A resposta curta
O prontuário é obrigatório, o formato eletrônico não. Você pode manter registros em papel, desde que legíveis, completos e guardados por vinte anos a contar do último registro. O que a Lei 13.787/2018 e a Resolução CFM 1.821/2007 exigem é que, para eliminar o papel, o sistema garanta integridade, autenticidade e confidencialidade, com assinatura digital e certificação do software.
O que é obrigatório: o prontuário ou o software?
O prontuário. O Código de Ética Médica, aprovado pela Resolução CFM 2.217/2018, veda ao médico deixar de elaborar prontuário legível para cada paciente. As normas dos demais conselhos de saúde trazem obrigação equivalente para as suas categorias. E, mesmo em serviços de estética sem profissional médico, a Nota Técnica 2/2024 da Anvisa sobre serviços de estética e embelezamento parte do pressuposto de que o serviço mantém registro do atendimento, do produto usado e do responsável pela execução — é o que permite investigar um evento adverso.
Nenhuma dessas normas impõe o meio eletrônico. Uma clínica pequena pode operar com fichas em papel e estar perfeitamente regular, desde que o registro seja legível, contemporâneo ao atendimento, identificado e guardado pelo prazo legal.
O que muda com o eletrônico é a exigência técnica quando você quer parar de guardar papel. Aí entram os requisitos formais.
O que a lei exige de um prontuário eletrônico?
A Lei 13.787/2018 dispõe sobre a digitalização e a utilização de sistemas informatizados para a guarda, o armazenamento e o manuseio de prontuário de paciente. Ela determina que a digitalização assegure integridade, autenticidade e confidencialidade do documento digital, e reconhece ao documento digitalizado conforme suas normas o mesmo valor probatório do original para todos os fins de direito. Também prevê que os sistemas de guarda atendam a requisitos técnicos e sejam certificados.
A Resolução CFM 1.821/2007 é a norma que detalha esses requisitos e remete à certificação de sistemas, historicamente operada em conjunto com a Sociedade Brasileira de Informática em Saúde. É essa certificação, somada à assinatura digital com certificado no padrão ICP-Brasil, que autoriza a eliminação do papel.
| Cenário | O que é exigido | Consequência |
|---|---|---|
| Só papel | Registro legível, identificado, guardado 20 anos | Regular, mas caro em espaço e frágil a sinistro |
| Papel digitalizado com eliminação do original | Integridade, autenticidade, confidencialidade e sistema conforme os requisitos do CFM | Digitalizado tem o mesmo valor probatório do original |
| Eletrônico nativo sem papel | Sistema certificado e assinatura digital ICP-Brasil | Dispensa o papel desde a origem |
| Eletrônico simples, sem certificação | Registro válido, mas com valor probatório discutível | Guarde o papel assinado |
O erro mais comum é o meio do caminho: clínica que digita tudo em um software comum, imprime nada, não usa certificado digital e joga fora os termos assinados em papel. Nesse arranjo, a existência do registro depende inteiramente da palavra do sistema, e a contraparte pode questionar a integridade dos dados.
Como isso conversa com a LGPD?
Prontuário eletrônico concentra dado pessoal sensível e o artigo 46 da LGPD exige medidas de segurança técnicas e administrativas. Traduzindo para a clínica: acesso individual e nomeado, sem senha compartilhada na recepção; perfis de permissão diferentes para recepção, executor e responsável técnico; trilha de auditoria que registre quem viu e quem alterou o quê; backup testado, e não apenas configurado; e contrato de operador com o fornecedor do software e do serviço de nuvem.
A retenção também precisa ser explícita. A guarda por 20 anos é obrigação legal e legitima manter os dados, mas o artigo 11 da LGPD veda o uso compartilhado de dados de saúde para obtenção de vantagem econômica. Uma base de prontuário exportada para uma ferramenta de disparo comercial é justamente o uso que a lei restringe.
O que isso significa para a sua documentação
Independentemente do meio, o prontuário da clínica de estética deve conter, por paciente: identificação completa, anamnese com histórico de saúde, medicações, alergias e procedimentos anteriores; a indicação e o plano de tratamento; o termo de consentimento assinado daquele procedimento; o registro de cada sessão com data, região tratada, técnica, produto com marca, lote, validade e quantidade; intercorrências e conduta adotada; orientações pós-procedimento entregues; e identificação de quem executou, com inscrição no conselho.
Se for adotar prontuário eletrônico, exija do fornecedor por escrito: se o sistema é certificado nos termos exigidos pelo CFM, se suporta assinatura com certificado ICP-Brasil, como funciona a trilha de auditoria, onde os dados são hospedados e como você recupera todo o acervo caso troque de fornecedor. Migração mal feita é a forma mais comum de perder vinte anos de prova.
Perguntas relacionadas
Esta resposta é informativa e não constitui aconselhamento jurídico ou médico. As exigências variam por conselho profissional e mudam com o tempo: confirme com os seus próprios consultores jurídicos e clínicos antes de aplicar.