Trilha de auditoria: registro de quem fez o quê
Trilha de auditoria é o registro, em ordem, de quem acessou ou alterou uma informação, quando e o que fez. Ela permite reconstruir o caminho de um dado depois do fato. Em dados de saúde, mostra ao paciente e a um auditor quem leu cada documento.
O que uma boa trilha registra
Uma trilha útil costuma responder a cinco perguntas:
- Quem agiu: pessoa ou organização identificada.
- O que foi feito: leitura, criação, alteração, aprovação.
- Quando: data e horário.
- Sobre qual informação.
- Tentativas negadas, e não só os acessos que deram certo.
Relação com a LGPD
A LGPD não usa a expressão trilha de auditoria, mas cria deveres que ela ajuda a cumprir. O art. 37 exige que controlador e operador mantenham registro das operações de tratamento que realizarem.
O art. 6º, X, traz o princípio da responsabilização e prestação de contas: o agente deve demonstrar que adota medidas eficazes para cumprir a lei. O art. 46 pede medidas de segurança contra acessos não autorizados.
Por que importa em fundações e associações
Onde há dinheiro de terceiros ou dado sensível, a trilha dá base para prestação de contas e para auditoria externa. Ela também inibe acesso indevido, porque quem lê sabe que fica registrado.
Na Kolibri
Na Kolibri, toda leitura do cofre por associação ou fundação, inclusive as barradas, fica registrada, e o paciente vê em "Quem acessou meu cofre". Cada abertura de receita pela associação vai para a trilha do titular. Na fundação, o auditor externo tem acesso só de leitura, com cada leitura registrada, e aporte e concessão exigem uma pessoa para registrar e outra para confirmar ou aprovar.
Perguntas frequentes
Trilha de auditoria é o mesmo que log?
É um tipo de registro, voltado a responder quem fez o quê e quando, de forma que outra pessoa possa conferir depois.
O paciente pode ver a trilha dos seus dados?
Depende do sistema. A LGPD garante acesso aos dados e informação sobre compartilhamento (art. 18); mostrar a trilha ao titular vai além e aumenta a transparência.
Acessos negados também devem ser registrados?
É uma boa prática. Registrar tentativas barradas ajuda a identificar acesso indevido antes que ele aconteça.
Fontes
Conteúdo informativo, que não substitui orientação médica ou jurídica. Atualizado em 30/09/2026.