Сделали абсолютно правильно. Поликлиника никогда не просит коды из смс, ни для переноса, ни для чего. Код с Госуслуг даёт вход в вашу учётную запись, а там паспорт, СНИЛС, медкарта и много чего ещё. Что про запись знают, тоже не удивительно: часто говорят наугад «ваша запись», и человек сам подтверждает, а иногда данные откуда-то утекли раньше.
Раз код вы не продиктовали, ничего страшного не случилось. Но я бы сделал так:

• зашёл бы на Госуслуги сам, с планшета, набрав адрес, а не по ссылкам: https://www.gosuslugi.ru
• проверил бы, что запись к окулисту на месте;
• поменял бы пароль, если он простой;
• на номер, с которого звонили, не перезванивал бы. Если нужно, звоните в поликлинику по номеру с их сайта или с бумажки из регистратуры.

Можно, это обычное дело. Номер меняется в профиле, в настройках учётной записи, где контакты. Удобнее всего так: внук заходит в вашу учётку у себя, меняет номер на ваш, вам на кнопочный приходит СМС с кодом подтверждения, и вы этот код говорите ему по телефону. Это тот редкий случай, когда код называть можно: вы сами договорились и сами звоните внуку. Больше никому и никогда. После этого коды для входа будут приходить вам. Сразу придумайте пароль, который запомните, запишите его на бумажку и уберите подальше от планшета. Если пароль забудется, восстановление тоже идёт через номер, поэтому номер должен быть ваш. Где именно кнопка, точно не скажу: у меня в прошлом году было в профиле, в разделе про безопасность, сейчас могли переставить.

Пролистайте все вкладки до конца, у меня этой осенью протоколы лежали отдельно от «приёмов»

Технически жить так можно, но есть нюанс. Если мама привыкла диктовать коды из СМС по телефону, однажды она продиктует их не вам. Звонки «из поликлиники, назовите код» ровно на эту привычку и рассчитаны. Я бы договорился жёстко: код только вам и только когда вы сами только что попросили. Всем остальным класть трубку, кем бы ни представились.