Assinatura Eletrônica em Prontuário de Fisioterapia: O Que a Res. COFFITO 414/2012 Realmente Exige

A pergunta chega quase toda semana no consultório: "minha assinatura eletrônica é válida perante o CREFITO?". A resposta curta é que sim, desde que atenda três requisitos técnicos previstos na Lei 14.063/2020 — e você não precisa comprar certificado ICP-Brasil pra isso. Este artigo detalha o que a norma exige, o que a lei federal permite, o que a jurisprudência do STJ vem dizendo e como um sistema clínico moderno implementa assinatura eletrônica com validade legal plena.

É o material técnico-jurídico que você pode apresentar em auditoria, defender em processo ético-disciplinar ou usar como base pra decidir qual sistema de prontuário eletrônico contratar.

O ponto de partida — Resolução COFFITO nº 414/2012

A Resolução COFFITO nº 414, de 19 de maio de 2012, é a norma vigente que rege o prontuário do fisioterapeuta. Publicada no DOU em 25/05/2012, permanece sem revisões até 2026 e é o texto de referência pra qualquer discussão sobre registro clínico em fisioterapia.

Os pontos que interessam pra discussão de assinatura eletrônica:

• Art. 1º: obrigatoriedade do registro em prontuário de todo atendimento
• Art. 1º §1º inciso VIII: exige assinatura do fisioterapeuta + carimbo com nome completo e número CREFITO em cada evolução
• Art. 2º: registro deve ser legível, claro, sem rasuras ou emendas, com terminologia própria da profissão — e explicitamente permite meio manuscrito ou eletrônico
• Art. 2º parágrafo único: no meio eletrônico, o profissional deve consignar seu nome completo e nº CREFITO imediatamente após o registro
• Art. 6º: guarda mínima de 5 anos contados do último registro

O que a Res. 414/2012 não faz é definir padrão técnico específico. Não menciona ICP-Brasil, hash criptográfico, biometria ou qualquer tecnologia. Deixa esse detalhe pra legislação federal geral — o que é uma escolha regulatória inteligente porque tecnologia muda rápido e a norma permanece estável.

Comparativamente, o CFM (Conselho Federal de Medicina) publicou em 2007 a Resolução 1.821 que sim especifica requisitos técnicos (padrão NGS2 da certificação SBIS). O COFFITO nunca fez equivalente. Isso significa que fisioterapeutas têm mais flexibilidade regulatória que médicos pra escolher solução de assinatura eletrônica — enquanto o CFM engessou seu setor em ICP-Brasil (via NGS2), o COFFITO deixou o caminho aberto.

O que a Lei federal permite — Lei 14.063/2020

A Lei nº 14.063, de 23 de setembro de 2020, é o marco regulatório da assinatura eletrônica no Brasil. Ela classifica assinaturas em três níveis, e o Art. 5º §1º trata explicitamente do uso em saúde:

Nível 1 — Assinatura eletrônica simples (Art. 4º I)

Login e senha básicos, sem cadeia técnica adicional. Válida entre partes que aceitem. Insuficiente pra prontuário clínico isolado — não detecta alteração posterior, não vincula univocamente ao signatário.

Nível 2 — Assinatura eletrônica avançada (Art. 4º II)

Definida como aquela que:

1. Está associada de forma unívoca ao signatário (identidade demonstrável)
2. É utilizada com meios sob controle exclusivo do signatário (senha, biometria, token)
3. Detecta qualquer modificação posterior ao documento assinado (integridade demonstrável)

O Art. 5º §1º da mesma lei estabelece que a assinatura avançada é aceita em interações com o poder público e — o que interessa aqui — em atos entre particulares em matéria de saúde, quando aceita pelas partes envolvidas. Prontuário eletrônico, evoluções, laudos internos e planos de tratamento fisioterapêuticos estão cobertos.

Nível 3 — Assinatura eletrônica qualificada (ICP-Brasil, MP 2.200-2/2001 + Art. 4º III)

Certificado emitido por autoridade certificadora credenciada na ICP-Brasil. Tem presunção juris tantum de veracidade (MP 2.200-2 Art. 10 §1º). O Art. 5º §2º da Lei 14.063 lista os casos em que é obrigatória:

• Receitas de medicamentos sujeitos a controle especial (Portaria SVS/MS 344/1998)
• Atestados médicos e odontológicos formais
• Alguns atos processuais

Nenhum desses itens diz respeito a evolução fisioterapêutica. O fisioterapeuta não emite receita controlada nem atestado médico (o COFFITO tem discussão sobre atestados fisioterapêuticos, mas eles não estão no rol de exigência ICP-Brasil da Lei 14.063).

O que a jurisprudência do STJ vem dizendo

A jurisprudência brasileira vem confirmando de forma consistente a validade da assinatura eletrônica avançada:

STJ, 03/12/2024 — Falta de credenciamento ICP-Brasil não invalida

O Superior Tribunal de Justiça decidiu expressamente que "a falta de credenciamento da entidade certificadora na ICP-Brasil, por si só, não invalida assinatura eletrônica". A decisão reforça o Art. 4º da Lei 14.063/2020 — assinatura avançada é plenamente válida mesmo sem ICP.

STJ, 31/01/2026 — Gov.br é assinatura válida

Em decisão de janeiro/2026, o STJ reconheceu que procuração assinada via gov.br é válida e dispensa firma reconhecida. O gov.br usa a mesma categoria técnica que a assinatura avançada do Art. 4º II — o mesmo racional se aplica pra prontuário eletrônico.

STJ Pesquisa Pronta, 05/2025 — Validade da assinatura digital

Compilação de acórdãos do STJ reforça que a análise de validade se dá pela demonstrabilidade dos elementos técnicos (identidade, integridade, controle exclusivo), não pela categoria formal da certificação.

COREN-SP Parecer 029/2021 — Enfermagem já aceita

Como paralelo relevante, o Conselho Regional de Enfermagem de São Paulo publicou parecer normativo em 2021 aceitando expressamente a assinatura eletrônica em prontuário de enfermagem via login e senha individuais e intransferíveis, com base na MP 2.200-2 e na Lei 14.063/2020. É o mesmo raciocínio aplicável pra fisioterapia.

Os 3 elementos que uma boa assinatura eletrônica precisa ter

Traduzindo os requisitos legais da Lei 14.063/2020 Art. 4º II pra arquitetura técnica:

1. Vinculação unívoca ao signatário

O sistema precisa comprovar quem assinou. Não basta "assinado por João Silva" digitado — isso é assinatura simples, sem valor probatório robusto. É necessário:

• Autenticação forte do usuário (email verificado + senha bcrypt/scrypt no mínimo, idealmente 2FA opcional)
• Cadastro individual intransferível (Termo de Uso proibindo compartilhamento)
• Registro explícito de nome completo + número CREFITO + região em cada assinatura (atende Art. 1º §1º VIII da Res. COFFITO 414/2012)

2. Controle exclusivo do meio de criação

Só o signatário deve ter acesso ao "botão de assinar". Isso significa:

• Reautenticação por senha no momento da assinatura (o padrão bancário de operações sensíveis)
• Sessão de assinatura com timeout curto (ex: 4 horas) — evita colega usar a sessão aberta
• Possibilidade de encerrar a sessão manualmente a qualquer momento

3. Detecção de alterações posteriores

Esta é a espinha dorsal da assinatura avançada. Precisa de:

• Hash criptográfico do documento (SHA-256 é o padrão de mercado) calculado no momento da assinatura
• Armazenamento imutável do hash — se o hash puder ser editado, perde o valor
• Timestamp confiável (idealmente TSA ICP-Brasil ou pelo menos NTP auditável)
• Trilha de auditoria completa: quem, quando, de onde, com qual método
• Verificação pública: qualquer parte interessada deve poder recalcular o hash e comparar

Um sistema que cumpre esses 3 requisitos técnicos atende integralmente à Lei 14.063/2020 Art. 4º II, e por consequência à exigência de assinatura da Res. COFFITO 414/2012 — sem depender de certificado ICP-Brasil.

Por que ICP-Brasil não é obrigatória pra fisioterapia

A confusão vem de dois lugares:

Primeiro: muitos softwares clínicos usam ICP-Brasil porque atendem também médicos (que estão sob CFM, que sim exige NGS2/ICP). O software vira uma solução única pra ambos os perfis, e o fisioterapeuta acaba pagando por infra pensada pro médico.

Segundo: vendors de certificado (Certisign, Serasa, Soluti, Valid) têm interesse comercial em vender certificados. Marketing agressivo apresentando ICP-Brasil como "a única assinatura válida" — o que a Lei 14.063/2020 explicitamente contradiz.

Análise de custo pro fisioterapeuta autônomo:

• Certificado A1 (arquivo no PC): R$ 179-380/ano, validade 1 ano, precisa reinstalar em cada máquina, se perde arquivo perde acesso
• Certificado A3 (token físico USB): R$ 250-500/ano + token físico R$ 150+, não funciona em mobile, exige driver
• Vidaas / BirdID (nuvem): R$ 180-250/ano, biometria facial via celular, melhor UX
• Assinatura avançada nativa em sistema clínico: R$ 0/ano, funciona no navegador em qualquer dispositivo

Pra fisioterapeuta que atende 200 sessões/mês, o certificado A1 custa aproximadamente R$ 1,50 por sessão — sem nenhuma diferença legal em relação à alternativa gratuita da Lei 14.063.

Como comprovar em fiscalização ou processo

Se o CREFITO fiscalizar sua clínica e questionar a assinatura eletrônica, os pontos de defesa são:

1. Base normativa

Apresente a Lei 14.063/2020 Art. 4º II e Art. 5º §1º. Se for oral, cite. Se for por escrito, junte cópia. A Res. COFFITO 414/2012 aceita meio eletrônico (Art. 2º) sem definir padrão técnico — a lacuna é preenchida pela lei federal.

2. Prova de identidade do signatário

Cada evolução assinada precisa mostrar nome completo, número CREFITO e data/hora da assinatura. Isso deve aparecer no PDF gerado, no rodapé ou em bloco dedicado.

3. Prova de integridade

Hash SHA-256 do documento no momento da assinatura. Se o sistema oferece página pública de verificação, o fiscal pode acessar e recalcular o hash a partir do PDF em mãos — comparação direta.

4. Trilha de auditoria

Log completo: IP de origem, timestamp UTC, método de autenticação, versão do documento (se houve edição posterior). Essa trilha é a cadeia de custódia digital exigível em perícia técnica.

Em processo judicial, os mesmos elementos são suficientes. O ônus da prova de alteração é da parte que alega — se não há divergência entre hash registrado e hash do documento apresentado, integridade está demonstrada matematicamente.

O que fazer se seu sistema atual não atende

Se o software clínico que você usa hoje:

• Não gera hash SHA-256 verificável
• Não tem trilha de auditoria acessível
• Não permite que você (ou um auditor) valide autenticidade sem confiar no fornecedor
• Cobra separado por "assinatura digital" (força você a comprar certificado ICP-Brasil)

...há três alternativas práticas:

1. Cobrar do fornecedor a implementação de assinatura avançada nativa. Cite a Lei 14.063/2020 e mostre este artigo — muitos vendors não sabem que podem fazer isso sem cobrar certificado.
2. Migrar pra sistema que já implementa. O Assimetrix, por exemplo, tem assinatura eletrônica avançada nativa inclusa, sem custo adicional.
3. Como paliativo temporário: assinar o PDF exportado em serviço externo (assinador.iti.br do gov.br) e reanexar. Funciona mas gera fricção operacional (~2 min por evolução).

FAQ

O CREFITO já publicou parecer aceitando assinatura eletrônica avançada?

Não há parecer específico do COFFITO até 2026. Mas a Res. 414/2012 (Art. 2º) já autoriza meio eletrônico sem exigir padrão técnico específico. O silêncio normativo sobre tecnologia + a lei federal aplicável (14.063/2020) formam base defensável. O caminho institucional pra segurança máxima é abrir consulta formal ao COFFITO regional.

E se eu quiser usar meu certificado ICP-Brasil que já tenho?

Pode. A Lei 14.063/2020 não proíbe o uso da qualificada onde a avançada é suficiente. É apenas custo desnecessário. Sistemas modernos costumam permitir ambos os modos — o fisioterapeuta escolhe.

A assinatura avançada tem a mesma validade em juízo?

Sim. O que muda é a presunção. ICP-Brasil tem presunção juris tantum (MP 2.200-2 Art. 10 §1º) — parte contrária precisa provar falsidade. Avançada exige demonstração ativa dos 3 elementos (identidade, controle, integridade). Ambas são igualmente válidas — muda o ônus probatório.

Preciso mostrar o hash SHA-256 pro paciente ou pros pais?

Não pra uso normal — o paciente não precisa entender criptografia. Mas em caso de contestação ou perícia, o hash é o elemento técnico chave. O PDF exportado idealmente deve incluir os primeiros caracteres do hash + QR code apontando pra página pública de verificação — assim qualquer parte interessada pode validar sem intermediário.

E se eu esquecer de assinar uma evolução?

Não deve acontecer com sistema bem projetado — o Assimetrix, por exemplo, marca automaticamente evoluções não assinadas como rascunho e não inclui em relatórios gerados. Se você exportar PDF com evolução em rascunho, aparece com marca visível de "não assinada".

Editar uma evolução assinada é permitido?

Sim, mas o sistema precisa criar uma nova versão preservando a original. A Res. COFFITO 414/2012 (Art. 2º) proíbe rasuras e emendas — a interpretação moderna é que edição sem trilha equivale a rasura. Sistema correto: v1 permanece armazenada, edit cria v2 com nova assinatura, histórico mostra ambas.

O que acontece se o vendor do software falir?

Ponto legítimo. Pra proteção, escolha sistema que permita exportação completa do prontuário (com metadados de assinatura incluídos) em formato aberto. Se todos os hashes e trilhas foram exportados junto com os PDFs, é possível reconstruir integridade em outro sistema. Isso é responsabilidade contratual — pergunte antes de assinar.

O consentimento dos pais em pediatria precisa de assinatura eletrônica também?

Sim. A Res. COFFITO 424/2013 Art. 10 e a LGPD Art. 14 exigem consentimento por escrito do responsável legal pra menor. O sistema precisa capturar essa assinatura eletronicamente, com os mesmos requisitos técnicos (Art. 4º II Lei 14.063). Alguns sistemas oferecem fluxo dedicado; outros permitem upload de termo assinado externamente.

Este artigo tem finalidade educacional e não constitui parecer jurídico. Para orientação em casos concretos de fiscalização, processo ético-disciplinar ou disputa judicial, consulte advogado especializado em direito da saúde. A responsabilidade pelo conteúdo do prontuário e pela veracidade da assinatura é do fisioterapeuta responsável, conforme Res. COFFITO 424/2013 e Art. 17 da Lei 6.316/1975.