Como verificar se um atestado médico é verdadeiro: guia para o RH

Antes de começar: o que a empresa pode conferir

Conferir um atestado não é desconfiar do colaborador. É o mesmo cuidado que o DP tem com qualquer documento que gera efeito na folha. A empresa pode exigir o documento original, em papel ou arquivo, confirmar os dados do médico e do estabelecimento, pedir esclarecimentos à clínica e encaminhar o afastamento ao médico do trabalho quando a norma exige. O que a empresa não pode é exigir o diagnóstico (CID), que é informação facultativa e dado sensível pela LGPD, nem punir com base apenas em suspeita.

Este guia mostra as seis conferências que cabem na rotina do RH, quanto tempo cada uma leva à mão e o que fazer com o que for encontrado.

O que conferir, item por item

O que conferir	Onde	Tempo à mão
CRM do médico ativo	Portal do CFM, busca de médicos	1 min
QR code de validação	Atesta CFM ou prescrição eletrônica	1 min
Estabelecimento de saúde	CNES / DATASUS	2 min
Assinatura digital do PDF	validar.iti.gov.br	1 min
Nome, datas e dias coerentes	O próprio documento e o cadastro	2 min
Arquivo original ou foto de tela	O próprio arquivo	1 min

Feito à mão, esse roteiro leva de 5 a 10 minutos por atestado. Para empresas com dezenas de atestados por mês, é aí que um sistema de verificação faz diferença: as conferências rodam sozinhas em minutos e o resultado aparece numa situação clara, com o próximo passo.

1. O médico existe e está ativo?

Todo atestado traz nome e número de CRM do médico. No portal do CFM, a busca por número e UF mostra se a inscrição está ativa, a especialidade registrada e a situação. Três sinais de atenção:

• CRM que não existe na UF informada.
• Inscrição cancelada, suspensa ou de médico falecido.
• Nome no atestado diferente do nome registrado no conselho.

Nenhum desses sinais prova fraude por si só: erros de digitação, carimbos antigos e médicos com inscrição em mais de um estado acontecem. Eles pedem confirmação com a clínica, não uma conclusão.

Um detalhe que costuma passar: o CRM é do médico, não da clínica. Um atestado emitido numa clínica de outro estado pode trazer um CRM com UF diferente do endereço. Isso é normal quando o médico tem inscrição secundária naquele estado.

2. O QR code abre o documento certo?

Desde 6 de março de 2025, atestados emitidos pela plataforma do CFM (Atesta CFM) trazem um QR code por página. Ao ler o código, o endereço deve pertencer a um domínio oficial (do CFM, da prescrição eletrônica ou do validador do ITI) e mostrar o mesmo documento que está na sua mão: mesmo paciente, mesma data, mesmo médico, mesmos dias.

O que comparar, campo a campo:

• Nome completo do paciente.
• Data de emissão.
• Período de afastamento (data inicial e número de dias).
• Nome e CRM do médico.

Se qualquer campo divergir, a versão do conselho é a referência e o papel que você recebeu merece esclarecimento. Atestado sem QR code depois dessa data pede atenção, mas não é automaticamente inválido: há casos de emissão em papel por indisponibilidade do sistema. Veja o que fazer nesses casos.

Cuidado com endereços encurtados ou de domínios desconhecidos no QR code. Um código que leva a um site qualquer, mesmo que mostre um documento parecido, não vale como validação.

3. A clínica ou o hospital existe?

O CNES é o cadastro nacional de estabelecimentos de saúde. Busque pelo nome ou CNPJ da clínica e confira se está ativo e se o endereço bate com o do atestado. Um consultório particular pequeno pode não estar no CNES; nesse caso, a consulta do CNPJ na Receita Federal cumpre o mesmo papel: a empresa existe, está ativa e tem atividade de saúde.

Sinais de atenção: estabelecimento inexistente, endereço de outra cidade sem explicação, telefone que não atende em horário comercial. De novo, são motivos para confirmar, não para concluir.

4. O PDF está assinado digitalmente?

Atestados em PDF assinados com certificado ICP-Brasil podem ser validados no site do ITI: o validador mostra quem assinou, quando e se o documento foi alterado depois da assinatura. Um PDF sem assinatura não é falso; só não tem essa camada de garantia. Um PDF com assinatura inválida (alterado depois de assinado) é um sinal forte, porque indica edição posterior.

Para que a validação funcione, o arquivo precisa ser o original. Um PDF impresso e fotografado, ou um print de tela do PDF, perde a assinatura.

5. Nome, datas e dias batem?

Esta conferência não precisa de nenhum site, só de atenção:

• O nome do paciente é o mesmo do cadastro do colaborador? Abreviações, nome social e erros de digitação explicam a maioria das diferenças, mas precisam ser esclarecidos.
• A data de emissão é compatível com a data da falta? Um atestado emitido dias depois do afastamento pode ser legítimo (o médico pode registrar que foi a pedido), mas pede atenção.
• O número de dias escrito por extenso confere com o número em algarismos?
• A data inicial do afastamento não é anterior à consulta?

6. É o arquivo original ou uma foto de tela?

Um atestado que chega por aplicativo de mensagem costuma ser uma foto recomprimida, às vezes uma foto de outra tela. Isso apaga os dados que permitiriam uma verificação mais completa (metadados, assinatura digital, QR code legível). Por isso vale definir um canal de recebimento que guarde o arquivo como ele foi gerado: o PDF original quando o médico enviou por e-mail ou aplicativo, ou uma foto tirada na hora do documento em papel.

Quando confirmar com a clínica, e como pedir

Confirme sempre que uma das seis conferências levantar dúvida, e sempre antes de qualquer medida contra o colaborador. Peça por escrito, por e-mail ou pelo canal oficial da clínica, e guarde a resposta. Um pedido simples funciona:

Prezados, recebemos o atestado anexo, emitido em nome de [nome do paciente] em [data], com assinatura do Dr(a). [nome], CRM [número]. Poderiam confirmar a emissão do documento e os dados nele constantes? Esta confirmação é necessária para o registro do afastamento na folha.

Não envie o diagnóstico nem comente a situação do colaborador. Se a clínica não responder, registre a tentativa, mantenha o atestado como “em verificação” e não aplique penalidade enquanto não houver resposta.

Registre o que foi conferido

O que vale para o jurídico não é a conferência, é o registro dela: o arquivo original preservado, a data e a hora em que chegou, quem acessou e o que foi encontrado em cada conferência. Sem isso, a empresa que precisar se defender numa reclamação trabalhista terá só a memória de quem conferiu. Um procedimento mínimo:

1. Guarde o arquivo original, sem anotar nem carimbar sobre ele.
2. Registre data e hora de recebimento.
3. Anote cada conferência feita, onde foi feita e o resultado.
4. Guarde a resposta da clínica, quando houver.
5. Restrinja o acesso ao documento e registre quem o abriu.

Atestados de outros profissionais

Atestado de dentista, psicólogo ou fisioterapeuta vale, dentro das competências de cada conselho (CRO, CRP, CREFITO). A verificação do registro é feita no site do respectivo conselho, e esses documentos não passam pelo Atesta CFM, que é exclusivo de médicos. O restante do roteiro (nome, datas, estabelecimento, arquivo) se aplica igual.

O que a empresa pode e não pode fazer

• Pode exigir o atestado original (papel ou arquivo), conferir os dados e pedir esclarecimentos à clínica.
• Pode definir o canal e o prazo de entrega, desde que acessíveis ao colaborador.
• Pode encaminhar o afastamento ao médico do trabalho para homologação quando a norma exige (afastamentos longos, recorrência, indício de acidente de trabalho).
• Não pode exigir o CID do colaborador: a informação do diagnóstico é facultativa. Se ela constar no atestado, o acesso dentro da empresa deve ficar restrito às pessoas que a empresa definir, com registro de cada consulta.
• Não pode aplicar punição com base só em suspeita. A jurisprudência trabalhista exige prova robusta e decisão humana, e a LGPD (art. 20) garante revisão humana de decisões automatizadas.

Antes de demitir por justa causa

A justa causa por atestado falso (CLT, art. 482, “a”, ato de improbidade) é uma das mais revertidas na Justiça do Trabalho quando a prova é frágil. Antes de qualquer medida: confirme por escrito com o emissor, preserve o arquivo original, registre a cadeia de custódia e, se o caso for relevante, peça um laudo pericial assinado, feito por perito independente. Guia completo sobre justa causa.

Como o Atestadix faz essas conferências

O colaborador envia o atestado pelo celular, por link ou QR code, e o arquivo original fica guardado com protocolo, data e hora. O sistema faz cinco verificações (origem do arquivo, conteúdo do atestado, validação do profissional, validação da instituição e cruzamento com outros documentos), cada uma com um grau de confiança, e devolve ao RH uma das situações do atestado, com o próximo passo. Quando a norma exige, o caso segue ao médico do trabalho. Cada acesso ao documento fica registrado. Veja como funciona.

Perguntas frequentes

Posso recusar atestado enviado por WhatsApp? A empresa pode definir o canal de recebimento, desde que ele seja acessível ao colaborador. O problema do WhatsApp é técnico: a foto é recomprimida e perde os dados que permitiriam uma verificação mais completa. Veja se a empresa pode recusar um atestado.

Atestado de dentista, psicólogo ou fisioterapeuta vale? Vale, dentro das competências de cada conselho (CRO, CRP, CREFITO). A verificação do registro é feita no site do respectivo conselho.

E se o médico não responder a confirmação? Registre a tentativa, mantenha o atestado como “em verificação” e não aplique penalidade enquanto não houver resposta. O ônus da prova da fraude é da empresa.

Atestado de telemedicina vale? Vale. Deve trazer os mesmos dados de identificação do médico e, desde a obrigatoriedade, passar pelo Atesta CFM como qualquer outro.

Preciso conferir todos os atestados ou só os suspeitos? Conferir todos, com o mesmo critério, é o que protege a empresa de acusação de perseguição e o que faz o histórico por colaborador ter valor. É também o motivo de a conferência precisar ser rápida.