Você paga mensalidade de um sistema de prontuário, tem ficha digitalizada, manda receita por WhatsApp e dorme tranquilo: "já resolvi isso". Provavelmente não resolveu. A regra que vale hoje foi escrita em 2018, o conselho federal apertou os requisitos em 2022, e a ANPD — desde dezembro de 2025 oficialmente agência reguladora — colocou direitos dos titulares e inteligência artificial entre os quatro temas que vai fiscalizar no biênio 2026–2027 (anúncio oficial de 24/12/2025). O mapa não diz que clínica é meta específica de fiscalização — quem diz isso é leitura de terceiros. Mas dado de saúde é dado sensível, e quem guarda dado sensível é exatamente quem responde primeiro quando o titular reclama.
Este texto não é sobre qual software comprar. É sobre o que sua clínica já precisa cumprir e onde o papel ainda aparece no meio do caminho.
O que a lei realmente pede (e desde quando)
Quatro normas sustentam tudo. Sem juridiquês, traduzindo para o dia a dia:
| Exigência | O que significa no seu dia |
|---|---|
| Resolução CFM 1.821/2007: só se elimina o papel original se o sistema atender ao NGS2 do Manual de Certificação de SRES (CFM/SBIS) | Seu sistema não tem declaração de conformidade NGS2? Então o papel que você descartou continua sendo o documento legal |
| Lei 13.787/2018: digitalização com integridade, autenticidade e confidencialidade, certificado ICP-Brasil, e destruição do original só depois de comissão de revisão de prontuários | Escanear ficha e jogar o papel no lixo, sem comissão e sem certificado, não vale como digitalização — o documento digital perde o valor probatório do original |
| Lei 13.787/2018, art. 6º: guarda mínima de 20 anos a partir do último registro, em papel ou digital | "Formatei o computador" não é justificativa aceitável. Nem "o sistema antigo saiu do ar" |
| Resolução CFM 2.314/2022: SRES com NGS2, assinatura padrão ICP-Brasil, responsabilidade pela guarda, direito do paciente a cópia em mídia digital ou impressa; na teleconsulta, consentimento e retorno presencial em intervalos não superiores a 180 dias para acompanhamento longo | Assinatura digital não é "assinatura escaneada". E quem responde pela guarda é o médico responsável — ou o diretor técnico, se há instituição |
As normas na íntegra: Lei 13.787/2018, Resolução CFM 1.821/2007 e Resolução CFM 2.314/2022.
Repare na data: 2007. A exigência técnica para tirar o papel da clínica tem dezenove anos. Não é novidade que pegou ninguém de surpresa — é regra antiga que muita gestão nunca leu.
Os cinco lugares onde o papel ainda sobrevive
Faça o teste: ande pela recepção e pela sala de procedimento e conte em quantos desses cinco pontos o papel aparece.
1. Ficha de anamnese impressa. O que fazer: passar a preencher direto no sistema, com o paciente na frente, e digitalizar o estoque antigo com certificado ICP-Brasil. O que não pode: imprimir, preencher à mão, assinar, escanear e considerar "digital".
2. Termo de consentimento. O que fazer: consentimento com finalidade específica — cirurgia, teleconsulta, uso de imagem — registrado no prontuário com data, hora e versão do texto. O que não pode: termo genérico que "serve para tudo" e formulário assinado que ninguém sabe onde está arquivado.
3. Atestado e receita. O que fazer: emissão eletrônica com assinatura digital ICP-Brasil, que o paciente recebe e pode validar. O que não pode: receita digitada no Word, assinada, fotografada e mandada no WhatsApp pessoal da recepcionista.
4. Escala de plantão. Não é prontuário, mas contém dado de pessoa. O que fazer: escala em ferramenta com acesso controlado, um único lugar oficial. O que não pode: planilha em pendrive e print no grupo da equipe.
5. Relatório para convênio. O que fazer: extração do próprio sistema, com registro de quem gerou e quando. O que não pode: montar relatório à mão a partir de anotações soltas — é a origem mais comum de glosa por documentação incompleta.
Sistema instalado não é sistema conforme
Oito perguntas para levar ao fornecedor atual nesta semana. Se ele não responde por escrito, a resposta já é a resposta.
- Padrão de certificação. O sistema tem declaração de conformidade NGS2 vigente? Qual versão do manual de certificação?
- Backup e trilha de auditoria. Com que frequência, onde os backups ficam e já foi testada uma restauração?
- Controle de acesso por perfil. A recepção enxerga evolução clínica? O financeiro vê diagnóstico? Se sim, por quê?
- Log de quem abriu o quê. É possível saber qual usuário acessou o prontuário de um paciente específico, com data e hora?
- Exportação a pedido do paciente. Em quanto tempo vocês me entregam a cópia completa em mídia digital, como manda o art. 3º, § 6º da Resolução 2.314/2022?
- Retenção e descarte. O contrato fala dos 20 anos? O que acontece com os dados se eu encerrar o contrato?
- Contrato com operador de dados. Existe cláusula de tratamento de dados conforme a LGPD, com o fornecedor assumindo as obrigações de operador?
- Quem responde em caso de incidente. Há procedimento, prazo e ponto focal definidos? Ou o telefone do suporte é a única garantia?
Marque as que ficaram sem resposta. São as lacunas que uma auditoria, um convênio ou um paciente insatisfeito vão encontrar antes de você.
LGPD na prática da clínica
Dado de saúde é dado sensível (art. 5º, II, da LGPD). Isso muda o jogo: a base legal mais confortável para atendimento é a tutela da saúde, em procedimentos realizados por profissionais de saúde — e ela não serve para tudo. Marketing da clínica, envio de novidade, foto de antes e depois: aí é consentimento, específico e registrado.
Teleconsulta e compartilhamento com convênio pedem cuidado extra. Na teleconsulta, o paciente tem que saber das limitações do atendimento remoto e concordar — é o que a 2.314/2022 exige. Para o convênio, compartilhe apenas o necessário para a análise: o relatório inteiro do prontuário não é a mesma coisa que o resumo do procedimento.
Se houver vazamento com risco relevante ao titular — e com dado sensível de saúde isso se presume com frequência —, a regra é clara: comunicação à ANPD em até 3 dias úteis do conhecimento, contados do momento em que a clínica soube, pelo formulário eletrônico, assinada pelo encarregado; agentes de pequeno porte têm o prazo em dobro (Resolução CD/ANPD 15/2024). O titular também precisa ser comunicado. Não existe "vou esperar apurar melhor" — depois se complementa a informação em até 20 dias úteis.
E o grupo de WhatsApp com paciente não é canal de atendimento: é cópia de dado sensível em celular pessoal, sem controle de acesso, sem log e sem retenção definida. Um celular perdido na recepção vira incidente notificável.
Por onde começar sem parar o atendimento
A ordem importa mais que a velocidade. Em um mês dá para fazer os cinco primeiros passos sem fechar a agenda:
- Inventário: lista de todos os lugares onde existe dado de paciente hoje — sistema, pasta na rede, e-mail, celular, planilha, caixa de papel.
- Um responsável interno: não precisa ser DPО contratado de imediato; precisa ser alguém com nome, cargo e tempo na semana para tratar do assunto.
- Política de uma página: o que é registrado, onde, quem acessa, por quanto tempo, o que fazer se algo vazar. Uma página que a equipe lê vale mais que trinta que ninguém abriu.
- Treino de recepção: o ponto mais exposto da clínica. Senha compartilhada e computador sem bloqueio de tela resolvem-se em uma reunião de quarenta minutos.
- Revisão do contrato do software: as oito perguntas acima, por escrito, com resposta do fornecedor anexada.
Deixe para o trimestre seguinte a faxina no acervo de papel, a comissão formal de revisão de prontuários e a digitalização certificada do histórico. São importantes — mas você não consegue executá-las com credibilidade antes de saber o que existe e quem responde.
A conta de não fazer
Nenhum desses números é da Auralink; são a aritmética que qualquer gestor consegue fazer na própria clínica.
Coloque meia hora por dia de secretária procurando ficha, conferindo PDF e reimprimindo receita. São dez horas por mês — num salário de R$ 2.500, cerca de R$ 150 em tempo, todo mês, para localizar o que deveria estar a um clique. Some o retrabalho na auditoria do convênio, quando o relatório volta por falta de documento: cada glosa é receita que já foi trabalho feito e não vai ser paga. Some o custo de uma notificação de incidente: advogado, comunicação, retificação de processos, e a confiança do paciente que não se recupera com planilha.
A conta de não fazer nunca aparece no fluxo de caixa. Aparece na auditoria, no dia em que o paciente pede a cópia do prontuário e ninguém sabe gerar, e no dia em que a ANPD pergunta o que a clínica fez.
Se você não sabe se o seu sistema atende ao que a lei pede, isso já é resposta. A Auralink faz um diagnóstico gratuito de 30 minutos com o gestor da clínica: levantamos o que existe hoje, apontamos as lacunas de conformidade e de processo e saímos com uma lista de prioridades — sem vender sistema e sem compromisso.