LGPD: proteja seu prontuário psicológico agora mesmo

O consentimento LGPD para prontuário psicologia psicológico representa um dos pontos de maior tensão entre a proteção de dados pessoais e a prática clínica ética no Brasil. Desde a vigência da Lei Geral de Proteção de Dados (Lei nº 1.370/2018) e com o agravamento das fiscalizações do Conselho Federal de Psicologia (CFP), profissionais de saúde mental que não dominam essa intersecção enfrentam riscos reais de sanções éticas, multas administrativas e vulnerabilidade jurídica em eventuais litígios. A compreensão profunda de como o consentimento informado dialogue com os requisitos de tratamento de dados sensíveis de saúde psíquica não é mais opcional — é um requisito de sobrevivência profissional.


Fundamento Jurídico: Por Que o Prontuário Psicológico Exige Atenção Específica sob a LGPD


Antes de mergulhar nos mecanismos práticos, é necessário compreender a arquitetura normativa que torna o prontuário psicológico um objeto de proteção reforçada. A LGPD classifica os dados pessoais sensíveis em categorias próprias, e as informações contidas em um prontuário clínico psicológico — diagnósticos, hipóteses clínicas, conteúdos de sessão, históricos familiares, resultados de testes psicológicos e anotações sobre o estado emocional — encaixam-se simultaneamente nas categorias de dados referentes à saúde (art. 5º, II) e de dados pessoais sensíveis (art. 5º, II, "b"). Essa dupla classificação gera obrigações agravadas para o controlador, que no contexto clínico é, em regra, o próprio psicólogo — seja ele autônomo ou vinculado a uma instituição.



O CFP, por meio da Resolução nº 06/2019 e atualizações subsequentes, estabelece que o prontuário psicológico constitui documento técnico-científico de uso profissional e é de responsabilidade do psicólogo que realiza a atuação. Isso significa que o profissional assume simultaneamente o papel de controlador de dados nos termos da LGPD e de responsável técnico pelo conteúdo clínico. Essa dualidade cria uma zona de risco que muitos psicólogos simplesmente ignoram — até receberem uma notificação do conselho ou uma reclamação formal de paciente.



A Marina Braga (2021), em estudo sobre proteção de dados na psicologia, destaca que a confusão entre base legal para tratamento e consentimento específico é a principal fonte de vulnerabilidade. Muitos profissionais confundem a autorização genérica do termo de consentimento livre e esclarecido (previsto no Código de Ética do Psicólogo, Resolução CFP nº 010/2005) com o consentimento exigido pela LGPD para o tratamento de dados sensíveis. São institutos jurídicos distintos com finalidades, escopos e consequências diferentes.


A Distinção Crítica entre Consentimento Ético e Consentimento LGPD


O consentimento livre e esclarecido do Código de Ética é um instrumento de proteção do paciente e de legitimação do vínculo terapêutico. Ele documenta que o paciente compreendeu a natureza do tratamento, seus limites, métodos utilizados e possíveis resultados. É um requisito ético-clínico vinculado à Resolução CFP nº 010/2005 e se mantém como condição de validade da relação profissional.



O consentimento para tratamento de dados pessoais sensíveis, previsto no art. 11 da LGPD, é um instrumento jurídico específico que autoriza o controlador a coletar, armazenar, utilizar e compartilhar dados sensíveis de um titular. Ele deve ser granular, informado, destacado, específico e referir-se a finalidades determinadas. Não basta uma cláusula genérica no contrato de prestação de serviços psicológicos que diga "o paciente autoriza o tratamento de seus dados".



A prática recomendada, alinhada às diretrizes da Autoridade Nacional de Proteção de Dados (ANPD), é elaborar um instrumento separado — o Termo de Consentimento para Tratamento de Dados Pessoais Sensíveis no Contexto de Prontuário Psicológico — que coexiste com, mas não substitui, o consentimento ético-clínico.


As Bases Legais Aplicáveis Além do Consentimento


Uma análise rigorosa revela que nem todo tratamento de dados no prontuáRio digital Seguro psicológico depende exclusivamente do consentimento. O art. 11, II, da LGPD prevê hipóteses de tratamento de dados sensíveis sem consentimento, incluindo o exercício regular de direitos em processo judicial, a tutela da saúde, em procedimento realizado por profissionais ou serviços de saúde (como o psicólogo clínico), e a proteção da vida do titular ou de terceiro.



Isso não significa que o psicólogo possa simplesmente ignorar o consentimento. Significa que, em contextos específicos — como quando o tratamento é indispensável para a continuidade do atendimento clínico ou para proteção da vida do paciente — a base legal pode ser outra. Contudo, a orientação conservadora e mais segura juridicamente é sempre buscar o consentimento, documentando as exceções de forma explícita e fundamentada no prontuário.


Arquitetura do Consentimento Informado para Dados de Saúde Mental


Compreender a estrutura adequada do consentimento é onde a maioria dos psicólogos falha na prática. A ANPD, por meio das diretrizes do Regulamento de Dosimetria e do Guia Orientativo sobre Bases Legais, estabelece que o consentimento para dados sensíveis deve atender a sete requisitos cumulativos: livre (sem coação), informado (com informações claras), inequívoco (manifestação clara da vontade), específico (para finalidade determinada), granular (autonomia sobre categorias de dados), destacado (separado de outros termos) e revogável (possibilidade de retirar a qualquer momento).



Ao adaptar esses requisitos para o contexto do prontuário psicológico, o documento deve conter, no mínimo, os seguintes elementos:



Identificação clara das partes. Dados do profissional (nome, CRP, endereço do consultório) e do paciente (nome completo, documento de identificação). Caso o paciente seja menor de idade ou pessoa sob curatela, identificação completa do responsável legal.



Descrição precisa dos dados a serem tratados. Não basta dizer "dados clínicos". É necessário especificar: anotações clínicas de sessão, resultados de testes psicológicos, laudos e pareceres psicológicos, dados de historial familiar, informações sobre medicação (quando encaminhado por psiquiatra), dados de contato e demais informações coletadas durante a relação terapêutica.



Finalidade específica para cada categoria de dado. O tratamento dos dados para fins de continuidade clínica tem uma finalidade. O uso para elaboração de laudo pericial tem outra. O compartilhamento com outros profissionais de saúde (equipe multidisciplinar) demanda uma autorização distinta. Cada finalidade deve ser descrita de forma compreensível ao leigo.



Duração do tratamento. A LGPD exige que se defina o período de retenção dos dados ou, ao menos, os critérios utilizados para determiná-lo. No contexto psicológico, a Resolução CFP nº 06/2019 estabelece que o prontuário deve ser mantido por um período mínimo de cinco anos após o encerramento do atendimento. O consentimento deve refletir esse período e prever o destino dos dados após seu termo.



Informações sobre compartilhamento de dados. Se houver possibilidade de compartilhamento com outros profissionais, convênios, perícias judiciais ou plataformas de nuvem para armazenamento digital, isso deve ser informado explicitamente, com a identificação dos destinatários ou categorias de destinatários.



Direitos do titular. O termo deve informar o paciente sobre seus direitos conforme o art. 18 da LGPD: acesso aos dados, correção, anonimização, bloqueio, eliminação, portabilidade, informação sobre compartilhamento, e possibilidade de revogação do consentimento.


Modelos Práticos e Personalização


Existem modelos disponíveis no CFP e em associações de classe, mas nenhum modelo genérico substitui a personalização. Um psicólogo que trabalha com testagem neuropsicológica, por exemplo, precisa de cláusulas adicionais sobre o tratamento de resultados de instrumentos psicológicos padronizados. Um psicólogo que atua em regime de teleatendimento precisa incluir informações sobre transferência internacional de dados caso utilize plataformas hospedadas fora do Brasil, conforme o art. 33 da LGPD.



A recomendação é investir em uma revisão jurídica do documento por profissional especializado em direito digital ou proteção de dados, combinando a experiência técnica do psicólogo com a segurança jurídica de um advogado. O custo dessa revisão é ínfimo comparado ao risco de uma multa da ANPD — que pode chegar a 2% do faturamento da pessoa jurídica ou de suaunidade econômica, limitada a R$ 50 milhões por infração.


Digitalização de Prontuários e Conformidade com a LGPD


A transição do prontuário em papel para o formato digital é uma das áreas que mais gera ansiedade e erros entre psicólogos. A digitalização não elimina as obrigações de proteção de dados — pelo contrário, as amplia. Um prontuário em papel dentro de um consultório trancado tem uma superfície de ataque física limitada. Um prontuário digital conectado à internet está sujeito a vulnerabilidades cibernéticas, acessos não autorizados, vazamento de dados e falhas de integridade.



A Resolução CFP nº 11/2018, que disciplina o uso de tecnologia na prática psicológica, estabelece que o psicólogo pode utilizar meios eletrônicos para armazenamento de prontuários, desde que garanta a segurança, sigilo e integridade dos dados. Isso significa que a migração para o digital deve ser precedida de uma avaliação de risco que contemple:



Escolha de plataforma com certificação adequada. Softwares de gestão clínica devem oferecer criptografia ponta a ponta (end-to-end encryption) em trânsito e em repouso, controle de acesso baseado em papéis, log de auditoria de acessos e conformidade com a ISO 27001 ou equivalente. A hospedagem deve preferencialmente ser em território brasileiro, evitando transferência internacional de dados — ou, se inevitável, garantindo que o país de destino ofereça grau de proteção adequado conforme art. 33 da LGPD.



Implementação de Política de Retenção e Eliminação. Os dados devem ser mantidos pelo período mínimo exigido pelo CFP (cinco anos após o encerramento do atendimento) e, após esse período, eliminados de forma segura — com certificação de destruição, quando aplicável.



Plano de Resposta a Incidentes. O art. 48 da LGPD obriga o controlador a comunicar à ANPD e aos titulares, em prazo razoável, qualquer incidente de segurança que possa acarretar risco ou dano relevante. O psicólogo precisa ter um protocolo documentado para essa situação, mesmo que atue como pessoa física.


Armazenamento em Nuvem vs. Armazenamento Local


A decisão entre armazenamento local (servidor próprio ou computador offline) e em nuvem (software como serviço) envolve trade-offs específicos. O armazenamento local oferece maior controle, mas exige investimento em hardware, backup físico e segurança periférica (antivírus, firewall, criptografia do disco). O armazenamento em nuvem oferece acessibilidade e backups automáticos, mas transfere parte da responsabilidade ao operador — que passa a ser um operador de dados nos termos da LGPD, exigindo a celebração de um contrato de tratamento de dados pessoais conforme art. 39.



Independentemente da escolha, o consentimento informado do paciente deve contemplar a modalidade de armazenamento utilizada, seus riscos e as medidas de proteção adotadas. A transparência nesse ponto fortalece a relação terapêutica e protege juridicamente o profissional.


Erros Comuns que Expõem Psicólogos a Riscos e Como Evitá-los


A experiência de consultoria revela padrões recorrentes de não conformidade que poderiam ser facilmente evitados. Conhecer esses erros é o primeiro passo para a proteção efetiva.



Erro um: utilizar um único termo de consentimento para tudo. Muitos consultórios utilizam o mesmo documento para consentimento ético-clínico, consentimento LGPD, autorização de uso de imagem em materiais acadêmicos e autorização de compartilhamento com equipe. Essa prática viola o princípio de granularidade e o de finalidade específica. O consentimento para tratamento de dados sensíveis deve ser autônomo e circunscrito.



Erro dois: não atualizar o consentimento ao longo do tratamento. Se durante o atendimento surgem novas finalidades para o tratamento de dados — como a necessidade de emitir laudo para avariação de dano judicial — o consentimento original não cobre essa finalidade. O profissional deve solicitar uma autorização complementar, documentando a nova finalidade e obtendo consentimento específico.



Erro três: descuidar do destino do prontuário após o encerramento. O psicólogo que abandona prontuários em dispositivos obsoletos,HDs sem criptação ou pastas de e-mail desprotegidas está violando tanto a LGPD quanto as normas do CFP. O plano de retenção e eliminação precisa ser executado, não apenas documentado.



Erro quatro: não treinar equipe sobre proteção de dados. Mesmo que o psicólogo seja profissional autônomo, se conta com secretária, recepcionista ou estagiário, essas pessoas têm acesso a dados pessoais e devem ser submetidas a treinamento de conformidade. A responsabilização solidária pode alcançar quem administra os dados em nome do controlador.



Erro cinco: subestimar a necessidade de DPO (Encarregado de Proteção de Dados). Embora a ANPD não exija formalmente a nomeação de DPO para pessoas físicas, a nomeação de um encarregado — que pode ser o próprio profissional — facilita o cumprimento das obrigações de transparência, resposta a titulares e comunicação de incidentes.


Impacto na Relação Terapêutica e na Confiança do Paciente


Uma visão superficial pode sugerir que a burocracia do consentimento LGPD prejudica a espontaneidade da relação terapêutica. A experiência clínica demonstra exatamente o oposto. Quando o psicólogo dedica os primeiros minutos da primeira sessão para explicar, de forma clara e empática, como os dados do paciente serão tratados, quais são os limites do sigilo e como o paciente pode exercer seus direitos, ocorre uma transferência positiva que fortalece a aliança terapêutica.



Pacientes informados sentem-se mais seguros. Sabem que seus dados não serão utilizados para fins alheios ao tratamento. Sabem que podem solicitar acesso integral ao prontuário, corrigir informações ou solicitar a eliminação de dados não essenciais. Essa transparência é, em si, um ato clínico — comunica respeito, profissionalismo e compromisso ético.



Ademais, em cenários de encaminhamento interprofissional — quando o psicólogo trabalha em conjunto com psiquiatra, neurologista ou equipe multidisciplinar — a existência de consentimentos granulares facilita a definição de quais dados podem ser compartilhados com cada profissional, evitando violações do sigilo e preservando a confiança do paciente em múltiplos pontos de contato.


Resumo e Próximos Passos para Conformidade Imediata


A conformidade com o consentimento LGPD para prontuário psicológico não é um projeto de longo prazo nem uma tarefa exclusiva de grandes instituições. É uma obrigação que pode ser implementada de forma incremental, começando pelos passos mais impactantes.



Primeiro passo: elabore um Termo de Consentimento para Tratamento de Dados Pessoais Sensíveis específico para seu contexto clínico, contemplando as categorias de dados coletados, as finalidades de tratamento, o período de retenção, os destinatários possíveis e os direitos do titular. Inclua instruções claras sobre como o paciente pode exercer esses direitos.



Segundo passo: revise o termo com um advogado especializado em direito digital para garantir conformidade com a LGPD, com a Resolução CFP nº 06/2019 e com a Resolução CFP nº 11/2018 (para prontuários digitais). Esse investimento inicial evita retrabalho e exposição a sanções.



Terceiro passo: implemente o termo no fluxo de admissão de novos pacientes, integrando-o à primeira sessão ou à fase de anamnese. Para pacientes em tratamento anterior à vigência da LGPD, realize um processo de ratificação do consentimento, explicando as mudanças normativas e obtendo autorização atualizada.



Quarto passo: se utiliza prontuário digital, realize uma auditoria de segurança: verifique criptografia, controle de acesso, logs de auditoria, plano de backup e plano de resposta a incidentes. Se utiliza prontuário em papel, avalie as condições físicas de armazenamento, acesso e destino final dos documentos.



Quinto passo: documente todos os processos em um Registro das Operações de Tratamento de Dados Pessoais (art. 37 da LGPD). Esse registro, embora não precise ser entregue à ANPD proativamente, deve estar disponível em caso de fiscalização ou auditoria.



A proteção dos dados psicológicos não é apenas uma exigência legal — é uma extensão do dever de cuidado que fundamenta toda a prática psicológica. Quando o profissional domina o consentimento LGPD para prontuário psicológico, ele protege seu paciente, protege a si mesmo e eleva o padrão de excelência da profissão.