As Novas Regras do CFM e SBIS para Prontuários Eletrônicos em 2026: O Que o Psiquiatra Precisa Saber
Descubra as exigências legais da Lei 13.787 e da LGPD para clínicas de saúde mental. Entenda por que sistemas genéricos expõem o médico a riscos jurídicos irreversíveis.
O cenário da psiquiatria digital e o fator de risco em 2026
À medida que a telepsiquiatria e a digitalização de prontuários avançam no Brasil, o Conselho Federal de Medicina (CFM) e a Sociedade Brasileira de Informática em Saúde (SBIS) têm endurecido substancialmente as normativas de compliance e guarda de dados de saúde mental.
Os dados psiquiátricos enquadram-se na categoria máxima de sensibilidade (dados sensíveis, conforme o Art. 11 da LGPD — Lei 13.709/2018). Um vazamento ou auditoria mal-sucedida não resulta apenas em multas financeiras, mas na responsabilização ética e civil direta do médico titular e da clínica.
A transição de arquivos físicos ou sistemas genéricos na nuvem (como Google Drive e WhatsApp) para prontuários eletrônicos certificados deixou de ser uma opção de conveniência e tornou-se mandato legal de proteção ao paciente.
1. A Lei do Prontuário Eletrônico e os 20 anos de guarda
Um dos pontos mais críticos diz respeito à temporalidade da guarda dos registros médicos.
- Temporalidade exigida: a Lei 13.787/2018 determina que prontuários médicos digitalizados ou nativamente eletrônicos devem ser arquivados por, no mínimo, 20 anos a partir do último registro de atendimento do paciente.
- Integridade do dado: para que um documento digital tenha validade jurídica nesse período, ele não pode ser um mero arquivo de texto editável. O prontuário precisa operar sob trilhas de auditoria imutáveis.
- Sistemas locais x nuvem: manter servidores locais na clínica tornou-se financeiramente e tecnicamente inviável devido à necessidade de redundância de backups para proteger dados por duas décadas contra falhas de mídia física.
2. Certificação SBIS e o Nível de Garantia de Segurança (NGS)
O Manual de Certificação para Sistemas de Registro Eletrônico de Saúde (S-RES) emitido pela SBIS, em parceria com o CFM, estabelece Níveis de Garantia de Segurança (NGS1 e NGS2). Para clínicas de psiquiatria, devido à natureza sigilosa dos relatos, o padrão recomendado é o mais alto.
Trilha de auditoria (audit trail)
Todo sistema deve registrar, de maneira inalterável: quem acessou, quando acessou, o que foi alterado e qual era o valor anterior. Softwares genéricos não possuem esse rastreamento temporal rigoroso, deixando o profissional vulnerável em eventuais sindicâncias do conselho.
Criptografia e assinatura digital
Boas práticas amplamente adotadas em sistemas de saúde envolvem criptografia em repouso (Data at Rest) e em trânsito (Data in Transit), tipicamente com algoritmos como AES-256 e TLS 1.3 — padrões reconhecidos internacionalmente. Para receituários de medicamentos sujeitos à Portaria SVS/MS 344/1998 (controle especial), a assinatura digital com certificado ICP-Brasil é obrigatória conforme a Lei 14.063/2020. Para outros documentos médicos eletrônicos (atestados comuns, declarações, relatórios), há maior flexibilidade — o CFM admite assinatura eletrônica em sentido amplo, desde que garanta autoria e integridade.
3. Como a LGPD impacta a saúde mental
No contexto psiquiátrico, informações como diagnósticos, histórico de uso de substâncias, dinâmicas familiares ou orientação sexual são dados ultra-sensíveis. A adequação à LGPD exige:
- Controle de acesso baseado em função (RBAC): secretárias e administradores de clínica não podem ter acesso ao conteúdo evolutivo do psiquiatra. Eles devem enxergar apenas dados demográficos, financeiros e agenda. O prontuário clínico deve ser blindado por segregação técnica.
- Consentimento prévio documentado: o sistema deve permitir o armazenamento digital do Termo de Consentimento Livre e Esclarecido (TCLE), especialmente em teleconsultas e em uso de IA na decisão clínica (CFM 2.454/2026).
- Anonimização em pesquisas: caso a clínica consolide dados para pesquisas ou estatísticas, o software deve garantir a desidentificação dos pacientes.
Como o CliniqMais aborda essas exigências
O CliniqMais foi projetado sob a ótica Security by Design, com:
- Banco de dados em infraestrutura aderente à LGPD com criptografia em repouso e em trânsito
- Row Level Security (RLS) no banco de dados — segregação técnica por profissional/clínica
- Trilha de auditoria completa de leituras, escritas e exportações de prontuário
- Autenticação em dois fatores (2FA) com TOTP
- Integração com provedores ICP-Brasil (BirdID, VaultID) para assinatura de receituários controlados
Para detalhes técnicos completos sobre as garantias do sistema, veja a página dedicada: LGPD em prontuário de saúde mental.
Fontes consultadas
Este conteúdo foi revisado em 17 de maio de 2026. As normativas e padrões técnicos podem ser atualizados — consulte sempre as fontes oficiais. Texto não substitui assessoria jurídica especializada.
← Todos os artigos · Conheça os planos do CliniqMais
CliniqMais — prontuário eletrônico para psiquiatria e saúde mental no Brasil