Prontuário Eletrônico é Obrigatório? Regras CFM 2026

'Prontuário eletrônico é obrigatório?' — a pergunta chega toda semana no consultório do contador e do advogado da clínica. A resposta curta: não existe lei que proíba prontuário em papel, mas existem tantas exigências acumuladas do CFM, LGPD, ANS e Ministério da Saúde que, na prática de 2026, operar no papel é assumir risco jurídico, ético e financeiro elevado. Este guia explica o que é realmente obrigatório, o que é recomendado e como sair do papel sem violar norma no caminho.

O que o CFM exige (Resoluções 1.638/2002, 1.821/2007 e 2.299/2021)

A Resolução CFM 1.638/2002 obriga todo médico a manter prontuário legível, ordenado e completo. A 1.821/2007 permite prontuário exclusivamente eletrônico desde que o sistema seja certificado pela SBIS (Sociedade Brasileira de Informática em Saúde) no nível NGS2. Sem certificação SBIS-NGS2, o médico pode usar prontuário eletrônico, mas precisa manter também uma versão em papel assinada — o pior dos dois mundos.

A 2.299/2021 consolidou a validade de assinatura digital ICP-Brasil e reconheceu equivalência ao papel para todos os efeitos, incluindo perícia.

Requisitos técnicos do NGS2

O nível NGS2 exige controles que garantam confidencialidade, integridade, disponibilidade e não repúdio. Na prática, o sistema precisa:

Assinatura digital ICP-Brasil em cada evento clínico registrado.
Trilha de auditoria completa (quem acessou, quando, o quê).
Controle de acesso por perfil (médico, secretária, técnico).
Backup criptografado com plano de recuperação.
Sincronização temporal (NTP) para evitar contestação de datas.
Suporte a exportação padrão HL7/FHIR.

Guarda mínima: 20 anos após o último atendimento

O CFM (Resolução 1.821/2007) exige guarda mínima de 20 anos após o último registro clínico do paciente. Prontuário de menor de idade conta 20 anos a partir da maioridade. Prontuário pediátrico crítico pode passar de 30 anos. Perder prontuário nesse intervalo é falta ética grave e vira responsabilidade civil em qualquer ação.

LGPD e prontuário: o que muda

A Lei 13.709/2018 (LGPD) classifica dado de saúde como 'sensível', com regras mais duras. Toda clínica precisa ter:

Base legal definida (execução de contrato + proteção da vida + tutela da saúde).
Encarregado (DPO) nomeado — pode ser terceirizado.
Registro das operações de tratamento (ROPA).
Termo de consentimento para uso secundário (pesquisa, marketing).
Política de resposta a incidentes com notificação à ANPD em até 3 dias úteis.

Como migrar do papel sem quebrar norma

Migrar prontuário legado (papel) para eletrônico é permitido e recomendado, mas exige método:

Digitalizar com resolução mínima de 300 dpi, colorido, formato PDF/A.
Registrar hash SHA-256 de cada documento digitalizado (garante integridade).
Assinar o lote digitalizado com certificado ICP-Brasil da clínica.
Guardar o papel por pelo menos 5 anos após digitalização (recomendação SBIS).
Registrar em POP interno como a digitalização foi feita e por quem.

Como escolher sistema em 2026

O mercado explodiu depois da telessaúde. Critérios que separam sistema bom de sistema-armadilha:

Certificação SBIS-NGS2 vigente (peça o comprovante).
Assinatura digital nativa (ICP-Brasil ou VIDaaS).
Integração com faturamento TISS e emissor de NFS-e.
Portabilidade real dos dados (exportação HL7/FHIR).
Contrato com garantia de acesso aos dados por 20 anos mesmo se você sair.
Servidores em nuvem no Brasil (facilita compliance LGPD).

Perguntas frequentes

Posso ser multado por usar prontuário em papel?

Não existe multa direta por usar papel. Mas em ação por erro médico ou fiscalização de vigilância, prontuário ilegível, incompleto ou extraviado gera responsabilidade civil e ética grave.

Preciso pagar pela certificação SBIS?

Não. Quem se certifica é o fornecedor do software, não o médico. Você só precisa exigir sistema já certificado NGS2 vigente antes de contratar.

Posso guardar prontuário no Google Drive ou Dropbox?

Não como prontuário oficial. Faltam trilha de auditoria, controle de acesso granular e assinatura digital integrada. Serve só como cópia adicional de backup, nunca como sistema principal.

Se eu fechar a clínica, o que faço com os prontuários?

A guarda dos 20 anos permanece. Você pode contratar empresa de guarda especializada ou transferir para outro médico com autorização por escrito de cada paciente.

Conclusão

Em 2026, prontuário eletrônico deixou de ser modernização e virou proteção. Sistema SBIS-NGS2 com assinatura digital + backup criptografado + integração com faturamento TISS reduz risco jurídico, elimina extravio e ainda acelera o ciclo de recebimento. Migrar é operação de um mês; ficar no papel é apostar em não ser processado nos próximos 20 anos.

Prontuário eletrônico é obrigatório em 2026? O que diz o CFM na prática