Log de acesso e LGPD: como funciona a auditoria em sistema de clínica e o que ela precisa registrar

O log de acesso é o registro automático de quem entrou no sistema da clínica, quando, de onde e o que fez, e é a principal ferramenta para demonstrar controle sobre dados de pacientes perante a LGPD. Junto com a trilha de auditoria das alterações, ele permite responder com segurança à pergunta que mais importa num incidente: quem mexeu nesse dado?

Clínicas lidam com dado de saúde, que a lei trata como sensível. Não basta ter senha no sistema: é preciso saber o que cada usuário pode ver, registrar o que ele faz e revisar esse registro. Este guia mostra o que a auditoria em sistema de clínica precisa ter e como usá-la no dia a dia.

Por que registrar acessos e alterações

A Lei Geral de Proteção de Dados (Lei 13.709/2018) classifica dados referentes à saúde como dados pessoais sensíveis. Ela exige que quem trata esses dados adote medidas de segurança, técnicas e administrativas, para protegê-los de acessos não autorizados, e que mantenha registro das operações de tratamento. Em uma clínica, isso se traduz em três necessidades:

• Prevenir: limitar quem acessa o quê.
• Detectar: perceber acessos ou alterações fora do padrão.
• Demonstrar: provar, se questionada por paciente ou autoridade, que havia controle.

O prontuário tem uma camada extra: ele é documento do paciente, com dever de sigilo profissional, e precisa ser guardado com integridade. A Lei 13.787/2018 trata da digitalização e da guarda do prontuário. Um sistema que registra cada alteração, com o conteúdo de antes e de depois, protege a clínica e o profissional em caso de contestação. O roteiro geral de adequação está em LGPD na clínica na prática.

O que um log de acesso e auditoria deve ter

Dois cuidados complementam a lista: o log não pode ser editado pelos próprios usuários, e precisa ser legível. Um registro técnico que só o suporte entende não ajuda o gestor a investigar nada.

Rastreabilidade de acesso ao prontuário

As perguntas que a clínica deve conseguir responder rapidamente:

1. Quem alterou este registro do prontuário e o que estava escrito antes?
2. Quem entrou no sistema neste dia e de qual IP?
3. Houve tentativas de login com senha errada para este usuário?
4. Quem imprimiu este documento?
5. Este ex-colaborador acessou o sistema depois do desligamento?

Se alguma dessas perguntas depende de "perguntar para a equipe", o controle está fraco. A parte técnica de proteção do prontuário, como criptografia e backup, está em segurança de dados no prontuário eletrônico e em prontuário eletrônico seguro e legislação.

Controle de acesso LGPD: permissões mínimas

O melhor log é aquele que registra pouca coisa errada, porque cada pessoa só alcança o que precisa. O princípio é o do menor privilégio:

• Perfis por função: recepção, financeiro, profissionais de saúde e gestão com permissões diferentes.
• Conteúdo clínico restrito aos profissionais do cuidado, com sigilo para registros sensíveis.
• Dados de contato e valores ocultos para quem não precisa deles, como equipes terceirizadas de agendamento.
• Usuário individual: nada de login compartilhado no balcão, que anula qualquer rastreabilidade.
• Desligamento imediato: o acesso do colaborador é encerrado no mesmo dia da saída.

Revisão periódica: como usar o log no dia a dia

Ter o log e nunca abri-lo é quase o mesmo que não ter. Um roteiro mensal simples:

1. Filtre as falhas de login do mês e veja se há padrão: mesmo usuário, horário estranho, IP desconhecido.
2. Confira logins fora do horário de funcionamento.
3. Revise exclusões e alterações em cadastros e no financeiro.
4. Verifique se usuários de ex-colaboradores estão desativados.
5. Reavalie os grupos de permissão: alguém acumulou acesso que não usa mais?

Registre que a revisão foi feita, com data e responsável. Esse registro também é evidência de boa-fé.

Logs, integrações e equipes externas

O controle não termina na equipe interna. Integrações com outros sistemas, prestadores de serviço e equipes terceirizadas de agendamento também acessam dados de pacientes. Para cada um, pergunte: que dados essa integração ou equipe realmente precisa? O acesso está limitado a isso? As ações dela ficam registradas com identificação própria, separada dos usuários da clínica? Chaves de integração com acesso total e logins genéricos de prestadores são pontos cegos comuns. Inclua essas permissões na revisão periódica e encerre acessos de contratos que acabaram.

O que fazer quando o log mostra algo errado

• Preserve as informações: exporte ou anote os registros envolvidos.
• Bloqueie ou troque a senha do usuário suspeito.
• Avalie se houve acesso indevido a dados de pacientes e qual o risco.
• Siga o plano de resposta a incidentes da clínica, incluindo a avaliação sobre comunicar a autoridade nacional e os titulares, conforme a LGPD.
• Corrija a causa: permissão excessiva, senha fraca ou login compartilhado.

Auditoria e log de acesso no OnDoctor

No OnDoctor, a Auditoria tem duas abas. Em Alterações, cada registro mostra campo, valor antes e depois, com nomes em linguagem amigável, além do IP e da origem da ação, com filtros por tabela, usuário, ação, origem e ID do registro; prontuários e documentos aparecem como texto legível, e há filtro para impressões. Em Acessos, ficam os logins com usuário, e-mail, provedor, IP e navegador, e as tentativas com senha incorreta aparecem como Falha, com o motivo. Os grupos de usuário controlam as permissões de cada perfil, incluindo as opções de não visualizar dados de contato do paciente (celular, telefone e e-mail ficam mascarados) e de não visualizar valores de convênio, o prontuário tem opção de sigilo nos registros, e cada chave de integração da API recebe apenas as permissões que aquela integração precisa. Saiba mais sobre a empresa e a infraestrutura na página sobre o OnDoctor.