Atestado médico e sigilo 2026: 7 falhas críticas

Atestado médico e sigilo em 2026 exigem muito mais cuidado das empresas do que simplesmente receber um documento, lançar a ausência no sistema e cobrar explicações do trabalhador. O empregador pode controlar faltas, verificar requisitos formais, organizar o fluxo de afastamentos e acompanhar indicadores de absenteísmo, mas não deve transformar o RH, a liderança ou o financeiro em área de investigação de diagnóstico, CID, exames, laudos, prontuários ou detalhes clínicos. O tema envolve ética médica, LGPD, NR-7, PCMSO, ASO, gestão de dados sensíveis, risco de discriminação e prevenção de passivos trabalhistas.

O Conselho Federal de Medicina atualizou, em 2024, a norma que regulamenta a emissão de documentos médicos por meio da Resolução CFM nº 2.381/2024. A própria notícia do CFM informa que a resolução passou a normatizar documentos como atestado médico de afastamento, atestado de acompanhamento, declaração de comparecimento, atestado de saúde, ASO, laudo médico, parecer técnico, relatório médico e outros documentos médicos. Também reforça que documentos médicos possuem presunção de veracidade e valor administrativo, médico-legal e sanitário.

O ponto mais sensível é o CID. O TST manteve a nulidade de cláusula coletiva que exigia a informação da Classificação Internacional de Doenças como requisito para validade do atestado e abono de faltas. Segundo o CFM, a decisão reforçou que o médico somente deve informar o CID por solicitação do paciente, e que a exigência da informação viola normas de ética médica e direitos de intimidade, vida privada, honra e imagem.

Por Lucas Esteves, Especialista em Medicina e Segurança do Trabalho e Sócio da AMBRAC.

O que a empresa pode exigir no atestado médico

A empresa pode exigir elementos formais que permitam identificar o trabalhador, o médico ou serviço emissor, a data de emissão, o período de afastamento ou comparecimento, a assinatura e a autenticidade do documento. Esse controle é legítimo porque o empregador precisa gerir frequência, folha, afastamentos, substituições, escalas e obrigações trabalhistas.

O cuidado está no limite: controlar o afastamento não significa ter direito automático ao diagnóstico. Dados de saúde são dados pessoais sensíveis pela LGPD, e o tratamento desses dados exige finalidade legítima, necessidade, segurança, restrição de acesso e base legal adequada. A LGPD define dado pessoal sensível como aquele referente à saúde, entre outros atributos, e estabelece hipóteses específicas para tratamento desses dados.

Na prática, o RH deve receber o necessário para justificar a ausência e processar a rotina administrativa. Diagnóstico, CID, exames complementares, prontuário, laudos detalhados e informações clínicas devem permanecer sob controle médico, salvo hipóteses juridicamente justificadas, autorização expressa do trabalhador ou necessidade técnica conduzida pelo médico responsável, respeitando sigilo.

“A empresa tem direito de controlar afastamentos, mas não tem direito ilimitado sobre a intimidade clínica do trabalhador. O dado que interessa ao RH é administrativo; o dado que explica a doença pertence à esfera médica e deve ser tratado com sigilo, finalidade e segurança.”

Lucas Esteves, AMBRAC

Atestado comum, ASO e prontuário ocupacional não são a mesma coisa

Um erro comum é misturar atestado médico assistencial, ASO e prontuário ocupacional. O atestado médico comum justifica ausência, afastamento ou comparecimento conforme a finalidade do documento. O ASO é documento ocupacional emitido no contexto da NR-7, vinculado ao PCMSO e à avaliação de aptidão para a função. Já o prontuário médico ocupacional reúne dados clínicos e complementares sob responsabilidade médica.

A NR-7 determina que, para cada exame clínico ocupacional realizado, o médico emita o ASO. A norma também define que o ASO deve conter, no mínimo, dados da organização, identificação do empregado, função, descrição dos perigos ou fatores de risco identificados no PGR que necessitem de controle médico, indicação dos exames realizados e definição de apto ou inapto para a função.

Já os dados dos exames clínicos e complementares devem ser registrados em prontuário médico individual sob responsabilidade do médico responsável pelo PCMSO ou do médico responsável pelo exame, quando a organização estiver dispensada de PCMSO. A NR-7 exige manutenção do prontuário por, no mínimo, 20 anos após o desligamento, salvo previsão diversa nos anexos.

Tabela prática: o que pode, o que exige cuidado e o que deve ser evitado

A tabela mostra que a empresa pode controlar documentos e afastamentos, mas precisa separar o fluxo administrativo do fluxo médico. O problema não está em receber o atestado; está em coletar mais dados do que o necessário, expor informações sensíveis e usar dados de saúde sem governança.

As 7 falhas críticas em atestado médico e sigilo ocupacional

1. Exigir CID como regra para aceitar o atestado

A primeira falha é exigir CID como condição obrigatória para validar o atestado. Essa prática é sensível porque força o trabalhador a revelar informação sobre seu estado de saúde para justificar ausência. O TST manteve decisão que anulou cláusula coletiva com essa exigência, e o CFM reforça que a informação do CID deve ocorrer por solicitação do paciente.

Isso não impede que a empresa controle afastamentos. O que muda é o limite da informação. O RH pode verificar período de afastamento, data, assinatura, identificação do médico e autenticidade. O diagnóstico deve permanecer protegido.

Quando há necessidade ocupacional, retorno ao trabalho, suspeita de nexo com trabalho, restrição funcional ou avaliação de aptidão, o caminho correto é a medicina ocupacional, o PCMSO e o médico responsável, não a exigência genérica de CID pelo gestor.

2. Pedir exames, laudos ou prontuários para o RH

A segunda falha é solicitar que o trabalhador envie exames laboratoriais, laudos detalhados, relatórios médicos, imagens, receitas ou prontuários diretamente ao RH. Esses documentos podem conter dados sensíveis que extrapolam a finalidade administrativa do controle de frequência.

A NR-7 separa a documentação médica ocupacional da rotina administrativa. Os dados de exames clínicos e complementares devem ser registrados em prontuário médico individual sob responsabilidade médica, e não em pastas comuns do RH, planilhas abertas ou sistemas com acesso amplo.

O RH precisa saber se o trabalhador está afastado, por quanto tempo e quais providências administrativas serão tomadas. Quem avalia condição clínica, aptidão, restrição, retorno, risco ocupacional e necessidade de conduta médica é o profissional médico habilitado.

3. Confundir atestado assistencial com ASO

A terceira falha é tratar qualquer atestado como se fosse ASO ou exigir que o atestado comum traga avaliação de aptidão para função. O atestado assistencial justifica ausência ou afastamento. O ASO pertence ao PCMSO e deve ser emitido após exame ocupacional nos termos da NR-7.

A NR-7 determina que o PCMSO tenha como objetivo proteger e preservar a saúde dos empregados conforme avaliação de riscos do PGR, além de definir diretrizes como rastrear agravos relacionados ao trabalho, detectar exposições excessivas, definir aptidão para funções e subsidiar decisões de afastamento e readaptação.

Portanto, quando a empresa precisa avaliar aptidão, retorno ao trabalho, mudança de risco, restrição ou incompatibilidade entre saúde e função, deve acionar o fluxo ocupacional. O atestado assistencial não substitui o ASO.

4. Expor atestados em grupos, e-mails ou sistemas sem controle

A quarta falha é permitir que atestados circulem em grupos de WhatsApp, e-mails coletivos, pastas compartilhadas, sistemas sem perfil de acesso ou conversas entre gestores. Atestado médico contém dado de saúde, mesmo quando não possui CID, porque revela uma condição de afastamento ou comparecimento por motivo médico.

A LGPD considera dados referentes à saúde como dados pessoais sensíveis e estabelece requisitos específicos para seu tratamento. Isso exige segurança, finalidade, necessidade, controle de acesso e prevenção de uso discriminatório.

A empresa deve definir quem recebe, onde armazena, por quanto tempo, com qual finalidade, quem acessa, como audita e como descarta esses documentos. Sem governança, o risco deixa de ser apenas trabalhista e passa também por proteção de dados.

5. Usar atestados para perseguir, expor ou discriminar trabalhadores

A quinta falha é transformar controle de absenteísmo em perseguição individual. Questionar publicamente, ironizar afastamentos, divulgar que o trabalhador “vive de atestado”, pressionar retorno antecipado, ameaçar dispensa ou associar doença a falta de compromisso são condutas de alto risco.

A empresa pode analisar frequência e absenteísmo, mas deve fazê-lo com critério técnico, sigilo e finalidade preventiva. O PCMSO tem diretrizes para subsidiar análises epidemiológicas e estatísticas sobre agravos à saúde e sua relação com riscos ocupacionais, mas isso não autoriza exposição indevida de trabalhadores.

A abordagem correta é diferenciar gestão administrativa, avaliação médica ocupacional, investigação de nexo com trabalho e eventual apuração de irregularidade documental. Misturar tudo em cobrança informal fragiliza a empresa.

6. Ignorar indicadores de absenteísmo no PCMSO

A sexta falha é olhar atestados apenas como falta ao trabalho. Atestados recorrentes podem indicar problemas de saúde coletiva, sobrecarga, risco psicossocial, exposição ocupacional, ergonomia inadequada, liderança tóxica, falhas de organização do trabalho, acidentes repetidos ou doenças relacionadas ao trabalho.

A NR-7 estabelece que o PCMSO deve incluir ações de vigilância passiva, a partir de informações sobre demanda espontânea de empregados que procuram serviços médicos, e vigilância ativa, por meio de exames dirigidos e coleta de dados sobre sinais e sintomas relacionados aos riscos ocupacionais.

Isso não significa abrir diagnóstico individual para a empresa. Significa transformar dados agregados e preservados em prevenção: setores com mais afastamentos, funções com mais queixas, padrões de adoecimento, riscos associados e necessidade de revisão do PGR.

7. Recusar atestado sem critério técnico ou prova de irregularidade

A sétima falha é recusar atestado de forma automática, por desconfiança pessoal, por ausência de CID ou por antipatia com o trabalhador. Documentos médicos possuem presunção de veracidade, conforme destacado pelo CFM ao comentar a Resolução CFM nº 2.381/2024.

Quando há suspeita de fraude, rasura, inconsistência, assinatura inválida ou documento emitido por canal duvidoso, a empresa deve adotar procedimento formal de validação, com discrição, registro e respeito ao trabalhador. O caso pode exigir conferência de autenticidade, contato institucional com o emissor, avaliação jurídica e participação da medicina ocupacional.

O erro é transformar suspeita em constrangimento. A empresa pode investigar, mas deve fazer isso com método e sem violar sigilo, imagem ou dignidade.

Atestado com CID: quando pode aparecer?

O CID pode aparecer quando o próprio paciente autoriza ou solicita a inclusão, quando houver justa causa, dever legal ou contexto técnico específico conduzido por profissional habilitado. O ponto de atenção é que a empresa não deve criar regra genérica exigindo CID como condição para aceitar atestados.

O CFM, ao comentar a decisão do TST, destacou que o médico somente deve informar o CID por solicitação do paciente, e que a exigência da informação viola princípios de proteção ao trabalhador, normas de ética médica e direitos fundamentais de intimidade e vida privada.

Na prática, a empresa deve substituir a pergunta “qual é o CID?” por perguntas mais adequadas: o documento é autêntico? O período de afastamento está indicado? Há necessidade de exame ocupacional de retorno? A ausência pode ter relação com risco do trabalho? O PCMSO precisa avaliar restrição ou aptidão? Há padrão coletivo de adoecimento?

ASO: o que a empresa recebe e o que fica sob sigilo

O ASO é o documento ocupacional que comunica a aptidão ou inaptidão do trabalhador para a função, com os elementos mínimos previstos na NR-7. Ele deve indicar os perigos ou fatores de risco identificados no PGR que necessitem de controle médico previsto no PCMSO, os exames ocupacionais realizados e a definição de apto ou inapto para a função.

O ASO não deve se transformar em relatório clínico detalhado. A empresa precisa saber se o trabalhador está apto, inapto ou apto com observações funcionais quando aplicável, mas não precisa acessar diagnóstico íntimo, resultados completos de exames ou detalhes de prontuário.

Essa separação protege o trabalhador e protege a empresa. Quanto menos dados sensíveis desnecessários circularem fora do ambiente médico, menor o risco de vazamento, discriminação e uso indevido.

LGPD e dados de saúde: por que o RH precisa de governança

Atestados, afastamentos, exames, ASOs, laudos e informações sobre saúde exigem governança. O RH deve aplicar princípios de necessidade e finalidade: coletar apenas o necessário para cumprir obrigação trabalhista, previdenciária, ocupacional ou administrativa. Dados clínicos desnecessários aumentam risco sem aumentar controle.

A LGPD estabelece regras específicas para dados pessoais sensíveis, incluindo dados referentes à saúde. O tratamento desses dados não deve ocorrer por curiosidade, conveniência, controle informal ou pressão de liderança. Deve haver base adequada, acesso restrito, segurança, transparência e responsabilização.

Na prática, a empresa deve definir uma matriz de acesso: quem pode ver atestado, quem pode registrar ausência, quem pode acessar ASO, quem pode acessar relatório analítico, quem pode tratar prontuário, quem pode validar documento e quem não deve receber dado clínico.

Checklist estratégico para revisar atestados, CID e sigilo ocupacional

Perguntas que a empresa precisa responder

• A empresa exige CID como condição para aceitar atestados?
• O RH sabe diferenciar atestado médico comum, declaração de comparecimento, ASO, laudo e prontuário?
• Existe política formal para recebimento, armazenamento e descarte de atestados?
• Os documentos médicos circulam por WhatsApp, e-mail coletivo ou pastas sem controle?
• Acesso a atestados é restrito a quem realmente precisa tratar a informação?
• Gestores são orientados a não solicitar diagnóstico, CID, exame ou laudo ao trabalhador?
• O ASO é tratado como documento ocupacional, sem exposição de dados clínicos desnecessários?
• O prontuário ocupacional permanece sob responsabilidade médica?
• Há procedimento formal para suspeita de fraude documental, sem constrangimento indevido?
• Indicadores de absenteísmo são avaliados de forma agregada e preventiva?
• O PCMSO recebe dados suficientes para analisar relação entre afastamentos e riscos ocupacionais?
• O relatório analítico do PCMSO é usado para prevenção, sem expor diagnósticos individuais?
• A empresa possui base legal, finalidade e controle de acesso para dados de saúde?
• Há treinamento de RH e lideranças sobre sigilo médico, LGPD, atestados e limites de cobrança?

Estudos de Caso AMBRAC

Os estudos de caso abaixo mostram como falhas aparentemente simples no recebimento de atestados podem gerar riscos trabalhistas, médicos, reputacionais e de proteção de dados.

Leia também: postagens recomendadas

Para aprofundar o tema e fortalecer sua gestão de SST, confira também:

• Prontuário ocupacional e sigilo médico em 2026: 7 limites de acesso;
• Exames ocupacionais e S-2220 em 2026: 7 falhas que comprometem o PCMSO;
• Relatório analítico do PCMSO em 2026: indicadores de prevenção;
• Metas abusivas no PGR em 2026: 7 falhas críticas;
• WhatsApp fora do expediente em 2026: 7 falhas no PGR;
• CAT e S-2210 em 2026: 7 falhas que fragilizam a empresa;
• Documentos de SST em 2026: 7 falhas que geram passivos.

FAQ – dúvidas técnicas avançadas sobre atestado médico e sigilo

Esse tema gera dúvida porque fica entre RH, medicina ocupacional, jurídico, LGPD e liderança. A empresa precisa controlar ausências e afastamentos, mas deve fazer isso sem invadir a intimidade clínica do trabalhador.

A empresa pode exigir CID no atestado médico?

Exigir CID como condição geral para validade do atestado é prática de alto risco. O TST manteve nulidade de cláusula coletiva que condicionava validade do atestado ao CID, e o CFM reforça que o médico somente deve informar CID por solicitação do paciente.

O trabalhador pode autorizar a inclusão do CID?

Sim. O CID pode constar quando o próprio paciente solicita ou autoriza, respeitadas as regras éticas e a finalidade do documento. Ainda assim, a empresa deve tratar essa informação como dado sensível, com acesso restrito e finalidade clara.

O RH pode pedir exames ou laudos médicos?

Como regra de governança, o RH deve evitar solicitar exames, laudos detalhados ou prontuários. Quando houver necessidade ocupacional, a avaliação deve ser conduzida pela medicina do trabalho, dentro do PCMSO e sob sigilo médico.

Atestado sem CID pode ser recusado?

A ausência de CID, por si só, não deve ser motivo automático para recusa. A empresa pode verificar requisitos formais e autenticidade, mas não deve transformar a falta de diagnóstico em invalidade automática do documento.

ASO precisa ter diagnóstico?

Não. O ASO deve registrar informações ocupacionais mínimas previstas na NR-7, como identificação da empresa e do trabalhador, função, riscos que necessitam de controle médico, exames realizados e definição de apto ou inapto. Ele não deve virar laudo clínico detalhado.

Quem pode acessar o prontuário ocupacional?

O prontuário ocupacional deve ficar sob responsabilidade médica. A NR-7 determina que dados de exames clínicos e complementares sejam registrados em prontuário médico individual sob responsabilidade do médico responsável pelo PCMSO ou do médico responsável pelo exame.

Por quanto tempo o prontuário ocupacional deve ser mantido?

A NR-7 determina manutenção do prontuário do empregado por, no mínimo, 20 anos após o desligamento, exceto quando houver previsão diversa nos anexos da norma.

Atestados são dados sensíveis pela LGPD?

Sim. Informações referentes à saúde são dados pessoais sensíveis nos termos da LGPD. Isso exige tratamento com finalidade, necessidade, segurança, restrição de acesso e base legal adequada.

A empresa pode investigar atestado suspeito?

Pode adotar procedimento formal de validação, especialmente em caso de rasura, inconsistência, suspeita de falsidade ou dúvida de autenticidade. Porém, a apuração deve ser discreta, documentada e sem exposição indevida do trabalhador.

Absenteísmo pode ser usado no PCMSO?

Sim, desde que analisado com critério técnico e preservação do sigilo individual. A NR-7 prevê diretrizes de análises epidemiológicas e estatísticas sobre agravos à saúde e sua relação com riscos ocupacionais, além de ações de vigilância passiva e ativa em saúde ocupacional.

Qual é o maior erro das empresas com atestado médico?

O maior erro é misturar controle administrativo com curiosidade clínica: exigir CID, pedir laudos ao RH, expor atestados a gestores e usar afastamentos para pressionar trabalhadores, em vez de criar fluxo sigiloso, técnico e preventivo.

Conclusão

Atestado médico e sigilo em 2026 precisam ser tratados como tema de gestão, ética médica, proteção de dados e medicina ocupacional. A empresa pode controlar afastamentos, validar requisitos formais, organizar escalas, acompanhar absenteísmo e acionar o PCMSO quando houver necessidade. Mas não deve exigir diagnóstico como regra, nem permitir que dados clínicos circulem fora do ambiente médico.

A exigência automática de CID, o armazenamento desprotegido de atestados, a solicitação de laudos por gestores, o acesso indevido a prontuários e o uso discriminatório de afastamentos criam riscos trabalhistas, éticos e de LGPD. Além disso, impedem que o absenteísmo seja analisado corretamente como indicador preventivo.

Por outro lado, empresas que estruturam fluxo seguro para atestados, separam RH de medicina ocupacional, protegem dados sensíveis, analisam indicadores agregados e integram PCMSO e PGR demonstram maturidade. Em SST, sigilo não atrapalha a gestão; sigilo bem organizado protege o trabalhador e fortalece a empresa.

Como a AMBRAC pode apoiar sua empresa

A AMBRAC atua na estruturação técnica de fluxos de atestados, ASO, PCMSO, prontuário ocupacional, sigilo médico, LGPD aplicada à saúde ocupacional, absenteísmo, retorno ao trabalho, mudança de risco, relatório analítico, indicadores preventivos e integração com RH.

Revisão técnica de atestados e sigilo ocupacional

• Mapeamento do fluxo de recebimento, validação, armazenamento e descarte de atestados;
• Definição de matriz de acesso para RH, liderança, medicina ocupacional e jurídico;
• Separação entre dados administrativos, ASO, prontuário e informações clínicas sigilosas;
• Orientação sobre limites de CID, laudos, exames e diagnósticos no ambiente corporativo;
• Criação de procedimento para suspeita de fraude documental sem exposição indevida.

PCMSO, absenteísmo e prevenção

• Análise agregada de absenteísmo por setor, função, risco e período;
• Integração entre afastamentos recorrentes, PCMSO, PGR e relatório analítico;
• Treinamento de RH e lideranças sobre sigilo médico, LGPD e limites de cobrança;
• Revisão de ASO, retorno ao trabalho, mudança de risco e condutas ocupacionais;
• Organização de evidências para auditorias, fiscalizações e demandas trabalhistas.