LGPD para psicólogos: o que muda no dia a dia do consultório

A primeira reação de muita gente à LGPD é achar que ela é assunto de empresa grande, com jurídico e departamento de tecnologia. A segunda é descobrir que o consultório de uma pessoa só, com quinze pacientes, também trata dados pessoais — e trata a categoria mais protegida deles, que é dado de saúde.

A boa notícia é que a psicologia já vive sob um dever de sigilo mais antigo e mais exigente do que qualquer lei de proteção de dados. Se a sua prática respeita o sigilo profissional, você já cumpre a maior parte do espírito da norma. O que a LGPD acrescenta é método: saber quais dados você tem, por que os tem, onde eles estão, quem acessa e o que fazer se algo der errado.

Este texto trata dos princípios e da rotina. Ele não é orientação jurídica; para o seu caso concreto, consulte um advogado, e para as obrigações profissionais, o seu CRP e as resoluções vigentes do CFP.

Você é controlador dos dados dos seus pacientes

Na linguagem da lei, quem decide por que e como os dados são tratados é o controlador. No consultório autônomo, esse é você — não o sistema que você usa, não a secretária, não o coworking.

Isso tem uma consequência direta: a responsabilidade não é terceirizável. Escolher um fornecedor ruim é uma decisão sua, e as consequências também. O sistema que guarda o prontuário é operador: trata dados em seu nome e sob suas instruções.

Vale saber disso na hora de contratar qualquer ferramenta, porque muda a pergunta que você faz ao fornecedor. Não é "é seguro?" — é "onde os dados ficam, quem tem acesso, o que acontece se eu cancelar, e como faço para exportar tudo?".

Dado de saúde é dado sensível

A LGPD trata dado de saúde como dado pessoal sensível, a categoria que recebe proteção reforçada. Praticamente tudo no seu consultório entra aí: o conteúdo do prontuário, a anamnese, a evolução, o simples fato de que uma pessoa faz terapia com você.

Esse último ponto é o mais esquecido. A existência do vínculo já é dado sensível. Por isso a lista de nomes na recepção, o grupo de WhatsApp com pacientes, o comprovante de pagamento com o seu nome profissional e a agenda aberta na tela quando alguém entra na sala são, todos, exposições — mesmo sem nenhum conteúdo clínico envolvido.

Sobre base legal, em vez de "assinar um termo"

Existe uma confusão comum: a de que basta pedir consentimento para tudo e o problema está resolvido. Não é assim.

Para o atendimento em saúde, a lei prevê base legal própria — o tratamento de dados necessário à tutela da saúde, por profissional de saúde. Ou seja: você não precisa de consentimento para manter prontuário. Você precisa dele porque é sua obrigação profissional, e a lei acomoda isso.

Consentimento continua sendo necessário para o que não é indispensável ao atendimento: usar o e-mail para enviar comunicações que não sejam da sessão, compartilhar informação com terceiro fora das hipóteses previstas, usar material de caso em publicação ou aula — nessa última, com anonimização real, não com "mudei o nome e a profissão".

E, para cumprir a obrigação de guarda do prontuário pelo prazo previsto na norma vigente do CFP, existe base própria também: cumprimento de obrigação legal ou regulatória. É por isso que o pedido de "apague tudo sobre mim" não se resolve com um apagar imediato — voltaremos a isso.

Os cinco princípios que resolvem a rotina

Você não precisa decorar a lei. Cinco ideias dão conta de quase toda decisão do dia a dia:

1. Finalidade. Todo dado que você guarda tem que servir a um propósito que você consegue enunciar. Se você não sabe dizer para que serve, não deveria estar ali.
2. Necessidade. Colete o mínimo. Você precisa mesmo do CPF? Do endereço completo? Do nome do empregador? Às vezes sim; muitas vezes é hábito de formulário.
3. Segurança. Proteção proporcional ao risco. Dado sensível pede senha forte, acesso individual, criptografia e backup.
4. Transparência. A pessoa tem direito de saber quais dados você guarda, por quê e por quanto tempo.
5. Responsabilização. Conseguir demonstrar que você faz o que diz que faz.

Direitos que alguém pode exercer com você

Não é comum, mas acontece — e é bom não ser pego de surpresa:

• Acesso. Saber quais dados você mantém.
• Correção de dado incompleto ou desatualizado. Note que corrigir um cadastro é diferente de reescrever a evolução clínica: o registro do que foi observado não se altera retroativamente; acrescenta-se uma nova entrada.
• Portabilidade e cópia. A pessoa pode pedir os próprios documentos, observadas as regras profissionais sobre o formato adequado.
• Eliminação. Aqui está o limite mais importante: o pedido de exclusão não supera a obrigação de guarda do prontuário pelo prazo previsto na norma. Explique isso com calma, por escrito, e informe quando o prazo se encerra.
• Informação sobre compartilhamento. Com quem os dados foram compartilhados, se foram.

Registre o pedido, a data e a resposta dada. Faz parte da responsabilização.

A rotina, item por item

Cadastro

Peça o necessário. Nome, contato, data de nascimento e um contato de emergência resolvem a maioria dos casos. CPF só se você emite nota. Endereço só se houver motivo — no atendimento online, há: é onde a pessoa estará, como discutido em teleconsulta na prática.

Prontuário

Acesso individual e senha forte. Se alguém mais trabalha com você, cada pessoa tem o próprio login — senha compartilhada elimina a possibilidade de saber quem acessou o quê. Criptografia e backup automático.

Papel: armário com chave, sala com chave, nada de pasta sobre a mesa entre uma sessão e outra.

Mensagens

Combine logística por aplicativo; não conteúdo clínico. Evite grupos com pacientes — em grupo, todos veem o número de todos e o fato de que todos fazem terapia com você. Ao enviar lembrete, não descreva nada além de data, hora e modalidade.

Financeiro

Descrição de recibo e nota deve ser sóbria: "atendimento psicológico" já basta. Comprovante de pagamento pode circular por caminhos que você não controla.

Sala e tela

Bloqueie o computador ao sair. Não deixe a agenda aberta quando alguém entra. Se atende online, desligue notificações — um pop-up com o nome de outro paciente é um incidente.

Fornecedores

Antes de contratar um sistema, cinco perguntas: onde os dados ficam armazenados; se há criptografia em trânsito e em repouso; quem, do lado do fornecedor, pode acessar; como se exporta tudo; e o que acontece com os dados após o cancelamento. Um fornecedor sério responde essas cinco por escrito — as nossas respostas estão na página de segurança e na política de privacidade.

Se algo der errado

Incidente não é só invasão hacker. É notebook roubado, celular perdido com o aplicativo logado, e-mail com anexo enviado para a pessoa errada, pasta esquecida no coworking.

Tenha um plano mínimo, escrito, de três passos:

1. Contenha. Troque senhas, encerre sessões abertas, acione a remoção remota se houver.
2. Avalie. Que dados foram expostos, de quantas pessoas, com que risco concreto para elas.
3. Comunique. Há dever de comunicar incidente relevante à autoridade nacional de proteção de dados e às pessoas afetadas. O que caracteriza relevância e os prazos aplicáveis devem ser verificados na regulamentação vigente — e, se o caso for sério, com apoio jurídico.

Registre tudo: o que houve, quando, o que foi feito. Essa documentação é a demonstração de responsabilidade.

Um inventário anual de meia hora

Uma vez por ano, responda por escrito:

• Que dados eu coleto, e para quê?
• Onde cada conjunto está guardado — sistema, computador, celular, papel, nuvem pessoal?
• Quem tem acesso a cada lugar, e com que login?
• Quais fornecedores tratam dados em meu nome?
• Como é feito o backup, e quando eu testei a restauração pela última vez?
• Quais prontuários já completaram o prazo de guarda e podem ser descartados?
• Meu plano de incidente está escrito, e eu saberia executá-lo?

Esse documento é o seu registro de tratamento em versão de consultório. Meia hora por ano, e ele é a melhor resposta que existe caso alguém pergunte como você protege os dados de quem atende.

O ponto de encontro com a ética profissional

Nada disso é estranho à psicologia. A LGPD e as normas do conselho convergem: coletar o mínimo, usar para a finalidade declarada, proteger o acesso, guardar pelo prazo devido e descartar sem deixar rastro recuperável. Os princípios profissionais estão organizados em registro documental sem juridiquês.

A diferença é que a lei pede que você consiga demonstrar o cuidado que já tem. E demonstrar, na prática, é escrever meia página uma vez por ano — e escolher ferramentas que respondam às cinco perguntas sem enrolar.