As Novas Regras do CFM e SBIS para Prontuários Eletrônicos em 2026: O Que o Psiquiatra Precisa Saber
Descubra as exigências legais da Lei 13.787 e da LGPD para clínicas de saúde mental. Entenda por que sistemas genéricos expõem o médico a riscos jurídicos irreversíveis.
O cenário da psiquiatria digital e o fator de risco em 2026
À medida que a telepsiquiatria e a digitalização de prontuários avançam no Brasil, o Conselho Federal de Medicina (CFM) e a Sociedade Brasileira de Informática em Saúde (SBIS) têm endurecido substancialmente as normativas de compliance e guarda de dados de saúde mental.
Os dados psiquiátricos enquadram-se na categoria máxima de sensibilidade (dados sensíveis, conforme o Art. 11 da LGPD — Lei 13.709/2018). Um vazamento ou auditoria mal-sucedida não resulta apenas em multas financeiras, mas na responsabilização ética e civil direta do médico titular e da clínica.
A transição de arquivos físicos ou sistemas genéricos na nuvem (como Google Drive e WhatsApp) para prontuários eletrônicos certificados deixou de ser uma opção de conveniência e tornou-se mandato legal de proteção ao paciente.
1. A Lei do Prontuário Eletrônico e os 20 anos de guarda
Um dos pontos mais críticos diz respeito à temporalidade da guarda dos registros médicos.
Temporalidade exigida: a Lei 13.787/2018 determina que prontuários médicos digitalizados ou nativamente eletrônicos devem ser arquivados por, no mínimo, 20 anos a partir do último registro de atendimento do paciente.
Integridade do dado: para que um documento digital tenha validade jurídica nesse período, ele não pode ser um mero arquivo de texto editável. O prontuário precisa operar sob trilhas de auditoria imutáveis.
Sistemas locais x nuvem: manter servidores locais na clínica tornou-se financeiramente e tecnicamente inviável devido à necessidade de redundância de backups para proteger dados por duas décadas contra falhas de mídia física.
2. Certificação SBIS e o Nível de Garantia de Segurança (NGS)
O Manual de Certificação para Sistemas de Registro Eletrônico de Saúde (S-RES) emitido pela SBIS (historicamente em convênio com o CFM) estabelece Níveis de Garantia de Segurança (NGS1 e NGS2). O selo SBIS em si é voluntário, mas atender aos requisitos técnicos não é opcional em dois cenários: a CFM 1.821/2007 exige o NGS2 para eliminar o papel, e a CFM 2.314/2022 (art. 3º, §2º) exige que o sistema de registro usado em telemedicina atenda integralmente ao NGS2. Além disso, o selo é o principal padrão de mercado e instrumento de defesa do médico em sindicâncias. Para clínicas de psiquiatria, devido à natureza sigilosa dos relatos, o NGS2 é o nível de referência — e, como visto acima, exigido para operar sem papel e em telemedicina.
Trilha de auditoria (audit trail)
Todo sistema deve registrar, de maneira inalterável: quem acessou, quando acessou, o que foi alterado e qual era o valor anterior. Softwares genéricos não possuem esse rastreamento temporal rigoroso, deixando o profissional vulnerável em eventuais sindicâncias do conselho.
Criptografia e assinatura digital
Boas práticas amplamente adotadas em sistemas de saúde envolvem criptografia em repouso (Data at Rest) e em trânsito (Data in Transit), tipicamente com algoritmos como AES-256 e TLS 1.3 — padrões reconhecidos internacionalmente. Para receituários de medicamentos sujeitos à Portaria SVS/MS 344/1998 (controle especial), a prescrição digital exige assinatura qualificada com certificado ICP-Brasil, conforme a regulamentação da Anvisa sobre prescrição eletrônica e o nível de assinatura definido pela Lei 14.063/2020. Para outros documentos médicos eletrônicos (atestados comuns, declarações, relatórios), a régua também é alta: a Lei 14.063/2020 exige assinatura eletrônica qualificada (ICP-Brasil) inclusive para atestados médicos em meio eletrônico, e a Resolução CFM 2.299/2021 disciplina a assinatura ICP-Brasil validável para documentos médicos eletrônicos — a modalidade "avançada" fica restrita a documentos de saúde fora dessas hipóteses.
3. Como a LGPD impacta a saúde mental
No contexto psiquiátrico, informações como diagnósticos, histórico de uso de substâncias, dinâmicas familiares ou orientação sexual são dados ultra-sensíveis. A adequação à LGPD exige:
Controle de acesso baseado em função (RBAC): secretárias e administradores de clínica não podem ter acesso ao conteúdo evolutivo do psiquiatra. Eles devem enxergar apenas dados demográficos, financeiros e agenda. O prontuário clínico deve ser blindado por segregação técnica.
Consentimento prévio documentado: o sistema deve permitir o armazenamento digital do Termo de Consentimento Livre e Esclarecido (TCLE), especialmente em teleconsultas e no uso de IA como apoio à decisão clínica, com revisão humana obrigatória (CFM 2.454/2026).
Anonimização em pesquisas: caso a clínica consolide dados para pesquisas ou estatísticas, o software deve garantir a desidentificação dos pacientes.
Como o CliniqMais aborda essas exigências
O CliniqMais foi projetado sob a ótica Security by Design, seguindo boas práticas de segurança da informação. O CliniqMais não possui certificação formal S-RES/SBIS (selo voluntário, ainda não obtido). Descrevemos abaixo os controles técnicos efetivamente adotados:
Banco de dados em infraestrutura aderente à LGPD com criptografia em repouso e em trânsito
Row Level Security (RLS) no banco de dados — segregação técnica por profissional/clínica
Trilha de auditoria de escritas e exportações de prontuário (quem, quando e o quê), com registro de acessos
Autenticação em dois fatores (2FA) com TOTP
Integração com provedor ICP-Brasil (BirdID, da Soluti) para assinatura digital de receituários de controle especial
Este conteúdo foi revisado em 17 de maio de 2026. As normativas e padrões técnicos podem ser atualizados — consulte sempre as fontes oficiais. Texto não substitui assessoria jurídica especializada.