Prontuário · conceito
Prontuário tokenizado: o paciente controla o acesso, a clínica mantém a guarda.
O conceito, o que vai e o que nunca vai para a blockchain, e por que o desenho brasileiro é diferente dos modelos internacionais.
Publicado em 24/10/2026. Conceito e arquitetura de referência em desenvolvimento; ainda não opera com dados reais.
1. Definição
Prontuário tokenizado é um modelo em que o direito de acesso e de compartilhamento do prontuário é representado por um token digital do paciente, intransferível e sem valor de troca, e cada consentimento é executado por um smart contract. O conteúdo clínico continua cifrado na instituição que tem a guarda legal; a blockchain registra apenas hashes dos documentos e eventos de consentimento.
2. Por que o conceito existe
A lei brasileira já diz que os dados do prontuário são do paciente: a Lei 15.378/2026 garante acesso sem justificativa e cópia sem custo, e o Código de Ética Médica (art. 88) proíbe negar acesso. Na prática, porém, o histórico fica espalhado em sistemas que não conversam, e cada pedido de cópia ou de compartilhamento depende de quem tem a guarda. A RNDS avança na integração, mas ainda não dá ao paciente o poder de decidir quem vê o quê. O prontuário tokenizado transforma a titularidade prevista em lei em controle executável.
3. O que vai e o que nunca vai para a blockchain
| Na blockchain | Fora da blockchain (cifrado, na instituição) |
|---|---|
| Hash de cada documento, com carimbo de tempo | Laudos, evoluções, exames, descrições cirúrgicas |
| Eventos de consentimento: concessão, uso, revogação | Nome, CPF e qualquer dado que identifique o paciente |
| Identificador pseudonimizado do token de acesso | Chaves de decifração de cada documento |
Nenhum dado pessoal ou clínico é gravado na cadeia. O hash permite que qualquer parte confira se um documento é exatamente o que foi assinado, sem revelar o conteúdo.
4. Três papéis separados
- Titularidade — o paciente. Decide quem acessa, quais documentos, por quanto tempo e para qual finalidade, e pode revogar a qualquer momento.
- Guarda — a clínica ou o hospital. Mantém o prontuário assinado com ICP-Brasil por no mínimo 20 anos, como exigem a Resolução CFM 1.821/2007 e a Lei 13.787/2018. O consentimento controla o compartilhamento, não a existência do registro.
- Prova — a blockchain pública. Registra hashes e eventos com ordem e tempo que nenhuma das partes altera sozinha. É o que permite verificar integridade e histórico de acessos sem depender da clínica, da operadora ou do fornecedor da tecnologia (ver rastreabilidade).
5. O que o token é — e o que não é
O token representa um direito pessoal de acesso e de compartilhamento. É intransferível, não é negociável, não tem valor de troca e não dá direito a rendimento. Não é criptomoeda nem ativo financeiro, e o dado de saúde não é vendido nem monetizado.
6. Por que o desenho brasileiro é diferente
Modelos internacionais de prontuário controlado pelo paciente partem da HIPAA, nos Estados Unidos, ou do GDPR, na Europa, e raramente precisam resolver a guarda obrigatória do médico. No Brasil, o desenho precisa acomodar ao mesmo tempo a Lei 15.378/2026, o Código de Ética Médica, a guarda de 20 anos com ICP-Brasil, a LGPD (inclusive o direito de eliminação, art. 18, VI) e a interoperabilidade com a RNDS em FHIR. A separação entre titularidade, guarda e prova é a resposta a essas exigências.
7. Como funciona na prática
Um exemplo: o paciente quer mostrar a um especialista de outra cidade o laudo de um exame feito há dois anos. Pelo aplicativo, escolhe o documento, o destinatário e o prazo. O smart contract registra o consentimento e libera a chave daquele documento só para aquele destinatário. O especialista confere o hash e sabe que recebeu o laudo exatamente como foi assinado. Cada acesso fica registrado; se o paciente revogar, a chave deixa de ser liberada na hora. A arquitetura técnica completa está em consentimento por smart contract.
Perguntas frequentes
O prontuário fica gravado na blockchain?
Não. A blockchain guarda apenas o hash de cada documento, que é uma impressão digital criptográfica que não permite reconstruir o conteúdo, e os eventos de consentimento com identificadores pseudonimizados. Laudos, evoluções e exames ficam cifrados na clínica ou no hospital.
Se o paciente controla o prontuário, a clínica deixa de guardá-lo?
Não. A guarda continua com o médico ou a instituição por no mínimo 20 anos, com assinatura ICP-Brasil (Resolução CFM 1.821/2007 e Lei 13.787/2018). O que o paciente controla é com quem, por quanto tempo e para qual finalidade o prontuário é compartilhado.
O token do paciente vale dinheiro ou pode ser vendido?
Não. O token representa um direito pessoal de acesso. É intransferível, não é negociável, não é criptomoeda e não dá direito a remuneração. Dado de saúde não é ativo financeiro.
Como fica o direito de eliminação da LGPD se o registro é imutável?
Como a cadeia não contém dado pessoal nem conteúdo clínico, a eliminação é feita fora dela: o documento cifrado é apagado, respeitado o prazo legal de guarda, e a chave correspondente é destruída. O hash que permanece não identifica nem reconstrói o conteúdo.
Qual a diferença entre prontuário tokenizado e prontuário eletrônico comum?
No prontuário eletrônico comum, o compartilhamento depende de cada sistema e o registro de acessos fica com quem opera o sistema. No modelo tokenizado, o consentimento do paciente é a chave que libera cada compartilhamento, e a prova de integridade e de acesso pode ser conferida por qualquer parte, sem depender da clínica nem do fornecedor.
Prontuário tokenizado já existe no Brasil?
Não há regulamentação específica nem uso disseminado. A PreVita publica uma arquitetura de referência, em desenvolvimento, desenhada sobre a Lei 15.378/2026, o Código de Ética Médica, a LGPD, a ICP-Brasil e a RNDS.