Prontuário eletrônico: o que olhar antes de assinar, além do preço da mensalidade

A demonstração dura quarenta minutos e mostra a agenda colorida, o modelo de evolução pronto, a receita que sai em dois cliques. Ninguém pergunta como os dados saem dali. Três anos depois, o médico quer trocar de sistema e descobre que o histórico dos pacientes, as fotos e os laudos anexados só existem dentro daquele software.

A resposta direta: avalie o prontuário eletrônico pela porta de saída, não pela de entrada. O checklist SAÍDA PRIMEIRO tem 4 portas, sempre nesta ordem: Saída (exportação do prontuário inteiro, com histórico, anexos e imagens, em formato aberto, feita pelo próprio médico e sem custo extra), Rastro (registro de quem acessou e alterou cada registro, com data e hora, consultável pelo médico), Encerramento (prazo e formato da devolução dos dados e eliminação comprovada da cópia do fornecedor) e Sensível (onde o dado fica, perfis que separem agenda e cadastro da camada clínica, e o papel de operador em contrato). A regra: avalie as 4 portas antes da demonstração; basta 1 resposta de problema na porta 1 (SAÍDA) para descartar o sistema, e as demais portas se negociam em contrato. A mensalidade entra por último.

Por que a demonstração engana: ela mostra a porta de entrada

Uma demonstração de software é desenhada para responder à pergunta "como é trabalhar aqui dentro?". Agenda, modelos de anamnese, atalhos de prescrição, integração com o WhatsApp da recepção: tudo isso é real e tudo isso importa no dia a dia. Mas é a parte do sistema que o fornecedor quer que você veja.

O que a demonstração não mostra é a relação de dependência que começa no primeiro paciente cadastrado. Cada evolução escrita, cada foto anexada, cada exame digitalizado aumenta o custo de sair. Esse custo é invisível enquanto tudo vai bem e aparece de uma vez em três situações: o fornecedor reajusta a mensalidade acima do que você aceita, o sistema deixa de atender uma necessidade nova da clínica, ou a empresa encerra o produto. Nas três, a pergunta deixa de ser "o sistema é bom?" e passa a ser "consigo levar meus dados embora, inteiros, sem pedir favor?".

Há um motivo profissional para essa pergunta vir antes de todas. O Código de Ética Médica veda ao médico deixar de elaborar prontuário legível para cada paciente (art. 87) e estabelece que o prontuário está sob a guarda do médico ou da instituição que assiste o paciente (art. 87, § 2º). O art. 88 veda negar ao paciente acesso ao seu prontuário e deixar de lhe fornecer cópia quando solicitada. Um prontuário que só pode ser lido dentro de um software de terceiro, e só sai de lá por decisão desse terceiro, coloca uma empresa no meio de um dever que é seu.

O mecanismo: avaliar de trás para frente

O desenho que funciona inverte a ordem da conversa com o fornecedor. Em vez de começar pelos recursos e terminar no preço, você começa pelo que acontece quando a relação acaba e só depois olha como é a relação enquanto dura. A lógica é de reversibilidade: um sistema que devolve o dado inteiro, em formato que outro software lê, é uma escolha que você pode desfazer. Um sistema que não devolve é uma escolha definitiva, e deve ser avaliado com o rigor de uma decisão definitiva.

Isso explica a assimetria da regra. A porta Saída trata de uma capacidade técnica do produto: se o sistema não exporta o prontuário inteiro em formato aberto, nenhuma cláusula faz ele exportar no dia em que você precisar. Com ela aprovada, um problema nas portas Rastro, Encerramento ou Sensível que o contrato não resolva não prende você ao sistema: o dado sai inteiro e a troca continua possível. Sem ela, qualquer problema prende. Por isso a porta 1 descarta e as outras se negociam.

E explica por que a mensalidade vem por último. Preço é a variável mais fácil de comparar e a que menos diz sobre o risco. Comparar mensalidades entre dois sistemas que passaram pela porta 1 é comparar coisas equivalentes. Comparar a mensalidade de um sistema que devolve seus dados com a de um que não devolve é comparar um aluguel com uma compra sem escritura.

O checklist completo: as perguntas ao fornecedor e as respostas que indicam problema

Mande as perguntas abaixo por escrito, antes de agendar a demonstração, e peça a resposta também por escrito. Resposta verbal de vendedor não vale como compromisso. A coluna da direita traz, para cada pergunta, a resposta que indica problema. Na porta 1, uma resposta dessas encerra a avaliação. Nas portas 2, 3 e 4, ela vira item de contrato.

Três observações sobre as portas que se negociam. Na porta Sensível, o motivo da separação de perfis é direto: dado referente à saúde é dado pessoal sensível na LGPD (art. 5º, II), com hipóteses de tratamento listadas de forma fechada no art. 11, e o Código de Ética Médica veda ao médico permitir o manuseio e o conhecimento dos prontuários por pessoas não obrigadas ao sigilo profissional, quando sob sua responsabilidade (art. 85). Um sistema em que a recepção abre a evolução clínica para remarcar um horário põe esse dispositivo em risco todos os dias. O mesmo art. 85 é o que dá sentido à porta Rastro: sem registro de quem abriu o quê, você não consegue verificar se a separação de perfis está funcionando.

Ainda na porta Sensível, a pergunta sobre o papel do fornecedor tem base no texto da lei: o operador realiza o tratamento segundo as instruções fornecidas pelo controlador (art. 39). O que se pede ao fornecedor é que o contrato o coloque nesse papel por escrito. Se esse é de fato o papel do fornecedor no seu arranjo específico, valide com o seu assessor jurídico.

Na porta Encerramento, a LGPD prevê que os dados pessoais serão eliminados após o término do tratamento, autorizada a conservação para finalidades que a própria lei lista, entre elas o cumprimento de obrigação legal ou regulatória pelo controlador (art. 16, I). O prontuário é justamente um documento que precisa continuar guardado. Por isso a pergunta tem duas metades, e a ordem importa: primeiro os dados voltam para quem tem a guarda; depois se comprova a eliminação da cópia que ficou com o fornecedor. O prazo de guarda do prontuário e a finalidade de conservação aplicável ao seu caso se verificam junto ao CRM da sua jurisdição e ao seu assessor jurídico.

A mesma porta Saída, especialidades diferentes

A porta 1 fala em "anexos e imagens" de forma genérica de propósito: o que precisa sair junto com a evolução muda com a especialidade, e a pergunta genérica deixa passar justamente o que mais pesa no seu prontuário. A coluna da direita mostra a mesma pergunta, feita pelo modelo, com o objeto nomeado.

As nuances mudam o peso das outras portas também. Em especialidades com muita imagem, a porta Saída pede a pergunta mais específica, porque exportar texto e exportar arquivo ligado ao paciente e à data são capacidades diferentes. Em especialidades em que a evolução clínica é especialmente delicada, a porta Sensível ganha peso na negociação: a separação entre a camada de agenda e cadastro e a camada clínica é o que permite ter recepção sem abrir o conteúdo das consultas. E em clínicas com mais de um médico, a porta Rastro deixa de ser detalhe, porque é ela que responde quem alterou o quê quando o prontuário é compartilhado.

O prontuário é uma peça do conjunto de sistemas da clínica, e a lógica de escolher pela saída vale para as outras: o mesmo raciocínio aparece em como escolher um CRM para clínica, onde o dado em jogo é o do relacionamento com o paciente, e em por onde começar com IA no consultório, onde a pergunta sobre onde o dado fica e quem o acessa volta com outra ferramenta.

Os números do exemplo são fictícios e ilustrativos, não constituindo promessa de resultado. Cada consultório tem realidade própria. Este conteúdo não substitui orientação contábil, jurídica ou de proteção de dados (LGPD) específica para o seu caso.

Dr. Thiago Perfeito · CRM-DF 23199

Médico, dono de consultório particular em Brasília–DF. Escreve sobre gestão, precificação e operação de consultório a partir da própria prática — não de teoria de consultoria.