGS2, em termos práticos?
É o Nível de Garantia de Segurança 2 do Manual de Certificação para Sistemas de Registro Eletrônico em Saúde (CFM/SBIS). Em termos práticos, é o conjunto de requisitos que um sistema precisa atender para que o papel possa ser dispensado — com assinatura digital e integridade entre os itens centrais.