Direitos do paciente sobre o prontuário: o que dizem LGPD e CFM

Compreender os direitos do paciente sobre o prontuário é hoje uma exigência tanto ética quanto legal para qualquer clínica ou consultório no Brasil. Com a Lei Geral de Proteção de Dados (LGPD, Lei nº 13.709/2018) e as resoluções do Conselho Federal de Medicina (CFM), o prontuário deixou de ser visto apenas como um documento técnico do profissional: ele passou a ser tratado como um conjunto de informações cujo titular dos dados é o próprio paciente. Para gestores e profissionais de saúde, dominar essas regras evita conflitos, reduz risco jurídico e fortalece a confiança. Para o paciente, significa saber exatamente o que pode pedir — e como.

Neste guia, explicamos de forma direta quem é o "dono" do prontuário, quais direitos a LGPD garante, o que o CFM determina sobre guarda e sigilo e como a clínica deve se organizar para cumprir tudo isso na prática.

Quem é o "dono" do prontuário?

Existe uma distinção que costuma gerar dúvida. A propriedade física ou digital do prontuário é da instituição ou do profissional que o produziu e tem o dever de guardá-lo. Já os dados nele contidos pertencem ao paciente, que é o titular dessas informações na linguagem da LGPD.

Na prática, isso significa que a clínica atua como guardiã — controladora dos dados, no conceito da LGPD — e é responsável por manter, proteger e dar acesso ao conteúdo. O que ela não pode fazer é reter, negar ou condicionar o acesso do paciente às próprias informações de saúde. O Código de Ética Médica (Resolução CFM nº 2.217/2018) reforça esse ponto: o médico não pode deixar de fornecer ao paciente o prontuário quando solicitado.

O que a LGPD garante ao paciente sobre o prontuário

Dados de saúde são classificados pela LGPD como dados pessoais sensíveis (art. 5º, II), o que impõe um nível de proteção mais elevado. A partir dessa classificação, o paciente, como titular, tem direitos previstos no art. 18 da lei. Entre os mais relevantes para o prontuário:

Confirmação e acesso: saber se a clínica trata seus dados e obter acesso a eles.

Cópia dos dados: receber uma cópia do prontuário, em meio físico ou eletrônico.

Correção: solicitar a atualização de dados cadastrais incompletos ou incorretos.

Informação sobre compartilhamento: saber com quem seus dados foram compartilhados (convênios, laboratórios, outros profissionais).

Revogação de consentimento: quando o tratamento se baseia em consentimento, retirá-lo — respeitadas as hipóteses legais que obrigam a guarda do registro.

Há uma nuance importante: o paciente não pode exigir a exclusão pura e simples do prontuário. A LGPD prevê que dados podem ser conservados para cumprimento de obrigação legal ou regulatória (art. 16), e a guarda do prontuário é justamente uma dessas obrigações, como veremos adiante.

Anotações pessoais do profissional

A LGPD e o entendimento ético reconhecem que impressões e hipóteses anotadas pelo profissional fazem parte do raciocínio clínico. Ainda assim, o conteúdo objetivo — diagnósticos, prescrições, exames, evolução — é de acesso garantido ao paciente. A recomendação prática é manter o prontuário claro, técnico e respeitoso, sempre presumindo que ele poderá ser lido pelo titular.

O que determina o CFM

O CFM disciplina o prontuário em normas específicas, com destaque para a Resolução CFM nº 1.821/2007, que trata da guarda e do manuseio dos documentos, inclusive em meio eletrônico. Dois pontos são centrais para a gestão da clínica:

Prazo de guarda: o prontuário deve ser conservado por, no mínimo, 20 anos a contar do último registro de atendimento. Esse prazo vale mesmo quando o paciente não retorna e independe de o registro estar em papel ou em formato digital.

Prontuário eletrônico: sistemas digitais devem garantir autenticidade, integridade e confidencialidade das informações, com controle de acesso e trilha de auditoria.

Some-se a isso o sigilo profissional, dever previsto no Código de Ética Médica e em códigos de outras categorias da saúde. O sigilo protege o paciente diante de terceiros, mas não é oponível ao próprio paciente: ele sempre tem direito de acessar o que é seu.

E quando o paciente faleceu?

Em geral, o acesso ao prontuário de pessoa falecida é permitido a herdeiros e representantes legais, observadas as normas do conselho profissional e a finalidade do pedido. Em situações sensíveis, recomenda-se orientação jurídica para equilibrar o direito de acesso e a proteção da intimidade do paciente.

Boas práticas para clínicas e consultórios

Cumprir LGPD e CFM não é apenas uma questão de software — é também de processo. Algumas medidas reduzem risco e organizam o atendimento de solicitações:

Defina um fluxo de pedido de cópia: identifique o solicitante, registre a data e entregue em prazo razoável, preferencialmente em formato eletrônico.

Controle quem acessa o quê: cada profissional deve visualizar apenas o necessário, com registro dos acessos.

Garanta segurança técnica: use criptografia, backups e armazenamento confiável dos registros.

Respeite o prazo de 20 anos: não descarte prontuários antes do prazo legal de guarda.

Treine a equipe: recepção e secretaria devem saber como encaminhar pedidos sem expor dados de terceiros.

Como o AtendeBem apoia esses direitos

O AtendeBem é uma plataforma SaaS brasileira de gestão para clínicas e consultórios que reúne prontuário eletrônico, agenda, financeiro, telemedicina e assistente de IA em um só lugar, pensada para a realidade do atendimento no Brasil.

No que diz respeito aos direitos do paciente sobre o prontuário, alguns recursos ajudam diretamente:

Conformidade com a LGPD e dados de saúde criptografados com padrão AES-256, em linha com a exigência de proteção reforçada para dados sensíveis.

Retenção de prontuário por 20 anos, alinhada à Resolução CFM nº 1.821/2007.

Clínica isolada por profissional, de modo que cada cadastro mantém seus dados separados, o que favorece a privacidade e o controle de acesso.

Receita digital com assinatura ICP-Brasil (e-CPF/e-CNPJ) e QR Code de validação pública, válida em farmácias e em conformidade com o CFM — o que entrega ao paciente um documento verificável.

Faturamento TISS no padrão ANS, com mais de 10.000 códigos TUSS e suporte a CID-10/11, e uso multiespecialidade por médicos, fisioterapeutas, psicólogos, nutricionistas, dentistas, fonoaudiólogos, terapeutas ocupacionais e enfermeiros.

Esses elementos não substituem a política interna da clínica, mas oferecem uma base tecnológica sólida para atender pedidos de acesso e cópia com segurança e rastreabilidade.

Perguntas frequentes

O paciente pode pedir uma cópia completa do prontuário?

Sim. A LGPD garante ao titular o direito de acesso e de obter cópia dos seus dados, em meio físico ou eletrônico. A clínica deve fornecer o conteúdo, mantendo o original sob sua guarda.

A clínica pode cobrar pela cópia do prontuário?

A regra é que o acesso aos dados seja gratuito. Eventuais custos de reprodução, quando houver, devem ser razoáveis e proporcionais, sem funcionar como barreira ao direito de acesso do paciente.

Por quanto tempo o prontuário precisa ser guardado?

Conforme a Resolução CFM nº 1.821/2007, o prazo mínimo de guarda é de 20 anos a partir do último registro de atendimento, válido tanto para prontuário em papel quanto eletrônico.

Comece a organizar seus prontuários com segurança

Respeitar os direitos do paciente sobre o prontuário fica mais simples quando a tecnologia trabalha a seu favor. Se você quer um prontuário eletrônico em conformidade com a LGPD e o CFM, com criptografia, retenção adequada e receita digital válida, crie sua conta no AtendeBem: o teste é gratuito, sem cartão de crédito, e o setup leva apenas alguns minutos.