O prontuário médico é seu - mas não fica guardado para sempre

O médico não pode negar cópia. A lei dá prazo para a resposta. E, passados vinte anos, o papel pode ser legalmente destruído.

Em poucas linhas

• O prontuário fica sob a guarda do médico ou da instituição - mas a informação é do paciente.

• Desde abril de 2026, uma lei federal assegura o acesso, sem justificativa, e a cópia sem ônus.

• Negar cópia a quem pede é, além disso, infração ética expressa.

• Existe prazo de resposta: atendimento imediato na regra geral; na rede pública, até 20 dias prorrogáveis por mais 10.

• Depois de 20 anos do último registro, o prontuário em papel pode ser legalmente eliminado.

• Na rede privada, o Código de Defesa do Consumidor reforça o pedido - inclusive quanto a quem prova o descarte.

• Ele é a matéria-prima da prova médica e previdenciária, não a conclusão dela.

A cena se repete no balcão. A pessoa volta à clínica onde se tratou em 2009 e ouve uma destas três respostas: "isso é documento nosso", "só entregamos com pedido do médico", ou "não temos mais".

A primeira está errada. A segunda está errada. E a terceira, dependendo de quantos anos passaram, pode ser verdade - e é justamente por isso que esse pedido não deve ficar para depois.

Este texto explica o que a lei e as normas do Conselho Federal de Medicina realmente dizem sobre o acesso ao prontuário: de quem ele é, em quanto tempo a resposta tem de vir, o que fazer quando negam, e por que existe um relógio correndo contra o papel antigo.

Um caso em que isso decide anos de benefício. Na aposentadoria da pessoa com deficiência, a data em que o impedimento começou é fixada pela perícia do INSS - e, sem documento antigo, ela tende a ser fixada tarde demais. É o tema de "Desde quando? A pergunta do INSS que decide anos da sua aposentadoria".

De quem é o prontuário

O Conselho Federal de Medicina define prontuário como o documento único que reúne informações, sinais e imagens registradas sobre a saúde do paciente e a assistência prestada a ele, "de caráter legal, sigiloso e científico" (art. 1º da Resolução CFM nº 1.638/2002).

Quem o guarda é o serviço de saúde: o Código de Ética Médica diz que "o prontuário estará sob a guarda do médico ou da instituição que assiste o paciente" (art. 87, § 2º, da Resolução CFM nº 2.217/2018). A responsabilidade pelo preenchimento, pela guarda e pelo manuseio recai sobre o médico assistente, a chefia da equipe, a chefia da clínica e a direção técnica da unidade (Resolução CFM nº 1.638/2002).

Aqui está a distinção que o balcão costuma confundir, e o próprio CFM a formula melhor do que qualquer paráfrase: o prontuário "é propriedade física da instituição onde o mesmo é assistido […] a quem cabe o dever da guarda do documento", enquanto "os dados ali contidos pertencem ao paciente" e "devem estar permanentemente disponíveis, de modo que quando solicitado por ele ou seu representante legal permita o fornecimento de cópias autênticas" (Resolução CFM nº 1.821/2007).

Ou seja: guardar não é ser dono da informação. O estabelecimento é o custodiante do documento. Os dados de saúde ali registrados são dados pessoais do paciente - e, na Lei Geral de Proteção de Dados, dados pessoais sensíveis (art. 11 da Lei nº 13.709/2018), a categoria que recebe a proteção mais estrita. A mesma lei é direta quanto à titularidade: "toda pessoa natural tem assegurada a titularidade de seus dados pessoais" (art. 17).

Agora existe uma lei que diz isso com todas as letras

Até 2026, esse direito se sustentava em normas éticas e na legislação de proteção de dados. Mudou. O Estatuto dos Direitos do Paciente (Lei nº 15.378, de 6 de abril de 2026, em vigor desde a publicação) trouxe a regra expressa:

"O paciente tem o direito de ter acesso a seu prontuário médico, sem necessitar apresentar justificativa, bem como de obter cópia sem ônus, de solicitar retificação e de exigir que seja mantido em segurança." (art. 19)

São quatro garantias numa frase: acesso, dispensa de justificativa, cópia gratuita e direito de retificação. É hoje o fundamento mais direto que existe - e vale contra qualquer serviço de saúde, público ou privado.

O que a lei não faz é fixar prazo. Isso continua vindo de outras normas, tratadas adiante.

E negar cópia é, também, infração ética

O Código de Ética Médica não pede: proíbe. Está entre as vedações ao médico, com todas as letras:

É vedado ao médico: "Negar ao paciente ou, na sua impossibilidade, a seu representante legal, acesso a seu prontuário, deixar de lhe fornecer cópia quando solicitada, bem como deixar de lhe dar explicações necessárias à sua compreensão" (art. 88 da Resolução CFM nº 2.217/2018).

Repare que são três deveres em um: dar acesso, fornecer cópia e explicar o conteúdo.

A norma tem uma ressalva, e é honesto registrá-la: o mesmo artigo excepciona a hipótese de o acesso "ocasionar riscos ao próprio paciente ou a terceiros". É uma exceção estreita, que exige justificativa concreta — não serve como resposta genérica de balcão.

Por que pedem autorização assinada. O artigo seguinte veda ao médico liberar cópias do prontuário sob sua guarda, salvo para atender ordem judicial, para sua própria defesa, ou "quando autorizado por escrito pelo paciente" (art. 89). Ou seja: a exigência de autorização escrita existe para proteger você de terceiros - não se aplica a você mesmo pedindo o seu próprio prontuário.

O Superior Tribunal de Justiça já decidiu exatamente isso. No REsp nº 540.048/RS (Terceira Turma, relatora a Ministra Nancy Andrighi, julgado em 02/12/2003), um hospital recusou ao próprio paciente o acesso aos seus documentos médicos invocando o Código de Ética Médica. A ementa do julgado registra: "Hospital. Acesso a documentos médicos requerido pelo próprio paciente. Negativa injustificada pela via administrativa. Ensejo de propositura de ação de exibição de documentos. Ônus de sucumbência. Princípio da causalidade." O tribunal afastou o argumento do sigilo, por entender que os dispositivos invocados tratavam do sigilo perante terceiros, e condenou o hospital nas despesas e honorários por ter dado causa à ação — ainda que tivesse exibido os documentos depois, em juízo.

Vale registrar que a decisão é de 2003 e se referia ao Código de Ética então vigente; hoje a matéria está no art. 88. E é um precedente persuasivo, não vinculante: não há tema repetitivo do STJ, tese de repercussão geral do STF nem tema representativo da TNU fixando especificamente esse ponto. O que existe é fundamento normativo direto, somado a jurisprudência favorável.

E a recusa pode ter consequência patrimonial. O Conselho Nacional de Justiça, na II Jornada de Direito da Saúde, aprovou o Enunciado nº 66:

"Poderá constituir ato ilícito por violação de direito do paciente e quebra de confiança passível de condenação por dano, a recusa em fornecer cópia do prontuário ao próprio paciente ou seu representante legal ou contratual, após comprovadamente solicitado, por parte do profissional de saúde, clínica ou instituições hospitalares públicas ou privadas."

Enunciados de Jornada são orientação interpretativa, não norma vinculante - e o texto diz "poderá", não "constitui": dano depende das circunstâncias concretas. Mas repare nas três palavras que fazem toda a diferença prática: "após comprovadamente solicitado". É a melhor razão para o conselho da seção seguinte.

Os prazos: em quanto tempo têm de responder

Nem o Estatuto dos Direitos do Paciente nem o Código de Ética Médica fixam prazo. O relógio vem da legislação de proteção de dados - e aqui é preciso desfazer um equívoco muito repetido.

Pela LGPD, o acesso aos dados deve ser providenciado mediante requisição do titular em uma de duas formas: em formato simplificado, imediatamente, ou por meio de declaração clara e completa, em até 15 dias contados do pedido (art. 19, incisos I e II, da Lei nº 13.709/2018).

A regra, portanto, é o atendimento imediato. Os 15 dias não são um prazo que o serviço "tem para entregar" - são o limite para uma modalidade específica de resposta.

Se você se tratou na rede pública, incide também a Lei de Acesso à Informação: o órgão deve conceder o acesso imediato e, não sendo possível, tem prazo de até 20 dias, prorrogáveis por mais 10 mediante justificativa expressa (art. 11 da Lei nº 12.527/2011). A mesma lei assegura que informações pessoais são acessíveis à própria pessoa a que se referem (art. 31, § 1º, I).

Onde você se tratou	Prazo de resposta
Clínica, hospital ou laboratório privado	Imediato, em formato simplificado - ou até 15 dias para a declaração completa
Posto, hospital ou serviço público	Imediato; se não for possível, até 20 dias, prorrogáveis por mais 10

Uma observação de rigor, contra uma frase que circula muito. É comum ler que "a LGPD dá 15 dias para o hospital entregar o prontuário". Não é o que a norma diz. Os 15 dias do art. 19, II são o prazo da declaração clara e completa sobre o tratamento dos dados - origem, critérios, finalidade. Os prazos de atendimento do pedido em si a lei remeteu a regulamento (art. 18, § 5º). Na prática, os 15 dias funcionam como parâmetro de cobrança, e vários serviços os adotam em suas próprias políticas - mas isso é política interna, não comando legal de entrega. Quem promete "cópia em 15 dias por força da LGPD" está simplificando.

E há um dever intermediário útil: se não puder atender de imediato, o responsável tem de responder informando que não é o detentor dos dados ou indicando as razões de fato ou de direito que impedem o atendimento (art. 18, § 4º).

Como pedir, na prática

Faça por escrito. A LGPD condiciona o exercício do direito a "requerimento expresso do titular ou de representante legalmente constituído" (art. 18, § 3º). E-mail com confirmação de recebimento, formulário do site, protocolo no balcão - qualquer via serve, desde que fique registro.

Guarde o protocolo. É ele que marca o início do prazo e que instrui qualquer reclamação posterior.

Você não precisa justificar. Não é interpretação: o Estatuto dos Direitos do Paciente assegura o acesso "sem necessitar apresentar justificativa" (art. 19 da Lei nº 15.378/2026), e a LGPD prevê o exercício do direito "a qualquer momento e mediante requisição" (art. 18, caput).

Você escolhe o formato. As informações podem ser fornecidas, a critério do titular, por meio eletrônico ou sob forma impressa (art. 19, § 2º). Se para você for melhor receber em PDF, é o seu direito pedir assim.

Sem custo. O Estatuto dos Direitos do Paciente assegura o direito de "obter cópia sem ônus" (art. 19 da Lei nº 15.378/2026) — regra específica e sem condicionantes. A LGPD diz o mesmo em termos gerais, com a ressalva de remeter os termos a regulamento (art. 18, § 5º). Cobrança pela cópia não tem amparo. Na prática, pedir o arquivo digital costuma evitar o atrito — quando não há o que imprimir, o argumento do custo da impressão desaparece.

Peça cópia integral e delimite o período. "Cópia integral do prontuário referente aos atendimentos entre 2006 e 2014" evita a entrega parcial de um resumo.

O que precisa estar no prontuário

Vale conferir o que você recebeu. As normas do CFM listam o que deve constar obrigatoriamente, em papel ou em meio eletrônico:

• identificação completa do paciente;

• anamnese, exame físico, exames complementares solicitados e seus resultados, hipóteses diagnósticas, diagnóstico definitivo e tratamento efetuado;

• evolução diária, com data e hora, discriminando os procedimentos e identificando quem os realizou;

• nos prontuários em papel, letra legível, assinatura e número do CRM do profissional.

Se o que chegou às suas mãos é apenas um resumo de alta ou um atestado, você não recebeu o prontuário - recebeu um documento derivado dele.

O relógio dos vinte anos

Esta é a parte que quase ninguém sabe, e é a razão para não deixar o pedido para depois.

Prontuários em papel e digitalizados podem ser eliminados depois de 20 anos contados do último registro (art. 6º da Lei nº 13.787/2018). E a lei é expressa ao dizer que essa regra vale "a todos os prontuários de paciente, independentemente de sua forma de armazenamento, inclusive aos microfilmados e aos arquivados eletronicamente em meio óptico, bem como aos constituídos por documentos gerados e mantidos originalmente de forma eletrônica" (§ 5º).

Aqui é preciso registrar uma tensão entre normas, e não escondê-la. A Resolução CFM nº 1.821/2007 estabelece guarda permanente para os prontuários arquivados eletronicamente, em meio óptico, microfilmados ou digitalizados (art. 7º), e o mínimo de 20 anos apenas para o papel que não foi arquivado por esses meios (art. 8º). A Lei nº 13.787/2018 é posterior e hierarquicamente superior, e autoriza a eliminação em qualquer suporte depois dos 20 anos.

Traduzindo, sem prometer o que a lei não garante: na prática, o arquivo eletrônico raramente é apagado, porque guardar dado digital é barato — e a resolução do CFM ainda é invocada nesse sentido. Mas isso é probabilidade, não direito adquirido. Passados vinte anos do último registro, a destruição pode ser lícita mesmo do que já estava digitalizado. Não conte com o tempo a seu favor em nenhum dos dois suportes.

Duas informações práticas que decorrem disso:

A lei permite que, em vez de eliminar, o estabelecimento devolva o prontuário ao paciente (art. 6º, § 2º). Pedir isso é possível, e vale tentar quando o serviço sinaliza que vai descartar arquivos antigos.

E a eliminação do papel após a digitalização não é livre: depende de análise obrigatória de uma comissão permanente de revisão de prontuários e avaliação de documentos, que atesta a integridade dos arquivos digitais antes de avalizar o descarte (art. 3º da Lei nº 13.787/2018).

O descarte tem forma. Em parecer de maio de 2026, o Conselho Federal de Medicina detalhou o procedimento: avaliação formal pela instituição, lavratura de termo de eliminação com nome do paciente, número do prontuário, data do último registro e método de destruição, supervisão da direção técnica e clínica, destruição que impeça a reconstrução dos dados, e arquivamento permanente do registro da eliminação (Parecer CFM nº 19/2026). O mesmo parecer anota que, embora não exista obrigação legal de avisar o paciente antes de descartar, recomenda-se, por cautela e transparência, comunicar a destinação do prontuário.

Esse mesmo parecer respondeu a uma dúvida que costuma ser usada como escudo: prontuários com mais de vinte anos do último registro podem ser eliminados ainda que nunca tenham sido digitalizados. A digitalização não é condição para o descarte — o que se exige é o prazo cumprido, a avaliação institucional formal, o termo de eliminação, o sigilo e um método que impeça a reconstrução dos dados. E há uma ressalva que interessa a quem litiga: a eliminação não é lícita se houver "determinação legal, judicial, administrativa, contratual ou arquivística que imponha guarda por prazo superior" — o que alcança, por exemplo, o prontuário que já é objeto de processo.

E quando dizem apenas "não temos mais"? Descarte lícito depende de prazo cumprido e de procedimento documentado. Alegar que o documento não existe mais não é o mesmo que comprovar que ele foi eliminado regularmente — e o parecer do CFM é claro ao exigir que o termo de eliminação fique sob guarda permanente da instituição, justamente para fins de rastreabilidade e auditoria. Se o estabelecimento não exibe esse termo, ele não comprovou o descarte: comprovou apenas que não achou o documento. Se o atendimento foi na rede privada, esse ônus tende a recair sobre o estabelecimento, pela regra de facilitação da defesa do consumidor tratada mais adiante.

Cópia digitalizada vale como original

Muita gente insiste em receber o papel achando que a via digital "não vale". Vale.

O documento digitalizado em conformidade com a lei "terá o mesmo valor probatório do documento original para todos os fins de direito" (art. 5º da Lei nº 13.787/2018), desde que a guarda, o armazenamento e o manuseio também sigam as regras - o que inclui certificado digital no padrão ICP-Brasil ou outro legalmente aceito (art. 2º, § 2º).

Para quem precisa do prontuário como prova, isso poupa tempo: aceitar o arquivo eletrônico costuma ser mais rápido e não enfraquece nada.

O que o prontuário prova - e o que ele não prova

Vale uma calibragem, porque a expectativa errada aqui custa caro.

O prontuário é elemento de prova da sua condição clínica e da evolução dela ao longo do tempo: quando uma limitação apareceu, que tratamentos foram feitos, que cirurgias houve, que sequelas ficaram, que aparelhos passaram a ser necessários, com que frequência você procurou atendimento. Para reconstruir uma história de saúde que a memória já não sustenta, ele é insubstituível - e a LGPD autoriza expressamente o uso de dados sensíveis quando indispensável ao "exercício regular de direitos, inclusive em contrato e em processo judicial, administrativo e arbitral" (art. 11, II, "d").

O que ele não faz é decidir sozinho um benefício. Deficiência e incapacidade, na linguagem previdenciária, não são sinônimos de diagnóstico. A aposentadoria da pessoa com deficiência depende de avaliação biopsicossocial, que mede funcionalidade e barreiras; o benefício por incapacidade depende de conclusão médico-pericial sobre a capacidade de trabalho. O prontuário alimenta essas avaliações; não as substitui. A distinção entre deficiência e incapacidade é o tema do segundo artigo desta série, "BPC, aposentadoria da pessoa com deficiência e aposentadoria por incapacidade: três coisas diferentes"; e o modo como a avaliação biopsicossocial se converte em grau — leve, moderado ou grave — é o do terceiro, "Leve, moderado ou grave: como uma palavra na perícia decide anos da sua vida".

Dito de outro modo: ele é a matéria-prima da prova, não a conclusão dela. E é exatamente por isso que documento antigo vale tanto - é o único material capaz de falar do passado com data.

Vale registrar que o próprio Judiciário reconhece esse papel: o Enunciado nº 49 da II Jornada de Direito da Saúde do CNJ recomenda que, "para que a prova pericial seja mais fidedigna com a situação do paciente", seja requisitado o prontuário médico.

Uma nota para quem se tratou pelo SUS. O regulamento da Previdência dá ao INSS acesso aos registros e prontuários eletrônicos do SUS, franqueado exclusivamente aos peritos médicos federais e com preservação do sigilo (art. 179-B do Decreto nº 3.048/1999). E, na revisão da aposentadoria por incapacidade permanente, prevê que a Perícia Médica Federal terá acesso a esses prontuários "desde que haja anuência prévia do periciado e seja garantido o sigilo sobre os seus dados" (art. 46, § 6º). Isso não substitui ter a sua própria cópia - mas explica por que, em certos casos, autorizar esse acesso ajuda.

E se negarem mesmo assim?

Há uma escada, e vale subi-la em ordem:

1. Repita o pedido por escrito, citando o art. 19 da Lei nº 15.378/2026, o art. 88 do Código de Ética Médica e o art. 18 da LGPD. Boa parte das recusas é desinformação do atendimento, não decisão da direção.

2. Procure a ouvidoria do hospital, da clínica ou da secretaria de saúde.

3. Represente ao Conselho Regional de Medicina. A recusa de fornecer cópia é infração ética prevista expressamente — é a via que costuma produzir efeito mais rápido. Quando a recusa parte de um hospital ou de uma clínica, e não de um médico identificado, vale dirigir a representação ao diretor técnico da unidade: é sobre ele, ao lado do médico assistente e das chefias, que a norma do CFM faz recair a responsabilidade pela guarda do prontuário (Resolução CFM nº 1.638/2002).

4. Peticione à Autoridade Nacional de Proteção de Dados. A LGPD assegura ao titular o direito de peticionar contra o controlador perante a autoridade nacional (art. 18, § 1º), e prevê que esse direito também pode ser exercido perante os órgãos de defesa do consumidor (art. 18, § 8º).

5. Via judicial, quando as anteriores se esgotarem - inclusive por medida que determine a exibição do documento.

Um reforço para quem se tratou na rede privada

Quando o atendimento foi pago - clínica, hospital particular, laboratório, plano de saúde -, há relação de consumo, e o Código de Defesa do Consumidor entra como fundamento adicional.

Ele assegura ao consumidor "acesso às informações existentes em cadastros, fichas, registros e dados pessoais e de consumo arquivados sobre ele, bem como sobre as suas respectivas fontes" (art. 43 da Lei nº 8.078/1990). E, no processo judicial, prevê a facilitação da defesa do consumidor, "inclusive com a inversão do ônus da prova, a seu favor", quando verossímil a alegação ou reconhecida a hipossuficiência (art. 6º, VIII) - o que pesa exatamente na hipótese em que o serviço alega, sem demonstrar, não ter mais o documento.

Duas ressalvas de alcance, para não criar expectativa errada. O Código define serviço como atividade fornecida "mediante remuneração" (art. 3º, § 2º); o atendimento pelo SUS, por isso, em regra não é tratado como relação de consumo, e ali o caminho continua sendo a Lei de Acesso à Informação somada à LGPD. E o art. 43 foi escrito pensando em bancos de dados de consumo - aplicá-lo ao prontuário é leitura sustentável do seu texto, mas é interpretação, não literalidade.

Por isso o CDC entra como reforço, não como base principal: o art. 88 do Código de Ética Médica e a LGPD valem nos dois casos e não dependem de qualificar a relação como de consumo.

Em resumo

O prontuário fica guardado pelo serviço de saúde, mas a informação registrada nele é sua. Desde abril de 2026 há lei federal expressa garantindo o acesso sem justificativa e a cópia sem ônus, e negar cópia é, além disso, infração ética. A recusa não precisa ser aceita.

O pedido deve ser feito por escrito - e o registro dele importa. A regra é o atendimento imediato; os 15 dias da LGPD dizem respeito à declaração completa sobre o tratamento dos dados, não à entrega da cópia. Na rede pública, valem também os prazos da Lei de Acesso à Informação.

E existe um limite de tempo que não depende de ninguém: passados vinte anos do último registro, o prontuário em papel pode ser legalmente destruído. Documento antigo não fica mais fácil de conseguir com o tempo - em algum momento, ele simplesmente deixa de existir.

Se você tem tratamentos antigos que podem vir a fazer falta, o momento de pedir a cópia é enquanto ela existe.

O que depende de análise individual

Este texto explica a regra geral. Alguns pontos, porém, não têm resposta única - eles mudam conforme a situação:

• o acesso ao prontuário de pessoa falecida, por herdeiros ou familiares;

• o acesso ao prontuário de filho menor, pessoa sob curatela ou representada;

• o que fazer quando o estabelecimento encerrou as atividades ou mudou de titularidade;

• o uso do prontuário como prova em processo administrativo ou judicial, e a forma de requisitá-lo nesses casos.

Este artigo tem finalidade informativa e não substitui a análise individual do seu caso. Prazos e procedimentos podem variar conforme o serviço de saúde e a natureza do pedido.

Atendimento

O atendimento preliminar do escritório é realizado exclusivamente por agendamento: www.elb.adv.br/agendamento

Eduardo de Lima Barbosa Sociedade Individual de Advocacia

Sociedade inscrita na OAB/SP sob o nº 69.730

Advogado responsável: Eduardo de Lima Barbosa — OAB/SP nº 130.663