Compliance médico: o que é, importância e como aplicá-lo
Por Maurício Michaelsen, advogado — OAB/RS 53.005
A atividade médica é, hoje, uma das mais reguladas do país. Um consultório de dois profissionais responde, simultaneamente, ao Conselho Regional de Medicina, à vigilância sanitária, à Autoridade Nacional de Proteção de Dados, ao Código de Defesa do Consumidor, à Justiça Cível e — em determinadas hipóteses — à Justiça Criminal. Clínicas, hospitais e operadoras somam a isso a Agência Nacional de Saúde Suplementar, a legislação anticorrupção e as regras de contratação com o poder público.
Esse acúmulo de deveres explica por que o compliance deixou de ser assunto restrito a grandes redes hospitalares. Quem organiza a conformidade antes do problema gasta uma fração do que gastará depois dele — em honorários, em indenizações, em multas e, sobretudo, em reputação.
1. O que é compliance médico
Compliance médico é o conjunto estruturado de políticas, controles internos, contratos e rotinas de registro destinado a assegurar que a atividade em saúde seja exercida em conformidade com a lei, com as normas técnicas e sanitárias e com os deveres éticos da profissão — e, principalmente, a permitir que essa conformidade seja comprovada.
Convém separar duas dimensões que costumam ser confundidas. O compliance formal é a arquitetura do programa: código de conduta, mapeamento de riscos, treinamento, canal de denúncias, instância responsável, monitoramento e revisão periódica. O compliance material são os temas próprios da saúde: proteção do prontuário e dos dados do paciente, consentimento informado, publicidade médica, relação com a indústria farmacêutica e de dispositivos, faturamento junto a operadoras, licenciamento sanitário, segurança do paciente e, mais recentemente, governança do uso de inteligência artificial.
Vale afastar dois equívocos frequentes. Compliance não é auditoria de faturamento — a auditoria é uma de suas ferramentas. E não é a mesma coisa que “ter contratos assinados”: contrato é documento; programa de integridade é processo.
Não existe modelo pronto. Um programa desenhado para um hospital de 300 leitos, aplicado a uma clínica de quatro salas, produz burocracia inútil, que ninguém cumpre — e um programa que ninguém cumpre é, do ponto de vista probatório, pior do que nenhum. A proporcionalidade ao porte e ao risco da operação é requisito, não concessão.
2. Por que importa: os riscos que o programa endereça
2.1. Responsabilidade civil e a qualidade da prova. A responsabilidade do médico como profissional liberal é apurada mediante verificação de culpa (art. 14, § 4º, do CDC), ao lado da regra geral dos arts. 186 e 927 do Código Civil. Já o estabelecimento responde pelas falhas dos serviços que presta diretamente — infraestrutura, enfermagem, controle de infecção, guarda de documentos.
Na prática forense, porém, a discussão raramente se decide na tese: decide-se na prova. Prontuário incompleto, ilegível, preenchido fora de ordem cronológica ou sem identificação do profissional enfraquece a defesa do médico e do estabelecimento, e frequentemente favorece a inversão do ônus da prova. Termo de consentimento livre e esclarecido genérico, assinado no balcão, tem valor probatório próximo de zero quando o que se discute é o dever de informação sobre riscos específicos de um procedimento. Compliance, aqui, é antes de tudo disciplina documental.
2.2. Proteção de dados (LGPD). Dado referente à saúde é dado pessoal sensível (art. 5º, II, da Lei nº 13.709/2018), submetido ao regime restrito do art. 11 — as hipóteses que autorizam o tratamento são mais estreitas que as do art. 7º. Toda a cadeia assistencial movimenta esse tipo de informação: agenda, prontuário eletrônico, faturamento, telemedicina, exames, pesquisa.
Três pontos merecem atenção imediata. O primeiro é a base legal por operação: não basta colher consentimento genérico, pois cada tratamento precisa de fundamento próprio — tutela da saúde, cumprimento de obrigação legal ou regulatória, exercício regular de direito, entre outros. O segundo é o controle de acesso: é preciso saber quem acessou o quê e quando, porque, sem trilha de auditoria, a instituição não consegue nem investigar um vazamento, nem demonstrar diligência. O terceiro é a resposta a incidentes: a regulamentação da ANPD fixa prazo curto — de três dias úteis — para a comunicação de incidentes de segurança relevantes, prazo impossível de cumprir sob pressão sem plano formalizado e testado.
A fiscalização deixou de ser hipotética: a agenda regulatória da ANPD para o biênio 2025-2026 elegeu dados de saúde e biométricos como tema prioritário, com metas declaradas de atuação fiscalizatória. E a autoridade sinaliza que avaliará a efetividade das práticas, não a existência formal de uma política de privacidade publicada no rodapé do site.
2.3. Deveres ético-profissionais. O Código de Ética Médica (Resolução CFM nº 2.217/2018) é norma de conduta com sanção real, e o sistema CFM/CRM vem detalhando obrigações operacionais que precisam estar refletidas nas rotinas internas: prontuário e documentos médicos (Resoluções CFM nºs 1.638/2002, 1.821/2007 e 2.381/2024, além da Lei nº 13.787/2018, que disciplina a digitalização e o prazo mínimo de guarda de vinte anos, contados do último registro, para os prontuários em papel); telemedicina (Resolução CFM nº 2.314/2022, com exigências específicas de registro, sigilo e segurança dos sistemas); publicidade e propaganda médica (Resolução CFM nº 2.336/2023, que responsabiliza o médico pela divulgação como pessoa física e o diretor técnico-médico pela divulgação do estabelecimento, sendo que republicar elogio de paciente conta como publicação própria); e inteligência artificial (Resolução CFM nº 2.454/2026, que classifica os sistemas por nível de risco, mantém a decisão clínica com o médico, exige registro em prontuário do uso da ferramenta e assegura ao paciente o direito de ser informado, cabendo a fiscalização aos CRMs).
Perceba o ponto comum: quase todas essas normas convertem-se, na rotina, em obrigação de registrar. O programa de compliance é o que transforma a norma em procedimento.
2.4. Vigilância sanitária. A RDC ANVISA nº 63/2011 estabelece requisitos de boas práticas de funcionamento aplicáveis a todos os serviços de saúde: licença sanitária atualizada e afixada, responsável técnico e substituto formalmente designados, regimento interno, inscrição no CNES, contratos com prestadores terceirizados e ações de segurança do paciente. Descumprimento é infração sanitária, com consequências administrativas próprias — e que costumam ser usadas como reforço argumentativo nas ações indenizatórias.
2.5. Anticorrupção e contratação pública. Hospitais, clínicas e fornecedores que se relacionam com o poder público — contratos com o SUS, convênios, licitações — estão sob a Lei nº 12.846/2013, que instituiu a responsabilização objetiva da pessoa jurídica por atos lesivos à Administração: a empresa responde independentemente de culpa de seus dirigentes, com multa que pode alcançar 20% do faturamento bruto do exercício anterior.
O Decreto nº 11.129/2022, que regulamenta a lei, detalha em seu art. 57 os parâmetros de avaliação do programa de integridade — inclusive a diligência na contratação e supervisão de terceiros e o monitoramento contínuo do programa. A existência de programa efetivo é fator de redução da multa. A Lei nº 14.133/2021, por sua vez, exige a implantação de programa de integridade nas contratações de grande vulto (art. 25, § 4º), usa-o como critério de desempate (art. 60, IV) e como condição de reabilitação de empresa sancionada (art. 163).
2.6. Faturamento, reembolso e risco criminal. Nos últimos anos, o chamado “reembolso sem desembolso” ou “reembolso assistido” tornou-se o principal foco de litígio entre operadoras e prestadores. O modelo — clínica que colhe login e senha do beneficiário, ou cessão do direito de reembolso sem pagamento prévio — já foi reconhecido como negócio jurídico sem objeto pelo Superior Tribunal de Justiça, e vem gerando ações cíveis e notícias-crime por estelionato (art. 171 do Código Penal) contra clínicas, sócios e profissionais envolvidos. Muitos médicos aderiram a esses arranjos sem consciência do risco, atraídos pela promessa de simplificação administrativa. Aqui, compliance é literalmente prevenção criminal.
3. Como aplicar: roteiro em oito etapas
1) Diagnóstico e mapeamento de riscos. Levantamento por processo — captação, agendamento, atendimento, registro, faturamento, descarte, comunicação — identificando onde estão os dados sensíveis, os pontos de contato com o poder público e as obrigações regulatórias aplicáveis àquela atividade específica.
2) Governança. Definição formal de quem responde pelo quê: responsável técnico perante a vigilância sanitária, diretor técnico-médico perante o CRM, encarregado pelo tratamento de dados perante a ANPD e a instância que responde pelo programa. Em instituições que adotam sistemas próprios de IA, a Resolução CFM nº 2.454/2026 exige comissão específica.
3) Documentos-base. Código de conduta; política de privacidade e de segurança da informação; política de prontuário (preenchimento, acesso, guarda e descarte); política de publicidade; política de brindes, hospitalidade e relacionamento com a indústria; termos de consentimento específicos por procedimento.
4) Contratos. Revisão dos instrumentos com pacientes, médicos (sócios, cooperados, plantonistas), fornecedores, terceirizados e operadoras — escopo, honorários, responsabilidades, confidencialidade, cláusulas de proteção de dados e responsabilidade por incidentes, foro ou arbitragem.
5) Treinamento. Curto, periódico, documentado e por função. Recepção, enfermagem e faturamento erram mais e são treinados menos.
6) Canal de denúncias. Com sigilo assegurado, vedação de retaliação ao denunciante de boa-fé e tratamento dos relatos em conformidade com a LGPD.
7) Monitoramento e resposta a incidentes. Auditorias internas periódicas, trilha de acesso aos sistemas e plano de resposta a incidentes de segurança formalizado e testado — com o prazo regulatório de comunicação já contemplado no fluxo.
8) Registro de evidências e revisão. Atas, listas de presença, versões datadas das políticas, relatórios de auditoria. Se o programa precisar ser demonstrado a um juiz, a um fiscal sanitário ou à ANPD, o que existir em papel é o que valerá.
4. O papel do advogado
Compliance médico não é serviço de gestão com verniz jurídico. As obrigações que o programa organiza nascem de leis, resoluções e normas técnicas cuja leitura, articulação e aplicação ao caso concreto são atividade privativa da advocacia. Na prática, o advogado atua em quatro frentes.
Diagnóstico e desenho. Traduzir o emaranhado normativo — CDC, Código Civil, LGPD, resoluções do CFM, RDCs da ANVISA, normas da ANS, Lei Anticorrupção — em obrigações concretas para aquela estrutura, com prioridades definidas por risco jurídico real, e não por praxe de mercado.
Instrumentalização. Redigir os contratos, políticas e termos de consentimento de modo que sustentem uma defesa futura. Um TCLE tecnicamente correto do ponto de vista médico pode ser juridicamente inútil, e vice-versa.
Defesa. Representar o profissional ou a instituição em sindicâncias e processos ético-profissionais nos CRMs, em processos administrativos sanitários, em procedimentos da ANPD e da ANS, em ações cíveis de responsabilidade e em investigações criminais. Quem participou da construção do programa conhece o histórico e a documentação, o que muda a qualidade da defesa.
Investigação interna. Apurar denúncias e incidentes com método, preservando o sigilo profissional e a cadeia de custódia da prova — providência que, feita sem assessoria jurídica, tende a produzir prova contra a própria instituição.
Há ainda um ponto que merece franqueza: o programa de compliance não é escudo automático. Ele não elimina a responsabilidade civil, não impede a instauração de processo ético e não garante a redução de multa. Sua eficácia é avaliada no caso concreto, pela efetividade demonstrada — e um programa meramente decorativo, que documenta riscos conhecidos e não os corrige, pode inclusive agravar a posição da instituição, por evidenciar que ela sabia. O valor do compliance está na execução consistente, não na existência do manual.
5. Perguntas frequentes
Consultório pequeno precisa de compliance? Precisa de um programa proporcional. Prontuário, base legal para tratamento de dados, controle de acesso, guarda de documentos, consentimento e publicidade são obrigações que independem do porte. O que varia é a complexidade da estrutura de controle, não a existência do dever.
Quanto tempo devo guardar o prontuário? Os prontuários em papel devem ser guardados por, no mínimo, vinte anos a partir do último registro (Lei nº 13.787/2018). Os arquivados em meio eletrônico, observados os requisitos técnicos de segurança, têm guarda permanente conforme a Resolução CFM nº 1.821/2007. O descarte exige procedimento formal que preserve o sigilo.
Ter uma política de privacidade no site resolve a LGPD? Não. A política é a face visível do programa. O que a autoridade avalia é a base legal de cada operação de tratamento, o controle de acesso, o inventário de dados, os contratos com operadores e a capacidade real de responder a incidentes.
Posso divulgar antes e depois de procedimentos nas redes sociais? A Resolução CFM nº 2.336/2023 flexibilizou parte das regras anteriores, mas manteve limites relevantes quanto à forma, ao consentimento do paciente e à identificação profissional obrigatória — e responsabiliza também o diretor técnico pela divulgação do estabelecimento. Cada peça precisa ser avaliada; a regra geral é que promessa de resultado e sensacionalismo seguem vedados.
Aderir a “reembolso assistido” oferecido por intermediários é seguro? Não. O modelo vem sendo tratado como fraude por operadoras, pelo Judiciário e, em vários casos, na esfera criminal. Antes de aderir a qualquer arranjo desse tipo, a análise jurídica prévia é indispensável.
6. Conclusão
O compliance médico não é custo administrativo: é a diferença entre defender-se com documentação organizada e defender-se com explicações. Num setor em que a fiscalização se tornou mais ativa, a judicialização é rotina e o dado do paciente é o ativo central da operação, estruturar a conformidade deixou de ser diferencial competitivo e passou a ser condição de segurança do exercício profissional.
O trabalho é jurídico na origem e continuado por natureza. Ele começa com um diagnóstico honesto do que existe hoje — e não com a compra de um manual.
Este artigo tem finalidade informativa e não substitui a análise de um caso concreto. Texto atualizado até setembro de 2026.
