Trilha de auditoria no prontuário: quem viu, quem mudou, quando

Trilha de auditoria (audit trail) é o registro automático, cronológico e não editável de tudo que acontece com os dados no sistema: quem acessou o prontuário, quem alterou um agendamento, quem baixou uma foto, quando e a partir de onde. Cada ação vira uma linha permanente no histórico.

A palavra-chave é "não editável": a trilha só tem valor se nem o administrador da clínica puder apagá-la ou alterá-la. É isso que a diferencia de um simples histórico de alterações.

Dados de saúde são "dados sensíveis" na LGPD (art. 5º, II) — a categoria com proteção mais rígida da lei. O art. 46 exige medidas de segurança aptas a proteger esses dados de acessos não autorizados, e a capacidade de demonstrar quem acessou o quê é o mecanismo central dessa demonstração.

Em caso de incidente ou reclamação à ANPD, a pergunta imediata é: "quem teve acesso a esses dados?". Clínica sem trilha de auditoria não tem como responder — e a incapacidade de demonstrar controle é, em si, uma infração. Multas da LGPD chegam a 2% do faturamento, limitadas a R$50 milhões por infração.

Há também o vetor interno, o mais comum na prática: o funcionário curioso que abre o prontuário da paciente famosa, o ex-colaborador cujo acesso ninguém revogou. A trilha transforma o "confiamos na equipe" em controle verificável.

Cobertura de escrita: toda criação, alteração e exclusão — de agendamento a prontuário, de financeiro a configuração — com autor, data/hora, e o antes/depois da mudança quando aplicável.

Cobertura de leitura: acesso a dado clínico também é evento auditável. Saber que alguém ABRIU o prontuário (mesmo sem mudar nada) é exatamente o que resolve o caso do acesso indevido por curiosidade.

No Lumave, a auditoria é opt-out por arquitetura: toda operação de escrita é registrada por padrão no sistema — não depende de o desenvolvedor lembrar de auditar cada tela — e a leitura de dados de pacientes gera registro próprio. O acesso emergencial a dados fora do escopo do usuário ("break glass") existe, mas exige justificativa e gera alerta.

Além da LGPD, a trilha é defesa documental: em disputa sobre "quem alterou este registro" ou "este prontuário foi adulterado depois do fato?", o histórico imutável com data e autor encerra a discussão. Prontuário eletrônico COM trilha vale mais juridicamente que papel — sem ela, vale menos.

Ao avaliar um software, faça o teste direto: peça para ver o log de auditoria de um paciente de teste. Se o fornecedor hesitar, mostrar só "última alteração" ou admitir que o log pode ser apagado, o requisito não está atendido.