Anonimização de dados de casos clínicos: supervisão, aula e publicação

Discutir casos faz parte da boa prática. Levamos situações clínicas à supervisão, usamos exemplos em aulas, escrevemos relatos de experiência e artigos. Em todos esses momentos, há uma tensão: o caso precisa ser compreensível para quem escuta, mas a pessoa atendida não pode ser reconhecida.

O Código de Ética Profissional do Psicólogo estabelece, no art. 9º, o dever de respeitar o sigilo profissional para proteger, por meio da confidencialidade, a intimidade das pessoas, grupos ou organizações a que o psicólogo tem acesso no exercício profissional. A LGPD (Lei nº 13.709/2018), por sua vez, trata o dado referente à saúde como dado pessoal sensível (art. 5º, II).

A anonimização de dados é a ponte entre esses dois mundos: permite aprender com a experiência clínica sem expor quem confiou sua história ao profissional. Mas, para funcionar, ela precisa ser feita com técnica, e não apenas trocando o nome do paciente.

A LGPD traz definições precisas, que ajudam a pensar a prática:

• Dado anonimizado (art. 5º, III): dado relativo a titular que não possa ser identificado, considerando a utilização de meios técnicos razoáveis e disponíveis na ocasião de seu tratamento.
• Anonimização (art. 5º, XI): utilização de meios técnicos razoáveis e disponíveis no momento do tratamento, por meio dos quais um dado perde a possibilidade de associação, direta ou indireta, a um indivíduo.

O art. 12 completa: os dados anonimizados não são considerados dados pessoais para os fins da lei, salvo quando a anonimização puder ser revertida, seja por meios próprios, seja com esforços razoáveis.

Duas consequências práticas para o psicólogo. Primeiro, a expressão "direta ou indireta" mostra que não basta retirar o nome: qualquer combinação de informações que permita chegar à pessoa compromete a anonimização. Segundo, o critério é o que se consegue fazer com meios razoáveis. Se colegas de uma cidade pequena conseguem reconhecer o paciente pelo relato, o caso não está anonimizado.

A LGPD também define a pseudonimização, no art. 13, § 4º: é o tratamento pelo qual um dado perde a possibilidade de associação a um indivíduo, senão pelo uso de informação adicional mantida separadamente pelo controlador em ambiente controlado e seguro.

Na rotina do consultório, a diferença fica assim:

• Pseudonimização: você troca o nome do paciente por um código, como "P07", e guarda em outro lugar a lista que liga códigos a nomes. Quem tem a lista consegue reidentificar.
• Anonimização: não existe chave de retorno, e o relato foi preparado de modo que nem você, nem quem lê, consiga chegar à pessoa com esforços razoáveis.

A pseudonimização é útil, por exemplo, para organizar dados de pesquisa ou planilhas internas. Mas um caso apenas pseudonimizado continua sendo dado pessoal, porque a reversão é possível. Para supervisão, aula e publicação, o objetivo deve ser a anonimização, ou, quando isso não for possível, o consentimento da pessoa atendida para o uso pretendido.

Além do sigilo do art. 9º, outros dispositivos do Código de Ética orientam o compartilhamento de casos:

• Art. 10: em caso de quebra de sigilo, nas situações previstas, o psicólogo deve se restringir às informações estritamente necessárias. A lógica do mínimo necessário inspira também o preparo de casos.
• Art. 12: em documentos de equipe multiprofissional, registram-se apenas as informações necessárias para os objetivos do trabalho.
• Art. 14: qualquer meio de registro e observação da prática deve ser informado ao usuário desde o início. Gravar sessões para supervisão, por exemplo, exige informar o paciente.
• Art. 16: em estudos, pesquisas e produção de conhecimento, o psicólogo avalia os riscos, inclusive os da divulgação dos resultados, garante o consentimento livre e esclarecido e assegura o anonimato das pessoas, salvo interesse manifesto delas.
• Art. 17: docentes e supervisores devem esclarecer, orientar e exigir dos estudantes a observância do Código.

Ou seja: supervisores e professores também respondem pela cultura de cuidado com os casos que circulam em seus espaços.

A definição da LGPD fala em associação direta ou indireta. Vale separar os dois tipos de identificador ao preparar um caso:

• Diretos: nome, apelido, documentos, endereço, telefone, e-mail, perfis em redes sociais, fotos, voz em gravações, nome da escola ou da empresa.
• Indiretos: idade exata, profissão incomum, cargo, bairro ou cidade pequena, composição familiar peculiar, datas, acontecimentos marcantes noticiados, diagnósticos raros, características físicas, frases muito particulares do paciente.

Os indiretos são os mais traiçoeiros, porque isolados parecem inofensivos. O problema é a combinação: "engenheira de 52 anos, única filha mulher de uma família de seis irmãos, que perdeu o marido num acidente noticiado na cidade" pode bastar para que alguém da plateia reconheça a pessoa.

Algumas técnicas ajudam: usar faixas etárias em vez de idade exata, generalizar profissões ("profissional da saúde"), omitir a cidade, retirar datas e alterar detalhes que não interferem no raciocínio clínico. A regra é preservar o que é clinicamente relevante e eliminar o resto.

A supervisão é o espaço em que mais se compartilham detalhes, porque o raciocínio clínico depende deles. Mesmo assim, é possível proteger a pessoa atendida:

1. Defina a pergunta da supervisão. O que você precisa discutir? Isso ajuda a decidir quais informações são de fato necessárias.
2. Use iniciais fictícias ou um código, nunca o nome real.
3. Retire identificadores diretos de anotações, slides e transcrições.
4. Avalie os indiretos, sobretudo se supervisor ou colegas de grupo vivem na mesma cidade ou circulam nos mesmos ambientes que o paciente.
5. Gravações e transcrições: só com o paciente informado (art. 14 do Código), guardadas com segurança e descartadas quando não forem mais necessárias.
6. Grupos de supervisão: combine regras de sigilo com todos os participantes e não compartilhe materiais por aplicativos de mensagem sem proteção.

Se o supervisor perceber que conhece a pessoa, a discussão deve parar e ser redirecionada. Para saber como escolher e organizar esse espaço, veja nosso guia sobre supervisão clínica.

Em sala de aula ou numa palestra, o público é maior e menos controlado do que na supervisão. O nível de cuidado deve subir na mesma proporção.

• Prefira casos compostos ou fictícios, construídos a partir de elementos de vários atendimentos, e diga explicitamente que se trata de caso fictício.
• Evite casos recentes ou de pessoas da mesma região da plateia.
• Não use fotos, desenhos, produções ou áudios de pacientes sem consentimento específico para esse fim, mesmo com o rosto coberto.
• Cuidado com aulas gravadas e publicadas: o que foi dito para vinte pessoas pode chegar a milhares.
• Atenção às perguntas da plateia: responder "ela trabalha onde?" pode desfazer toda a anonimização.

Quando o objetivo é ensinar um raciocínio clínico, quase sempre um caso bem construído, fictício e verossímil, cumpre a função sem qualquer risco para pessoas reais.

Publicar é tornar o caso permanente e acessível a qualquer pessoa, inclusive ao próprio paciente e a seus familiares. O art. 16 do Código de Ética pede avaliação dos riscos da divulgação, consentimento livre e esclarecido e garantia de anonimato.

A LGPD também se aplica. Ela prevê o tratamento de dados para a realização de estudos por órgão de pesquisa, garantida, sempre que possível, a anonimização dos dados pessoais (art. 7º, IV).

Quanto à ética em pesquisa, Guerriero e Minayo (2019), ao comentar a Resolução CNS nº 510/2016, explicam que a reflexão sobre a prática profissional que não revela dados de identificação e não usa procedimentos típicos de pesquisa não passa pelo sistema CEP/Conep. Quando há procedimentos de pesquisa com participantes, o projeto precisa de avaliação ética, e o consentimento pode ser registrado de formas variadas, adequadas ao estudo.

Na prática, para um relato de caso publicado, busque o consentimento da pessoa sempre que possível, prepare o texto com anonimização rigorosa e peça a um colega que não conhece o caso para tentar identificar quem é. Se ele conseguir, revise.

Um risco recente é colar relatos de caso em ferramentas de IA para pedir resumos, formulações ou revisões de texto. O guia do CFP (2025) orienta a evitar inserir dados de pacientes e a não inserir prontuários, nomes e itens identificáveis, além de desativar o treinamento com seus dados. Para situações excepcionais, menciona anonimização rigorosa, contratos de confidencialidade, bases privadas e consentimento registrado.

A postura mais segura é não colocar casos clínicos nessas ferramentas. Mesmo um texto sem nome pode conter combinações de detalhes que permitam a reidentificação, e você perde o controle sobre onde o conteúdo fica armazenado.

A anonimização não termina no texto apresentado. Slides, anotações de supervisão, transcrições, áudios e versões antigas de um artigo também carregam informações e precisam de cuidado durante todo o ciclo de vida.

• Separe versões: mantenha o material de trabalho, que pode conter dados reais, em local protegido, e use apenas a versão anonimizada fora do consultório.
• Nomeie arquivos com códigos, nunca com o nome do paciente.
• Guarde a chave à parte: se usar códigos para organizar casos, a lista que liga códigos a nomes deve ficar separada e protegida, como descreve a definição de pseudonimização da LGPD.
• Descarte o que não for mais necessário: gravações feitas para supervisão, por exemplo, não precisam existir indefinidamente.
• Pense no futuro: o art. 15 do Código de Ética pede que, em caso de interrupção do trabalho, o psicólogo zele pelo destino de seus arquivos confidenciais. Isso inclui materiais de supervisão e de aulas.

Uma revisão periódica das pastas, digitais e físicas, ajuda a evitar que materiais esquecidos se tornem um risco anos depois.

Caso fictício, criado para fins didáticos. Carla, psicóloga numa cidade de porte médio, foi convidada a dar uma aula sobre luto numa faculdade local. Pensou em usar o caso de um paciente que perdeu a esposa num acidente de grande repercussão na região.

Ao revisar o material, percebeu o risco: o acidente tinha sido noticiado, e vários alunos poderiam ligar a história ao paciente, mesmo sem nome. Decidiu construir um caso composto, reunindo elementos de diferentes atendimentos, trocando a causa da perda, a profissão e a composição familiar, e mantendo apenas o que era essencial para ensinar o processo de luto. Abriu a apresentação avisando que se tratava de caso fictício.

Na mesma semana, levou o caso real à supervisão. Ali, usou um código, omitiu a cidade e o acidente, e informou ao supervisor apenas os detalhes necessários para a pergunta clínica que tinha. Quando o supervisor comentou que conhecia pessoas do bairro do paciente, Carla reduziu ainda mais os detalhes de contexto.

• Achar que trocar o nome é anonimizar. A LGPD fala em associação direta ou indireta.
• Confundir pseudonimização com anonimização. Se existe uma chave que permite reidentificar, o dado continua pessoal.
• Contar detalhes irrelevantes que tornam o caso reconhecível, contrariando a lógica do mínimo necessário.
• Gravar sessões para supervisão sem informar o paciente, contrariando o art. 14 do Código de Ética.
• Usar fotos, desenhos ou áudios em aulas sem consentimento específico.
• Publicar relato de caso sem avaliar riscos de divulgação, como pede o art. 16.
• Compartilhar casos em grupos de mensagem ou em ferramentas de IA abertas.
• Esquecer que o paciente pode ler o que foi publicado sobre ele.