Junta de prontuário: 6 dúvidas sobre anonymização de documentos
Na juntada de cópia de prontuário clínico em PDF como anexo em um processo administrativo (apuração, ressarcimento, regulação ou resposta interna), o ponto crítico não é “se precisa tarjar”, e sim onde a informação sensível costuma reaparecer depois do corte inicial.
Na Secretaria de Saúde, isso acontece porque o prontuário raramente é um único formulário: ele vem com evolução, prescrições, resultados de exame, laudos, folhas de internação e, muitas vezes, anexos gerados por sistemas diferentes. O resultado é um PDF com páginas digitalizadas, páginas nativas e campos repetidos que passam despercebidos no momento de juntar o anexo.
Em prontuário juntado ao processo, o vazamento mais comum está no cabeçalho/rodapé repetido e no “identificador do atendimento”, não no laudo em si
Quando a equipe faz a anonymização de documentos (ocultação definitiva de informações), a tendência é começar pelo que “grita”: nome do paciente no corpo do laudo, CPF, endereço, nome da mãe. Só que, no prontuário, a identificação costuma estar padronizada e repetida onde o olho para de procurar: cabeçalho e rodapé.
Dois padrões aparecem com frequência em cópias de prontuário que entram como anexo:
- Cabeçalho/rodapé em todas as páginas com nome completo, data de nascimento e, às vezes, CNS/registro local. Se você tarja uma página “exemplo” e esquece que o mesmo bloco reaparece diferente (mudou a fonte, inclinou na digitalização, ou está em outra posição), uma parte passa.
- Identificador do atendimento (número de prontuário, número de internação, guia, código de paciente, etiqueta com código de barras/QR). Em muitos fluxos, esse número permite reidentificação interna muito rapidamente — e ele geralmente está em etiqueta colada, em canto de página, no verso digitalizado ou em carimbo discreto.
Essa é a diferença prática entre “tarjar o laudo” e “tarjar o prontuário para juntada”: a sua revisão tem que tratar o prontuário como um conjunto de páginas com elementos repetidos e rastros de sistema, não como um texto único.
Outro ponto que costuma falhar: quando o prontuário tem páginas nativas (texto editável), “desenhar um retângulo” por cima não oculta nada. O conteúdo permanece no arquivo e pode voltar ao selecionar, copiar ou extrair. Tarjamento seguro exige remoção do conteúdo do PDF, não cobertura visual. Se o anexo for digitalizado, cobrir a imagem apenas esconde na tela; para localizar dados em imagem, é preciso OCR e, ainda assim, o objetivo é gerar ocultação definitiva, não só hachura.
Para entender por que a tarja visual não resolve em PDFs nativos, vale a leitura: tarja preta não protege.
6 dúvidas de quem opera a anonymização de documentos nesse anexo
A seguir, as dúvidas que mais aparecem na operação quando o documento é cópia de prontuário em PDF e o momento do fluxo é a juntada de anexo em processo (não transparência ativa, não diário oficial). O objetivo é reduzir retrabalho e evitar anexar uma versão parcialmente ocultada.
- “Se eu cobrir o nome do paciente com um retângulo, está resolvido?”
Somente se o seu procedimento efetivamente remove o texto do PDF. Em PDF nativo, formas e caixas desenhadas ficam em uma camada acima, mas o texto continua no arquivo. Teste copiando/colando o trecho antes de considerar concluído. Se o prontuário tiver páginas nativas e digitalizadas misturadas, trate como dois problemas: remoção de texto nas nativas e tratamento da imagem nas digitalizadas. - “Quais campos devo procurar primeiro, página por página?”
No prontuário, a ordem que costuma funcionar é: (1) cabeçalho/rodapé repetido; (2) etiquetas com código de barras/QR; (3) carimbos e assinaturas com CRM/CRO e nome; (4) campos administrativos (endereço, telefone); (5) nomes citados no corpo (acompanhante, responsável, familiares). Isso é diferente de revisar um laudo avulso, em que o foco costuma estar no texto central. - “O que eu faço com o número do prontuário/internação?”
Para juntada em processo, o número do prontuário ou internação frequentemente é um atalho de reidentificação dentro da própria pasta do órgão, mesmo sem nome/CPF no anexo. Se o processo não exige esse identificador para a finalidade daquele ato, trate-o como informação a ocultar. Se precisa manter algum vínculo (por exemplo, para auditoria interna do próprio setor), substitua por um identificador do processo (número SEI/PJe/PA) no despacho ou no corpo do processo, e não dentro do anexo clínico. - “E quando é documento digitalizado: como eu acho o que tarjar?”
Em digitalizado, o texto é imagem — você não “seleciona” o nome para localizar. Para localizar ocorrências, você depende de OCR e, mesmo com OCR, a ocultação precisa ser definitiva (não apenas cobrir pixels). Se não houver OCR confiável, uma técnica operacional é revisar por zonas fixas: canto superior direito/esquerdo, rodapé, faixa de etiqueta, área de carimbo e campos padrão de formulários. Isso reduz a chance de perder o cabeçalho repetido. - “Preciso anonimizar nomes de profissionais e assinaturas?”
Depende do motivo da juntada. Em processos em que o fato discutido envolve conduta profissional, o nome/CRM pode ser parte do objeto e precisar permanecer. Mas se o prontuário está sendo anexado apenas para contextualizar atendimento (e não para apurar o profissional), a assinatura e o carimbo podem expor identificação desnecessária. Decida por regra do processo: o que é essencial para o propósito do ato e o que é excesso. - “Como garantir que nada ficou no metadado ou em camadas do PDF?”
Dois pontos: (1) PDFs gerados por sistemas clínicos podem trazer o nome do paciente em propriedades do arquivo (título/autor) e em marcadores; (2) PDFs com imagens podem ter texto OCR em camada. Por isso, além de ‘olhar’ o PDF, faça ao menos um teste de extração de texto (selecionar/copiar) e verifique propriedades do documento. Quando o procedimento é correto, o conteúdo ocultado não aparece em extração.
Se você precisa de um guia de referência só sobre como fazer o processo em PDF (com foco em remoção, não cobertura), compare: como colocar tarja preta em PDF e apagar dados de PDF. A diferença entre os dois textos é justamente a ênfase em ocultação definitiva.
Verificação prática para hoje: pegue um prontuário já preparado para juntada e tente (1) selecionar e copiar um trecho onde havia nome/CPF antes; (2) usar a busca por um identificador que você sabe que existia (sobrenome, número de prontuário, “CNS”). Se qualquer termo reaparecer no copiar/colar ou na busca, a ocultação não foi definitiva.
Perguntas frequentes
1) No prontuário anexado, eu posso manter a data de nascimento e ocultar só o nome?
Na prática de juntada, data de nascimento combinada com município, unidade e datas de atendimento pode reidentificar com facilidade, especialmente em casos sensíveis ou em localidades menores. Se a finalidade do processo não exige a data completa, prefira reduzir granularidade (por exemplo, manter apenas faixa etária) ou suprimir o campo. A decisão deve ser coerente com as hipóteses de restrição de acesso e com a finalidade do ato sob a Lei de Acesso à Informação (Lei 12.527/2011), quando aplicável.
2) O processo pede “cópia integral do prontuário”. Eu ainda assim posso ocultar etiquetas e números internos?
“Integral” costuma se referir ao conteúdo assistencial necessário para a análise do caso, não a todos os rastros administrativos. Quando o número interno (prontuário/internação/guia) não é necessário para o objetivo do processo, ele é um candidato forte à ocultação por ser um atalho de correlação. Se houver dúvida, a boa prática é registrar no despacho que o anexo foi juntado com ocultação de identificadores não essenciais, preservando o conteúdo clínico pertinente.
3) Como tratar páginas mistas (uma parte texto nativo e outra parte imagem) dentro do mesmo PDF?
Isso é comum quando o prontuário reúne laudos gerados por sistema (texto) e folhas escaneadas (imagem). O tratamento também precisa ser misto: remover o texto onde ele é nativo (para não ficar recuperável) e tratar as áreas de imagem onde aparecem etiquetas, carimbos e cabeçalhos. Se você fizer só “cobertura visual” no texto nativo, o dado volta ao extrair. Se fizer só OCR sem revisão das zonas fixas, você perde etiqueta e rodapé.
Depois de ajustar sua regra de revisão (cabeçalho/rodapé + identificadores de atendimento + camadas do PDF), o próximo passo é padronizar um checklist curto para a equipe antes de anexar no processo e reduzir devoluções. Se a sua rotina envolve muitos anexos semelhantes, o MavenDoc pode ajudar a aplicar ocultação definitiva com consistência e repetir o padrão por documento, sem depender de tarjas desenhadas manualmente. Veja também a visão geral de tarjamento e, se o seu fluxo passa por SEI, confira tarjamento no SEI.
