LGPD para psicólogos: o guia prático do consultório (sem juridiquês)

1 · Qual é a sua base legal (spoiler: não é só consentimento)

O erro mais comum é achar que tudo depende de um termo de consentimento assinado. Para o atendimento em si, a LGPD tem uma base própria e mais sólida: dados de saúde podem ser tratados quando indispensáveis à tutela da saúde, em procedimento realizado por profissional de saúde (art. 11, II, "f"). Ou seja: registrar a evolução, manter o prontuário e conduzir o tratamento não dependem de consentimento — dependem de você ser profissional de saúde fazendo seu trabalho.

O consentimento entra para o que é acessório ao atendimento:

• lembretes e cobranças por WhatsApp;
• sessão on-line por videochamada;
• gravação da sessão para apoio à documentação;
• envio de materiais e exercícios por meios digitais.

Por que isso importa na prática? Porque consentimento é revogável. Se o tratamento clínico inteiro se apoiasse nele, um paciente poderia "revogar" seu prontuário — e não pode: o registro é obrigação profissional sua (Resolução CFP nº 1/2009). Base legal certa em cada coisa = você protegido nos dois mundos, o do Conselho e o da LGPD.

2 · WhatsApp: o que pode e o que não deve

O WhatsApp não é vilão — é ferramenta de logística. A régua é simples:

Pode (com consentimento): confirmar e remarcar horários, enviar lembrete de sessão, enviar cobrança e recibo, mandar o link da sala on-line.

Não deve, nunca: conteúdo clínico. Nem resumo da sessão, nem orientação terapêutica por áudio, nem "como você está se sentindo hoje?" em chat aberto. Três razões práticas:

1. O aplicativo não é prontuário: a conversa não tem o controle de acesso, a integridade nem a trilha que um registro clínico exige.
2. A tela do celular do paciente é vista por outras pessoas — o sigilo deixa de estar sob o seu controle.
3. Se virar hábito, o paciente passa a fazer terapia por mensagem, sem enquadre.

3 · Prontuário digital: o mínimo que o seu sistema precisa ter

Guarda digital é plenamente válida — o CFP admite, desde que garanta sigilo, integridade e recuperação. O checklist do mínimo aceitável:

• Acesso individual e restrito: cada profissional com seu login; ninguém mais lê prontuário — nem secretária, nem plataforma que não precise.
• Criptografia em trânsito e em repouso (na prática: o endereço tem cadeado/HTTPS e o fornecedor declara criptografia no banco de dados).
• Backup automático: notebook roubado não pode significar prontuário perdido — perder o registro também é infração ética.
• Trilha de auditoria dos atos sensíveis: quem acessou, exportou, alterou e quando.
• Prazo de guarda: mínimo de 5 anos após o último atendimento. Importante: se um paciente pedir exclusão dos dados (direito legítimo da LGPD), o prontuário permanece — a própria lei preserva a guarda por obrigação legal e regulatória (art. 16). O que se exclui são os acessórios: contato de marketing, lembretes, etc.
• Contrato com o fornecedor: a plataforma que guarda seus prontuários é sua operadora de dados; deve dizer com clareza onde armazena, como protege e o que faz (e não faz) com os dados.

Planilha solta no Drive pessoal e arquivo de Word na área de trabalho reprovam em quase todos os itens acima. Não porque "a LGPD proíbe", mas porque não sustentam o sigilo que você já promete ao paciente.

4 · Gravação de sessão para documentação: dá para fazer certo

Gravar sessão para apoiar a documentação é legítimo — desde que o desenho respeite três condições:

1. Consentimento específico e revogável, colhido antes, explicando exatamente para quê: apoiar o registro clínico. Não vale consentimento genérico enterrado num contrato.
2. O áudio não vira arquivo. O desenho mais seguro é o som ser processado para gerar a transcrição e não ficar armazenado — o que se guarda é o registro clínico que você revisou, não a voz do paciente.
3. A transcrição é registro clínico: entra no prontuário, sob o mesmo sigilo, mesmo controle de acesso e mesmo prazo de guarda de qualquer evolução.

5 · O incidente que você espera nunca ter

Notebook furtado, celular perdido, conta de e-mail invadida. A LGPD não pune você por sofrer um incidente — ela olha o que você tinha feito antes e o que fez depois.

Depois (as 4 horas seguintes): trocar as senhas das contas afetadas e derrubar as sessões abertas; registrar por escrito o que aconteceu, quando e quais dados podem ter sido expostos; avaliar o risco real (um notebook com disco criptografado e prontuário na nuvem ≠ pastas de Word abertas); se houver risco relevante aos pacientes, comunicar os afetados e a ANPD (art. 48) — com orientação jurídica nesse ponto.

Antes (o checklist de prevenção, 6 itens):

1. Prontuários na nuvem com login — nada de cópia local no notebook;
2. Senha do computador + disco criptografado (BitLocker/FileVault, já vem no sistema);
3. Autenticação em duas etapas no e-mail e na plataforma de prontuário;
4. Senhas diferentes por serviço (gerenciador de senhas resolve);
5. Bloqueio automático de tela no consultório;
6. WhatsApp com verificação em duas etapas ativada.

Um profissional que mostra esse checklist cumprido e um registro organizado do incidente está em outra posição — perante a ANPD, o CRP e, principalmente, os próprios pacientes.