Por quantos anos preciso guardar prontuário odontológico e como arquivar sem acumular papel e risco?

"Por quantos anos eu preciso guardar prontuário odontológico, e como arquivar isso sem virar um depósito de papel e um passivo jurídico?"

Sua clínica tem um armário que ninguém abre há anos. E tem um servidor com prontuário de paciente que não é aberto desde que o sistema atual entrou no ar.

Os dois são passivo. Um ocupa metro quadrado caro, o outro ocupa risco.

A resposta curta você já conhece de ouvir falar: 20 anos. O que quase ninguém tem é a política que transforma esse número em rotina, com data de corte, responsável, trilha de auditoria e o direito de destruir papel sem medo.

E esse é o ponto: o prazo não é uma informação, é uma decisão operacional. Enquanto ela não está escrita, sua clínica guarda tudo para sempre por precaução e ainda assim fica exposta.

Neste guia você vai ver:

• O prazo de 20 anos, de onde ele sai e a partir de qual data ele conta
• Os prazos diferentes que caem sobre o mesmo arquivo, e qual deles manda
• O que a lei exige antes de você destruir o papel original
• Prontuário eletrônico, digital e digitalizado: três coisas diferentes com efeitos legais diferentes
• Onde a LGPD entra, quanto custa errar e por que pedido de exclusão não apaga prontuário
• Como montar a política de temporalidade da clínica, passo a passo

A resposta direta: 20 anos contados do último registro

O prazo mínimo está em lei federal. O art. 6º da Lei nº 13.787, de 27 de dezembro de 2018 diz que, decorrido o prazo mínimo de 20 anos a partir do último registro, os prontuários em suporte de papel e os digitalizados poderão ser eliminados.

Repare em duas palavras que mudam a sua operação.

"Mínimo". É piso, não teto. A lei autoriza a eliminação depois dos 20 anos, não obriga. E o §1º do mesmo artigo prevê que prazos diferenciados poderão ser fixados em regulamento, de acordo com o potencial de uso em estudos e pesquisas e para fins legais e probatórios.

"Último registro". Não é a alta. Não é o fim do tratamento. Não é o último pagamento.

É a última anotação feita naquele prontuário. Suponha uma manutenção de protocolo anos depois da cirurgia: é um registro novo, e ele reinicia a contagem daquele arquivo inteiro.

Lembre: a data de corte do seu arquivo não sai do financeiro nem da agenda. Ela sai do prontuário. Se a sua régua de descarte usa "último pagamento" como critério, ela está descartando cedo.

Os prazos que convivem no mesmo armário (e qual deles manda)

Aqui está a confusão que trava a decisão da maioria das clínicas: não existe um prazo, existem vários, e eles não falam entre si.

Cada um nasceu de uma norma diferente, com finalidade diferente e sujeito diferente. Veja lado a lado:

Norma	Prazo	Contado a partir de	A quem se dirige
Lei 13.787/2018, art. 6º	20 anos (mínimo)	último registro no prontuário	todos os prontuários de paciente, em qualquer forma de armazenamento
Parecer CFO nº 125/92, citado no Manual do Prontuário do Paciente do CFO	10 anos (mínimo)	último comparecimento do paciente	a guarda do prontuário como obrigação do profissional
Mesmo parecer, paciente menor de 18	10 anos	do dia em que o paciente completar 18 anos	quando o último contato profissional ocorreu antes dos 18
Código Civil, art. 206, §3º, V	3 anos	prescrição da pretensão de reparação civil	regra geral de prescrição
Código de Defesa do Consumidor, art. 27	5 anos	conhecimento do dano e de sua autoria	reparação por danos causados por fato do produto ou do serviço

O que fazer com isso na prática? Sua política obedece ao maior prazo aplicável. Guardar 10 anos porque o parecer do conselho fala em 10 não protege você da lei federal que fala em 20.

E o caso do paciente menor merece atenção redobrada. O CFO registra no Manual que, quando o paciente tinha menos de 18 anos à época do último contato profissional, os 10 anos do parecer só começam a correr no dia em que ele completar 18.

Traduzindo com um exemplo: no prazo do conselho, o prontuário de uma criança atendida hoje só começa a contar no dia em que ela completar 18. Odontopediatria é o setor onde o arquivo dura mais.

Por que o CFO recomenda guarda por tempo indeterminado

Esse trecho do Manual do CFO costuma ser lido como excesso de zelo. Não é.

No Manual do Prontuário do Paciente, o Conselho Federal de Odontologia afirma que, diante das diferentes determinações de prazo, o procedimento mais seguro é a guarda do prontuário ao longo de toda a vida do profissional, ou seja, por tempo indeterminado.

O argumento do próprio conselho é concreto: o prontuário pode ser documento fundamental para esclarecimento da verdade e aplicação de ordem pública. O Manual cita a identificação humana como aplicação social sem previsão de tempo.

Pensa assim: o custo de guardar um arquivo digital por mais uma década é marginal. O custo de não ter o prontuário no dia em que ele é pedido é o caso inteiro.

Por isso, na clínica que fatura alto, a política prática é simples: 20 anos é o piso legal para o papel, e o arquivo digital não tem data de descarte. Você elimina o suporte físico, não a informação.

Eletrônico, digital e digitalizado: três coisas diferentes

Essas três palavras são usadas como sinônimo no dia a dia da clínica e não são. O Manual do CFO separa as três, e a diferença tem efeito legal.

Tipo	O que é	Efeito prático
Prontuário eletrônico (S-RES)	Registro em sistema regulamentado por autoridade certificadora, voltado a garantir não repúdio, integridade, autenticidade e confidencialidade. É o Sistema de Registro Eletrônico de Saúde	É o padrão com maior segurança jurídica para registro nascido digital
Prontuário digital (informatizado)	Registro em software que pode não possuir certificação estabelecida em norma, podendo permitir ou não acesso livre de usuários, sem necessariamente manter os mesmos níveis de segurança	Funciona na operação, mas não carrega a certificação do S-RES
Prontuário digitalizado	Versão do prontuário impresso que passou por escaneamento para armazenamento em suporte digital	Pelo Manual do CFO, isso não o torna prontuário eletrônico nem digital

Por que isso importa para você? Porque a decisão de destruir papel depende de qual dos três você tem.

Se o seu sistema apenas guarda PDF escaneado numa pasta em nuvem, você tem prontuário digitalizado, e ele está sujeito às exigências de digitalização da Lei 13.787/2018. Veja o passo a passo em digitalização de prontuários.

O que a lei exige do processo de digitalização

Aqui está a parte que a maioria pula. Escanear não é digitalizar no sentido da lei.

O art. 2º da Lei 13.787/2018 determina que o processo de digitalização de prontuário seja realizado de forma a assegurar a integridade, a autenticidade e a confidencialidade do documento digital.

E os parágrafos fecham o cerco:

1. Reprodução fiel. O §1º exige que os métodos de digitalização reproduzam todas as informações contidas nos documentos originais. Página amassada que saiu ilegível no scanner não cumpriu o requisito.
2. Certificado digital. O §2º determina que no processo seja utilizado certificado digital emitido no âmbito da ICP-Brasil ou outro padrão legalmente aceito.
3. Regulamento. O §3º sujeita o processo a requisitos dispostos em regulamento.

Antes de continuar, pergunte-se: o seu fornecedor de software assina digitalmente o lote digitalizado, ou só armazena imagem? A resposta decide se você pode destruir o original.

A comissão permanente: a porta que autoriza destruir o papel

Essa é a exigência que mais gente descobre tarde demais, depois de já ter contratado a trituradora.

O art. 3º da Lei 13.787/2018 diz que os documentos originais poderão ser destruídos após a sua digitalização, observados os requisitos do art. 2º, e após análise obrigatória de comissão permanente de revisão de prontuários e avaliação de documentos, especificamente criada para essa finalidade.

A comissão tem duas funções definidas no §1º: constatar a integridade dos documentos digitais e avalizar a eliminação dos documentos que os originaram.

E tem uma terceira, no §2º: identificar os documentos de valor histórico, que serão preservados de acordo com o disposto na legislação arquivística.

O CFO traz um recorte próprio sobre isso. No Manual do Prontuário, o conselho descreve a análise obrigatória da comissão permanente da instituição quando se tratar de empresa de médio ou grande porte. A lei federal, no texto do art. 3º, não faz esse recorte de porte.

O que isso significa para uma clínica que não é de médio ou grande porte? Não significa passe livre para triturar. Significa que você precisa de um registro formal da análise que autorizou a eliminação, com data, responsável e lote, antes de destruir qualquer original.

Lembre: destruir papel sem processo documentado não economiza espaço, cria prova contra você. O que protege a clínica não é o armário vazio, é a trilha que mostra por que ele ficou vazio.

Valor probatório: a condição do art. 5º que quase todo mundo ignora

Muita clínica digitaliza justamente para ter o documento válido em juízo. A lei concede isso, mas com uma condição encadeada.

O art. 5º da Lei 13.787/2018 afirma que o documento digitalizado em conformidade com as normas da lei e dos respectivos regulamentos terá o mesmo valor probatório do documento original para todos os fins de direito.

E o §1º amarra: para isso valer, é mandatório que a guarda, o armazenamento e o manuseio dos documentos digitalizados também estejam em conformidade.

Ou seja: não basta o momento do escaneamento estar certo. O dia a dia do arquivo precisa estar certo também. Um PDF perfeito guardado numa pasta compartilhada que a clínica inteira edita não sustenta o valor probatório que a lei prometeu.

O §2º ainda prevê que poderão ser implementados sistemas de certificação para verificação da conformidade normativa desses processos.

Como o arquivo digital precisa ser guardado

O art. 4º da Lei 13.787/2018 é curto e cobra bastante. Os meios de armazenamento de documentos digitais deverão protegê-los do acesso, do uso, da alteração, da reprodução e da destruição não autorizados.

São cinco verbos. Traduza cada um em controle na sua clínica:

• Acesso: login individual por pessoa, nunca senha compartilhada na recepção.
• Uso: perfil de permissão por função, com o auxiliar vendo o que precisa e não o arquivo inteiro.
• Alteração: registro de quem editou o quê e quando, sem sobrescrever o histórico.
• Reprodução: controle de quem exporta, imprime e envia prontuário para fora.
• Destruição: ninguém apaga registro clínico sozinho, com backup fora do mesmo servidor.

O parágrafo único acrescenta que os documentos oriundos da digitalização serão controlados por meio de sistema especializado de gerenciamento eletrônico de documentos, com características e requisitos especificados em regulamento.

Pasta no Drive não é sistema especializado de gerenciamento eletrônico de documentos. Veja como estruturar isso em controle de acesso ao prontuário entre dentistas e equipe.

Depois dos 20 anos: eliminar, devolver ou preservar

Passado o prazo, você tem três caminhos, e a lei descreve os três.

1. Eliminar com cuidado. O §3º do art. 6º exige que o processo de eliminação resguarde a intimidade do paciente e o sigilo e a confidencialidade das informações. Caixa de papelão na calçada não é eliminação conforme.

2. Registrar a destinação. O §4º determina que a destinação final de todos os prontuários e a sua eliminação sejam registradas na forma de regulamento. O ato de destruir também vira documento.

3. Devolver ao paciente. O §2º prevê que, alternativamente à eliminação, o prontuário poderá ser devolvido ao paciente.

Sobre essa terceira via, o Manual do CFO recomenda que a devolução seja feita mediante recibo de entrega, com registro de quais documentos foram repassados ao titular ou ao representante legal, e que o profissional mantenha arquivo dos documentos entregues, ainda que em meio digital.

E o quarto caminho, que não é seu para decidir: os documentos de valor histórico identificados pela comissão seguem preservados pela legislação arquivística.

Microfilme, meio óptico e prontuário que já nasceu eletrônico

Existe um mito confortável de que a regra dos 20 anos vale só para papel. Não vale.

O §5º do art. 6º da Lei 13.787/2018 é explícito: as disposições do artigo aplicam-se a todos os prontuários de paciente, independentemente de sua forma de armazenamento, inclusive aos microfilmados e aos arquivados eletronicamente em meio óptico, bem como aos constituídos por documentos gerados e mantidos originalmente de forma eletrônica.

Ou seja, o prontuário que nunca foi papel está sob a mesma regra. Trocar de software não zera esse relógio, e a migração precisa levar o registro antigo junto.

LGPD: seu arquivo é um banco de dados pessoais sensíveis

O art. 1º da Lei 13.787/2018 já diz que a digitalização e a utilização de sistemas informatizados para a guarda, o armazenamento e o manuseio de prontuário são regidos por ela e pela Lei nº 13.709, de 14 de agosto de 2018, a LGPD. As duas andam juntas.

E a LGPD trata o seu arquivo com o grau mais alto de exigência. O art. 5º, II, define dado pessoal sensível incluindo dado referente à saúde.

Isso restringe as hipóteses de tratamento. O art. 11 lista as situações em que o tratamento de dados sensíveis pode ocorrer: com consentimento específico e destacado do titular, ou, sem consentimento, nas hipóteses em que for indispensável, entre elas o cumprimento de obrigação legal ou regulatória pelo controlador, o exercício regular de direitos em processo judicial, administrativo e arbitral, e a tutela da saúde em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária.

Guardar prontuário pelo prazo legal cabe nessa lista. O que não cabe é usar aquela mesma base para outra finalidade sem base legal própria.

O art. 46 cobra a prática: os agentes de tratamento devem adotar medidas de segurança, técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito.

E o art. 52, II, coloca preço no descuido: multa simples de até 2% do faturamento da pessoa jurídica de direito privado, grupo ou conglomerado no Brasil no seu último exercício, excluídos os tributos, limitada, no total, a R$ 50 milhões por infração.

Para o recorte da clínica, veja LGPD na clínica odontológica.

Por que pedido de exclusão do paciente não apaga o prontuário

Essa dúvida chega na recepção com frequência: o paciente invoca a LGPD e pede que a clínica apague tudo.

A resposta está no art. 16 da LGPD. Os dados pessoais serão eliminados após o término de seu tratamento, autorizada a conservação para finalidades específicas, e a primeira delas é o cumprimento de obrigação legal ou regulatória pelo controlador.

Guardar prontuário pelo prazo mínimo da Lei 13.787/2018 é exatamente uma obrigação legal. Logo, o pedido de exclusão não derruba o dever de guarda dentro do prazo.

O que você deve fazer é responder formalmente: explicar a base legal, informar o prazo de retenção e registrar o pedido e a resposta. Silêncio é que vira problema.

Lembre: a LGPD não conflita com a guarda do prontuário, ela organiza. O que a lei cobra de você não é apagar, é saber dizer por que guarda, por quanto tempo e quem tem acesso.

Quem responde pelo arquivo quando a clínica é uma empresa

Existe uma leitura errada que circula bastante: a de que o Código de Ética Odontológica só alcança o cirurgião-dentista pessoa física, e que a clínica como empresa fica de fora.

Não fica. O art. 1º do Código de Ética Odontológica, aprovado pela Resolução CFO-118/2012, diz que ele regula os direitos e deveres do cirurgião-dentista, dos profissionais técnicos e auxiliares e das pessoas jurídicas que exerçam atividades na área da Odontologia, em âmbito público e privado.

E o dever sobre o arquivo está no art. 17: é obrigatória a elaboração e a manutenção, de forma legível e atualizada, de prontuário, e a sua conservação em arquivo próprio, seja de forma física ou digital.

Vale registrar o escopo de cada dispositivo. No capítulo de publicidade e propaganda, o art. 45 prevê que, pela publicidade em desacordo com o Código, respondem solidariamente os proprietários, o responsável técnico e os demais profissionais que tenham concorrido na infração, na medida de sua culpabilidade. É uma regra daquele capítulo, e mostra o desenho que o Código usa quando a infração nasce dentro de uma operação com dono.

Na prática, a conclusão de gestão é a mesma: o arquivo é responsabilidade da clínica, com nome e sobrenome do responsável designado, não um problema difuso do consultório.

De quem é o prontuário: propriedade, posse e guarda

Essa distinção resolve metade das discussões de balcão. No Manual do Prontuário do Paciente, o CFO é direto: a propriedade do prontuário é do paciente, enquanto a posse ou guarda cabe ao profissional.

Você guarda um documento que não é seu. Isso muda o tom de duas situações comuns na clínica.

Quando o paciente pede acesso. O art. 18, I, do Código de Ética Odontológica define como infração ética negar ao paciente ou periciado acesso ao seu prontuário, deixar de lhe fornecer cópia quando solicitada, bem como deixar de lhe dar explicações necessárias à sua compreensão, salvo quando ocasionem riscos ao próprio paciente ou a terceiros.

Quando o paciente pede via terceiro. O Manual do CFO descreve o procedimento: a cópia pode ser solicitada pelo próprio paciente portando documento de identificação com foto, ou por terceiro que apresente documento de identificação com foto, procuração do paciente com autorização específica para a entrega de documentos de seu prontuário, além de cópia de um documento de identificação do paciente.

Coloque isso num protocolo escrito na recepção. A equipe não deveria decidir isso no improviso, com o familiar irritado na frente do balcão.

Radiografias, exames e peças físicas: o que devolve e o que arquiva

O arquivo da clínica não é só ficha. É radiografia, tomografia, modelo, documentação ortodôntica, exame que o paciente trouxe.

O Manual do CFO responde de forma clara sobre a devolução: diante de uma solicitação, sim, o profissional deve devolver as radiografias ao paciente, recomendando-se que mantenha uma cópia arquivada e registre a entrega dos exames de forma detalhada e sob visto de recebimento.

O mesmo Manual reforça o porquê do recibo: registrar a entrega garante a evidência de quem detém a posse dos documentos, e o recibo deve especificar quais documentos foram entregues e ser assinado por ambas as partes.

Monte então uma regra simples de fluxo:

• Sai o original, fica a cópia. Toda peça devolvida tem imagem ou digitalização arquivada antes de sair.
• Toda saída tem recibo. Com data, lista dos itens e assinatura das duas partes.
• Exame trazido pelo paciente entra no prontuário conforme a pertinência clínica do caso, como o Manual do CFO orienta.

Troca de software, backup e nuvem: onde o arquivo some de verdade

Na prática, a clínica raramente perde prontuário por decisão. Perde por migração mal feita e por backup que ninguém testou.

Três frentes concentram o risco:

1. Migração de sistema. Quando você troca o software de prontuário, o registro legado precisa migrar legível e íntegro, com a data original preservada. Exportar só a ficha cadastral e deixar o histórico clínico no sistema antigo quebra a contagem do prazo. Veja como trocar o software de gestão sem perder dados.

2. Backup e continuidade. O art. 46 da LGPD exige proteção contra destruição e perda, e a Lei 13.787/2018 exige proteção contra destruição não autorizada. Backup que nunca foi restaurado em teste é suposição, não controle.

3. O contrato com o fornecedor. A LGPD separa os papéis no art. 5º: controlador é quem toma as decisões referentes ao tratamento, operador é quem realiza o tratamento em nome do controlador. A clínica decide, o software executa.

Isso significa que a responsabilidade pelas decisões continua sua, mesmo com o dado hospedado em nuvem de terceiro. No contrato, verifique prazo de retenção, o que acontece na rescisão, formato de exportação, localização do dado e obrigações de segurança.

Monte a política de temporalidade do seu arquivo

Tudo acima vira ação em uma página. É esse documento que a clínica não tem e que resolve o armário e o risco de uma vez.

1. Nomeie um responsável pelo arquivo. Uma pessoa, com nome escrito, não "a recepção". Ela responde pela guarda, pelo acesso e pelo descarte.
2. Escreva a tabela de temporalidade. Tipo de documento, prazo aplicável, evento que inicia a contagem (último registro, último comparecimento, aniversário de 18 anos) e destinação final.
3. Fixe o maior prazo como padrão. Adote o piso de 20 anos do art. 6º da Lei 13.787/2018 para o suporte físico, e a guarda indeterminada do arquivo digital, como o CFO recomenda.
4. Formalize o processo de digitalização. Defina quem escaneia, com qual certificado, como confere a reprodução fiel e onde o lote fica registrado.
5. Crie a instância que autoriza destruir. Comissão permanente de revisão de prontuários e avaliação de documentos, nos termos do art. 3º, com ata de cada lote eliminado.
6. Ligue a trilha de auditoria. Quem acessou, quem exportou, quem alterou, quem descartou. Sem log, você não consegue provar conformidade depois.
7. Revise uma vez por ano. Marque a data no calendário da clínica junto com a revisão de contratos e de segurança. Veja também como proteger os dados da clínica contra vazamento e ransomware.

Essa política cabe em poucas páginas e resolve a pergunta que hoje trava a clínica toda vez que alguém abre o armário: pode jogar fora ou não?

A outra base de dados da clínica: lead, WhatsApp e CRM

Aqui está o ponto cego que quase nenhum guia de prontuário cobre, e que importa para quem investe em captação.

A clínica que anuncia tem uma segunda base de dados pessoais, e ela não é prontuário: conversa de WhatsApp com quem nunca compareceu, formulário de campanha, ficha de CRM, lista de contato de paciente que não voltou.

Essa base não está sob a regra dos 20 anos da Lei 13.787/2018, porque não é prontuário de paciente. Ela está sob a LGPD, e aí a lógica se inverte: dado guardado sem finalidade e sem prazo é risco puro, não é proteção.

E é uma base cara. Segundo dados internos da Odonto Results (2026), o lead de clínica odontológica custa de R$12 a R$14 no Meta Ads. Base: cerca de 94,6 mil leads. Janela: agosto de 2023 a agosto de 2026.

Então trate as duas bases com réguas diferentes:

Base	Norma que manda	Lógica do prazo
Prontuário do paciente	Lei 13.787/2018 e LGPD	Guardar pelo prazo mínimo, com destruição documentada
Lead, WhatsApp e CRM	LGPD	Reter enquanto houver finalidade e base legal, com prazo definido por você

Lembre: o prontuário você guarda porque a lei manda. A base de marketing você guarda porque tem finalidade declarada e prazo escrito. Confundir as duas produz o pior dos dois mundos: prontuário descartado cedo e lead antigo acumulado sem justificativa.

Seu próximo passo

1. Descubra a data de corte real do seu arquivo. Levante o último registro dos prontuários físicos mais antigos, não o último pagamento. Só isso já diz quanto do seu armário está dentro dos 20 anos do art. 6º.
2. Escreva a política de temporalidade. Responsável nomeado, tabela por tipo de documento, processo de digitalização com certificado e a instância que autoriza a eliminação com ata.
3. Separe a base clínica da base de marketing. Aplique prazo legal ao prontuário e prazo de finalidade ao CRM, com trilha de acesso nas duas. A clínica que organiza isso para de escolher entre risco jurídico e depósito de papel.

Quer previsibilidade na captação com a mesma disciplina que você aplica no arquivo, do anúncio ao comparecimento? Agende uma apresentação.