Blog
Você está aqui: / / / Prontuário médico: seu direito de acesso e o que fazer se o hospital n...

Prontuário médico: seu direito de acesso e o que fazer se o hospital negar

Prontuário médico: seu direito de acesso e o que fazer se o hospital negar

Poucos documentos são tão importantes — e tão mal compreendidos — quanto o prontuário médico. Ele reúne toda a história de um atendimento: diagnósticos, exames, prescrições, evoluções, anotações da equipe. E, apesar de muita gente achar o contrário, o prontuário pertence ao paciente. Ainda assim, é comum esbarrar em demora ou recusa quando se tenta obtê-lo. Saber acessar o seu prontuário é um direito — e pode ser decisivo em diversas situações.

Por que isso importa tanto? Porque o prontuário é a base para entender o que aconteceu em um atendimento, dar continuidade ao tratamento com outro profissional e, em casos mais delicados, avaliar um possível erro médico. Em uma eventual ação de responsabilidade, o prontuário costuma ser a prova-chave. Por isso, conhecer as regras de acesso e guarda é fundamental.

Neste guia prático, você vai entender de quem é o prontuário, em quanto tempo ele deve ser entregue, por quanto tempo o hospital precisa guardá-lo, o que fazer se o acesso for negado e como o prontuário se conecta a casos de erro médico. Incluímos também a base para um modelo de requerimento.

De quem é o prontuário

Embora o documento físico ou eletrônico seja organizado e mantido pelo hospital ou pela clínica, as informações nele contidas pertencem ao paciente. Isso significa que o paciente — ou seu representante legal — tem direito de acesso e de obter cópia do prontuário. Esse direito está ligado ao Código de Ética Médica e à legislação de proteção do paciente. Negar o acesso, em regra, contraria esse direito.

Qual o prazo de entrega

A entrega do prontuário deve ocorrer em prazo razoável após a solicitação. Embora a prática varie entre instituições, o paciente não pode ser submetido a uma espera indefinida. O ideal é formalizar o pedido por escrito, com protocolo, para que fique registrada a data da solicitação — isso facilita a cobrança e, se necessário, a comprovação de eventual demora indevida. (Confirmar o prazo aplicável conforme a norma vigente antes de publicar.)

Por quanto tempo o hospital deve guardar

A legislação prevê um prazo mínimo de guarda do prontuário. Pela Lei nº 13.787/2018, que trata da digitalização e guarda dos prontuários, o prazo mínimo é de 20 anos a partir do último registro. Isso é importante porque, mesmo anos após um atendimento, o paciente pode ter direito de solicitar o documento. (Confirmar a resolução do Conselho Federal de Medicina vigente sobre prontuário; o prazo de 20 anos está ancorado na Lei 13.787/2018.)

O que fazer se o acesso for negado

  • Faça o pedido por escrito. Protocole uma solicitação formal, guardando uma via com a data.
  • Identifique-se adequadamente. Leve documento de identidade; se for representante, leve a procuração.
  • Registre a recusa. Se houver negativa, peça-a por escrito ou registre o protocolo.
  • Acione os canais administrativos. Ouvidoria do hospital e, se necessário, o Conselho Regional de Medicina.
  • Busque orientação jurídica. Em último caso, é possível buscar o acesso pela via judicial.

Modelo de requerimento (base)

Um requerimento simples costuma conter: a identificação do paciente (nome, documento); a indicação do atendimento (datas, setor); o pedido expresso de cópia integral do prontuário, incluindo exames e laudos; a base do direito de acesso; e a solicitação de protocolo e prazo de entrega. Esse documento pode ser entregue na recepção, na ouvidoria ou no setor responsável, sempre com protocolo. (Um modelo completo pode ser oferecido como material para download — veja a observação ao final.)

O prontuário como prova em casos de erro médico

Em situações em que se suspeita de um erro médico, o prontuário ganha um papel central: é nele que se registra o que foi feito, quando e por quem. Por isso, obter o prontuário completo é, muitas vezes, o primeiro passo para entender o ocorrido e avaliar a viabilidade de uma ação. Anotações ausentes, rasuras ou inconsistências também podem ser relevantes. Esse é um dos motivos pelos quais o acesso ao prontuário é tão importante e tão protegido.

Sigilo médico e LGPD

O prontuário também envolve dados sensíveis de saúde, protegidos pelo sigilo médico e pela Lei Geral de Proteção de Dados (LGPD). Isso significa que o acesso é um direito do titular (o paciente), mas o compartilhamento com terceiros segue regras estritas de sigilo e proteção de dados. Em casos de vazamento ou uso indevido dessas informações, pode haver responsabilização — um tema cada vez mais relevante.

Perguntas frequentes

O prontuário é meu? As informações pertencem ao paciente, que tem direito a cópia.

Qual o prazo de entrega? Deve ser em prazo razoável; formalize o pedido com protocolo.

Por quanto tempo guardam? No mínimo 20 anos a partir do último registro, conforme a Lei 13.787/2018.

O hospital pode negar? O acesso é direito do paciente; a recusa pode ser questionada.

Preciso explicar por que quero? Em regra, não.

Posso pedir como representante? Sim, com procuração ou na condição de representante legal.

Para que serve em um caso de erro médico? É a prova-chave do que aconteceu no atendimento.

Posso reclamar ao Conselho de Medicina? Pode, em caso de recusa indevida.

Conclusão

O prontuário é seu — e saber acessá-lo é mais do que uma formalidade: é uma forma de entender a sua própria história de saúde, de dar continuidade ao tratamento e, quando necessário, de buscar seus direitos. Diante de demora ou recusa, o caminho é formalizar o pedido por escrito, guardar os protocolos e, se preciso, acionar a ouvidoria, o Conselho de Medicina ou a via judicial. Conhecer esse direito coloca o paciente no controle da informação que lhe pertence.

Entenda os próximos passos se o acesso ao seu prontuário for negado. Cada situação pode ter particularidades, e o acesso é um direito do paciente — por isso, busque orientação jurídica individualizada quando necessário.

Leituras relacionadas no blog:

/por
Talvez você goste dos artigos
A importância do acompanhamento jurídico nas licitações: por que pequenas e médias empresas devem estar protegidas desde o editalA importância do acompanhamento jurídico nas licitações: por que pequenas e médias empresas devem estar protegidas desde o edital
Empréstimo consignado não reconhecido: como provar a fraudeEmpréstimo consignado não reconhecido: como provar a fraude
A fraude bancária contra pessoa jurídica exige uma leitura mais sofisticada do que aquela aplicada aos pequenos incidentes de consumo. Em contas empresariais, uma operação fraudulenta pode comprometer capital de giro, folha de pagamento, fornecedores, tributos, contratos, fluxo de caixa e continuidade da atividade econômica. Por isso, quando uma empresa sofre golpe financeiro, a discussão jurídica não deve se limitar à existência de senha, token, biometria ou acesso ao internet banking. A questão central é saber se a instituição financeira entregou segurança compatível com o risco da operação empresarial e se reagiu adequadamente aos sinais de anormalidade antes, durante e depois da fraude. A jurisprudência brasileira já fornece bases relevantes para essa análise, especialmente a partir da Súmula 479 do Superior Tribunal de Justiça, segundo a qual as instituições financeiras respondem objetivamente pelos danos gerados por fortuito interno relativo a fraudes e delitos praticados por terceiros em operações bancárias. A fraude bancária PJ como risco da atividade financeira A atividade bancária moderna é estruturada sobre confiança digital. Instituições financeiras oferecem contas empresariais, Pix, internet banking, cartões corporativos, crédito, pagamentos em lote, gestão de recebíveis, APIs, validações remotas e múltiplos canais de operação. Esse ambiente amplia eficiência, mas também aumenta a superfície de risco. Fraudes contra empresas frequentemente envolvem falso gerente, falsa central bancária, acesso remoto, engenharia social contra funcionários, boletos adulterados, contas de passagem, alteração de favorecidos, Pix em sequência, empréstimos não reconhecidos e transferências incompatíveis com a rotina da pessoa jurídica. Esses eventos não podem ser tratados, em todos os casos, como fatos externos à atividade bancária. Quando a fraude se realiza dentro dos canais disponibilizados pelo banco, mediante operações que deveriam ser monitoradas e com sinais objetivos de atipicidade, o debate se desloca para o defeito do serviço. A responsabilidade objetiva não impõe condenação automática. Mas exige que a instituição demonstre a adequação de seus mecanismos de segurança, a regularidade dos controles, a compatibilidade das transações com o perfil empresarial e a efetividade da resposta após a comunicação do golpe. O perfil transacional da empresa como critério jurídico Um ponto decisivo nas fraudes PJ é o perfil transacional. Empresas possuem rotinas financeiras identificáveis: fornecedores recorrentes, horários habituais de pagamento, valores médios, limites operacionais, contas destinatárias frequentes, padrões de folha, tributos e recebíveis. Quando a conta empresarial sofre movimentações absolutamente incompatíveis com esse histórico, a instituição financeira não pode tratar o evento como operação ordinária. O STJ já reconheceu, em precedente envolvendo fraude bancária, que instituições financeiras têm o dever de identificar e impedir transações que destoem do perfil do cliente. A decisão destacou a necessidade de aprimoramento dos mecanismos de proteção em ambiente de contratação digital. Esse raciocínio é especialmente relevante para contas PJ. Se uma empresa que normalmente realiza pagamentos a fornecedores conhecidos passa a transferir valores expressivos para contas recém-cadastradas, em sequência, em horário incomum ou para destinatários sem relação comercial aparente, a operação deve acionar controles reforçados. A ausência desses controles pode configurar falha na prestação do serviço. A insuficiência da defesa baseada em senha ou autenticação formal Em litígios bancários, a defesa costuma sustentar que a operação foi validada por senha pessoal, token, dispositivo autorizado, biometria ou ambiente autenticado. Essa alegação é relevante, mas não necessariamente conclusiva. Golpes sofisticados não dependem apenas da quebra técnica de senha. Muitas fraudes ocorrem por engenharia social, indução psicológica, acesso remoto, falsos contatos bancários e uso de informações internas ou sensíveis. Em outras palavras, a transação pode ter aparência formal de autenticação e, ainda assim, ser fruto de fraude. Por isso, a autenticação deve ser analisada em conjunto com o comportamento da operação. A pergunta jurídica não é apenas se houve validação formal. É preciso saber se o banco poderia identificar que aquela validação estava sendo utilizada em contexto anormal. Essa distinção é decisiva em golpes como falsa central, falso gerente e mão fantasma. A instituição financeira pode não ter criado o golpe, mas pode ter falhado ao permitir que operações incompatíveis com o perfil empresarial fossem concluídas sem contenção efetiva. Conta de passagem e abertura negligente de contas Outro eixo relevante nas fraudes PJ é a conta destinatária. Muitos golpes utilizam contas de passagem: contas abertas ou mantidas para receber rapidamente valores desviados e dispersá-los em seguida. O problema jurídico não está apenas no banco de origem, mas também na instituição que permite a abertura, manutenção e movimentação de conta com indícios de fraude. Em um sistema financeiro baseado em identificação, monitoramento e prevenção de ilícitos, não é aceitável que contas sejam utilizadas como meros instrumentos de escoamento de valores sem que haja controles proporcionais. A tese de responsabilidade pode envolver falha cadastral, deficiência de verificação de identidade, ausência de monitoramento de conta recém-aberta, movimentação incompatível com renda ou perfil declarado, dispersão rápida de recursos e omissão após comunicação do evento fraudulento. Nas fraudes empresariais, esse ponto é sensível porque a recuperação do valor depende da velocidade de reação. Se a instituição destinatária não bloqueia, não preserva valores, não responde adequadamente ou não coopera na rastreabilidade, o dano pode se tornar irreversível. Pix, MED e a responsabilidade no tempo da resposta O Pix acelerou o sistema de pagamentos brasileiro. A mesma eficiência que beneficia a economia também exige mecanismos rigorosos de resposta em caso de fraude. O Banco Central informa que o Mecanismo Especial de Devolução é ferramenta exclusiva do Pix destinada a facilitar devoluções em casos de fraude, aumentando as possibilidades de a vítima reaver os recursos. O pedido deve ser registrado na instituição da vítima em até 80 dias da data do Pix. Em 2025, o Banco Central anunciou aprimoramentos no MED para permitir a identificação de possíveis caminhos dos recursos, compartilhamento dessas informações com participantes envolvidos e possibilidade de devolução em até 11 dias após a contestação, com o objetivo de aumentar a identificação de contas usadas para fraudes e desestimular novas ocorrências. Essas informações reforçam uma tese importante: no pós-golpe, a inércia não é neutra. O banco deve demonstrar quais medidas adotou, quando adotou, qual foi o resultado, se acionou o MED, se comunicou a instituição destinatária e se preservou registros suficientes para rastrear a operação. A responsabilidade bancária não se examina apenas no instante da transferência. O comportamento posterior à comunicação da fraude pode agravar ou mitigar o dano. A falha no pós-golpe como categoria autônoma de análise A experiência prática mostra que muitas empresas, ao perceberem a fraude, comunicam imediatamente o banco, abrem protocolo, solicitam bloqueio, registram ocorrência e pedem rastreamento. Ainda assim, recebem respostas genéricas, demora excessiva, negativas padronizadas ou orientação para regularizar saldo devedor. Esse comportamento merece tratamento jurídico próprio. A falha no pós-golpe pode ocorrer quando a instituição: não registra adequadamente a contestação; não aciona mecanismos disponíveis de bloqueio ou devolução; não comunica a instituição destinatária; não preserva logs e registros técnicos; não apresenta relatório de análise antifraude; não explica a compatibilidade da operação com o perfil da empresa; não informa as medidas adotadas; não responde de forma fundamentada; conduz a vítima à contratação de crédito antes da apuração. Essa última hipótese é particularmente grave. Em fraudes PJ, é comum que a empresa contrate empréstimos para recompor caixa, cobrir cheque especial, pagar folha ou evitar inadimplemento com fornecedores. Quando isso ocorre antes da apuração, a fraude inicial pode gerar uma dívida nova, com juros, encargos e impacto prolongado sobre a atividade empresarial. Se o banco tinha ciência da contestação e, ainda assim, tratou o saldo como dívida ordinária, há espaço para discutir abusividade, agravamento do dano e inexistência de reconhecimento voluntário da obrigação. Dados pessoais, dados empresariais e fraude qualificada Fraudes empresariais sofisticadas geralmente envolvem dados. O fraudador conhece o banco utilizado, nomes de sócios ou funcionários, e-mails internos, padrões de pagamento, fornecedores, rotina financeira ou informações cadastrais. Esse uso de dados cria aparência de legitimidade e aumenta a eficácia do golpe. A LGPD não protege apenas dados de consumidores individuais em sentido simplificado. Ela disciplina o tratamento de dados pessoais, inclusive quando vinculados a representantes, sócios, administradores, empregados e contatos empresariais. A lei foi concebida para proteger direitos fundamentais de liberdade e privacidade no tratamento de dados em meios físicos e digitais. Além disso, a ANPD prevê comunicação de incidentes de segurança quando houver risco ou dano relevante, especialmente em hipóteses envolvendo dados financeiros, autenticação em sistemas, sigilo ou tratamento em larga escala. Nas fraudes PJ, isso significa que a discussão probatória deve incluir perguntas sobre origem e uso de dados: quais informações o fraudador possuía, quem tinha acesso a elas, se houve compartilhamento com terceiros, se houve incidente de segurança, quais logs foram preservados e quais medidas de prevenção foram adotadas. Não se trata de presumir vazamento em todo caso. Trata-se de exigir apuração técnica quando a fraude foi viabilizada por informações que aumentaram artificialmente a confiança da vítima. Ônus da prova e exibição de documentos técnicos A empresa vítima de fraude geralmente não tem acesso aos elementos mais importantes da prova. Logs de acesso, IP, geolocalização, dispositivo utilizado, método de autenticação, score de risco, histórico transacional, análise antifraude, dados de abertura da conta destinatária e comunicação entre instituições ficam sob controle dos bancos. Por isso, a estratégia processual deve valorizar a exibição de documentos e a inversão dinâmica do ônus da prova. Em uma ação bem estruturada, não basta pedir a restituição dos valores. É necessário requerer que a instituição apresente: relatório completo da contestação; logs de acesso; IP e dispositivo utilizado; método de autenticação; eventual biometria ou aceite eletrônico; histórico de limites e alterações cadastrais; perfil transacional da empresa; alertas gerados ou não gerados pelo sistema antifraude; comunicações internas sobre a fraude; prova de acionamento do MED, quando houver Pix; dados da conta destinatária, quando possível; procedimentos de KYC e abertura da conta recebedora; provas das medidas adotadas após a comunicação. A ausência desses elementos deve ser valorada contra quem tinha melhores condições técnicas de produzi-los. Dano material, lucros cessantes e dano moral empresarial Nas fraudes contra pessoa jurídica, o dano material corresponde aos valores desviados, débitos indevidos, encargos, empréstimos assumidos para recomposição do caixa e custos diretamente vinculados ao evento. Também pode haver discussão sobre lucros cessantes, desde que demonstrado impacto concreto na operação: perda de contratos, interrupção de atividade, atraso em entregas, inadimplemento perante fornecedores ou impossibilidade de cumprir obrigações comerciais. Quanto ao dano moral da pessoa jurídica, a análise deve ser criteriosa. Não se trata de abalo psíquico, mas de lesão à honra objetiva, imagem comercial, credibilidade, reputação ou funcionamento institucional. Em fraudes bancárias relevantes, especialmente quando há negativação, bloqueio de crédito, inadimplemento perante terceiros ou repercussão na atividade, a tese pode ser juridicamente consistente. Conclusão A fraude bancária contra pessoa jurídica não pode ser reduzida a uma discussão sobre senha. O fenômeno é mais complexo: envolve engenharia social, dados empresariais, canais digitais, contas de passagem, pagamentos instantâneos, falhas de monitoramento e resposta institucional muitas vezes insuficiente. A Súmula 479 do STJ, o art. 14 do Código de Defesa do Consumidor, o dever de segurança, a teoria do risco da atividade e os mecanismos regulatórios do sistema financeiro permitem construir uma tese sólida de responsabilidade quando a fraude revela defeito na prestação do serviço. O ponto mais sensível, contudo, está no pós-golpe. Uma instituição financeira que, comunicada da fraude, não bloqueia, não rastreia, não aciona mecanismos disponíveis, não preserva evidências, não apresenta resposta técnica e ainda conduz a empresa à contratação de crédito pode não apenas falhar em conter o dano, mas agravá-lo. A empresa vítima de fraude deve agir rapidamente, mas com estratégia: documentar a comunicação, preservar provas, exigir relatório técnico, consultar os mecanismos disponíveis, contestar formalmente o débito e evitar transformar uma fraude pendente de apuração em dívida reconhecida. No contencioso bancário contemporâneo, a pergunta decisiva não será apenas se a fraude ocorreu. Será se o banco tinha condições de preveni-la, identificá-la, contê-la ou, ao menos, responder a ela com a diligência esperada de quem explora profissionalmente o risco da atividade financeira.Responsabilidade bancária em fraude contra pessoa jurídica: fortuito interno, falha no pós-golpe e o dever de segurança nas operações empresariais
Plano de saúde com coparticipação em tratamento de TEA: o que fazer quando a família recebe uma fatura única de R$ 10 mil?Plano de saúde com coparticipação em tratamento de TEA: o que fazer quando a família recebe uma fatura única de R$ 10 mil?
Golpes digitais em 2026: como se proteger, o que fazer após cair em um golpe e quando bancos ou empresas podem ser responsabilizadosGolpes digitais em 2026: como se proteger, o que fazer após cair em um golpe e quando bancos ou empresas podem ser responsabilizados
RMC e RCC no benefício do INSS: ilegalidades, reclamações administrativas e ação judicial para aposentados, pensionistas e beneficiáriosRMC e RCC no benefício do INSS: ilegalidades, reclamações administrativas e ação judicial para aposentados, pensionistas e beneficiários
Golpes bancários e LGPD: banco falhou, banco paga?Golpes bancários e LGPD: banco falhou, banco paga?
Rescisão indireta: o que é, quando pedir e como calcular em 2026Rescisão indireta: o que é, quando pedir e como calcular em 2026

Gutemberg Amorim Sociedade Individual de Advocacia

CNPJ nº 53.659.853/0001-04

OAB GO/33.567

Contato

  • contato@gutembergamorim.com.br
  • (62) 98159-3736
    (62) 98175-1315
  • Rua 3, 1022, Ed. West Office, Setor Oeste, Goiânia - GO, 74.115-050.
    Ver no mapa

Acesso rápido

Sobre nós
Guias e E-Books
Áreas de Atuação
Blog
Diagnósticos Jurídicos
Atendimento
FAQ
Política de Privacidade

Redes Sociais

Plano de saúde “falso coletivo”: como identificar e quais os seus direitos...Plano de saúde “falso coletivo”: como identificar e quais os seus direitosInfecção hospitalar: quando o hospital é responsável e quais os seus direitosInfecção hospitalar: quando o hospital é responsável e quais os seus di...
// CODIGO PARA IDENTIFICACAO DE LINK DO DIAGNOSTICO - Sao 2 partes do codigo esse aqui e no Widget