Prontuário ocupacional é documento sob responsabilidade médica, e o RH nunca acessa seu conteúdo clínico integral. A digitalização só permite descartar o papel se atender ao NGS2, ao Decreto nº 10.278/2020 e, quando aplicável, à assinatura ICP-Brasil. Na prática, isso significa segregar acessos por perfil, registrar logs de auditoria e manter guarda mínima de 20 anos.
Em resumo:
- A digitalização do prontuário ocupacional só é válida se atender ao NGS2 do CFM, ao Decreto nº 10.278/2020 e, quando aplicável, à assinatura ICP-Brasil, além de garantir logs de auditoria e guarda de 20 anos.
- Para assegurar validade jurídica, os documentos digitalizados devem estar em formato PDF/A, com resolução mínima de 300 dpi, metadados completos e assinatura digital quando exigido, além de testes periódicos de restauração de backup.
- O acesso ao conteúdo clínico fica restrito à equipe de saúde do SESMT e ao médico do trabalho, enquanto o RH acessa apenas informações básicas do Atestado de Saúde Ocupacional, sem detalhes clínicos.
- Empresas que terceirizam a digitalização devem formalizar contratos de operador de dados (DPA), nomear encarregado de dados (DPO) e implementar controle de acesso segregado por perfil.
- A eliminação do papel só é permitida após validação técnica e documentação rigorosa, com comprovação de metadados, assinatura digital e trilha de auditoria em conformidade com a legislação vigente.
Índice
- Quais leis regem a digitalização e o sigilo do prontuário ocupacional?
- Como garantir valor probatório e sigilo na digitalização técnica
- Quem pode acessar o prontuário e como estruturar os contratos com fornecedores
- Passo a passo para digitalizar e validar prontuários ocupacionais
- O que a experiência prática revela sobre erros de sigilo no RH
- Como a Image One resolve a digitalização e o sigilo do prontuário ocupacional
- Fontes
- Perguntas frequentes
Quais leis regem a digitalização e o sigilo do prontuário ocupacional?
O arcabouço que sustenta qualquer projeto de digitalização de prontuários no Brasil combina quatro fontes normativas, e ignorar uma delas compromete o valor probatório do arquivo inteiro. A Lei nº 13.787/2018 autoriza a eliminação do papel desde que a versão digital preserve integridade, autenticidade e confidencialidade, e fixa o prazo de guarda em 20 anos. Já o Decreto nº 10.278/2020 detalha como isso deve ocorrer na prática: metadados mínimos, rastreabilidade do processo e assinatura digital no padrão ICP-Brasil quando exigido.
O Conselho Federal de Medicina entra nesse conjunto com uma exigência técnica específica: sistemas que pretendem eliminar o papel precisam atingir o Nível de Garantia de Segurança 2, o NGS2. Sem essa certificação, a empresa é obrigada a manter o prontuário físico em paralelo ao digital, o que anula boa parte do ganho operacional da digitalização.
A LGPD adiciona a camada de proteção de dados sensíveis. Informações de saúde exigem base legal específica, e a ANPD reforça que os titulares mantêm direitos de acesso, correção, eliminação e portabilidade sobre esses dados. Na rotina de compliance, isso se traduz em quatro obrigações concretas:
- Mapear todos os tratamentos de dados de saúde realizados pela empresa, incluindo terceiros contratados.
- Definir a base legal aplicável a cada tratamento (cumprimento de obrigação legal, execução de contrato de trabalho, entre outras).
- Garantir canal de resposta para solicitações dos titulares sobre seus próprios dados.
- Documentar o prazo de guarda de 20 anos e o procedimento de eliminação ao final desse período.
Como garantir valor probatório e sigilo na digitalização técnica
O valor probatório de um prontuário digitalizado depende do processo técnico usado na captura, não apenas da existência de um arquivo em PDF. Documentos digitalizados sem metadados adequados, sem checksum e sem trilha de auditoria perdem força jurídica e podem ser contestados em processos trabalhistas, como mostram análises sobre digitalização e valor probatório.
Três exigências técnicas formam a base de qualquer digitalização defensável:
- Formato e resolução: arquivos em PDF/A para texto e resolução mínima de 300 dpi para imagens, com PNG quando o documento exigir preservação fiel de cor ou textura.
- Metadados mínimos: autor do documento original, data de captura, responsável técnico pela digitalização e código de checksum que comprove que o arquivo não foi alterado depois de gerado.
- Assinatura digital: certificado ICP-Brasil quando a lei exigir força probatória plena; entre particulares, alternativas de assinatura eletrônica avançada também são aceitas em determinados contextos.
A plataforma de gestão eletrônica de documentos (GED) entra como camada operacional sobre esses três pontos. Um software GED bem configurado permite indexação por metadados, busca rápida por colaborador ou período, criptografia em repouso e em trânsito, e testes periódicos de restauração de backup, essenciais para comprovar que o arquivo sobrevive a falhas técnicas sem perda de integridade.
Dica profissional: Teste a restauração do seu backup de prontuários trimestralmente, não apenas anualmente. Um arquivo corrompido só é descoberto no pior pior momento possível: durante uma auditoria ou uma ação trabalhista.
O registro da trilha de auditoria, quem acessou, quando e o que foi consultado, precisa ficar disponível por período compatível com os 20 anos de guarda exigidos pela Lei nº 13.787/2018. Sem esse histórico, a empresa não tem como provar que o acesso ao conteúdo clínico ficou restrito à equipe médica.
Quem pode acessar o prontuário e como estruturar os contratos com fornecedores
O médico do trabalho responde pelo prontuário ocupacional, e o acesso ao conteúdo clínico completo fica restrito à equipe de saúde do SESMT, cada um com senha pessoal. Um parecer do CFM sobre prontuário eletrônico e NGS2 deixa isso explícito: senhas master de RH devem permitir apenas funções administrativas, nunca a leitura do histórico clínico do colaborador.
Na prática, isso exige separar o que o RH recebe do que fica trancado com a equipe médica:
- O RH acessa o Atestado de Saúde Ocupacional (ASO) com o resultado “apto” ou “inapto para a função”, sem detalhes clínicos.
- A liderança direta recebe apenas informações operacionais, como restrições de função quando aplicável.
- O SESMT e o médico do trabalho mantêm acesso integral ao prontuário clínico, protegido por autenticação individual.
Guias de mercado sobre sigilo médico ocupacional reforçam essa separação entre ASO, atestados e prontuário clínico como pilar de qualquer política de acesso bem desenhada.
Do lado contratual, a empresa que terceiriza digitalização ou armazenamento precisa formalizar um contrato de operador de dados (DPA) que exija medidas técnicas e organizacionais equivalentes às suas próprias, além de direito de auditoria sobre o fornecedor. Nomear um encarregado de dados (DPO) e manter canal aberto com os titulares completa esse desenho de governança, como recomenda a ANPD. Ao trocar de fornecedor, a transferência de arquivos precisa seguir procedimento formal e documentado, com confirmação de integridade dos dados recebidos.
Passo a passo para digitalizar e validar prontuários ocupacionais
Um projeto de digitalização que resiste a uma auditoria trabalhista segue uma sequência lógica, e pular etapas é o erro mais comum entre empresas que tentam fazer isso internamente sem apoio especializado.
- Mapeie o acervo: separe fisicamente prontuários clínicos, ASOs, atestados e relatórios de afastamento. Cada tipo documental tem regime de acesso e retenção diferente.
- Forme a comissão de revisão: a Lei nº 13.787/2018 exige critérios formais para autorizar a eliminação do papel, e uma comissão interna documenta essa decisão.
- Especifique requisitos técnicos ao fornecedor: exija por contrato PDF/A, 300 dpi, metadados completos, checksum e certificação NGS2 quando o objetivo for eliminar o papel.
- Rode um piloto com amostra: digitalize um lote pequeno, valide a legibilidade, os metadados e a assinatura antes de escalar para o acervo completo.
- Documente todo o processo: cada etapa da digitalização precisa ficar registrada, incluindo quem validou a amostra e quais ajustes foram feitos.
- Implemente controle de acesso segregado: defina perfis por função (RH, SESMT, jurídico) antes de liberar o sistema para uso.
- Assine o contrato DPA com o fornecedor e prepare um plano de resposta a incidentes, com revogação de acessos comprometidos em até 24 horas.
Dica profissional: Nunca digitalize o acervo inteiro de uma vez. Um piloto de 50 a 100 prontuários revela falhas de processo (metadados incompletos, digitalização com aparência ilegível) antes que o problema se repita em milhares de arquivos.
O checklist de digitalização de documentos no RH detalha cada uma dessas etapas com critérios de validação específicos para times que conduzem o projeto internamente.
O que a experiência prática revela sobre erros de sigilo no RH
A Image One atua há anos em digitalização registrada e compliance documental, e o padrão de erro mais recorrente não é técnico: é organizacional. Empresas digitalizam corretamente, mas deixam a senha administrativa do RH com permissão de leitura sobre campos clínicos, violando o princípio de segregação que o próprio CFM exige.
O segundo erro é subestimar a trilha de auditoria. Sem registro de quem acessou o quê, a empresa não tem como se defender quando um colaborador alega uso indevido de dados sensíveis em uma reclamação trabalhista. Contratar digitalização registrada e auditoria documental compensa quando o volume de prontuários torna o controle manual inviável.
— Alexandre Maiali
Como a Image One resolve a digitalização e o sigilo do prontuário ocupacional
Uma alternativa à montagem desse processo do zero internamente é contratar digitalização registrada com certificação cartorial, o que pode garantir valor legal equivalente ao documento físico sem exigir que o time construa a expertise técnica em NGS2 e ICP-Brasil sozinho.
O trabalho combina quatro frentes que resolvem exatamente os pontos críticos deste artigo: Digitalização Registrada com trilha de auditoria completa, Assinatura Eletrônica em padrão ICP-Brasil, Software GED com segregação de acesso por perfil e Compliance Documental para manter tudo isso auditável ao longo dos 20 anos de guarda exigidos por lei. Em caso de incidente, o controle de acesso a documentos do RH permite revogar permissões comprometidas em até 24 horas.
Se sua empresa tem múltiplas unidades e um acervo de prontuários que já ultrapassou a capacidade de controle manual, o próximo passo é solicitar um diagnóstico da situação atual e mapear o que precisa ser digitalizado com valor legal antes de qualquer eliminação de papel.
Este artigo fornece informações gerais e não substitui a orientação de um advogado qualificado. Consulte um profissional jurídico qualificado sobre o seu caso antes de agir com base neste conteúdo.
Fontes
- Decreto nº 10.278/2020
- Resolução CFM — Manual de Certificação / NGS2
- FAQ ANPD — direitos dos titulares e competências da ANPD
Perguntas frequentes
O RH pode acessar o conteúdo clínico do prontuário ocupacional?
O RH pode acessar o conteúdo clínico do prontuário ocupacional?
Não. O conteúdo clínico fica restrito à equipe de saúde do SESMT e ao médico do trabalho, cada um com senha pessoal, conforme reforça o parecer do CFM sobre prontuário eletrônico. O RH recebe apenas o resultado do ASO, sem detalhes clínicos.
Quanto tempo a empresa precisa guardar o prontuário ocupacional?
O prazo mínimo é de 20 anos, conforme estabelece a Lei nº 13.787/2018. Esse período vale tanto para prontuários físicos quanto para versões digitalizadas com valor probatório.
É possível eliminar o papel depois de digitalizar o prontuário?
Sim, desde que o processo atenda ao NGS2 exigido pelo CFM e aos requisitos técnicos do Decreto nº 10.278/2020, incluindo metadados, assinatura digital e trilha de auditoria. Sem essa certificação, o papel precisa ser mantido em paralelo.
Quanto custa contratar digitalização registrada com a Image One?
O valor não está publicado e varia conforme volume de prontuários, número de unidades e complexidade do acervo. A Image One disponibiliza um diagnóstico específico pela página de Digitalização Registrada.
O que fazer em caso de vazamento de dados de saúde de colaboradores?
A empresa precisa revogar imediatamente os acessos comprometidos, idealmente em até 24 horas, e comunicar o incidente conforme exigido pela LGPD. A ANPD pode aplicar penalidades quando a falha decorrer de falta de medidas de segurança adequadas.