Disponibilidade de registros eletrônicos de saúde é a capacidade de sistemas que armazenam e processam informações clínicas – como os Sistemas de Registro Eletrônico de Saúde (S-RES) e os prontuários eletrônicos do paciente (PEP) – de manter essas informações acessíveis e utilizáveis por profissionais autorizados quando necessárias ao cuidado.
Na segurança da informação, a disponibilidade integra, ao lado da confidencialidade e da integridade, a chamada tríade CIA (Confidentiality, Integrity and Availability). No contexto da saúde, ela não se limita ao funcionamento contínuo de um programa ou servidor: envolve também a capacidade de continuar tendo acesso às informações clínicas necessárias quando o caminho habitual está indisponível e de restaurar a operação normal com segurança.
A perda de acesso a registros eletrônicos pode afetar diretamente a assistência, pois informações sobre medicamentos, alergias, exames, diagnósticos e condutas anteriores passam a não estar disponíveis no fluxo habitual de trabalho. Por essa razão, normas técnicas, guias de segurança e a literatura de informática em saúde tratam a continuidade do acesso aos dados como parte da segurança do paciente e do planejamento de contingência.
As abordagens destinadas a preservar essa disponibilidade incluem tanto medidas acionadas quando ocorre uma interrupção quanto arquiteturas projetadas para reduzir previamente a dependência de um único caminho de acesso. Entre elas estão procedimentos operacionais de contingência, mecanismos alternativos de consulta, operação local com sincronização de dados e recursos de cópia de segurança e recuperação.
Importância para a continuidade do cuidado
A informatização tornou os registros eletrônicos parte central de atividades como consulta ao histórico clínico, prescrição, solicitação e consulta de exames e documentação da assistência. Quando esses sistemas ficam indisponíveis, as equipes precisam recorrer a processos alternativos e podem ter acesso mais limitado ou mais demorado às informações necessárias para tomar decisões clínicas.
Estudos sobre períodos de indisponibilidade (downtime) de registros eletrônicos identificaram problemas relacionados à identificação de pacientes, medicamentos e exames laboratoriais, além de alterações no fluxo de trabalho. Em serviços de emergência, interrupções prolongadas foram associadas a aumento da carga de trabalho e do tempo de permanência dos pacientes, enquanto estudos em ambiente cirúrgico também avaliaram repercussões operacionais da perda temporária do registro eletrônico.
A indisponibilidade pode ser planejada, como em períodos de manutenção, ou ocorrer de forma inesperada por falhas de software ou hardware, interrupção de energia ou de conectividade (à internet ou à rede interna), desastres e incidentes de segurança. Como diferentes causas podem afetar componentes distintos da infraestrutura, a continuidade do cuidado depende não apenas da recuperação do sistema principal, mas também da existência de procedimentos e caminhos alternativos de acesso.
Disponibilidade e segurança da informação
A disponibilidade é uma das propriedades fundamentais da segurança da informação. Enquanto a confidencialidade procura impedir o acesso não autorizado e a integridade busca preservar a exatidão e a consistência das informações, a disponibilidade diz respeito à possibilidade de acessar e utilizar os dados quando necessário.
Na área da saúde, essa propriedade tem importância particular porque a indisponibilidade de uma informação pode interferir diretamente no atendimento. A norma ISO 27799 estabelece controles de segurança específicos para informações de saúde e abrange dados processados tanto em infraestrutura local quanto em serviços de nuvem. O guia NIST SP 800-66, voltado à implementação da regra de segurança do HIPAA nos Estados Unidos, também trata confidencialidade, integridade e disponibilidade como propriedades a serem protegidas nas informações eletrônicas de saúde.
Assim, proteger um registro eletrônico não significa apenas impedir acesso indevido ou alteração dos dados. Significa também planejar como as informações necessárias continuarão disponíveis caso o sistema, a rede, a internet ou outro componente utilizado normalmente deixe de funcionar.
Estratégias de continuidade
As estratégias para manter a continuidade do acesso podem atuar de duas formas complementares: por mecanismos de contingência acionados durante uma indisponibilidade e pela própria arquitetura do sistema, projetada para reduzir a dependência de um único caminho de acesso. Entre as primeiras estão procedimentos operacionais, sistemas de retaguarda e mecanismos de recuperação; entre as segundas estão arquiteturas que mantêm dados ou funções disponíveis localmente e os sincronizam com uma infraestrutura remota, permitindo que diferentes meios de acesso continuem disponíveis quando um deles é interrompido.
Essas medidas cumprem funções diferentes. Uma cópia de segurança, por exemplo, permite restaurar dados depois de uma falha, mas não necessariamente oferece acesso imediato às informações durante a interrupção. Da mesma forma, um mecanismo de contingência pode manter parte do atendimento durante uma falha, enquanto uma arquitetura com operação local pode evitar que determinadas interrupções de conectividade impeçam o uso normal do sistema.
Arquiteturas com múltiplos caminhos de acesso
Alguns sistemas são projetados para manter mais de uma forma de acesso às informações clínicas durante sua operação normal. Uma implementação pode, por exemplo, manter dados e funções operacionais no ambiente local (on-premises) e sincronizar as alterações com uma infraestrutura remota sempre que houver conectividade. Nessa configuração, uma interrupção da conexão externa não implica necessariamente a interrupção do trabalho local.
Arquiteturas desse tipo diferem de mecanismos de contingência acionados apenas após uma falha. A capacidade de continuar funcionando sem conexão e de sincronizar posteriormente faz parte do funcionamento habitual do sistema. Em modelos offline-first, a cópia local dos dados funciona como fonte de trabalho para leitura e registro, e as alterações são reconciliadas com um servidor central quando a comunicação está disponível.
Quando existem cópias ou serviços acessíveis por meios distintos, a perda de um componente não necessariamente elimina todas as formas de acesso às informações. Uma falha de conectividade pode deixar intacta a operação local, enquanto uma falha de equipamento ou infraestrutura local pode ser mitigada pela existência de dados sincronizados ou de serviços mantidos em outro ambiente, dependendo da arquitetura adotada.
A presença de infraestrutura local, por si só, não garante disponibilidade: a continuidade depende da forma como os componentes, as cópias dos dados e os mecanismos de sincronização e recuperação são projetados. Além disso, sistemas que mantêm mais de uma cópia dos dados precisam controlar sincronização, integridade e possíveis divergências entre versões.
Exemplos de implementação
Arquiteturas que combinam operação local ou desconectada com sincronização de dados são utilizadas em diferentes tipos de sistemas clínicos. As implementações variam: em alguns casos existe uma base ou servidor local sincronizado com uma infraestrutura central; em outros, aplicações instaladas mantêm localmente os dados necessários ao trabalho e sincronizam as alterações quando a conectividade está disponível.
No Brasil, o HiDoctor combina uma aplicação instalada localmente com sincronização de dados e acesso remoto. Um trabalho acadêmico da Universidade Federal de Pelotas descreveu o uso da tecnologia MedSync para manter bancos de dados atualizados em diferentes computadores, como os do consultório, da residência e do hospital, além de permitir o acesso às informações pela internet. A documentação atual do sistema informa que cada computador ou dispositivo instalado funciona como um ponto de sincronização, enviando suas alterações e recebendo as realizadas nos demais pontos, enquanto os dados sincronizados também podem ser acessados pela web.
O Tamanu, desenvolvido pela organização Beyond Essential Systems, sediada na Austrália, é um registro eletrônico de saúde projetado para operar sem conexão contínua. A Organização Mundial da Saúde o descreve como um sistema offline-first com capacidade de sincronização. Na arquitetura destinada a estabelecimentos de saúde, cada unidade pode utilizar um servidor local que contém os dados necessários à sua operação e continua atendendo os usuários mesmo sem internet. Esses servidores sincronizam bidirecionalmente com um servidor central, permitindo que as informações atualizadas circulem entre diferentes unidades.
No Reino Unido, o Morse é utilizado como prontuário eletrônico móvel por organizações do NHS. O sistema permite consultar e registrar informações clínicas mesmo sem conectividade; os registros e anotações produzidos durante o período offline são sincronizados quando uma conexão volta a estar disponível.
Na Dinamarca, o Auditdata Manage, voltado a serviços de audiologia, utiliza uma base online em conjunto com o aplicativo desktop Bridge. Dados selecionados de pacientes podem ser carregados no Bridge para utilização offline, permitindo a realização de atividades clínicas sem internet. Quando o aplicativo volta a operar conectado, os dados registrados localmente podem ser sincronizados com a base do Manage.
Nos Estados Unidos, o Binsera EHR utiliza uma arquitetura offline-first na qual módulos clínicos críticos mantêm dados localmente para que atividades como documentação, consulta a medicamentos e solicitação de exames continuem durante interrupções de conectividade. Quando a conexão é restabelecida, as alterações são sincronizadas automaticamente com a infraestrutura remota, com mecanismos para tratamento de conflitos e registro das operações.
Na Itália, a Graffico desenvolve sistemas de gestão clínica e prontuário eletrônico sob medida. Para estabelecimentos que necessitam continuar operando durante problemas de conectividade, a empresa descreve a possibilidade de implementar um modo offline no qual as funções e os dados necessários permanecem disponíveis localmente e são sincronizados automaticamente quando a conexão é restabelecida. Essa arquitetura é uma opção definida conforme os requisitos de cada implantação, e não uma característica fixa de um único produto.
Procedimentos de contingência
Planos de contingência definem como o atendimento deve continuar quando os sistemas eletrônicos não estão disponíveis. Eles podem prever formulários em papel, procedimentos temporários de identificação e prescrição, responsabilidades das equipes, mecanismos de comunicação e rotinas para reinserir posteriormente no sistema as informações registradas durante o período de indisponibilidade.
A preparação inclui ainda exercícios periódicos para que profissionais saibam como trabalhar durante uma interrupção. A efetividade desses procedimentos depende não apenas da infraestrutura tecnológica, mas também do treinamento, da definição prévia de responsabilidades e da identificação das funções clínicas que precisam ser recuperadas primeiro.
Redundância e caminhos alternativos de acesso
Mesmo quando o sistema principal não foi concebido para funcionar de forma desconectada, podem existir mecanismos de retaguarda destinados especificamente aos períodos de indisponibilidade. Esses recursos procuram preservar ao menos um caminho de consulta às informações clínicas enquanto o sistema principal é recuperado.