Prontuário ocupacional e sigilo médico em 2026: 7 limites de acesso dentro da empresa

Prontuário ocupacional e sigilo médico em 2026 não podem mais ser tratados como tema secundário de arquivo interno, nem como simples questão administrativa entre RH, clínica e liderança. A NR-7 determina que os dados dos exames clínicos e complementares sejam registrados em prontuário médico individual sob responsabilidade do médico responsável pelo PCMSO, ou do médico responsável pelo exame quando a organização estiver dispensada de PCMSO, e permite prontuários em meio eletrônico desde que atendidas as exigências do Conselho Federal de Medicina. Ao mesmo tempo, a LGPD trata dados de saúde como dados pessoais sensíveis e o eSocial mantém restrições explícitas sobre o resultado de exames no S-2220. Em outras palavras, em 2026 a empresa precisa saber com precisão o que pertence ao prontuário, o que pode circular como informação ocupacional e o que deve permanecer protegido sob sigilo médico.

O erro mais comum é cair em um dos dois extremos. De um lado, há empresas que deixam o tema sem governança, permitindo que pedidos de liderança, RH, jurídico ou operação avancem sobre informação clínica individual como se o prontuário fosse banco de dados interno comum. De outro, há empresas que travam tudo indiscriminadamente e acabam impedindo até a circulação daquilo que é necessário para proteção ocupacional, gestão do retorno ao trabalho, emissão correta do ASO e adoção de medidas preventivas. Nenhum desses caminhos é tecnicamente maduro. O modelo mais seguro é aquele que separa, com método, três camadas: prontuário médico individual protegido; informação ocupacional necessária ao fluxo do PCMSO, do ASO e do eSocial; e informação agregada para prevenção, como o relatório analítico anual discutido com SST e CIPA.

Esse tema ficou ainda mais sensível porque o guia oficial do MTE publicado em maio de 2026 reforçou que a avaliação médica periódica, ainda que realizada sob sigilo profissional, não substitui o processo de identificação de perigos e avaliação de riscos da NR-1, que se refere à análise das condições e da organização do trabalho. Isso é decisivo para a governança do prontuário: não cabe transformar o registro clínico individual em instrumento principal de identificação dos riscos psicossociais do trabalho. O prontuário serve à clínica ocupacional. O GRO, a AEP e o PGR servem à análise do trabalho real. Quando a empresa mistura esses planos, amplia o passivo em vez de reduzir.

Por Lucas Esteves, Especialista em Medicina e Segurança do Trabalho e Sócio da AMBRAC.

O que realmente é o prontuário ocupacional dentro da empresa

Na prática de SST, o que muitas empresas chamam de “prontuário ocupacional” é a camada de documentação clínica individual produzida no âmbito do PCMSO. A NR-7 não trata isso como ficha administrativa comum. Ela determina que os dados dos exames clínicos e complementares sejam registrados em prontuário médico individual sob responsabilidade médica e mantidos por, no mínimo, 20 anos após o desligamento do empregado, podendo ser transferidos formalmente ao sucessor quando houver substituição do responsável. Isso mostra que o prontuário não é apenas repositório de papel. Ele é documento clínico de longa guarda, com titularidade informacional sensível e finalidade ocupacional específica.

Esse ponto se conecta diretamente ao entendimento ético da profissão médica. O Código de Ética Médica, em material oficial do CFM, afirma que o prontuário deve estar sob a guarda do médico ou da instituição que assiste o paciente e que negar ao paciente acesso a seu prontuário é vedado. O mesmo ecossistema normativo do CFM vem reforçando que o acesso direto a prontuários médicos sem anuência do titular encontra barreiras éticas relevantes. Para a empresa, a consequência prática é clara: o prontuário individual não deve ser tratado como documento livremente consultável por qualquer área corporativa só porque foi produzido no contexto ocupacional.

“O ponto central não é esconder informação da empresa. É colocar cada informação no lugar certo. Prontuário completo pertence à esfera clínica protegida. O que a gestão precisa receber é a saída ocupacional necessária para agir com segurança.”

Lucas Esteves, AMBRAC

Quem pode acessar o quê dentro da empresa

O primeiro limite importante é este: o prontuário médico individual fica sob responsabilidade do médico responsável pelo PCMSO, ou do médico responsável pelo exame, e não sob livre guarda operacional de RH, liderança ou segurança do trabalho. Essa é a regra estrutural da NR-7. Como inferência prática apoiada nessa regra e nas orientações do CFM sobre guarda e acesso, o modelo tecnicamente mais robusto dentro da empresa é concentrar o acesso pleno ao prontuário no núcleo médico ou serviço de saúde responsável, com circulação restrita das informações ocupacionais estritamente necessárias às demais áreas.

O trabalhador titular pode acessar seu próprio prontuário

O segundo limite é o direito do titular. O CFM afirma, em seu Código de Ética e em pareceres e consultas oficiais, que o prontuário pertence ao paciente e que sua disponibilização ao próprio titular não configura violação de sigilo. No contexto ocupacional, isso significa que o trabalhador não pode ser tratado como estranho em relação ao próprio histórico clínico registrado no programa de saúde ocupacional. A empresa precisa, portanto, estruturar esse acesso de forma segura, organizada e compatível com os fluxos médicos, em vez de dificultá-lo por costume administrativo.

RH, liderança e gestão operacional não precisam do prontuário completo para agir

O terceiro limite decorre da própria lógica da NR-7 e do eSocial. O ASO existe justamente para sintetizar o resultado ocupacional do exame clínico, trazendo os fatores de risco do PGR que exigem controle médico previsto no PCMSO, os exames realizados e a conclusão de aptidão ou inaptidão para a função. O S-2220, por sua vez, acompanha as informações do ASO e dos exames complementares, mas o manual do eSocial afirma que o campo de resultado do exame não é obrigatório e só pode ser informado com autorização do trabalhador em virtude do sigilo médico. Essa arquitetura sugere, por inferência técnica forte, que a gestão operacional e administrativa deve trabalhar prioritariamente com a saída ocupacional necessária, e não com o conteúdo integral do prontuário.

SST e CIPA devem receber leitura preventiva, não prontuário individual bruto

O quarto limite aparece no uso preventivo das informações. A NR-7 determina que o médico responsável pelo PCMSO elabore relatório analítico anual do programa com número de exames clínicos, número e tipos de exames complementares, estatística de resultados anormais categorizados por tipo de exame e por unidade, setor ou função, incidência e prevalência de doenças relacionadas ao trabalho e informações sobre CAT emitidas. A mesma norma manda que esse relatório seja apresentado e discutido com os responsáveis por SST da organização, incluindo a CIPA, quando existente, para adoção das medidas de prevenção necessárias. Isso mostra qual é a camada que deve circular mais amplamente: a leitura agregada, comparativa e preventiva, e não a abertura indiscriminada de prontuários individuais.

O que a LGPD muda na prática

A LGPD reforça o que a lógica ocupacional já exigia. O guia oficial do governo federal sobre LGPD explica que a lei foi promulgada para proteger os direitos fundamentais de liberdade e de privacidade e, em materiais complementares oficiais, a administração pública destaca que o tratamento de dados pessoais sensíveis para tutela da saúde é hipótese aplicável exclusivamente em procedimentos realizados por profissionais de saúde, serviços de saúde ou autoridade sanitária. Em termos práticos, isso reforça a ideia de que dado de saúde não pode circular na empresa como dado comum de gestão. Ele exige base legal, finalidade legítima, necessidade e contenção do acesso ao mínimo necessário.

Para a rotina empresarial, a consequência mais importante não é proibir toda circulação de informação, mas organizar quem recebe o quê. A área médica ou o serviço de saúde trata o dado clínico individual protegido. O fluxo ocupacional da empresa opera com ASO, conclusões de aptidão, encaminhamentos funcionais necessários e informações agregadas do relatório analítico. E o eSocial, quando recebe informação do monitoramento da saúde, preserva o resultado do exame como dado dependente de autorização do trabalhador. É esse desenho em camadas que reduz o risco de vazamento, uso excessivo e banalização do prontuário.

A tabela resume o modelo tecnicamente mais seguro de distribuição de acesso: prontuário na esfera clínica protegida, saída ocupacional no ASO, leitura agregada para prevenção e preservação do que é dado sensível individual no âmbito do eSocial e da gestão interna.

Os 7 limites de acesso que a empresa precisa entender em 2026

1. Guarda do prontuário não é guarda administrativa comum

O primeiro limite é de custódia. A NR-7 coloca o prontuário médico individual sob responsabilidade do médico responsável pelo PCMSO, e o Código de Ética Médica reforça a guarda pelo médico ou pela instituição assistente. Isso afasta a ideia de que o prontuário possa ser tratado como pasta rotineira de RH ou como arquivo operacional de livre trânsito.

2. O titular pode acessar o próprio prontuário

O segundo limite é o direito do trabalhador de acessar suas próprias informações clínicas. O CFM veda negar acesso ao paciente ao seu prontuário e entende que disponibilizá-lo ao próprio titular não viola sigilo. Isso tem impacto prático na empresa: governança séria não significa bloquear o trabalhador, mas estruturar acesso seguro e rastreável ao que lhe pertence informacionalmente.

3. Gestão interna precisa de conclusão ocupacional, não de intimidade clínica

O terceiro limite é de necessidade. O ASO existe para entregar à organização e ao trabalhador a síntese ocupacional necessária ao vínculo laboral. A primeira via deve ser disponibilizada ao empregado, e a segunda via deve ser mantida pela organização, conforme a NR-7. A conclusão ocupacional, a função, os riscos que exigem controle médico e os exames realizados são suficientes para grande parte das decisões ocupacionais ordinárias. O prontuário completo vai além disso e permanece na esfera médica protegida.

4. Resultado de exame não deve circular como dado trivial

O quarto limite é expresso no eSocial. O manual do S-2220 afirma que o campo de resultado do exame não é obrigatório e só pode ser informado com autorização do trabalhador em virtude do sigilo médico. Se o próprio sistema eletrônico nacional trata esse dado com cautela reforçada, a empresa não deveria banalizar sua circulação internamente como se fosse mera informação operacional.

5. SST e CIPA podem acessar análise agregada e preventiva

O quinto limite distingue acesso clínico de acesso preventivo. A NR-7 manda que o relatório analítico anual seja apresentado e discutido com SST e CIPA. Logo, essas instâncias têm papel relevante na leitura coletiva de tendências e agravos, mas isso não significa acesso irrestrito a prontuários individuais completos. O canal correto é o dado agregado com finalidade preventiva.

6. Avaliação clínica não substitui análise do trabalho

O sexto limite é metodológico. O MTE reforçou em 2026 que a avaliação médica não substitui a identificação de perigos e a avaliação de riscos da NR-1. Portanto, a empresa não deve usar o prontuário como atalho para “descobrir” risco psicossocial que deveria ter sido analisado na organização do trabalho, na AEP e no inventário de riscos. O prontuário ajuda a vigiar agravos; ele não substitui a leitura técnica do trabalho real.

7. Tratamento de dado de saúde exige base, finalidade e contenção

O sétimo limite é de proteção de dados. Os materiais oficiais do governo sobre LGPD e tratamento de dados sensíveis para tutela da saúde apontam para a necessidade de base legal, finalidade definida e restrição do tratamento àquilo que é necessário ao procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária. Em ambiente empresarial, isso significa que acesso amplo, curiosidade gerencial ou “cópia para conhecimento” sem necessidade concreta enfraquecem a conformidade em vez de fortalecê-la.

Os erros mais caros na prática

O primeiro erro é confundir prontuário com dossiê funcional. Quando a empresa anexa informação clínica detalhada a fluxos administrativos mais amplos, mistura esferas que a NR-7, o CFM e a LGPD tratam de modo mais protegido. Isso amplia a superfície de acesso sem necessidade ocupacional real.

O segundo erro é usar o ASO para compensar falhas do sistema. Em vez de manter prontuário protegido e PGR bem estruturado, a empresa tenta colocar no atestado mais informação clínica do que deveria. O resultado costuma ser duplamente ruim: o ASO deixa de ser documento ocupacional sintético e o prontuário perde sua função própria de guarda clínica individual.

O terceiro erro é deixar o relatório analítico do PCMSO sem uso preventivo. A NR-7 não exige esse relatório apenas para compor arquivo. Ela exige que ele seja discutido com SST e CIPA para adoção de medidas de prevenção. Quando a empresa ignora essa etapa, perde justamente a camada de compartilhamento que a norma legitima e valoriza.

Checklist estratégico para revisar acesso e sigilo dentro da empresa

Perguntas que a empresa precisa responder

• O prontuário médico individual está formalmente sob responsabilidade médica e com guarda controlada?
• O trabalhador consegue acessar suas próprias informações de modo seguro e rastreável?
• RH, liderança e operação recebem apenas a informação ocupacional necessária, sem excesso clínico?
• Os exames do ASO estão coerentes com o S-2220, sem exposição indevida do resultado?
• O relatório analítico do PCMSO está sendo usado para prevenção junto a SST e CIPA?
• A empresa evita usar prontuário como substituto da análise de riscos do trabalho?
• Há critério claro de finalidade, necessidade e restrição de acesso para dados de saúde?

Estudos de Caso AMBRAC

Os estudos de caso abaixo mostram como segurança do trabalho, medicina ocupacional, PCMSO, ASO, LGPD e governança documental se traduzem em proteção real do prontuário e redução de passivos.

Leia também: postagens recomendadas

Para aprofundar o tema e fortalecer sua gestão de SST, confira também:

• Integração PGR, PCMSO e ASO em 2026: 7 falhas que geram inconsistência documental;
• eSocial SST em 2026: 7 falhas entre S-2220, S-2240, PGR e PCMSO;
• Indicadores de saúde mental no trabalho em 2026: 7 métricas para acompanhar sem violar sigilo médico.

FAQ – dúvidas técnicas avançadas sobre prontuário ocupacional e sigilo médico

Esse tema gera dúvida porque muitas empresas entendem que, por se tratar de saúde ocupacional, toda informação médica estaria automaticamente disponível à gestão. A combinação entre NR-7, eSocial, LGPD e ética médica mostra que não é assim.

Quem guarda o prontuário médico individual no contexto ocupacional?

A NR-7 determina que os dados dos exames clínicos e complementares sejam registrados em prontuário médico individual sob responsabilidade do médico responsável pelo PCMSO, ou do médico responsável pelo exame, quando aplicável.

O trabalhador pode acessar o próprio prontuário?

Sim. O Código de Ética Médica e consultas oficiais do CFM reforçam que negar ao paciente acesso ao seu prontuário é vedado e que disponibilizar o prontuário ao próprio titular não configura violação do sigilo.

O prontuário pode circular livremente entre RH, liderança e jurídico?

Não como prática ordinária. As orientações éticas do CFM e a própria estrutura da NR-7 apontam para guarda médica protegida e para forte cautela com acesso direto sem anuência do titular ou sem fundamento específico.

O que a empresa deve usar para a gestão ocupacional cotidiana?

Em regra, a saída ocupacional necessária, como ASO, aptidão para a função, exames realizados conforme o fluxo ocupacional e informações agregadas do relatório analítico do PCMSO, e não o prontuário completo. Essa é uma inferência técnica apoiada na arquitetura da NR-7 e do eSocial.

O resultado de exame pode ser enviado no S-2220 sem restrição?

Não. O manual do eSocial informa que o campo de resultado do exame não é obrigatório e somente pode ser informado com autorização do trabalhador, em virtude do sigilo médico.

SST e CIPA podem acessar informação de saúde?

Podem acessar, de forma tecnicamente adequada, a camada agregada e preventiva prevista na NR-7, por meio do relatório analítico anual discutido com os responsáveis por SST e com a CIPA, quando existente, para adoção de medidas preventivas.

Por que a LGPD importa nesse tema?

Porque dados de saúde recebem proteção reforçada e o tratamento para tutela da saúde, segundo materiais oficiais do governo federal, exige base legal, finalidade e enquadramento apropriado, especialmente quando realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária.

Conclusão

Em 2026, prontuário ocupacional e sigilo médico deixaram de ser apenas tema de clínica do trabalho e passaram a representar um ponto crítico de governança empresarial. A NR-7 protege o prontuário individual sob responsabilidade médica, o CFM reforça a guarda e o acesso do titular, o eSocial limita a circulação de resultados clínicos sensíveis e a LGPD impõe disciplina reforçada ao tratamento de dados de saúde. Somadas, essas referências mostram que o desafio não é escolher entre abrir tudo ou esconder tudo. O desafio é estruturar corretamente as camadas de acesso.

No fim, a empresa madura não pergunta apenas quem quer ver o prontuário. Ela pergunta quem realmente precisa de qual informação para qual finalidade, com qual base, com qual proteção e com qual consequência preventiva. É essa diferença que separa o improviso documental de uma governança séria de saúde ocupacional.

Como a AMBRAC pode apoiar sua empresa

A AMBRAC atua na estruturação técnica da governança do prontuário ocupacional, do sigilo médico e dos fluxos de informação em SST, conectando NR-7, LGPD, PCMSO, ASO, relatório analítico, CIPA e eSocial. O objetivo não é apenas restringir acesso, mas organizar corretamente o que deve ficar na esfera clínica, o que deve circular como informação ocupacional e o que deve alimentar a prevenção de forma agregada e segura.

Estruturação técnica da governança da informação

• Revisão da aderência entre prontuário médico, ASO, relatório analítico e fluxos internos de RH, SST e liderança;
• Diagnóstico de lacunas entre sigilo clínico, necessidade ocupacional e tratamento de dados sensíveis;
• Integração entre clínica ocupacional, prevenção, CIPA e eSocial sem banalização do acesso;
• Padronização documental para fortalecer rastreabilidade, coerência técnica e segurança jurídica.

Integração com prevenção, LGPD e fiscalização

• Definição de critérios de acesso por finalidade e necessidade dentro da empresa;
• Integração entre NR-7, LGPD, ASO, S-2220 e governança documental de saúde ocupacional;
• Preparação técnica para fiscalização baseada em método, evidência e aderência normativa;
• Suporte contínuo para reduzir fragilidades ocupacionais, documentais e de proteção de dados.