LGPD para psicólogos: o que muda no dia a dia do consultório

A primeira reação de muita gente à LGPD para psicólogos é achar que ela é assunto de empresa grande, com jurídico e departamento de tecnologia. A segunda é descobrir que o consultório de uma pessoa só, com quinze pacientes, também trata dados pessoais. E trata a categoria mais protegida deles, que é dado de saúde.

A boa notícia é que a psicologia já vive sob um dever de sigilo mais antigo e mais exigente do que qualquer lei de proteção de dados. Se a sua prática respeita o sigilo profissional, você já cumpre a maior parte do espírito da norma. O que a LGPD acrescenta é método: saber quais dados você tem, por que os tem, onde eles estão, quem acessa e o que fazer se algo der errado.

Este texto trata dos princípios e da rotina. Ele não é orientação jurídica; para o seu caso concreto, consulte um advogado, e para as obrigações profissionais, o seu CRP e as resoluções vigentes do CFP.

Quem é o controlador dos dados dos pacientes?

Na linguagem da lei, quem decide por que e como os dados são tratados é o controlador. No consultório autônomo, esse é você: não o sistema que você usa, não a secretária, não o coworking.

Isso tem uma consequência direta: a responsabilidade não é terceirizável. Escolher um fornecedor ruim é uma decisão sua, e as consequências também. O sistema que guarda o prontuário é operador: trata dados em seu nome e sob suas instruções.

Vale saber disso na hora de contratar qualquer ferramenta, porque muda a pergunta que você faz ao fornecedor. Não é "é seguro?" — é "onde os dados ficam, quem tem acesso, o que acontece se eu cancelar, e como faço para exportar tudo?".

Dado de saúde é dado sensível

A LGPD trata dado de saúde como dado pessoal sensível, a categoria que recebe proteção reforçada. Praticamente tudo no seu consultório entra aí: o conteúdo do prontuário, a anamnese, a evolução, o simples fato de que uma pessoa faz terapia com você.

Esse último ponto é o mais esquecido. A existência do vínculo já é dado sensível. Por isso a lista de nomes na recepção, o grupo de WhatsApp com pacientes, o comprovante de pagamento com o seu nome profissional e a agenda aberta na tela quando alguém entra na sala são, todos, exposições, mesmo sem nenhum conteúdo clínico envolvido.

Preciso de consentimento para manter prontuário?

Existe uma confusão comum: a de que basta pedir consentimento para tudo e o problema está resolvido. Não é assim.

Para o atendimento em saúde, a lei prevê base legal própria: o tratamento de dados necessário à tutela da saúde, por profissional de saúde. Ou seja: você não precisa de consentimento para manter prontuário. Você precisa dele porque é sua obrigação profissional, e a lei acomoda isso.

Consentimento continua sendo necessário para o que não é indispensável ao atendimento: usar o e-mail para enviar comunicações que não sejam da sessão, compartilhar informação com terceiro fora das hipóteses previstas, usar material de caso em publicação ou aula. Nessa última, com anonimização real, não com "mudei o nome e a profissão".

E, para cumprir a obrigação de guarda do prontuário pelo prazo previsto na norma vigente do CFP, existe base própria também: cumprimento de obrigação legal ou regulatória. É por isso que o pedido de "apague tudo sobre mim" não se resolve com um apagar imediato. Voltaremos a isso.

Os cinco princípios que resolvem a rotina

Você não precisa decorar a lei. Cinco ideias dão conta de quase toda decisão do dia a dia:

1. Finalidade. Todo dado que você guarda tem que servir a um propósito que você consegue enunciar. Se você não sabe dizer para que serve, não deveria estar ali.
2. Necessidade. Colete o mínimo. Você precisa mesmo do CPF? Do endereço completo? Do nome do empregador? Às vezes sim; muitas vezes é hábito de formulário.
3. Segurança. Proteção proporcional ao risco. Dado sensível pede senha forte, acesso individual, criptografia e backup.
4. Transparência. A pessoa tem direito de saber quais dados você guarda, por quê e por quanto tempo.
5. Responsabilização. Conseguir demonstrar que você faz o que diz que faz.

Que direitos o paciente pode exercer sobre os dados dele?

Não é comum, mas acontece — e é bom não ser pego de surpresa:

• Acesso. Saber quais dados você mantém.
• Correção de dado incompleto ou desatualizado. Note que corrigir um cadastro é diferente de reescrever a evolução clínica: o registro do que foi observado não se altera retroativamente; acrescenta-se uma nova entrada.
• Portabilidade e cópia. A pessoa pode pedir os próprios documentos, observadas as regras profissionais sobre o formato adequado.
• Eliminação. Aqui está o limite mais importante: o pedido de exclusão não supera a obrigação de guarda do prontuário pelo prazo previsto na norma. Explique isso com calma, por escrito, e informe quando o prazo se encerra.
• Informação sobre compartilhamento. Com quem os dados foram compartilhados, se foram.

Registre o pedido, a data e a resposta dada. Faz parte da responsabilização.

A rotina, item por item

Cadastro

Peça o necessário. Nome, contato, data de nascimento e um contato de emergência resolvem a maioria dos casos. CPF só se você emite nota. Endereço só se houver motivo. No atendimento online, há: é onde a pessoa estará, como discutido em teleconsulta na prática.

Prontuário

Acesso individual e senha forte. Se alguém mais trabalha com você, cada pessoa tem o próprio login. Senha compartilhada elimina a possibilidade de saber quem acessou o quê. Criptografia e backup automático.

Papel: armário com chave, sala com chave, nada de pasta sobre a mesa entre uma sessão e outra.

Mensagens

Combine logística por aplicativo; não conteúdo clínico. Evite grupos com pacientes: em grupo, todos veem o número de todos e o fato de que todos fazem terapia com você. Ao enviar lembrete, não descreva nada além de data, hora e modalidade.

Financeiro

Descrição de recibo e nota deve ser sóbria: "atendimento psicológico" já basta. Comprovante de pagamento pode circular por caminhos que você não controla.

Sala e tela

Bloqueie o computador ao sair. Não deixe a agenda aberta quando alguém entra. Se atende online, desligue notificações — um pop-up com o nome de outro paciente é um incidente.

Fornecedores

Antes de contratar um sistema, cinco perguntas: onde os dados ficam armazenados; se há criptografia em trânsito e em repouso; quem, do lado do fornecedor, pode acessar; como se exporta tudo; e o que acontece com os dados após o cancelamento. Um fornecedor sério responde essas cinco por escrito. As nossas respostas estão na página de segurança e na política de privacidade.

O que fazer em caso de vazamento de dados?

Incidente não é só invasão hacker. É notebook roubado, celular perdido com o aplicativo logado, e-mail com anexo enviado para a pessoa errada, pasta esquecida no coworking.

Tenha um plano mínimo, escrito, de três passos:

1. Contenha. Troque senhas, encerre sessões abertas, acione a remoção remota se houver.
2. Avalie. Que dados foram expostos, de quantas pessoas, com que risco concreto para elas.
3. Comunique. Há dever de comunicar incidente relevante à autoridade nacional de proteção de dados e às pessoas afetadas. O que caracteriza relevância e os prazos aplicáveis devem ser verificados na regulamentação vigente e, se o caso for sério, com apoio jurídico.

Registre tudo: o que houve, quando, o que foi feito. Essa documentação é a demonstração de responsabilidade.

Um inventário anual de meia hora

Uma vez por ano, responda por escrito:

• Que dados eu coleto, e para quê?
• Onde cada conjunto está guardado: sistema, computador, celular, papel, nuvem pessoal?
• Quem tem acesso a cada lugar, e com que login?
• Quais fornecedores tratam dados em meu nome?
• Como é feito o backup, e quando eu testei a restauração pela última vez?
• Quais prontuários já completaram o prazo de guarda e podem ser descartados?
• Meu plano de incidente está escrito, e eu saberia executá-lo?

Esse documento é o seu registro de tratamento em versão de consultório. Meia hora por ano, e ele é a melhor resposta que existe caso alguém pergunte como você protege os dados de quem atende.

O ponto de encontro com a ética profissional

Nada disso é estranho à psicologia. A LGPD e as normas do conselho convergem: coletar o mínimo, usar para a finalidade declarada, proteger o acesso, guardar pelo prazo devido e descartar sem deixar rastro recuperável. Os princípios profissionais estão organizados em registro documental sem juridiquês.

A diferença é que a lei pede que você consiga demonstrar o cuidado que já tem. E demonstrar, na prática, é escrever meia página uma vez por ano — e escolher ferramentas que respondam às cinco perguntas sem enrolar.