Entrega de laudo pelo celular: por que número do pedido e CPF não bastam

Quase todo laboratório entrega laudo online com a mesma dupla: número do pedido e CPF. É prático, funciona no balcão e é indefensável como autenticação de dado sensível.

Por que o par não autentica

• O CPF não é segredo. Circula em cadastro de farmácia, ficha de convênio e vazamento antigo.
• O número do pedido costuma ser sequencial. Sequência é a coisa mais fácil de percorrer automaticamente.
• Ambos são conhecidos por terceiros legítimos — quem digitou o pedido, quem levou o papel, quem pagou pelo exame.

Some os três: qualquer pessoa com o comprovante na mão acessa o resultado, e qualquer script com uma lista de CPFs consegue tentar. O art. 11 da LGPD trata resultado de exame como dado sensível; o controle de acesso precisa ser compatível com isso.

O padrão que resolve: OTP

Código de uso único enviado ao canal previamente cadastrado do paciente:

1. O paciente informa CPF e data de nascimento — identificação, não autenticação.
2. O sistema envia um código curto ao telefone já cadastrado no atendimento.
3. O código vale por poucos minutos, tem limite de tentativas e é armazenado como hash, nunca em texto.
4. Validado, abre-se uma sessão curta, com escopo apenas dos laudos daquele paciente.

O ponto sutil: o canal precisa ter sido cadastrado antes, na recepção. Se o próprio fluxo de acesso aceita um telefone novo, o atacante informa o dele e o OTP vira teatro.

O que a mensagem pode dizer

Nunca o resultado. A mensagem correta avisa que o laudo está disponível e traz um link autenticado. A conversa fica no aparelho, e o aparelho é compartilhado, perdido e faz backup em nuvens que o laboratório não controla.

Duas exigências que costumam ser esquecidas:

• consentimento por finalidade, registrado: aceitar aviso de laudo não é aceitar comunicação comercial;
• categoria correta do template na plataforma de mensagem — autenticação para OTP, utilitário para aviso. Categoria errada é reprovada na aprovação ou cobrada como marketing.

Registro de acesso é parte do controle

Todo acesso ao laudo precisa ficar registrado: quem, quando, de qual sessão. É o que permite responder, meses depois, se aquele resultado foi visto — e por quem.

Trilha de escrita quase todo sistema tem. É a de leitura que responde à pergunta que o incidente de privacidade faz.

O caminho de menor atrito

Não é preciso trocar tudo de uma vez. A ordem que entrega segurança primeiro:

1. parar de expor resultado no corpo de qualquer mensagem;
2. cadastrar e verificar o telefone no atendimento;
3. trocar o par pedido + CPF por OTP no acesso;
4. registrar o acesso e revisar quem tem permissão de leitura no sistema interno.

Os quatro passos custam menos que um incidente, e o primeiro é de graça.