LGPD no consultório de psicologia: o checklist para quem atende sozinho

Você atende dez, quinze pacientes por semana, guarda as evoluções de sessão num caderno ou numa pasta no computador, troca mensagem de reagendamento pelo WhatsApp e nunca parou de verdade para se perguntar se está em conformidade com a LGPD. A resposta curta: você provavelmente não precisa de um advogado especializado em proteção de dados, mas precisa de um checklist, e ele cabe numa tarde de trabalho.

Por que "eu atendo sozinho, é pouca coisa" é um raciocínio arriscado

A Lei Geral de Proteção de Dados (Lei 13.709/2018) não tem uma cláusula de isenção para profissional autônomo, escritório pequeno ou volume baixo de pacientes. Ela se aplica a qualquer pessoa, física ou jurídica, que trate dados pessoais, e o dado que você trata todos os dias é dado sensível de saúde: queixa clínica, histórico, diagnóstico presuntivo, evolução de sessão. O artigo 5º, inciso II da lei classifica dado sobre saúde como dado pessoal sensível, categoria com regras mais rígidas do que um cadastro de e-mail comum.

O raciocínio de "sou pequeno demais para a ANPD notar" também não é uma proteção real. A Autoridade Nacional de Proteção de Dados fiscaliza a partir de denúncia e de incidente, não a partir do porte do controlador. Um paciente que descobre que suas anotações de terapia vazaram num grupo de WhatsApp, foram compartilhadas sem consentimento com terceiros ou apareceram numa planilha exposta na nuvem não vai considerar o tamanho do seu consultório uma atenuante. O risco maior de um consultório solo não é a multa, é o dano à relação terapêutica e à reputação profissional quando algo dá errado.

A boa notícia é que conformidade para um consultório solo é mais simples do que para uma clínica com equipe grande: menos pessoas com acesso, menos sistemas integrados, menos superfície de risco. O trabalho é sobretudo de higiene de processo, não de burocracia jurídica.

Pense num caso fictício para deixar isso concreto: uma psicóloga autônoma atende 18 pacientes, guarda as evoluções num aplicativo de notas no celular e usa o mesmo WhatsApp pessoal para marcar horário e, às vezes, para responder uma dúvida rápida entre sessões. Nada disso é incomum, e nada disso é automaticamente proibido. O problema aparece quando o celular é roubado, o aplicativo de notas não tem senha própria e as evoluções ficam expostas junto com fotos de família e conversas pessoais. A LGPD não pune o fato de atender pouca gente, pune a ausência de qualquer controle sobre onde o dado sensível está e quem consegue chegar até ele.

Você é o controlador dos dados, não um simples usuário de um app

A LGPD distingue dois papéis: o controlador, que decide o quê, por quê e como os dados são tratados, e o operador, que trata dados por conta do controlador e segue as instruções dele (artigo 5º, incisos VI e VII). Quando você atende um paciente, decide guardar a anotação da sessão, escolhe a ferramenta onde ela fica armazenada e define por quanto tempo o registro permanece, você é o controlador. Isso não muda quando você usa um aplicativo, um prontuário eletrônico ou uma planilha na nuvem para registrar essas informações: o software é, na maioria dos casos, o operador, e você continua sendo o responsável final por como aquele dado é tratado.

Essa distinção importa na prática porque a responsabilidade não terceiriza. Se a ferramenta que você usa tem uma falha de segurança e expõe dados de pacientes, o operador tem responsabilidade contratual e técnica, mas você, controlador, é quem responde ao paciente e, em tese, à ANPD pela escolha de um fornecedor sem salvaguardas adequadas. Antes de adotar qualquer sistema para registrar sessões, vale confirmar duas coisas com o fornecedor: onde os dados ficam armazenados fisicamente e se existe algum tipo de acesso ou compartilhamento por padrão que você não configurou.

Na prática, isso muda o tipo de pergunta que vale a pena fazer antes de assinar qualquer ferramenta. Em vez de "esse app é seguro?", uma pergunta genérica demais para gerar uma resposta útil, vale perguntar: quem, dentro da empresa que fornece o software, consegue acessar o conteúdo das minhas anotações? Existe algum contrato ou termo que descreva o papel do fornecedor como operador de dados? O que acontece com o meu histórico se eu cancelar a assinatura amanhã? Um fornecedor sério responde a essas três perguntas sem enrolação, geralmente numa página de privacidade ou política de dados publicada no próprio site.

O checklist: os seis pontos que realmente importam

Este é o núcleo do artigo. Trate cada item como uma pergunta de sim ou não sobre a sua rotina, não como uma peça de contrato.

1. Consentimento e informação desde o início. Para o registro clínico em si (a anotação de sessão, o prontuário), a base legal já vem da própria natureza da relação terapêutica: o artigo 11 da LGPD permite o tratamento de dado sensível de saúde, sem exigir consentimento separado, quando necessário para a tutela da saúde e realizado por profissional de saúde. O sigilo profissional, dever autônomo previsto no Código de Ética do psicólogo, continua se aplicando integralmente ao lado dessa base legal, não como parte do texto do artigo 11. Isso não elimina, porém, o dever de transparência: o paciente precisa saber, de forma clara, o que acontece com os dados dele, se ficam registrados digitalmente, se são compartilhados com convênio ou terceiros, e por quanto tempo permanecem guardados. Uma linha simples no seu contrato terapêutico ou no formulário de anamnese resolve isso.

2. Minimização de dados. Registre o que é clinicamente relevante, não tudo que foi dito na sessão. Detalhes de terceiros (nome do parceiro, do filho, de um colega de trabalho) só entram no registro quando têm relevância clínica direta para o caso, não como transcrição integral da conversa. Menos dado guardado é, ao mesmo tempo, menos risco em caso de vazamento e um prontuário mais objetivo.

3. Armazenamento seguro. Caderno físico trancado num armário é seguro contra acesso remoto, mas vulnerável a perda física e a acesso por qualquer pessoa que passe pela sala. Planilha ou documento numa nuvem pessoal sem senha dedicada é o oposto: acessível de qualquer lugar, mas exposta se a conta for comprometida. O padrão mínimo razoável para 2026 é: acesso protegido por senha forte (idealmente com autenticação em duas etapas), sem compartilhamento do mesmo login com outras pessoas, e backup que você controla. Se você trabalha em consultório compartilhado ou coworking, vale um cuidado extra: tela bloqueada automaticamente após poucos minutos de inatividade e nenhum papel com dado de paciente visível sobre a mesa entre uma sessão e outra.

4. Retenção: por quanto tempo guardar. Este é o ponto onde a maior parte do conteúdo disponível hoje se contradiz, misturando o piso de guarda do registro psicológico com prazos de outras normas de saúde em geral. Vale um artigo isolado só para isso (linkado abaixo), mas a regra prática para o dia a dia: defina um prazo de retenção por escrito, aplique o mesmo prazo a todos os pacientes e documente quando e como um prontuário antigo foi descartado. Retenção indefinida ("guardo tudo para sempre, só por garantia") não é uma posição mais segura do ponto de vista de LGPD, é o oposto: quanto mais tempo um dado sensível fica armazenado sem necessidade, maior a superfície exposta a um eventual incidente.

5. Resposta a incidente. Se um notebook com anotações de sessão for roubado, se uma pasta compartilhada for exposta por engano ou se você perceber que enviou o prontuário errado para o paciente errado, a LGPD espera uma resposta, não apenas um constrangimento silencioso. Isso significa, no mínimo: identificar o que vazou, avisar os pacientes afetados e, dependendo do risco ao titular, comunicar a ANPD. Ter um plano de três passos escrito antes de precisar dele é a diferença entre agir rápido e travar no pânico. Um plano mínimo viável para um consultório solo cabe em meia página: quem eu aviso primeiro (o paciente afetado), o que eu registro sobre o incidente (data, o que vazou, para quem) e em que situação eu escalo para a ANPD em vez de resolver só internamente.

6. DPO (encarregado de dados): você precisa de um? O artigo 41 da LGPD exige que o controlador indique um encarregado, mas o próprio artigo (parágrafo 3º) autoriza a ANPD a criar hipóteses de dispensa dessa exigência conforme o porte do agente de tratamento. A ANPD já usou esse poder: pela Resolução CD/ANPD nº 2/2022, agentes de tratamento de pequeno porte, categoria em que um psicólogo autônomo tende a se encaixar, ficam dispensados de indicar um encarregado formal. O que continua obrigatório, mesmo com essa dispensa, é disponibilizar um canal claro (um e-mail, por exemplo) para o paciente que quiser exercer direitos sobre os próprios dados, como pedir uma cópia do prontuário ou perguntar por quanto tempo ele fica guardado.

Ferramentas de gestão clínica ajudam a operacionalizar boa parte desses seis pontos sem que você precise construir cada controle manualmente. O Sessão, por exemplo, guarda o registro de sessão de forma centralizada e com controle de acesso, mas a decisão sobre o que registrar, por quanto tempo manter e como responder a um paciente que exerce um direito de acesso continua sendo sua, como controlador.

O que muda quando o registro é digital

Passar do caderno físico para um registro digital não elimina responsabilidade, redistribui o risco. Você ganha backup automático, busca rápida e menos risco de perda física, mas passa a depender da segurança do fornecedor que hospeda esse dado. Três cuidados adicionais valem especificamente para o registro digital: confirme que a ferramenta usa conexão criptografada (HTTPS) e criptografia dos dados armazenados; use senha própria e, quando disponível, autenticação em duas etapas, nunca uma senha compartilhada entre secretária e psicólogo; e verifique se existe exportação dos seus próprios dados, para que você não fique refém do fornecedor caso decida trocar de sistema.

Vale reforçar um ponto que já apareceu acima: se a ferramenta digital te dá acesso a algum recurso de inteligência artificial (resumo automático de sessão, sugestão de texto), a Resolução CFP nº 09/2024 exige que você informe esse recurso tecnológico ao paciente, um dever que caminha lado a lado com a transparência que a LGPD já exige.

Um ponto que gera dúvida real é a diferença entre registro digital próprio (um app de notas, uma planilha, um sistema de gestão clínica) e o uso de ferramentas de propósito geral como um assistente de IA de uso livre para redigir ou resumir uma anotação de sessão. Colar a transcrição de uma sessão inteira, com nome do paciente e detalhes clínicos, numa ferramenta de IA genérica que você usa para qualquer outra coisa no dia a dia é um risco de tratamento de dado sensível sem controle sobre para onde aquele texto vai, quem tem acesso a ele do outro lado e por quanto tempo fica retido pelo provedor daquela ferramenta. Isso é bem diferente de usar um sistema pensado especificamente para registro clínico, com um fluxo delimitado e responsabilidade contratual clara do fornecedor sobre aquele dado.

Erros mais comuns que um consultório solo comete

Alguns padrões se repetem entre psicólogos autônomos que nunca tiveram um incidente, mas estão a um evento de distância de um:

• Guardar todos os prontuários indefinidamente, "só por garantia", sem prazo de retenção definido nem critério de descarte.
• Usar o WhatsApp pessoal para trocar conteúdo clínico (fotos de anotações, resumo de evolução) com o paciente ou com outro profissional, misturando comunicação de agenda com dado sensível.
• Não ter nenhuma linha escrita, nem no contrato terapêutico nem em formulário de anamnese, informando o paciente sobre como os dados são tratados.
• Compartilhar detalhes de caso em supervisão clínica ou grupo de estudo sem anonimizar o suficiente, achando que "só entre colegas" dispensa cuidado.
• Achar que "sou só eu, não tenho TI" significa que a responsabilidade sobre segurança de dados é de outra pessoa, geralmente do fornecedor do aplicativo que ele usa.

Um sexto erro, mais sutil, é tratar a conformidade como um projeto único, feito uma vez e esquecido. LGPD no consultório não é um certificado que se obtém e guarda na gaveta, é uma rotina: revisar uma vez por ano se o prazo de retenção ainda está sendo seguido, se a lista de quem tem acesso às suas ferramentas mudou, se algum paciente pediu para ver o próprio prontuário e como isso foi respondido. Um consultório solo que revisa esses pontos uma vez por ano, num check-up rápido, está mais perto da conformidade real do que um consultório que assinou um contrato de adequação e nunca mais tocou no assunto.

Nenhum desses erros exige uma solução cara. Exige rotina: um prazo de retenção escrito, uma linha de consentimento no contrato, uma conta com senha própria e um canal claro para o paciente que quiser saber o que você guarda dele.

Onde aprofundar cada item

Este artigo é o ponto de partida do cluster de LGPD no consultório. Alguns dos pontos acima merecem um mergulho mais fundo:

• 5 anos ou 20 anos? O prazo real de guarda do prontuário psicológico, sem contradição, para o item de retenção do checklist.
• Resolução CFP 09/2024 traduzida: o que muda para quem atende sozinho, para entender o dever de informar recursos tecnológicos ao paciente.
• O que a Resolução CFP nº 06/2019 exige, traduzido: prontuário, laudo, parecer, relatório e atestado, para o sigilo profissional que atravessa qualquer documento que você produz.

Fontes

• Lei 13.709/2018 (Lei Geral de Proteção de Dados)
• Resolução CD/ANPD nº 2/2022 (Regulamento de aplicação da LGPD para agentes de tratamento de pequeno porte)
• ANPD: conclusão do monitoramento de encarregados e avaliação de sanção a empresas e órgãos públicos
• CFP, Cartilha sobre Inteligência Artificial (dezembro de 2025), sobre a Resolução CFP nº 09/2024