Sigilo Médico Ocupacional: a Regra, as Exceções e Quem Responde

TL;DR: O sigilo médico ocupacional pertence ao trabalhador, não à empresa que paga a consulta. O médico só pode revelar informação clínica em três hipóteses: dever legal, justa causa ou autorização expressa do paciente. Fora disso, RH, diretoria e SESMT não têm direito de acesso ao diagnóstico — apenas à conclusão de aptidão registrada no ASO.

Todo ano, empresas descobrem da pior forma — em uma ação trabalhista ou em uma fiscalização — que tratavam o prontuário do colaborador como um documento corporativo qualquer. Não é. O dado de saúde do trabalhador é um dos poucos que a legislação brasileira protege em três camadas simultâneas: constitucional, penal e de proteção de dados. Este artigo explica a regra-mãe do sigilo, as três exceções legais, o que pode e o que não pode circular internamente, e quem responde quando algo vaza.

O que é sigilo médico ocupacional

Sigilo médico ocupacional é o dever do profissional de saúde de manter em segredo toda informação clínica obtida durante o atendimento a um trabalhador — exames admissionais, periódicos, demissionais, de retorno ao trabalho ou de mudança de função. Ele é uma extensão do sigilo médico geral aplicada ao contexto do trabalho, e não perde força pelo fato de o exame ser exigido pela empresa e pago por ela.

Na prática, isso significa que o resultado de um exame ocupacional não é uma informação da empresa. É uma informação do trabalhador, sob custódia do médico. A empresa tem direito a uma resposta objetiva — o colaborador está apto ou inapto para a função? —, mas não ao caminho clínico que levou a essa conclusão.

A regra-mãe: de quem é o sigilo

A confusão mais cara em saúde ocupacional nasce de uma premissa errada: “se a empresa paga o exame, a empresa tem direito ao resultado”. Do ponto de vista jurídico, quem paga o exame não é titular do dado.

O titular do dado de saúde é sempre o trabalhador. O médico é o guardião. A empresa é, no máximo, a destinatária de uma conclusão de aptidão. Essa hierarquia não é negociável por contrato, política interna ou ordem de gestor — ela decorre da Constituição, do Código Penal, do Código de Ética Médica e da Lei Geral de Proteção de Dados (LGPD).

A base legal em três camadas

O sigilo médico ocupacional se sustenta em um conjunto de normas que se reforçam mutuamente:

• Constituição Federal, art. 5º, X — inviolabilidade da intimidade e da vida privada.
• Código Penal, art. 154 — revelar segredo profissional sem justa causa é crime, punível com detenção de 3 meses a 1 ano, ou multa.
• Código Civil, art. 21 — a vida privada da pessoa natural é inviolável.
• Código de Ética Médica (Resolução CFM nº 2.217/2018), arts. 73 a 79 — vedam ao médico revelar fato conhecido em razão da profissão, salvo nas exceções legais.
• LGPD (Lei nº 13.709/2018), arts. 5º, II, 7º e 11 — dado de saúde é dado pessoal sensível, sujeito ao regime mais rígido do art. 11, não ao art. 7º dos dados comuns.
• NR-07 e CLT, art. 168 — regulam o Programa de Controle Médico de Saúde Ocupacional (PCMSO) e a obrigatoriedade dos exames, atribuindo ao médico coordenador a guarda do prontuário clínico.

A NR-07 é explícita sobre a custódia: os dados dos exames clínicos e complementares são registrados em prontuário médico individual sob responsabilidade do médico coordenador do PCMSO, e devem ser guardados por no mínimo 20 anos após o desligamento do trabalhador. Não é o RH nem a diretoria que respondem por esse arquivo — é o médico.

As três exceções legais

O art. 73 do Código de Ética Médica define, de forma taxativa, as únicas três situações em que o médico pode quebrar o sigilo. Não existe uma quarta hipótese “de bom senso” ou “de interesse da empresa”.

1. Dever legal. Quando uma norma obriga a comunicação. Exemplos clássicos: notificação compulsória de doenças à vigilância epidemiológica, requisição judicial e determinação de autoridade competente nos limites da lei. O gatilho é a obrigação legal, não a conveniência.

2. Justa causa (motivo justo). Quando a revelação é necessária para proteger a vida ou a integridade do próprio paciente ou de terceiros diante de risco concreto e iminente. É uma exceção estreita, avaliada caso a caso, e não um cheque em branco para “avisar o gestor”.

3. Autorização expressa do paciente. Quando o próprio trabalhador consente, por escrito, na divulgação — de forma específica e para uma finalidade determinada. Um consentimento genérico assinado na admissão não cobre qualquer uso futuro.

Um alerta importante sobre a terceira exceção no ambiente de trabalho: o consentimento do empregado é considerado a base legal mais frágil justamente pela assimetria da relação de emprego. Um “de acordo” assinado sob subordinação pode ser questionado como não livre. Por isso, empresas maduras não constroem sua governança de sigilo sobre consentimento — constroem sobre a regra de que o dado clínico simplesmente não circula.

O que pode e o que não pode circular na empresa

A maior parte dos vazamentos não é dolosa. É operacional: alguém repassa a informação errada porque não sabe qual documento contém o quê. Esta é a distinção que precisa estar clara para todo o time:

A regra de ouro: o ASO circula, o diagnóstico não. O ASO informa a aptidão e eventuais restrições funcionais (“não pode trabalhar em altura”, por exemplo), sem revelar a doença que motivou a restrição. No momento em que um CID aparece escrito no ASO, no e-mail do RH ou em uma planilha de gestão, houve quebra de sigilo.

Sigilo em cada cenário: hospital, ambulatório próprio e terceirizado

A regra é a mesma nos três cenários, mas o ponto de falha muda:

• Hospital / ambulatório assistencial: o risco está no acesso amplo ao prontuário eletrônico e no compartilhamento indevido entre setores administrativos e assistenciais.
• Ambulatório próprio na indústria: o risco mais comum é de proximidade — o médico ou a enfermagem dentro da planta, próximos ao RH e à liderança, sofrem pressão para “adiantar” o diagnóstico. Tratamos esse cenário em profundidade no artigo Ambulatório próprio na indústria — o erro mais comum de sigilo.
• Ambulatório terceirizado: o risco está na cadeia controlador–operador e na custódia do prontuário quando a clínica é externa. Detalhamos em Ambulatório terceirizado — quem responde pelo sigilo quando a clínica é externa.

Quem responde por stakeholder

Responsabilidade por sigilo não é difusa — ela tem nome e nível de acesso definido para cada função. Um ponto costuma surpreender: na LGPD, a empresa contratante é a controladora e permanece responsável legal primária mesmo quando terceiriza o serviço. Contratar uma clínica externa não transfere a responsabilidade perante a fiscalização e a Justiça.

• Médico coordenador do PCMSO — guardião do prontuário; define a aptidão. Acessa o prontuário completo, incluindo CID e diagnóstico.
• Equipe de enfermagem / técnica — dever de sigilo derivado; auxilia sob supervisão. Acessa apenas os dados clínicos estritos ao cuidado.
• Empresa contratante (empregador) — controladora (LGPD); responsável legal primária. Acessa somente a conclusão de aptidão (ASO).
• Clínica terceirizada — operadora (LGPD); executa o serviço. Mantém o prontuário sob custódia, sem repassar diagnóstico.
• RH / gestor — não tem acesso clínico. Acessa apenas o ASO e eventuais restrições funcionais.
• DPO / TI — governança e segurança do dado sensível. Acessa registros de acesso, nunca o conteúdo clínico.
• SESMT — gestão de risco coletivo. Trabalha com dados agregados e anonimizados, nunca com o indivíduo identificado.

Os erros mais comuns na prática

Três falhas aparecem repetidamente em auditorias de sigilo — e todas são corrigíveis:

• Prontuário guardado no armário do RH. O Código de Ética Médica veda permitir o manuseio e o conhecimento do prontuário por pessoas não obrigadas ao sigilo. Prontuário clínico é responsabilidade do médico coordenador, não do departamento de pessoal.
• CID escrito à mão no ASO. O ASO deve trazer a conclusão de aptidão, jamais o código da doença. Um CID no ASO é quebra de sigilo documentada, com data e assinatura.
• Perfil de sistema aberto sem revisão. Acessos ao prontuário eletrônico concedidos “para agilizar” e nunca revistos criam uma trilha de exposição. Todo acesso a dado sensível precisa ser mínimo, justificado e auditável.

O custo de errar não é teórico. Tribunais estaduais têm condenado ao pagamento de danos morais casos em que dados de saúde do trabalhador foram repassados ao empregador sem autorização — e um termo de confidencialidade entre empresas não supre a falta de consentimento do titular. Some-se a isso o Regulamento de Dosimetria e Aplicação de Sanções da Autoridade Nacional de Proteção de Dados (ANPD), que abre caminho para responsabilização administrativa dos agentes de tratamento, e o risco deixa de ser hipotético.

Perguntas frequentes (FAQ)

A empresa pode exigir o diagnóstico do funcionário, já que paga o exame?
Não. Quem paga o exame não é titular do dado. A empresa tem direito à conclusão de aptidão (ASO), não ao diagnóstico. Exigir o CID configura acesso indevido a dado pessoal sensível.

O RH pode guardar o prontuário médico dos colaboradores?
Não. O prontuário clínico é de responsabilidade do médico coordenador do PCMSO. Guardá-lo em setor administrativo, com acesso de pessoas não obrigadas ao sigilo, viola o Código de Ética Médica e a LGPD.

Quando o médico pode, legalmente, revelar informação clínica?
Apenas em três hipóteses previstas no art. 73 do Código de Ética Médica: dever legal, justa causa (motivo justo) e autorização expressa do paciente. Fora delas, a revelação é quebra de sigilo.

Terceirizar o ambulatório transfere a responsabilidade pelo sigilo?
Não. Na LGPD, a empresa contratante é a controladora e continua sendo responsável legal primária. A clínica terceirizada atua como operadora, mas a responsabilidade da empresa perante a fiscalização e a Justiça permanece.

Conclusão

Sigilo médico ocupacional não é um detalhe de conformidade — é a fronteira entre uma operação de saúde ocupacional confiável e um passivo trabalhista e regulatório à espera de acontecer. A regra é simples de enunciar e exigente de executar: o dado é do trabalhador, o médico é o guardião, a empresa recebe apenas a aptidão, e só três exceções permitem revelar mais.

O Grupo Bplan estrutura PCMSO, PGR e a governança de sigilo de forma integrada — do fluxo do ASO à custódia do prontuário e ao controle de acessos —, para que a sua empresa esteja em conformidade antes da fiscalização, e não depois dela. Fale com nossa equipe técnica e faça um diagnóstico de sigilo da sua operação de saúde ocupacional.

Conteúdo produzido pela equipe técnica do Grupo Bplan — consultoria de Saúde Ocupacional e Segurança do Trabalho — com revisão da Diretoria Técnica Médica. As referências legais devem ser confirmadas para o caso concreto; este material tem caráter informativo e não substitui a orientação jurídica ou médica individualizada.

Fontes e referências: Constituição Federal (art. 5º, X); Código Penal (art. 154); Código Civil (art. 21); Código de Ética Médica — Resolução CFM nº 2.217/2018 (arts. 73–79); Lei nº 13.709/2018 (LGPD, arts. 5º, 7º e 11); NR-07 (PCMSO) e CLT (art. 168); ANPD — Regulamento de Dosimetria e Aplicação de Sanções.