LGPD para psicólogos: o que muda no consultório

A Lei nº 13.709/2018 (LGPD) classifica o dado referente à saúde como dado pessoal sensível (art. 5º, II). O que a psicóloga registra sobre a saúde da pessoa atendida entra nessa categoria, e o tratamento segue as bases legais próprias do art. 11.

A LGPD não substitui as normas da profissão: o sigilo do Código de Ética (arts. 9º e 10) e o registro documental da Resolução CFP nº 01/2009, alterada pela Resolução CFP nº 05/2010, continuam valendo.

Para dados sensíveis, o art. 11 da LGPD admite, entre outras bases, o consentimento específico e destacado do titular e a tutela da saúde, exclusivamente, em procedimento realizado por profissionais de saúde (art. 11, II, "f").

Quando a base for o consentimento, a lei diz que cabe ao controlador provar que ele foi obtido (art. 8º, §2º), que autorização genérica é nula (§4º) e que a revogação deve ser gratuita e facilitada (§5º).

O tratamento de dados de crianças e adolescentes deve atender ao melhor interesse deles (art. 14). A ANPD orienta, no Enunciado CD/ANPD nº 1/2023, que esses dados podem ser tratados com as bases legais dos arts. 7º ou 11, prevalecendo o melhor interesse. Veja também o guia sobre autorização dos responsáveis.

O art. 18 da LGPD garante ao titular, entre outros, os direitos de acesso, correção, eliminação, portabilidade e revogação do consentimento. No prontuário, a Resolução CFP nº 01/2009 já previa o acesso integral do usuário ou de seu representante legal (art. 5º, II).

A LGPD também prevê a eliminação dos dados ao fim do tratamento, com exceções como o cumprimento de obrigação legal (art. 16). A guarda mínima de 5 anos do registro documental está no art. 4º da Resolução CFP nº 01/2009.

• Segurança: adote medidas técnicas e administrativas para proteger os dados (art. 46), como senha no computador e no celular e cópia de segurança protegida.
• Fornecedores: o operador, que trata dados em nome do controlador, deve seguir as instruções do controlador (art. 39). Dados enviados para fora do país só nas hipóteses da lei (art. 33).
• Incidentes: incidente de segurança relevante deve ser comunicado à ANPD e ao titular (art. 48).

A ANPD regulamentou a aplicação da LGPD a agentes de tratamento de pequeno porte (Resolução CD/ANPD nº 2/2022); nessa norma, tratar dado sensível ou de criança e adolescente conta como critério de alto risco. A Resolução CFP nº 09/2024 (art. 3º) também pede responsabilidade sobre os dados sensíveis no atendimento on-line.

A LGPD distribui responsabilidades entre dois agentes de tratamento. Controlador é a pessoa natural ou jurídica a quem competem as decisões sobre o tratamento dos dados (art. 5º, VI). Operador é quem realiza o tratamento em nome do controlador (art. 5º, VII).

No consultório individual, a psicóloga, como pessoa física ou por meio da sua empresa, costuma ser a controladora: é ela quem decide o que registrar, onde guardar e com quem compartilhar. O software de prontuário, o serviço de armazenamento em nuvem e a plataforma de videochamada tendem a atuar como operadores, e devem tratar os dados segundo as instruções da controladora (art. 39).

Na prática, isso significa ler os termos de uso e a política de privacidade dos fornecedores antes de contratar: onde os dados ficam, quem tem acesso, como é feita a cópia de segurança e o que acontece com os dados se você encerrar a conta. O guia software para psicólogos ajuda nessa escolha.

O art. 6º da LGPD lista os princípios do tratamento de dados. Alguns têm tradução direta na clínica:

• Finalidade (I): tratar os dados para propósitos legítimos, específicos, explícitos e informados ao titular.
• Necessidade (III): limitar o tratamento ao mínimo necessário. A Resolução CFP nº 01/2009 vai no mesmo sentido ao pedir que o registro contemple de forma sucinta o trabalho prestado (art. 1º, §1º).
• Transparência (VI): informações claras, precisas e acessíveis sobre o tratamento.
• Segurança (VII) e prevenção (VIII): medidas técnicas e administrativas para proteger os dados e prevenir danos.

Uma pergunta simples ajuda a aplicar esses princípios: este dado é necessário para o atendimento ou estou guardando por hábito? Fotos de documentos, prints de conversas e anotações paralelas fora do prontuário são exemplos frequentes de dados guardados sem necessidade.

O art. 9º da LGPD garante ao titular acesso facilitado a informações sobre o tratamento, de forma clara, adequada e ostensiva, entre elas:

• a finalidade específica do tratamento;
• a forma e a duração do tratamento;
• a identificação e o contato do controlador;
• o uso compartilhado de dados e sua finalidade;
• as responsabilidades dos agentes de tratamento;
• os direitos do titular, com menção explícita ao art. 18.

O lugar natural para isso é o contrato ou um termo próprio entregue no início do atendimento. Explique, por exemplo, que o registro documental é guardado por no mínimo 5 anos (Resolução CFP nº 01/2009, art. 4º, §1º), quais ferramentas digitais você usa e como a pessoa pode pedir acesso ao que foi registrado. O guia contrato de prestação de serviço psicológico mostra onde encaixar essas cláusulas.

Além do consentimento e da tutela da saúde, o art. 11, II, da LGPD permite tratar dado sensível sem consentimento quando for indispensável para o cumprimento de obrigação legal ou regulatória pelo controlador (alínea "a") e para o exercício regular de direitos, inclusive em contrato e em processo judicial, administrativo e arbitral (alínea "d").

No consultório, a obrigação de manter o registro documental vem da Resolução CFP nº 01/2009, e a guarda serve também como meio de prova para processos disciplinares e para a defesa legal (art. 4º, §2º). Qual base usar em cada operação é uma decisão da controladora; registre a escolha e, havendo dúvida, busque orientação jurídica.

A LGPD prevê que a confirmação de existência ou o acesso aos dados seja fornecido, a pedido do titular, em formato simplificado, imediatamente, ou por declaração clara e completa, em até 15 dias do requerimento (art. 19, I e II). Para agentes de tratamento de pequeno porte, a Resolução CD/ANPD nº 2/2022 admite fornecer a declaração simplificada em até quinze dias (art. 15).

No prontuário, a Resolução CFP nº 01/2009 já garante o acesso integral ao usuário ou ao seu representante legal (art. 5º, II). Um roteiro simples:

1. Confirme a identidade de quem pede e, no caso de representante, o vínculo.
2. Registre a data do pedido.
3. Combine a forma de entrega: a lei permite meio eletrônico seguro ou forma impressa, a critério do titular (art. 19, §2º).
4. Ofereça uma conversa para explicar o registro, se a pessoa quiser.
5. Registre a entrega.

A Resolução CD/ANPD nº 2/2022 inclui entre os agentes de tratamento de pequeno porte as microempresas, as empresas de pequeno porte e também as pessoas naturais que tratam dados assumindo obrigações típicas de controlador (art. 2º, I). Para eles, a norma flexibiliza obrigações:

• dispensa a indicação de encarregado exigida pelo art. 41 da LGPD, desde que se mantenha um canal de comunicação com o titular (art. 11 e §1º);
• permite manter de forma simplificada o registro das operações de tratamento do art. 37 da LGPD (art. 9º);
• permite uma política simplificada de segurança da informação (art. 13).

Há um limite importante: quem realiza tratamento de alto risco não se beneficia desse regime, salvo na hipótese do art. 8º (art. 3º, I). Pelo art. 4º, alto risco exige, cumulativamente, um critério geral, como tratamento em larga escala ou que possa afetar significativamente interesses e direitos fundamentais, e um critério específico, como o uso de dados sensíveis ou de crianças, adolescentes e idosos. O consultório sempre preenche o critério específico; o geral depende do caso. Na dúvida, a postura prudente é cumprir as obrigações completas, e a ANPD lembra que a flexibilização não dispensa bases legais, princípios e direitos dos titulares (art. 6º).

O art. 48 da LGPD manda comunicar à ANPD e ao titular o incidente que possa acarretar risco ou dano relevante. A comunicação deve mencionar, no mínimo (art. 48, §1º):

• a natureza dos dados afetados;
• as informações sobre os titulares envolvidos;
• as medidas técnicas e de segurança usadas para proteger os dados;
• os riscos relacionados ao incidente;
• os motivos da demora, se a comunicação não foi imediata;
• as medidas adotadas ou que serão adotadas para reverter ou mitigar os efeitos.

Por isso, convém ter as respostas prontas antes de qualquer problema: que dados você guarda, onde, com que proteção e quem tem acesso. Se o computador ou o celular sumir, troque as senhas das contas ligadas a ele, tente bloquear o aparelho remotamente e registre tudo com data e horário.

Caso fictício, criado para fins didáticos. Rafael atende como pessoa física. Guarda o prontuário em um software com senha, mas costuma conversar com as pessoas atendidas pelo celular pessoal, que também usa para fotografar documentos de reembolso.

Ao revisar a rotina com base na LGPD, ele faz um inventário simples: que dados recebe, onde ficam, por quanto tempo e quem acessa. Descobre fotos antigas de documentos sem utilidade e as elimina, mantendo só o que integra o registro documental. Ativa senha e bloqueio remoto no celular, inclui no contrato um parágrafo sobre as ferramentas que usa e os direitos do titular, cria um e-mail para pedidos sobre dados e anota a base legal de cada operação.

Meses depois, uma pessoa atendida pede cópia do que foi registrado. Rafael confirma a identidade, registra o pedido e entrega o conteúdo do prontuário por meio seguro, com uma conversa para explicá-lo, como garantem a LGPD (art. 19) e a Resolução CFP nº 01/2009 (art. 5º, II).

• Usar um termo de consentimento genérico para tudo; a lei declara nula a autorização genérica (art. 8º, §4º).
• Guardar dados sem necessidade, contra o princípio da necessidade (art. 6º, III).
• Contratar software sem ler a política de privacidade e sem saber onde os dados ficam.
• Apagar o prontuário a pedido antes do prazo mínimo de guarda da Resolução CFP nº 01/2009.
• Não ter um canal para pedidos dos titulares.
• Deixar o incidente sem registro e sem avaliação de risco.

• Inventário dos dados: o que, onde, por quanto tempo e quem acessa.
• Base legal registrada para cada operação.
• Informações do art. 9º no contrato ou em termo próprio.
• Fornecedores avaliados e contratos lidos.
• Senhas, bloqueio de tela e cópia de segurança protegida.
• Canal de comunicação para pedidos dos titulares.
• Roteiro para pedidos de acesso e para incidentes.
• Prazos de guarda do CFP respeitados antes de qualquer eliminação.