Ambulatório Próprio na Indústria: o Erro Mais Comum de Sigilo

TL;DR: O erro de sigilo mais comum no ambulatório próprio da indústria é tratar o médico como um braço da gestão — deixando o diagnóstico e o prontuário do trabalhador circularem até o RH, o gestor ou uma impugnação no INSS. A correção é simples de nomear e exigente de executar: o dado clínico fica retido no prontuário, sob guarda do médico, e só a aptidão (ASO) sai.

Ter o ambulatório dentro da planta é uma vantagem operacional real: agilidade nos exames, resposta rápida a intercorrências, proximidade com a rotina de risco. Mas essa mesma proximidade cria o maior ponto de falha de sigilo em saúde ocupacional. Este artigo mostra qual é o erro mais comum, por que ele é tão frequente no ambulatório interno e como corrigi-lo.

Se você ainda não leu o panorama geral, comece pelo artigo pilar: Sigilo médico ocupacional: a regra, as exceções e quem responde.

O que é o ambulatório próprio na indústria

Ambulatório próprio é o serviço de saúde ocupacional mantido pela própria empresa dentro da planta industrial, com equipe (médico do trabalho, enfermagem) contratada ou vinculada à organização. É diferente do modelo terceirizado, em que uma clínica externa presta o serviço — cenário que tratamos no artigo Ambulatório terceirizado: quem responde pelo sigilo quando a clínica é externa.

A Resolução CFM nº 2.323/2022 exige que o ambulatório de assistência à saúde do trabalhador tenha um médico do trabalho com Registro de Qualificação de Especialidade (RQE) como diretor técnico responsável pelo estabelecimento perante o conselho regional. Ou seja: mesmo dentro da fábrica, o ambulatório é um estabelecimento de saúde, com todas as obrigações éticas que isso carrega.

Por que o risco de sigilo é maior no ambulatório interno

Três fatores de proximidade concentram o risco:

• Proximidade física. A sala de atendimento fica ao lado do RH ou da liderança. Prontuários em papel no armário errado, telas visíveis, conversas de corredor — tudo isso vaza dado sensível sem que ninguém “decida” vazar.
• Proximidade de sistema. O prontuário eletrônico compartilha infraestrutura com sistemas administrativos. Perfis de acesso concedidos “para agilizar” e nunca revisados abrem o conteúdo clínico a quem não é obrigado ao sigilo.
• Proximidade de comando. O médico é percebido como “funcionário da casa” e sofre pressão para adiantar o diagnóstico ao gestor. Aqui entra a regra que muitos desconhecem: o Código de Ética Médica (art. 76) veda ao médico revelar informações confidenciais obtidas no exame de trabalhadores inclusive por exigência dos dirigentes da empresa — salvo se o silêncio puser em risco a saúde dos empregados ou da comunidade.

O médico do ambulatório é subordinado administrativamente, mas independente tecnicamente. Essa distinção é o coração da governança de sigilo no ambiente industrial.

O erro mais comum: o médico como braço da gestão

O erro-mãe do ambulatório próprio não é um vazamento isolado. É uma distorção de papel: o serviço médico passa a operar como uma extensão do RH, e o dado clínico começa a servir a decisões de gestão. Na prática, ele aparece em quatro formas:

• Diagnóstico repassado ao gestor. “Só para eu saber o que ele tem” — e o CID sai do consultório.
• Prontuário acessível ao RH. Guardado em setor administrativo ou aberto no sistema para quem não é da equipe clínica.
• CID no ASO. O código da doença aparece no Atestado de Saúde Ocupacional, transformando um documento que deveria circular em uma quebra de sigilo documentada.
• Prontuário usado contra o trabalhador. O dado clínico vira insumo para contestar afastamentos ou impugnar benefícios previdenciários.

Todas as quatro têm a mesma raiz: confundir “a empresa mantém o ambulatório” com “a empresa é dona da informação”. Não é. A empresa é a controladora do tratamento de dados (LGPD), mas o titular do dado continua sendo o trabalhador, e o guardião continua sendo o médico.

O caso que expõe o erro: prontuário usado contra o trabalhador no INSS

A forma mais grave do erro merece destaque próprio, porque é comum e mal compreendida. Empresas às vezes tentam usar o prontuário do trabalhador — mantido pelo próprio ambulatório — para negar o Nexo Técnico Epidemiológico Previdenciário (NTEP) e impugnar um benefício acidentário no INSS.

O Ministério Público do Trabalho já atuou para invalidar normas internas com esse desenho. O entendimento é direto: usar dados guardados no prontuário do paciente-trabalhador para finalidade distinta da promoção da saúde, sem amparo em exceção legal, configura crime de violação de sigilo profissional. E a empresa que protocola no INSS uma impugnação baseada nesses dados também incorre em crime de divulgação de segredo. Além disso, não cabe ao médico do trabalho determinar, para fins previdenciários, o nexo entre a doença e o trabalho — essa competência é do médico perito do INSS.

Reforçando o mesmo princípio, a Resolução CFM nº 2.323/2022 veda ao médico responsável pelo PCMSO e ao médico do SESMT atuarem como assistentes técnicos contra o próprio trabalhador assistido, e condiciona a liberação de cópia do prontuário em juízo à autorização do paciente ou a dever legal.

Traduzindo para a operação: o prontuário do ambulatório existe para cuidar do trabalhador, não para municiar a defesa da empresa contra ele.

Como corrigir: o fluxo certo do dado clínico

A correção não exige mudar de modelo — exige desenhar o fluxo do dado com fronteiras claras. O princípio: o diagnóstico entra no prontuário e para ali; só a conclusão de aptidão segue adiante.

• Retenção clínica. CID, diagnóstico e histórico ficam no prontuário, sob guarda do médico coordenador do PCMSO, com guarda mínima de 20 anos após o desligamento.
• Saída limitada ao ASO. Para a gestão vai apenas o resultado: apto ou inapto, e a restrição funcional quando houver — sem revelar a doença que a motiva.
• Independência técnica formalizada. Deixe explícito, em política interna, que o médico não atende a pedidos de gestores para revelar diagnóstico, amparado no art. 76 do Código de Ética Médica.
• Separação física e de sistema. Prontuário fora do alcance do RH; sala clínica com acesso restrito; perfis de sistema mínimos, nominais e auditáveis.
• Diretor técnico com RQE. Formalize a direção técnica do estabelecimento conforme a Resolução CFM nº 2.323/2022.
• Governança LGPD. Trate o prontuário como dado pessoal sensível (art. 11): base legal definida, registro de acessos e o DPO acompanhando metadados de acesso — nunca o conteúdo clínico.

Checklist para blindar o ambulatório próprio

Seis medidas resolvem a maior parte do risco:

• Independência técnica do médico assegurada em política (CEM art. 76).
• Separação física e de sistema entre a área clínica e a administrativa.
• ASO sem diagnóstico — apenas aptidão e restrição funcional (Res. CFM nº 2.323/2022).
• Matriz de acesso ao dado sensível: mínimo, nominal e auditável, com revisão periódica.
• Diretor técnico com RQE formalmente designado.
• Regra clara de que o prontuário não é usado para contestar NTEP nem benefício no INSS.

Perguntas frequentes (FAQ)

Se o ambulatório é da empresa, o RH pode acessar o prontuário?
Não. O prontuário é de responsabilidade do médico coordenador, mesmo dentro da planta. O RH acessa apenas o ASO, com a conclusão de aptidão — nunca o diagnóstico.

O gestor pode pedir ao médico do ambulatório o diagnóstico de um funcionário?
Pode pedir, mas o médico não pode revelar. O Código de Ética Médica (art. 76) veda a revelação inclusive quando exigida pelos dirigentes da empresa, salvo risco à saúde dos empregados ou da comunidade.

A empresa pode usar o prontuário do ambulatório para contestar um benefício no INSS?
Não. Usar o prontuário do trabalhador para negar nexo (NTEP) ou impugnar benefício, sem exceção legal, configura violação de sigilo profissional, com risco penal para o médico e para a empresa.

Ter ambulatório próprio aumenta a responsabilidade da empresa pelo sigilo?
Na prática, sim, porque a proximidade multiplica os pontos de falha. Juridicamente, a empresa já é a controladora dos dados (LGPD) e responde pela governança de sigilo, tenha o ambulatório próprio ou terceirizado.

Conclusão

O ambulatório próprio é um ativo — desde que o dado clínico não escorra para a gestão. O erro mais comum não costuma ser má-fé; é a ausência de fronteira entre o papel do médico e o papel do RH. Desenhe o fluxo, formalize a independência técnica, limite a saída ao ASO e o problema desaparece antes da fiscalização.

O Grupo Bplan estrutura ambulatórios próprios e o PCMSO com governança de sigilo integrada — do layout e dos perfis de acesso à política de independência técnica e ao fluxo do ASO. Fale com nossa equipe técnica e faça um diagnóstico de sigilo do seu ambulatório interno.

No próximo artigo da série, invertemos o cenário: quem responde pelo sigilo quando a clínica é terceirizada.

Conteúdo produzido pela equipe técnica do Grupo Bplan — consultoria de Saúde Ocupacional e Segurança do Trabalho. Material informativo; não substitui orientação jurídica ou médica individualizada.

Fontes: Código de Ética Médica — Resolução CFM nº 2.217/2018 (arts. 73 e 76); Resolução CFM nº 2.323/2022; Ministério Público do Trabalho (atuação sobre uso de prontuário para negar NTEP); Código Penal (art. 154); LGPD — Lei nº 13.709/2018 (arts. 5º, II e 11); NR-07 (PCMSO).