Resposta a pedido: ocultação de informações sensíveis em prontuário

Na resposta a pedido de acesso, o documento que mais costuma travar a rotina da Secretaria de Saúde é a cópia de prontuário (com exames, evoluções e anexos) no momento imediatamente anterior ao envio ao solicitante. É quando o setor precisa separar o que é fornecível do que deve permanecer restrito, e fazer a ocultação de informações sensíveis de forma definitiva no arquivo que será entregue.

O problema não é “tarjar por tarjar”: é acertar o recorte dentro de um conjunto heterogêneo (folhas clínicas digitadas, laudos em PDF nativo, imagens digitalizadas, formulários com campos repetidos) sem deixar sobrar nada em metadados, camadas de texto ou versões exportadas. Um erro comum é acreditar que um retângulo preto “resolve”, quando o conteúdo continua selecionável, copiável ou extraível do PDF.

Em cópia de prontuário, os dados que mais escapam não estão no conteúdo clínico, e sim nos cabeçalhos repetidos de cada folha e nos rodapés do sistema

Ao montar uma cópia de prontuário para resposta, a atenção do time costuma ir direto para o conteúdo clínico: diagnóstico, evolução, medicações, hipóteses, intercorrências. Só que, na prática, a maior parte das ocorrências de “vazamento por descuido” nasce em áreas repetidas e pouco lidas: cabeçalhos e rodapés gerados pelo sistema (ou pela impressão) que aparecem em todas as páginas e reúnem identificadores e dados administrativos.

Isso acontece porque o prontuário raramente é um único documento “plano”. Ele é um conjunto de folhas: páginas exportadas do sistema, recibos, etiquetas, requisições, guias, laudos anexos. Mesmo quando você decide entregar apenas “parte do prontuário” (por exemplo, um período ou um atendimento), os cabeçalhos continuam trazendo identificadores completos. E eles são particularmente traiçoeiros porque:

• se repetem em todas as folhas, então um único campo esquecido se replica dezenas de vezes;
• podem estar fora do foco do leitor (topo/rodapé), então passam no olho quando a equipe está revisando o conteúdo clínico;
• em PDFs nativos, frequentemente estão na camada de texto: cobrir visualmente não remove o dado;
• em exportações, podem aparecer também em propriedades do arquivo (título do documento, autor, nome do sistema, nome do paciente em “assunto”).

O ponto decisivo aqui é técnico: desenhar um retângulo preto por cima do texto não oculta nada de forma segura. Em PDF com texto “vivo”, o conteúdo permanece no arquivo e pode reaparecer ao selecionar, copiar, pesquisar ou extrair. Ocultação de informações sensíveis, para ser definitiva, exige remover o conteúdo do arquivo (redação verdadeira), e não apenas cobrir.

O que revisar antes de enviar: checklist de ocultação de informações sensíveis na cópia de prontuário

Use este roteiro como revisão final antes de responder ao pedido. Ele foi feito para cópia de prontuário e para o momento de envio ao solicitante (quando normalmente o documento já foi exportado e consolidado em PDF).

1) Identifique que tipo de PDF você tem em mãos

• PDF nativo (texto selecionável): dá para selecionar palavras com o mouse. Exige ferramenta/processo de redação que remova o texto.
• PDF digitalizado (imagem): não dá para selecionar texto. Cobrir visualmente não remove; e, sem OCR, você não encontra ocorrências por busca. Se houver OCR embutido, volte a tratar como “texto selecionável”.

Se a sua revisão depende de localizar nomes/identificadores, OCR pode ser necessário para achar ocorrências dentro de páginas escaneadas. Mas lembre: OCR serve para localizar; a ocultação segura continua sendo a remoção/limpeza do conteúdo exportado.

2) Revise primeiro os campos repetidos (onde o dado se replica)

Antes de ler o conteúdo clínico, percorra rapidamente 5 a 10 páginas espalhadas (início, meio, fim) e mapeie quais campos aparecem em toda folha. Em prontuário, os campeões de repetição são:

• nome completo do paciente no topo;
• número de prontuário/registro hospitalar;
• CPF ou documento (quando o sistema imprime);
• endereço/telefone (muito comum em fichas de atendimento e cadastro);
• nome da mãe (aparece em cadastros e em algumas etiquetas);
• unidade/serviço com identificadores internos;
• código de barras/QR e numeração de páginas com identificador embutido.

Decida o padrão do que será ocultado nesses cabeçalhos e rodapés e aplique de modo consistente. O erro típico é ocultar na página 1 e esquecer de repetir o mesmo no restante.

3) Faça a revisão “por blocos” de anexos

Separar mentalmente a cópia do prontuário por tipos de folha evita esquecer anexos que possuem seus próprios campos e rodapés. Um roteiro prático:

1. Evoluções/atendimentos: verifique cabeçalho, assinaturas e carimbos (podem trazer matrícula, CPF do profissional, telefone de contato).
2. Laudos e exames: atenção às seções “Dados do paciente”, “Convênio/guia”, “Solicitante” e “Identificadores de amostra”.
3. Formulários administrativos: termos, fichas de cadastro, requisições: costumam listar endereço, telefone, e-mail.
4. Imagens/escaneados: etiquetas fotografadas, pulseiras, requisições manuscritas; aqui, sem OCR, você precisa revisar visualmente.

4) Confirme se a ocultação é definitiva (não apenas visual)

Depois de aplicar a ocultação de informações sensíveis, valide com testes simples:

• Tente selecionar com o mouse a área tarjada. Se dá para selecionar texto “por baixo”, não está seguro.
• Use buscar (Ctrl+F) por termos óbvios: nome do paciente, número de prontuário, CPF, telefone. Se aparece, a ocultação falhou.
• Tente copiar e colar um trecho próximo à tarja num editor de texto. Às vezes o conteúdo ocultado vem junto.

Esse é o ponto em que vale retomar o procedimento correto para PDF: a tarja precisa remover o conteúdo do arquivo. Materiais como por que tarja preta não protege e como apagar dados de PDF ajudam a alinhar essa expectativa com quem revisa e com quem aprova.

5) Não esqueça o que fica “fora da página”: propriedades e versões

Em resposta a pedido de acesso, é comum circular versões por e-mail/SEI ou exportar mais de uma vez do sistema. Antes de enviar:

• verifique propriedades do PDF (título, autor, assunto, palavras-chave) — muitos sistemas preenchem com nome/registro;
• evite anexar duas versões (uma “sem tarja” e uma “com tarja”) no mesmo processo de envio;
• padronize o nome do arquivo sem identificadores diretos (por exemplo, “copia_prontuario_atendimento_YYYYMMDD.pdf”, se o seu fluxo permitir);
• se o documento veio de digitalização, confira se não há páginas “de apoio” (capa de scanner com nome do paciente, folha de separação).

6) Quando faz sentido usar ferramenta

Se o volume de páginas é alto e há mistura de PDF nativo e escaneado, uma ferramenta de redação que aplique ocultação definitiva e permita revisão por ocorrências ajuda a reduzir erro humano. Nessa etapa, o foco não é “embelezar a tarja”, é remover conteúdo de fato e manter rastreabilidade do que foi ocultado. O MavenDoc é usado justamente nesses cenários de produção e revisão antes do envio.

Para procedimentos e conceitos de base sobre tarjamento e sobre como executar em PDF no dia a dia, veja também como colocar tarja preta em PDF e tarjar dados em PDF.

Verificação prática para hoje: pegue uma cópia de prontuário já preparada para resposta e faça três buscas no PDF (Ctrl+F): (1) o nome completo do paciente, (2) o número de prontuário/registro, (3) um telefone do cadastro. Se qualquer termo aparecer em área “tarjada”, a ocultação foi apenas visual e o arquivo ainda contém o conteúdo.

Perguntas frequentes

1) Posso simplesmente imprimir o prontuário, passar caneta e escanear para responder?

Funciona como último recurso, mas cria dois riscos operacionais: (a) você perde qualidade e legibilidade de trechos que precisam ser fornecidos; (b) você aumenta a chance de esquecer páginas sem marcação (ou de deixar aparecer no verso, em transparência, parte do que deveria ficar restrito). Se optar por esse caminho, trate como processo controlado: numere páginas, confira frente e verso, e valide o arquivo final página a página.

2) Em prontuário com páginas digitalizadas, eu preciso de OCR para ocultar?

Para ocultar visualmente um trecho em imagem, OCR não é obrigatório. Mas, para localizar todas as ocorrências (nome, registro, telefone) em dezenas de páginas escaneadas, OCR é o que viabiliza busca e consistência. Sem OCR, a revisão depende de leitura manual e tende a falhar em campos repetidos pequenos (rodapés, etiquetas e carimbos).

3) Como lidar com laudos anexos que já vêm em PDF “travado”, mas com texto selecionável?

“Travado” muitas vezes significa apenas restrição de edição, não remoção de conteúdo. Se o texto é selecionável, a ocultação precisa remover o conteúdo do arquivo do mesmo jeito. Quando o PDF impõe restrições, o procedimento correto é gerar uma cópia de trabalho autorizada pelo seu fluxo (conversão controlada, exportação do sistema de origem ou reprocessamento) e só então aplicar a ocultação definitiva. Evite soluções improvisadas que resultem em tarja apenas visual.

Se você está respondendo pedidos com frequência e percebe que a mesma revisão se repete (cabeçalhos, rodapés, anexos de laudos), o próximo passo é transformar este checklist em roteiro padrão da unidade e registrar o ponto de controle antes do envio. Quando o volume crescer, vale organizar a revisão por lotes e manter consistência de ocultação por tipo de folha, com apoio de ferramenta quando fizer sentido no seu fluxo.

Criar um fluxo de revisão e ocultação para prontuários