LGPD para psicólogos: prontuário, dados sensíveis e rotina clínica

Na rotina do consultório, a Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018 — LGPD) não cria um dever de sigilo do zero: ela conversa com o sigilo profissional que já existe no Código de Ética (Resolução CFP nº 10/2005) e com o dever de registro e guarda da Resolução CFP nº 01/2009. Entender onde cada norma entra evita tanto o excesso de papéis desnecessários quanto o improviso de guardar evolução clínica no mesmo lugar que recibo e cobrança.

A LGPD divide os dados de uma pessoa física em duas categorias no art. 5º:

• Dado pessoal comum (art. 5º, I): informação que identifica a pessoa — nome completo, CPF, telefone, e-mail, endereço e dados de pagamento.
• Dado pessoal sensível (art. 5º, II): dado sobre origem racial ou étnica, convicção religiosa, opinião política, vida sexual, dado genético ou biométrico e dado referente à saúde vinculado a uma pessoa natural.

No consultório de psicologia, o fato de alguém estar em psicoterapia, a demanda inicial, as hipóteses técnicas, o histórico familiar relatado em sessão e os registros de evolução do prontuário psicológico são dados pessoais sensíveis. Por isso, a lei exige enquadramento específico no art. 11 e medidas técnicas e administrativas para impedir acesso não autorizado (art. 46).

Uma dúvida comum entre psicólogos autônomos é achar que toda ficha ou prontuário depende exclusivamente de um termo de consentimento avulso para existir. Na verdade, o consentimento é apenas uma das hipóteses legais — e, para o registro obrigatório do atendimento, não é a principal:

Quando o consentimento específico continua sendo indispensável? Quando houver tratamento fora do fluxo obrigatório do atendimento — por exemplo, gravação de sessão para supervisão, uso de dados em pesquisa ou compartilhamento específico autorizado pelo paciente. No atendimento psicológico online, o contrato de prestação também combina desde o início o meio tecnológico e os cuidados de privacidade.

O princípio da necessidade (art. 6º, III, da LGPD) determina que o tratamento deve se limitar ao mínimo necessário para cada finalidade. Na prática clínica, isso significa separar três camadas que não devem se misturar:

1. 01

   Cadastro administrativo: nome, CPF, contato de emergência e, no caso de menores ou dependentes, o vínculo com o responsável legal e financeiro.

2. 02

   Registro financeiro e fiscal: datas de pagamento, valores recebidos e CPFs necessários para emitir o recibo no Receita Saúde (inclusive quando há responsável financeiro e beneficiário menor) e fechar o Carnê-Leão.

3. 03

   Prontuário clínico: identificação, avaliação de demanda, registro da evolução das sessões (em texto livre ou no modelo SOAP) e cópias de documentos psicológicos emitidos — com acesso restrito exclusivamente ao psicólogo responsável (ou à equipe multiprofissional dentro dos limites da Resolução CFP nº 01/2009).

Em clínicas com recepção ou apoio financeiro, quem confirma horário ou confere pagamento vê a agenda e a cobrança, mas não acessa o texto do prontuário.

O art. 18 da LGPD garante ao titular dos dados direitos como confirmação da existência de tratamento, acesso aos dados e correção de informações incompletas ou desatualizadas. No consultório de psicologia, dois pontos exigem atenção conjunta entre a LGPD e as normas do CFP:

• Direito de acesso ao prontuário: tanto a LGPD (art. 18, II) quanto a Resolução CFP nº 01/2009 (art. 5º, II) garantem ao usuário ou ao seu representante legal o acesso às informações registradas em seu prontuário. Por isso, o registro deve ser técnico, sucinto e restrito ao que é necessário para o acompanhamento do caso.
• Pedido de exclusão versus guarda obrigatória: se o paciente encerrar o acompanhamento e pedir a exclusão imediata dos registros, o psicólogo não pode destruir o prontuário antes do prazo normativo (mínimo de 5 anos para o registro documental pela Res. CFP 01/2009 e 20 anos para prontuário pela Lei nº 13.787/2018). O art. 16, I, da LGPD autoriza expressamente a conservação dos dados após o término do tratamento para cumprimento de obrigação legal ou regulatória pelo controlador.

O art. 46 da LGPD exige medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais de perda ou divulgação indevida. Para quem atende como autônomo ou em clínica:

• Evite misturar evolução clínica com aplicativos de mensagem: mensagens de confirmação pertencem à rotina de agenda; o registro técnico da sessão pertence ao prontuário.
• Proteja o dispositivo e o acesso: use senha individual, bloqueio automático de tela e controle de acesso por perfil nos sistemas em que armazena prontuários digitais.
• Não envie detalhes clínicos em recibos ou planilhas: recibos do Receita Saúde e relatórios para contabilidade levam apenas identificação fiscal, data e valor da prestação do serviço.
• Documente o encerramento e o prazo de guarda: ao finalizar o acompanhamento, mantenha o prontuário arquivado com acesso restrito pelo prazo regulamentar antes do descarte seguro.