Backup do consultório: o plano mínimo para não perder prontuário

O computador da recepção não liga numa segunda-feira de manhã, ou o sistema em nuvem fica fora do ar no meio do expediente. Alguém lembra que "tem backup". Ninguém sabe onde ele está, de quando é, nem se abre. É nessa hora que o consultório descobre se tinha um plano ou só uma pasta copiada.

A resposta direta: O plano mínimo é o 3-2-1-T: 3 cópias dos dados, em 2 tipos de meio diferentes, com 1 cópia fora do consultório, e restauração testada 1 vez por trimestre. A produção conta como a cópia 1; a cópia 2 fica num HD externo ou NAS criptografado; a cópia 3, na nuvem ou na exportação do fornecedor. Prontuário e agenda têm cópia diária; financeiro, documentos assinados/termos e imagens clínicas, semanal. Cada linha do plano tem um cargo responsável e uma verificação. No teste trimestral, restaura-se 1 paciente e 1 data sorteados a partir da cópia 3, e o resultado vai para um log. Backup que nunca foi restaurado conta como zero cópias.

Por que o backup que existe no papel falha no dia em que é preciso

Três defeitos derrubam o backup improvisado, e podem aparecer juntos. O primeiro é a cópia única: um HD externo que fica ao lado do computador que ele protege, na mesma tomada, na mesma sala, exposto ao mesmo furto, à mesma infiltração e ao mesmo vírus que criptografa tudo o que está conectado. O segundo é o dono invisível: a cópia foi configurada por um técnico anos atrás, ninguém da equipe sabe se ela ainda roda e o aviso de erro chega num e-mail que ninguém lê. O terceiro, e o mais caro, é que a cópia nunca foi restaurada. Ela existe, ocupa espaço, aparece como "concluída" no painel e mesmo assim pode estar incompleta, corrompida ou num formato que só o sistema antigo abre.

Por isso o plano desta página parte de uma regra dura: backup que nunca foi restaurado conta como zero cópias. Enquanto ninguém abriu um prontuário a partir da cópia, o consultório não sabe se tem backup; sabe apenas que tem um arquivo.

Há também uma razão de responsabilidade. Dado de saúde é dado pessoal sensível pela LGPD (art. 5º, II), e o art. 46 atribui aos agentes de tratamento o dever de adotar medidas de segurança aptas a proteger os dados de situações acidentais ou ilícitas de destruição e perda. A lei não prescreve um formato de cópia nem uma frequência de teste. O desenho abaixo é uma escolha de gestão para cumprir esse dever de forma verificável; valide o enquadramento com seu assessor jurídico.

O mecanismo: redundância que não compartilha o mesmo risco

Uma cópia só protege contra o evento que não a atinge junto com o original. Duas cópias no mesmo HD protegem contra apagar um arquivo por engano, e contra mais nada. Duas cópias em meios diferentes, na mesma sala, protegem contra a falha de um equipamento, mas não contra incêndio, furto ou alagamento. A cópia fora do consultório cobre o evento local; o teste de restauração cobre o defeito que nenhuma cópia revela sozinha: a cópia que não abre.

Para organizar isso, esta página usa a regra 3-2-1, acrescida de um T de teste. Cada letra responde a um risco diferente, e é por isso que nenhuma delas substitui a outra.

O Plano de Backup 3-2-1-T do Consultório

A tabela abaixo é o plano em si: uma linha por ativo de dado, pronta para copiar e preencher com os cargos da sua equipe. Prontuário/sistema e agenda têm cópia diária, porque são os ativos que mudam a cada atendimento; financeiro, documentos assinados/termos e imagens clínicas têm cópia semanal.

A coluna RESPONSÁVEL leva o nome do cargo, não da pessoa, para o plano sobreviver à troca de equipe. Quem guarda e quem testa as cópias manuseia prontuário: o Código de Ética Médica veda ao médico permitir o manuseio e o conhecimento dos prontuários por pessoas não obrigadas ao sigilo profissional (art. 85). Na prática, o cargo que ocupa essa coluna precisa estar sob dever de sigilo, e o técnico externo que ajuda no teste também.

Teste de Restauração Trimestral

1. Marque a data do teste no início de cada trimestre e nomeie quem testa (o cargo da coluna RESPONSÁVEL do prontuário).
2. Sorteie 1 paciente atendido no trimestre e 1 data de atendimento dele.
3. Restaure os dados a partir da cópia 3, a que fica fora do consultório, num ambiente separado da produção (outro computador ou uma instância de teste), sem sobrescrever nada do sistema em uso. Uma vez por ano, faça o mesmo teste a partir da cópia 2.
4. Abra o prontuário do paciente sorteado na data sorteada e confira que a evolução abre e está completa.
5. Confira que os anexos abrem (exames, imagens clínicas) e que o termo assinado aparece com a assinatura legível ou válida.
6. Cronometre o tempo do início da restauração até o prontuário aberto na tela.
7. Registre no log: data do teste, quem testou, tempo cronometrado e falhas encontradas (ou "sem falhas").
8. Se houve falha, abra a correção com prazo e repita o teste depois dela; até lá, aquela cópia não conta.

As 4 perguntas para cobrar do fornecedor do sistema em nuvem

Sistema em nuvem não dispensa o plano; ele muda a pergunta. Leve estas quatro ao contrato ou ao suporte e guarde as respostas por escrito:

1. Onde fica a cópia? Em que infraestrutura e em que país os dados e as cópias do consultório são guardados.
2. Exportação em formato aberto: o consultório consegue exportar prontuário, agenda e anexos num formato que outro sistema lê, sem depender do fornecedor para abrir?
3. Prazo de devolução dos dados na rescisão: em quanto tempo, e em que formato, o fornecedor entrega os dados se o contrato acabar.
4. Aviso de incidente: como e em quanto tempo o fornecedor avisa o consultório se houver incidente de segurança com os dados.

A última pergunta tem motivo concreto: pelo art. 48 da LGPD, cabe ao controlador comunicar à ANPD e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante, em prazo razoável. Quando o incidente acontece no fornecedor, o consultório só consegue comunicar se for avisado. O § 1º do mesmo artigo deixa o prazo para a autoridade nacional definir; confirme a regra vigente com seu assessor jurídico.

Aplicação prática: o que muda de um consultório para outro

O plano é o mesmo para qualquer especialidade; o que muda é o peso de cada linha. Onde a imagem clínica é o registro central, como em procedimentos estéticos, cirurgia ou oftalmologia, vale incluir as imagens do paciente sorteado em todo teste trimestral. Onde o atendimento é sobretudo consulta, como em psiquiatria ou endocrinologia, a evolução completa é o item a conferir com mais cuidado. Onde há muitos termos assinados, confira na cópia restaurada se a assinatura valida, e não só se o arquivo abre.

Na escolha do sistema, as 4 perguntas ao fornecedor entram como critério de seleção, não como detalhe de contrato, e funcionam melhor quando são feitas antes da assinatura. Esse critério se soma aos que estão em como escolher um CRM para clínica. E, se o consultório está começando a usar ferramentas de IA sobre esses mesmos dados, o plano de backup vem antes: o roteiro de IA no consultório: por onde começar parte de dados que você sabe onde estão e consegue recuperar.

Os números do exemplo são fictícios e ilustrativos, não constituindo promessa de resultado. Cada consultório tem realidade própria. Este conteúdo não substitui orientação contábil, jurídica ou de proteção de dados (LGPD) específica para o seu caso.

Dr. Thiago Perfeito · CRM-DF 23199

Médico, dono de consultório particular em Brasília–DF. Escreve sobre gestão, precificação e operação de consultório a partir da própria prática — não de teoria de consultoria.