O CPF é realmente obrigatório para todos, inclusive para menores de idade?

Sim, nas Notificações de Receita e nas RCE. A identificação do paciente deve conter o nome e o CPF, ou o passaporte, no caso de estrangeiros. Se o paciente não tiver CPF, a Anvisa admite, em caráter excepcional, registrar "não possui" no campo.
Nas RET, o CPF não é obrigatório.