LGPD para psicólogos: como proteger dados dos pacientes
Entenda como a LGPD afeta a rotina de psicólogos e veja medidas práticas para coletar, armazenar, compartilhar e excluir dados com mais segurança.
A LGPD para psicólogos não se limita a acrescentar uma frase sobre privacidade em um contrato. Ela influencia a coleta, o uso, o armazenamento, o compartilhamento e a exclusão de informações dos pacientes.
Isso inclui dados cadastrais, mensagens, registros de atendimento, documentos, informações financeiras e qualquer conteúdo relacionado à saúde. Como esses dados podem revelar aspectos íntimos da vida de uma pessoa, o cuidado precisa fazer parte de toda a rotina profissional.
A adequação não depende apenas da tecnologia utilizada. Também envolve decisões diárias: quais informações pedir, onde guardá-las, quem pode acessá-las e por quanto tempo mantê-las.
Este guia apresenta um caminho prático para organizar esses processos. Ele não substitui orientação jurídica individual, especialmente em clínicas com equipes, funcionários, prestadores ou operações mais complexas.
O que a LGPD muda na rotina do psicólogo?
A Lei Geral de Proteção de Dados estabelece regras para o tratamento de dados pessoais. Tratamento é um termo amplo. Pode significar coletar, consultar, registrar, armazenar, enviar, corrigir ou excluir uma informação.
Na prática psicológica, isso acontece desde o primeiro contato. Quando alguém preenche um formulário, envia uma mensagem ou agenda uma consulta, já existe tratamento de dados.
Alguns exemplos são:
- nome, telefone, e-mail e data de nascimento;
- informações fornecidas no agendamento;
- registros de sessões e prontuários;
- documentos encaminhados pelo paciente;
- dados sobre saúde física ou mental;
- recibos, pagamentos e dados financeiros;
- mensagens trocadas por aplicativos ou e-mail;
- gravações, quando existirem e forem devidamente justificadas;
- dados de responsáveis legais ou contatos de emergência.
Informações relacionadas à saúde são consideradas dados pessoais sensíveis. Por isso, exigem atenção reforçada e não devem ser coletadas ou compartilhadas sem uma finalidade clara.
LGPD e sigilo profissional são a mesma coisa?
Não. Os dois temas se relacionam, mas não são equivalentes.
O sigilo profissional orienta o psicólogo a preservar as informações conhecidas durante o exercício da profissão. A LGPD, por sua vez, organiza direitos e responsabilidades relacionados ao tratamento de dados pessoais.
Um prontuário pode estar protegido pelo sigilo e, ainda assim, ser armazenado de maneira inadequada. Isso acontece, por exemplo, quando o arquivo fica em um dispositivo sem senha, é enviado para o contato errado ou pode ser acessado por pessoas não autorizadas.
Portanto, respeitar o sigilo é essencial, mas também é necessário adotar controles de acesso, rotinas de segurança e critérios para o uso das informações.
Quais princípios devem orientar a coleta de dados?
A forma mais simples de aplicar a LGPD é começar pela necessidade. Antes de solicitar uma informação, pergunte: por que preciso desse dado e como ele será usado?
Colete apenas o necessário
Formulários muito extensos podem reunir informações que não são necessárias naquele momento. No primeiro contato, muitas vezes bastam os dados usados para responder, agendar e identificar a pessoa.
Informações clínicas podem ser obtidas no contexto apropriado, seguindo os critérios técnicos e éticos da atuação psicológica. Evite coletar detalhes sensíveis apenas porque existe um campo disponível no sistema.
Defina uma finalidade
Cada informação deve ter uma finalidade legítima e compreensível. O telefone pode ser utilizado para comunicação sobre consultas. Os dados financeiros podem ser necessários para registrar pagamentos e emitir documentos.
Usar um contato obtido durante o atendimento para uma finalidade diferente, como o envio de publicidade não esperada, exige uma análise específica. A pessoa precisa saber como seus dados serão utilizados.
Seja transparente
O paciente deve ter acesso a informações claras sobre o tratamento de seus dados. Isso pode ser apresentado em um aviso de privacidade, contrato ou documento equivalente, com linguagem simples.
O texto pode explicar:
- quais categorias de dados são coletadas;
- para que elas são utilizadas;
- com quem podem ser compartilhadas;
- quais medidas gerais de proteção são adotadas;
- como a pessoa pode solicitar informações ou correções;
- quais são os canais de contato do consultório ou da clínica.
Transparência não significa expor detalhes que poderiam comprometer a segurança. O objetivo é permitir que o paciente compreenda o uso de suas informações.
O consentimento é sempre obrigatório?
Consentimento é uma das possibilidades previstas para o tratamento de dados, mas não é a única. Dependendo da situação, podem existir outras bases legais aplicáveis.
Por isso, não é indicado usar um termo genérico de consentimento para justificar toda e qualquer atividade. A base adequada depende da finalidade, do tipo de dado, da relação profissional e das obrigações envolvidas.
Quando o consentimento for utilizado, ele deve estar ligado a finalidades determinadas. Autorizações vagas, escondidas em textos longos ou apresentadas como obrigatórias para usos desnecessários podem gerar problemas.
Como essa análise pode variar, vale procurar orientação jurídica para mapear as operações do consultório ou da clínica. O psicólogo não precisa transformar o paciente em especialista em legislação, mas deve oferecer explicações acessíveis.
Como proteger prontuários e documentos psicológicos
Prontuários e documentos não devem ficar espalhados em conversas, caixas de e-mail, pastas pessoais e diferentes dispositivos. Quanto maior a dispersão, mais difícil é controlar acessos e localizar informações.
Algumas medidas práticas ajudam a reduzir riscos:
- use senhas fortes e diferentes para cada serviço;
- ative a autenticação em dois fatores quando disponível;
- bloqueie computador e celular ao se afastar;
- mantenha sistemas e dispositivos atualizados;
- limite o acesso somente a quem realmente precisa;
- evite salvar documentos em computadores compartilhados;
- faça cópias de segurança de forma protegida;
- revise periodicamente usuários e permissões;
- não deixe prontuários físicos expostos em salas ou recepções;
- defina um procedimento seguro para descarte de papéis e arquivos.
O uso de iniciais ou códigos pode reduzir a exposição em algumas tarefas, mas não torna um dado automaticamente anônimo. Se ainda for possível relacionar a informação a uma pessoa, ela continua exigindo proteção.
Cuidados com WhatsApp, e-mail e formulários
Canais de comunicação são úteis, mas podem se transformar em depósitos informais de informações sensíveis.
Oriente os pacientes sobre a finalidade de cada canal. Uma conta usada para agendamentos, por exemplo, não precisa receber relatos clínicos detalhados. Quando esse conteúdo chegar espontaneamente, avalie como registrá-lo e protegê-lo de acordo com sua relevância profissional.
Também é importante:
- confirmar o destinatário antes de enviar uma mensagem;
- evitar informações sensíveis em notificações visíveis na tela;
- separar, quando possível, contas pessoais e profissionais;
- restringir o acesso de secretárias e equipes ao necessário;
- revisar formulários antigos e remover perguntas sem finalidade;
- evitar o encaminhamento de conversas para contas pessoais;
- não compartilhar dados em grupos sem necessidade e respaldo adequado.
Mensagens automáticas devem ser discretas. Uma confirmação pode informar data, horário e orientações gerais sem revelar desnecessariamente o motivo do atendimento.
Como organizar o acesso em clínicas
Em uma clínica, nem todas as pessoas precisam enxergar todas as informações. A recepção pode precisar consultar a agenda e registrar pagamentos, mas isso não significa que deva acessar anotações clínicas.
A organização pode seguir o princípio do menor acesso necessário. Cada integrante recebe permissão apenas para executar suas atividades.
Vale mapear:
- quem cadastra pacientes;
- quem visualiza a agenda;
- quem acessa prontuários;
- quem acompanha cobranças;
- quem emite documentos;
- quem administra usuários e permissões;
- quem responde a solicitações relacionadas a dados.
Mudanças na equipe também precisam de um processo definido. O acesso de uma pessoa que deixou a clínica deve ser revogado sem demora. Senhas compartilhadas dificultam esse controle e impedem a identificação de quem realizou determinada ação.
Por quanto tempo os dados devem ser guardados?
Não existe uma resposta única para todo tipo de informação. Prazos podem depender da natureza do documento, de obrigações profissionais, de exigências legais e da finalidade que justificou a coleta.
A clínica deve criar uma política de retenção. Nela, cada categoria de dado recebe um critério de manutenção e descarte. Isso evita tanto a exclusão precoce quanto o armazenamento indefinido sem justificativa.
Uma tabela interna pode relacionar:
- categoria da informação;
- finalidade de uso;
- local de armazenamento;
- pessoas autorizadas;
- prazo ou critério de retenção;
- forma segura de exclusão ou descarte.
Antes de apagar um registro, verifique as normas profissionais e as obrigações aplicáveis. Excluir um arquivo da tela também pode não ser suficiente se ele permanecer em lixeiras, dispositivos antigos ou cópias desprotegidas.
O que fazer diante de um incidente de segurança?
Um incidente pode envolver perda de celular, invasão de conta, envio ao destinatário errado, acesso indevido ou exposição de documentos. Tentar esconder o problema tende a aumentar o risco.
Crie um procedimento básico para:
- interromper ou limitar o acesso indevido;
- alterar senhas e revogar sessões abertas;
- preservar registros do que aconteceu;
- identificar quais dados e pessoas foram afetados;
- avaliar possíveis consequências;
- registrar as providências adotadas;
- buscar orientação técnica e jurídica;
- analisar as comunicações exigidas no caso concreto.
Depois, investigue a causa. O objetivo não é apenas corrigir o episódio, mas impedir que ele se repita.
Checklist de LGPD para psicólogos
A adequação pode começar com uma revisão objetiva:
- [ ] Liste todos os dados coletados antes, durante e depois do atendimento.
- [ ] Registre a finalidade de cada informação.
- [ ] Identifique onde os dados ficam armazenados.
- [ ] Revise formulários, contratos e avisos de privacidade.
- [ ] Verifique quem possui acesso a cada sistema ou pasta.
- [ ] Elimine contas compartilhadas sempre que possível.
- [ ] Ative recursos adicionais de segurança.
- [ ] Defina critérios de retenção e descarte.
- [ ] Organize um canal para solicitações dos pacientes.
- [ ] Prepare um procedimento para incidentes.
- [ ] Oriente funcionários e prestadores sobre confidencialidade.
- [ ] Revise os fornecedores que tratam dados em nome da clínica.
Esse trabalho não precisa ser feito de uma só vez. Comece pelos pontos de maior exposição, como prontuários desorganizados, senhas compartilhadas e arquivos em dispositivos pessoais.
Como um sistema de gestão pode ajudar
Centralizar a operação reduz a necessidade de manter informações espalhadas em planilhas, papéis, aplicativos e agendas diferentes. Isso facilita a definição de acessos e a organização da rotina.
A CliniQore reúne gestão da prática e divulgação profissional em um único ambiente. A plataforma oferece recursos como agenda, prontuário, financeiro, cobranças, comunicação, mini site e presença no CliniQore Match.
A tecnologia, porém, não resolve tudo sozinha. O psicólogo ou a clínica continua responsável por configurar acessos, usar senhas seguras, orientar a equipe e coletar somente as informações necessárias.
Ao avaliar qualquer sistema, observe os recursos de segurança, os controles de acesso, a organização dos registros, os termos aplicáveis e os canais de suporte. Também verifique como a ferramenta se encaixa nos processos internos.
Proteção de dados é uma rotina contínua
Aplicar a LGPD não é produzir um documento e esquecê-lo em uma pasta. Novos formulários, integrantes, ferramentas e serviços podem mudar a forma como os dados são tratados.
Faça revisões periódicas. Retire acessos antigos, atualize orientações e verifique se as informações coletadas continuam necessárias. Uma rotina organizada protege o paciente, reduz falhas operacionais e fortalece a confiança no trabalho psicológico.
