Sigilo Médico Ocupacional: a Regra, as Exceções e Quem Responde

TL;DR: O sigilo médico ocupacional pertence ao trabalhador, não à empresa que paga a consulta. O médico só pode revelar informação clínica em três hipóteses: dever legal, justa causa ou autorização expressa do paciente. Fora disso, RH, diretoria e SESMT não têm direito de acesso ao diagnóstico — apenas à conclusão de aptidão registrada no ASO.

Todo ano, empresas descobrem da pior forma — em uma ação trabalhista ou em uma fiscalização — que tratavam o prontuário do colaborador como um documento corporativo qualquer. Não é. O dado de saúde do trabalhador é um dos poucos que a legislação brasileira protege em três camadas simultâneas: constitucional, penal e de proteção de dados.

O que é sigilo médico ocupacional

Sigilo médico ocupacional é o dever do profissional de saúde de manter em segredo toda informação clínica obtida durante o atendimento a um trabalhador. Ele é uma extensão do sigilo médico geral aplicada ao contexto do trabalho, e não perde força pelo fato de o exame ser exigido pela empresa e pago por ela.

Na prática, isso significa que o resultado de um exame ocupacional não é uma informação da empresa. É uma informação do trabalhador, sob custódia do médico. A empresa tem direito a uma resposta objetiva — apto ou inapto —, mas não ao caminho clínico que levou a essa conclusão.

A regra-mãe: de quem é o sigilo

A confusão mais cara em saúde ocupacional nasce de uma premissa errada: “se a empresa paga o exame, a empresa tem direito ao resultado”. Do ponto de vista jurídico, quem paga o exame não é titular do dado.

O titular do dado de saúde é sempre o trabalhador. O médico é o guardião. A empresa é, no máximo, a destinatária de uma conclusão de aptidão. Essa hierarquia decorre da Constituição, do Código Penal, do Código de Ética Médica e da LGPD.

A base legal em três camadas

O sigilo médico ocupacional se sustenta em um conjunto de normas que se reforçam mutuamente:

• Constituição Federal, art. 5º, X — inviolabilidade da intimidade e da vida privada.
• Código Penal, art. 154 — revelar segredo profissional sem justa causa é crime, punível com detenção de 3 meses a 1 ano, ou multa.
• Código Civil, art. 21 — a vida privada da pessoa natural é inviolável.
• Código de Ética Médica (Resolução CFM nº 2.217/2018), arts. 73 a 79 — vedam ao médico revelar fato conhecido em razão da profissão, salvo nas exceções legais.
• LGPD (Lei nº 13.709/2018), arts. 5º, II, 7º e 11 — dado de saúde é dado pessoal sensível, sujeito ao regime mais rígido do art. 11.
• NR-07 e CLT, art. 168 — regulam o PCMSO e atribuem ao médico coordenador a guarda do prontuário clínico.

A NR-07 é explícita sobre a custódia: os dados clínicos são registrados em prontuário sob responsabilidade do médico coordenador do PCMSO, com guarda mínima de 20 anos após o desligamento do trabalhador.

As três exceções legais

O art. 73 do Código de Ética Médica define, de forma taxativa, as únicas três situações em que o médico pode quebrar o sigilo. Não existe uma quarta hipótese “de bom senso” ou “de interesse da empresa”.

1. Dever legal. Quando uma norma obriga a comunicação: notificação compulsória de doenças, requisição judicial e determinação de autoridade competente nos limites da lei.

2. Justa causa (motivo justo). Quando a revelação é necessária para proteger a vida ou a integridade do próprio paciente ou de terceiros diante de risco concreto e iminente.

3. Autorização expressa do paciente. Quando o próprio trabalhador consente, por escrito, na divulgação — de forma específica e para uma finalidade determinada.

Um alerta importante: o consentimento do empregado é considerado a base legal mais frágil, pela assimetria da relação de emprego. Por isso, empresas maduras não constroem sua governança de sigilo sobre consentimento — constroem sobre a regra de que o dado clínico simplesmente não circula.

O que pode e o que não pode circular na empresa

A maior parte dos vazamentos não é dolosa. É operacional: alguém repassa a informação errada porque não sabe qual documento contém o quê.

A regra de ouro: o ASO circula, o diagnóstico não. No momento em que um CID aparece escrito no ASO, no e-mail do RH ou em uma planilha de gestão, houve quebra de sigilo.

Sigilo em cada cenário: hospital, ambulatório próprio e terceirizado

A regra é a mesma nos três cenários, mas o ponto de falha muda:

• Hospital / ambulatório assistencial: o risco está no acesso amplo ao prontuário eletrônico e no compartilhamento indevido entre setores.
• Ambulatório próprio na indústria: o risco mais comum é de proximidade — o médico ou a enfermagem dentro da planta sofrem pressão para “adiantar” o diagnóstico. Veja Ambulatório próprio na indústria — o erro mais comum de sigilo.
• Ambulatório terceirizado: o risco está na cadeia controlador–operador e na custódia do prontuário quando a clínica é externa. Veja Ambulatório terceirizado — quem responde pelo sigilo quando a clínica é externa.

Quem responde por stakeholder

Responsabilidade por sigilo não é difusa — ela tem nome e nível de acesso definido para cada função. Um ponto costuma surpreender: na LGPD, a empresa contratante é a controladora e permanece responsável legal primária mesmo quando terceiriza o serviço. Contratar uma clínica externa não transfere a responsabilidade perante a fiscalização e a Justiça.

• Médico coordenador do PCMSO — guardião do prontuário; define a aptidão. Acessa o prontuário completo, incluindo CID e diagnóstico.
• Equipe de enfermagem / técnica — dever de sigilo derivado; auxilia sob supervisão.
• Empresa contratante (empregador) — controladora (LGPD); responsável legal primária. Acessa somente a conclusão de aptidão (ASO).
• Clínica terceirizada — operadora (LGPD); executa o serviço. Mantém o prontuário sob custódia, sem repassar diagnóstico.
• RH / gestor — não tem acesso clínico. Acessa apenas o ASO e eventuais restrições funcionais.
• DPO / TI — governança e segurança do dado sensível. Acessa registros de acesso, nunca o conteúdo clínico.
• SESMT — gestão de risco coletivo. Trabalha com dados agregados e anonimizados, nunca com o indivíduo identificado.

Os erros mais comuns na prática

Três falhas aparecem repetidamente em auditorias de sigilo — e todas são corrigíveis:

• Prontuário guardado no armário do RH. Prontuário clínico é responsabilidade do médico coordenador, não do departamento de pessoal.
• CID escrito à mão no ASO. O ASO deve trazer a conclusão de aptidão, jamais o código da doença.
• Perfil de sistema aberto sem revisão. Todo acesso a dado sensível precisa ser mínimo, justificado e auditável.

O custo de errar não é teórico. Tribunais estaduais têm condenado ao pagamento de danos morais casos em que dados de saúde do trabalhador foram repassados ao empregador sem autorização. Some-se a isso o Regulamento de Dosimetria da ANPD, que abre caminho para responsabilização administrativa dos agentes de tratamento.

Perguntas frequentes (FAQ)

A empresa pode exigir o diagnóstico do funcionário, já que paga o exame?
Não. A empresa tem direito à conclusão de aptidão (ASO), não ao diagnóstico.

O RH pode guardar o prontuário médico dos colaboradores?
Não. O prontuário clínico é de responsabilidade do médico coordenador do PCMSO.

Quando o médico pode, legalmente, revelar informação clínica?
Apenas em três hipóteses: dever legal, justa causa e autorização expressa do paciente.

Terceirizar o ambulatório transfere a responsabilidade pelo sigilo?
Não. A empresa contratante continua sendo a controladora e responsável legal primária.

Conclusão

Sigilo médico ocupacional não é um detalhe de conformidade — é a fronteira entre uma operação de saúde ocupacional confiável e um passivo trabalhista e regulatório à espera de acontecer. O dado é do trabalhador, o médico é o guardião, a empresa recebe apenas a aptidão, e só três exceções permitem revelar mais.

O Grupo Bplan estrutura PCMSO, PGR e a governança de sigilo de forma integrada. Fale com nossa equipe técnica e faça um diagnóstico de sigilo da sua operação de saúde ocupacional.

Conteúdo produzido pela equipe técnica do Grupo Bplan — consultoria de Saúde Ocupacional e Segurança do Trabalho. Material informativo; não substitui orientação jurídica ou médica individualizada.

Fontes: Constituição Federal (art. 5º, X); Código Penal (art. 154); Código Civil (art. 21); Código de Ética Médica — Resolução CFM nº 2.217/2018; LGPD (arts. 5º, 7º e 11); NR-07; CLT (art. 168); ANPD — Regulamento de Dosimetria.