Cessão de Prontuário e LGPD: Quando o Paciente Pode Exigir Dados

title: "Cessão de Prontuário e LGPD: Quando o Paciente Pode Exigir Dados" description: "Cessão de Prontuário e LGPD: Quando o Paciente Pode Exigir Dados: guia completo e atualizado para advogados em 2026 com legislação, jurisprudência e aplicação prática." date: "2026-04-06" category: "Direito Médico" tags: ["direito médico", "saúde", "prontuário", "LGPD", "paciente"] author: "BeansTech" readingTime: "9 min" published: true featured: false

O prontuário médico é um documento fundamental na relação médico-paciente, sendo seu conteúdo de propriedade do paciente e a guarda de responsabilidade da instituição de saúde. Com o advento da Lei Geral de Proteção de Dados (LGPD - Lei nº 13.709/2018), a discussão sobre a cessão e o acesso ao prontuário ganhou novos contornos, exigindo das instituições de saúde um rigoroso controle sobre o tratamento de dados pessoais sensíveis, assegurando o direito do paciente à informação e a proteção de sua privacidade.

A Natureza Jurídica do Prontuário Médico

O prontuário médico, conforme definido pelo Conselho Federal de Medicina (CFM) na Resolução nº 1.638/2002, é o documento único constituído de um conjunto de informações, sinais e imagens registradas, geradas a partir de fatos, acontecimentos e situações sobre a saúde do paciente e a assistência a ele prestada, de caráter legal, sigiloso e científico.

Embora o prontuário físico (papel ou meio eletrônico) pertença à instituição de saúde ou ao médico, as informações nele contidas são de propriedade exclusiva do paciente. Essa distinção é crucial para entender os direitos e deveres de ambas as partes.

A guarda do prontuário é dever da instituição de saúde ou do médico assistente. O Conselho Federal de Medicina, através da Resolução nº 1.821/2007, estabelece que o prazo mínimo de guarda do prontuário em suporte de papel é de 20 (vinte) anos a partir do último registro. Para prontuários digitalizados ou em suporte eletrônico, a guarda é permanente.

O Impacto da LGPD na Saúde

A LGPD (Lei nº 13.709/2018) trouxe uma revolução na forma como dados pessoais são tratados no Brasil. No setor da saúde, o impacto é ainda mais significativo, pois as informações de saúde são consideradas dados pessoais sensíveis (Art. 5º, inciso II, da LGPD).

Dados pessoais sensíveis exigem um nível de proteção e segurança mais elevado, pois o seu vazamento ou tratamento inadequado pode causar danos significativos ao titular, como discriminação, constrangimento ou prejuízos financeiros.

O Tratamento de Dados Pessoais Sensíveis

O tratamento de dados pessoais sensíveis, como as informações contidas em um prontuário médico, só pode ocorrer em hipóteses restritas, previstas no Artigo 11 da LGPD. Dentre essas hipóteses, destacam-se:

Consentimento do titular: O consentimento deve ser fornecido de forma específica e destacada, para finalidades específicas. No contexto da assistência à saúde, o consentimento é a base legal mais comum, embora existam exceções.
Tutela da saúde: O tratamento pode ocorrer sem consentimento quando for necessário para a tutela da saúde, exclusivamente, em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária (Art. 11, inciso II, alínea "f", da LGPD).
Proteção da vida ou da incolumidade física: Em situações de emergência, quando não for possível obter o consentimento, o tratamento é permitido para proteger a vida ou a incolumidade física do titular ou de terceiro (Art. 11, inciso II, alínea "e", da LGPD).
Cumprimento de obrigação legal ou regulatória: O tratamento é permitido quando necessário para atender a exigências legais ou regulatórias, como as normas do CFM e do Ministério da Saúde.

É fundamental que as instituições de saúde documentem adequadamente a base legal utilizada para o tratamento de dados pessoais sensíveis. A falta de documentação ou a escolha inadequada da base legal pode resultar em sanções por parte da Autoridade Nacional de Proteção de Dados (ANPD).

O Direito de Acesso do Paciente ao Prontuário

O direito do paciente de acessar o seu próprio prontuário médico é garantido por diversas normas, incluindo o Código de Defesa do Consumidor (CDC), o Código de Ética Médica (CEM) e, mais recentemente, a LGPD.

A LGPD e o Direito de Acesso

A LGPD fortaleceu o direito de acesso do titular aos seus dados pessoais. O Artigo 18, inciso II, garante ao titular o direito de obter, a qualquer momento e mediante requisição, o acesso aos dados que estão sendo tratados pela instituição de saúde.

O Artigo 19 da LGPD detalha como esse acesso deve ser fornecido:

Formato simplificado: A instituição de saúde deve fornecer o acesso aos dados em formato simplificado, imediatamente.
Declaração clara e completa: O titular também pode solicitar uma declaração clara e completa, que indique a origem dos dados, a inexistência de registro, os critérios utilizados e a finalidade do tratamento. Essa declaração deve ser fornecida no prazo de até 15 (quinze) dias, contados da data do requerimento do titular.

A recusa injustificada de acesso ao prontuário pode configurar infração à LGPD, sujeitando a instituição de saúde às sanções previstas na lei, como advertência, multa simples, multa diária, publicização da infração, entre outras.

O Código de Ética Médica e o Acesso ao Prontuário

O Código de Ética Médica (Resolução CFM nº 2.217/2018) também assegura o direito do paciente de acessar o seu prontuário. O Artigo 88 veda ao médico negar, ao paciente, acesso a seu prontuário, deixar de lhe fornecer cópia quando solicitada, bem como deixar de lhe dar explicações necessárias à sua compreensão, salvo quando ocasionarem riscos ao próprio paciente ou a terceiros.

O Artigo 89 do CEM determina que o médico deve liberar cópias do prontuário sob sua guarda, quando solicitado por paciente, ou seu representante legal, e, em caso de óbito do paciente, quando solicitado por cônjuge/companheiro, parentes em linha reta, ou colaterais até o quarto grau, salvo se o paciente, em vida, tiver manifestado vontade em contrário.

Limites e Exceções ao Acesso

Embora o direito de acesso seja a regra, existem algumas exceções e limites que devem ser observados.

Riscos ao Paciente ou a Terceiros

Como mencionado, o Artigo 88 do CEM prevê que o médico pode negar acesso ao prontuário ou deixar de dar explicações se isso puder causar riscos ao próprio paciente ou a terceiros. Essa exceção deve ser aplicada com extrema cautela e deve ser devidamente fundamentada no prontuário. A recusa injustificada pode ser considerada infração ética.

Informações Sigilosas de Terceiros

O prontuário pode conter informações sobre terceiros, como familiares do paciente. O acesso a essas informações deve ser restrito, protegendo a privacidade e o sigilo dos terceiros envolvidos. A instituição de saúde deve tomar medidas para ocultar ou anonimizar essas informações antes de fornecer cópia do prontuário ao paciente.

Requisições Judiciais

Em algumas situações, o acesso ao prontuário pode ser requisitado por ordem judicial. Nesses casos, a instituição de saúde deve cumprir a ordem judicial, fornecendo as informações solicitadas. No entanto, é importante ressaltar que a instituição de saúde deve fornecer apenas as informações estritamente necessárias para o cumprimento da ordem judicial, preservando o sigilo das demais informações.

Cessão do Prontuário a Terceiros

A cessão do prontuário a terceiros, sem o consentimento do paciente, é, em regra, vedada pelo Código de Ética Médica e pela LGPD. O sigilo médico e a proteção da privacidade do paciente são princípios fundamentais na relação médico-paciente.

Existem, no entanto, algumas exceções que permitem a cessão do prontuário sem o consentimento do paciente:

Requisição judicial: Como mencionado, a instituição de saúde deve cumprir ordem judicial que requisite o prontuário.
Defesa do próprio médico: O médico pode utilizar informações do prontuário para se defender em processos judiciais, administrativos ou ético-disciplinares, desde que as informações sejam estritamente necessárias para a sua defesa.
Justa causa: O CFM admite a quebra do sigilo médico em situações de justa causa, como nos casos de doenças de notificação compulsória, suspeita de crimes contra crianças e adolescentes, ou quando a revelação for necessária para evitar danos graves ao paciente ou a terceiros.

A cessão do prontuário para fins de pesquisa científica também é regulamentada. O Conselho Nacional de Saúde (CNS), através da Resolução nº 466/2012, estabelece as diretrizes e normas regulamentadoras de pesquisas envolvendo seres humanos. A utilização de dados de prontuários em pesquisas deve ser aprovada por um Comitê de Ética em Pesquisa (CEP) e, em regra, exige o consentimento do paciente. Em algumas situações, o CEP pode dispensar o consentimento, desde que justificado e que sejam garantidas a confidencialidade e a privacidade dos dados.

Boas Práticas para Instituições de Saúde

Para garantir o cumprimento da LGPD e do Código de Ética Médica, as instituições de saúde devem adotar boas práticas no tratamento de dados de saúde:

Implementar um programa de adequação à LGPD: A instituição de saúde deve ter um programa estruturado de adequação à LGPD, com políticas, procedimentos e treinamentos para todos os colaboradores.
Nomear um Encarregado pelo Tratamento de Dados Pessoais (DPO): O DPO é o responsável por orientar a instituição de saúde sobre o cumprimento da LGPD e atuar como canal de comunicação entre a instituição, os titulares dos dados e a ANPD.
Realizar o mapeamento de dados: A instituição de saúde deve mapear todos os dados pessoais que trata, identificando a base legal, a finalidade, o prazo de retenção e os riscos associados ao tratamento.
Adotar medidas de segurança da informação: A instituição de saúde deve implementar medidas técnicas e administrativas para proteger os dados pessoais contra acessos não autorizados, vazamentos, perda, alteração ou destruição.
Garantir o direito de acesso do titular: A instituição de saúde deve ter um processo claro e eficiente para atender às requisições de acesso aos dados, respeitando os prazos estabelecidos pela LGPD.

Perguntas Frequentes

O paciente pode solicitar a exclusão do seu prontuário médico?

Em regra, não. O prontuário médico deve ser guardado pela instituição de saúde por um prazo mínimo (20 anos para prontuários em papel e permanentemente para prontuários eletrônicos), conforme resolução do CFM. A LGPD prevê exceções ao direito de exclusão, como nos casos em que o tratamento é necessário para o cumprimento de obrigação legal ou regulatória.

A família do paciente tem direito de acesso ao prontuário após o seu falecimento?

Sim, o Código de Ética Médica (Art. 89) garante o acesso ao prontuário ao cônjuge/companheiro, parentes em linha reta, ou colaterais até o quarto grau, salvo se o paciente, em vida, tiver manifestado vontade em contrário.

O médico pode cobrar para fornecer cópia do prontuário ao paciente?

A instituição de saúde pode cobrar apenas os custos referentes à reprodução do prontuário (cópias), não podendo cobrar honorários médicos ou taxas administrativas abusivas.

Um plano de saúde pode solicitar cópia do prontuário do paciente?

Apenas com o consentimento expresso do paciente ou por ordem judicial. O plano de saúde não tem direito de acesso irrestrito ao prontuário, devendo respeitar o sigilo médico e a LGPD.

O que fazer se a instituição de saúde se recusar a fornecer cópia do prontuário?

O paciente pode registrar reclamação no Conselho Regional de Medicina (CRM) do seu estado, na Agência Nacional de Saúde Suplementar (ANS) - se for o caso de plano de saúde -, ou ingressar com ação judicial para obter o acesso ao documento. A recusa injustificada também pode ser denunciada à ANPD.