Checklist de Sigilo Medico: Furos Comuns e Auditoria

TL;DR: A maioria das quebras de sigilo médico não é má-fé — é falha operacional. Uma auditoria encontra os furos em minutos: CID no ASO, prontuário no armário do RH, perfil de sistema aberto, SRQ-20 nominal chegando à gestão e contrato de clínica sem cláusula de operador. Este artigo traz o checklist com 15 verificações e mostra o risco e a correção de cada furo.

Ao longo desta série, destrinchamos a regra do sigilo, os cenários (ambulatório próprio e terceirizado) e o dado sensível de saúde mental. Agora fechamos com o que transforma teoria em prática: um checklist acionável e a lógica de auditoria que expõe onde a sua operação está exposta. Se você só puder aplicar uma coisa desta série, aplique esta.

Para o embasamento completo, comece pelo pilar: Sigilo médico ocupacional: a regra, as exceções e quem responde.

Por que os furos de sigilo são operacionais, não dolosos

Quase ninguém acorda decidido a vazar o dado de saúde de um colaborador. Os furos nascem da rotina: um CID anotado “para agilizar”, um prontuário guardado no lugar errado por falta de espaço, um acesso de sistema concedido às pressas e nunca revisto, uma planilha de resultados que “só o RH vê”.

Essa é a boa notícia. Se o problema é operacional, a correção também é — e cabe em processo, não em heroísmo. É por isso que uma auditoria de sigilo costuma render resultado rápido: ela não caça culpados, ela mapeia pontos de exposição e os fecha.

Como funciona uma auditoria de sigilo

Uma auditoria de sigilo médico ocupacional verifica cinco frentes, cruzando documento, sistema e processo:

• Documentos — o ASO carrega apenas aptidão, ou há diagnóstico circulando indevidamente?
• Custódia — o prontuário está com o médico coordenador, com guarda e transferência corretas?
• Acesso — quem consegue abrir o dado sensível, com qual justificativa, e isso é auditável?
• Terceiros — o contrato com a clínica define papéis de proteção de dados e prevê a transição?
• Pessoas e processo — a equipe entende o sigilo, e o médico tem independência técnica assegurada?

A auditoria não se contenta com a política no papel: ela procura a evidência de que a regra funciona na prática — o log de acesso, o modelo de ASO em uso, o contrato assinado, o fluxo real do dado.

O checklist: 15 verificações por área

Use a lista abaixo para uma autoavaliação rápida. Cada item marcado é um furo a menos.

Documentos

• O ASO traz só aptidão e restrição funcional — nunca o CID.
• Nenhum diagnóstico escrito à mão em ASO ou atestado.

Prontuário

• Sob guarda do médico coordenador — nunca no armário do RH.
• Guarda mínima de 20 anos após o desligamento (NR-07).
• Transferência formal ao sucessor na troca de médico ou clínica.

Acesso e sistemas

• Perfis de acesso mínimos, nominais e auditáveis.
• Log de acesso ao dado sensível revisado periodicamente.
• Nenhum dado clínico em planilha ou sistema administrativo.

Terceirização

• Contrato com cláusula de operador LGPD e direito de auditoria.
• Só o ASO retorna à empresa — a clínica não devolve o CID.

Saúde mental (NR-01)

• Resultado individual do SRQ-20 permanece clínico, sob sigilo.
• Só o dado agregado e anonimizado alimenta o PGR e a gestão.

Pessoas

• Independência técnica do médico formalizada em política.
• Equipe — inclusive administrativa — treinada em sigilo.
• Base legal, finalidade e fluxo de dados documentados (governança LGPD).

O que a auditoria expõe: furo, risco e correção

Os furos mais frequentes se repetem de empresa para empresa. Veja o que cada um expõe e como corrigir:

• CID escrito no ASO. Documento que circula acaba revelando o diagnóstico. Risco: quebra de sigilo documentada (Código Penal, art. 154; LGPD, art. 11). Correção: ASO só com aptidão e restrição funcional.
• Prontuário no RH. Acesso de quem não é obrigado ao sigilo. Risco: violação do Código de Ética Médica e exposição de dado sensível. Correção: guarda com o médico coordenador do PCMSO.
• Perfil de sistema aberto. Acesso concedido e nunca revisado. Risco: trilha de exposição do prontuário eletrônico. Correção: acesso mínimo, nominal, auditável e revisado.
• SRQ-20 nominal para o RH. Saúde mental identificada na mão da gestão. Risco: dado sensível exposto e risco de discriminação. Correção: individual fica clínico; só o agregado vai ao PGR. Veja NR-01 psicossocial e sigilo: SRQ-20 nominal x agregado.
• Contrato sem cláusula de operador. Terceirização sem governança. Risco: a responsabilidade solidária recai sobre a contratante. Correção: cláusula LGPD, direito de auditoria e custódia do prontuário. Veja Ambulatório terceirizado: quem responde pelo sigilo.
• Gestor pede o diagnóstico. Pressão sobre o médico interno. Risco: revelação vedada, inclusive à direção (Código de Ética Médica, art. 76). Correção: independência técnica formalizada. Veja Ambulatório próprio na indústria: o erro mais comum de sigilo.

Como priorizar as correções

Nem todo furo tem a mesma urgência. Uma forma prática de priorizar:

• Correções imediatas (quick wins). Tirar o CID do ASO, remover o prontuário do RH e revisar perfis de acesso órfãos. São mudanças de baixo custo e alto impacto.
• Correções estruturais. Ajustar contratos de terceirização, redesenhar o fluxo do dado psicossocial e formalizar a política de independência técnica.
• Governança contínua. Log de acesso revisado, treinamento recorrente da equipe e documentação de base legal — o que a ANPD espera ver, dado seu regulamento de dosimetria.

Comece pelos quick wins para reduzir risco agora; programe as correções estruturais em seguida.

Perguntas frequentes (FAQ)

Qual é o furo de sigilo mais comum nas empresas?
O CID escrito no ASO e o prontuário guardado no RH. Ambos são operacionais, muito frequentes e configuram quebra de sigilo — e ambos são simples de corrigir.

Uma auditoria de sigilo demora muito?
Não necessariamente. Como a maioria dos furos é visível (documentos, acessos, contratos), uma auditoria bem conduzida mapeia os principais pontos de exposição rapidamente.

Preciso de auditoria mesmo se tenho política de sigilo por escrito?
Sim. A política é o começo; a auditoria verifica se ela funciona na prática.

Corrigir esses furos garante conformidade com a LGPD e a NR-07?
O checklist cobre os pontos mais críticos, mas conformidade é um processo contínuo, não um evento.

Conclusão: a série em uma frase

Se toda esta série couber em uma frase, é esta: o dado de saúde é do trabalhador, o médico é o guardião, e a empresa recebe apenas a aptidão. Os cinco artigos foram desdobramentos dessa regra — nos cenários próprio e terceirizado, no dado de saúde mental e, agora, na verificação prática. Os furos são operacionais; as correções também. Comece marcando o checklist.

O Grupo Bplan faz o diagnóstico de sigilo da sua operação de saúde ocupacional — documentos, prontuário, acessos, contratos e fluxo de dados —, com PCMSO, PGR e governança integrados. Fale com nossa equipe técnica e agende uma auditoria de sigilo.

Leia a série completa: 1. Sigilo médico ocupacional: a regra, as exceções e quem responde · 2. Ambulatório próprio na indústria: o erro mais comum de sigilo · 3. Ambulatório terceirizado: quem responde pelo sigilo · 4. NR-01 psicossocial e sigilo: SRQ-20 nominal x agregado.

Conteúdo produzido pela equipe técnica do Grupo Bplan — consultoria de Saúde Ocupacional e Segurança do Trabalho. Material informativo; não substitui orientação jurídica ou médica individualizada.

Fontes: Código de Ética Médica — Resolução CFM nº 2.217/2018 (arts. 73, 76); Código Penal (art. 154); LGPD — Lei nº 13.709/2018 (arts. 11 e 42; ANPD e Regulamento de Dosimetria); NR-07 (PCMSO); NR-01 (Portarias MTE nº 1.419/2024 e 765/2025).