Hospital, clínica, laboratório e operadora com portal do paciente recebem o mesmo tipo de pedido: a cópia do prontuário ou do exame. Negar viola um direito; entregar a quem não é o titular expõe dado de saúde, que a Lei Geral de Proteção de Dados Pessoais (LGPD) classifica como sensível. A pergunta de quem desenha o portal é como identificar quem pede. A resposta curta: o direito de acesso é do paciente e, na impossibilidade dele, do representante legal; terceiro só com autorização escrita do paciente, ordem judicial ou requisição do conselho profissional; e a conferência de identidade precisa ser proporcional ao que se entrega, porque o prontuário inteiro é o dado mais sensível que a instituição guarda.
Em resumo
- O Código de Ética Médica veda ao médico negar ao paciente, ou ao representante legal na impossibilidade dele, o acesso e a cópia do prontuário (art. 88).
- Cópia para terceiro só com autorização escrita do paciente, para ordem judicial, para a defesa do próprio médico ou por requisição do Conselho Regional de Medicina (arts. 89 e 90).
- A LGPD dá ao titular o direito de acesso (art. 18, II), com prazo de até 15 dias para a declaração completa (art. 19, II), e dado de saúde é sensível (art. 5º, II).
- A Lei 13.787/2018 rege o prontuário digitalizado: integridade, autenticidade e confidencialidade, proteção contra acesso não autorizado e guarda mínima de 20 anos.
Quem pode pedir
O Código de Ética Médica, aprovado pela Resolução do Conselho Federal de Medicina (CFM) 2.217/2018, trata do prontuário no capítulo de documentos médicos. Dois artigos definem quem recebe a cópia.
Negar ao paciente ou, na sua impossibilidade, a seu representante legal, acesso a seu prontuário, deixar de lhe fornecer cópia quando solicitada, bem como deixar de lhe dar explicações necessárias à sua compreensão, salvo quando ocasionarem riscos ao próprio paciente ou a terceiros.
O art. 89 completa pelo lado da vedação: é vedado ao médico liberar cópias do prontuário sob sua guarda, exceto para ordem judicial, para a própria defesa ou com autorização escrita do paciente. O art. 90 acrescenta a requisição dos Conselhos Regionais de Medicina. E o art. 87, § 2º, diz que o prontuário fica sob a guarda do médico ou da instituição que assiste o paciente, o que põe a instituição na posição de quem decide se entrega.
| Quem pede | Base | O que conferir |
|---|---|---|
| O próprio paciente | Código de Ética Médica, art. 88; LGPD, art. 18, II | Que quem pede é o titular |
| Representante legal, na impossibilidade do paciente | Art. 88 | Identidade do representante e o documento da representação |
| Terceiro com autorização do paciente | Art. 89 | Autorização escrita do paciente e identidade do portador |
| Juízo | Art. 89, § 1º | Ofício judicial; o prontuário vai ao juízo requisitante |
| Conselho Regional de Medicina | Art. 90 | Requisição formal do conselho |
A tabela deixa de fora o familiar sem representação. Pai de paciente adulto, cônjuge e filho não estão na lista por esse vínculo; entram como representante legal, com o documento da representação, ou com autorização escrita do paciente.
O que a LGPD acrescenta
A LGPD define dado de saúde como dado pessoal sensível (art. 5º, II) e dá ao titular o direito de obter do controlador a confirmação do tratamento e o acesso aos dados (art. 18, I e II). O art. 19 fixa a forma: em formato simplificado, imediatamente, ou por declaração clara e completa em até 15 dias, e por meio eletrônico "seguro e idôneo" ou impresso, a critério do titular (§ 2º).
A lei não diz como confirmar que quem pede é o titular, mas a segurança está nos princípios: o controlador responde pela prevenção de dano e pela segurança do tratamento. A leitura da casa é que a régua da conferência acompanha o que se entrega. Mostrar no portal a data de uma consulta já autenticada é uma coisa; enviar o prontuário completo a um e-mail digitado num formulário é outra.
Atenção
Entregar ao destinatário errado é um erro tão grave quanto negar acesso: cópia enviada a e-mail que ninguém conferiu, prontuário liberado por telefone a quem sabe o CPF e a data de nascimento do paciente. CPF e data de nascimento são dados que circulam, não prova de que a pessoa é o titular.
Conferir identidade sem barrar o paciente
Um desenho proporcional usa três degraus. Para ver informação do próprio atendimento no portal, a autenticação da conta basta, desde que a conta tenha sido aberta com identidade conferida. Para baixar o prontuário completo ou mudar o e-mail de destino, a instituição pede uma reconfirmação de quem é o titular no momento do pedido. Para entregar a terceiro, confere o documento da representação ou a autorização escrita, e a identidade de quem retira.
A biometria facial pode entrar nos dois últimos degraus, e a LGPD tem base para ela sem consentimento quando indispensável à prevenção à fraude nos processos de identificação e autenticação de cadastro (art. 11, II, "g"). O uso precisa ser limitado a essa finalidade. Como identificar o paciente no atendimento a distância está em identificação em telemedicina, e os prazos e a forma do pedido do titular em geral estão em direitos do titular em KYC.
A guarda digital pela Lei 13.787
A Lei 13.787/2018 trata da digitalização e do uso de sistemas para guardar e manusear o prontuário, regidos por ela e pela LGPD (art. 1º). A digitalização assegura integridade, autenticidade e confidencialidade, com certificado da Infraestrutura de Chaves Públicas Brasileira (ICP-Brasil) ou outro padrão legalmente aceito (art. 2º); os meios de armazenamento protegem contra acesso, uso, alteração, reprodução e destruição não autorizados (art. 4º); e, passados 20 anos do último registro, o prontuário pode ser eliminado ou devolvido ao paciente (art. 6º). O art. 4º é o elo com o portal: o pedido de cópia atendido sem conferência é um acesso não autorizado ao sistema que a lei manda proteger.
A página de seguros e saúde mostra onde a verificação de identidade entra no atendimento e no pagamento em saúde.
Fontes citadas
- Resolução CFM 2.217/2018, Código de Ética Médica, arts. 87 a 90, no Conselho Federal de Medicina
- Lei 13.787/2018, arts. 1º a 6º, no Planalto
- Lei 13.709/2018 (LGPD), arts. 5º, 11, 18 e 19, texto compilado no Planalto