Modelo de política de privacidade para consultório de psicologia (para copiar)

Você procurou "modelo de política de privacidade" e encontrou dois tipos de resultado: um gerador genérico de site institucional, cheio de cláusula sobre cookies e newsletter que não tem nada a ver com prontuário de paciente, ou um documento jurídico de dez páginas, escrito para uma empresa de tecnologia, que você não teria como adaptar sozinho. Nenhum dos dois serve para um consultório de psicologia, porque nenhum dos dois fala sobre o que você de fato trata: dado sensível de saúde, sigilo profissional e um paciente que precisa entender, em poucas frases, o que acontece com o que ele conta na sessão.

Este artigo traz um modelo direto, para preencher e publicar, e explica por que quatro ou cinco linhas específicas não podem faltar, mesmo que você use o texto mais simples possível.

Por que a política de privacidade genérica não serve

Um modelo genérico de política de privacidade é escrito para cobrir qualquer tipo de negócio: e-commerce, blog, aplicativo. Ele fala de cookies, de dados de navegação, de cadastro em newsletter. Isso não é falso, só é irrelevante para o que realmente importa num consultório: o dado que você trata todos os dias não é um e-mail de cadastro, é dado sensível de saúde, categoria que a Lei Geral de Proteção de Dados (Lei 13.709/2018) trata com regras próprias, mais rígidas, no artigo 5º, inciso II.

A LGPD, no artigo 9º, garante ao titular do dado (o seu paciente) o direito de acesso facilitado à informação sobre como aquele dado é tratado, e exige que essa informação seja clara, adequada e ostensiva. Uma política de privacidade copiada de um gerador genérico de site não cumpre isso, porque não fala sobre sessão, prontuário, sigilo ou paciente em nenhum momento; ela cumpre uma exigência formal (existir um documento chamado "política de privacidade") sem cumprir a exigência real (o paciente entender o que acontece com o dado dele).

O modelo: preencha os colchetes

Copie o texto abaixo, preencha cada campo entre colchetes com a informação real do seu consultório e publique como uma página do seu site, um documento anexo ao contrato terapêutico, ou os dois.

POLITICA DE PRIVACIDADE - [NOME DO PSICOLOGO OU CONSULTORIO]
CRP: [NUMERO DE INSCRICAO NO CONSELHO REGIONAL DE PSICOLOGIA]
Ultima atualizacao: [DATA]

1. Quem trata os dados
[NOME], psicologo(a), CRP [NUMERO], e o responsavel (controlador, nos termos
da LGPD) pelos dados pessoais tratados neste consultorio.

2. Quais dados sao tratados
Dados de identificacao e contato (nome, telefone, e-mail) e dados sensiveis
de saude relacionados ao acompanhamento psicologico (anamnese, evolucao de
sessao, informacoes discutidas em atendimento).

3. Onde os dados ficam armazenados
[ex.: em prontuario fisico guardado em armario trancado no consultorio
localizado em (cidade); e/ou em sistema de gestao clinica (nome da
ferramenta), com servidores localizados em (pais/regiao, conforme
informado pelo fornecedor)].

4. Por quanto tempo os dados sao guardados
Os registros de prontuario sao mantidos por, no minimo, [PRAZO DEFINIDO
PELO PROFISSIONAL, respeitado o piso tecnico da Resolucao CFP no 06/2019].
Apos esse prazo, o descarte segue o procedimento [descrever, ex.: trituracao
de papel / exclusao segura em sistema].

5. Sigilo profissional
Todo o conteudo discutido em sessao e protegido por sigilo profissional,
dever etico do psicologo previsto no Codigo de Etica Profissional. O
compartilhamento de qualquer informacao com terceiros (convenio, escola,
Judiciario, familiares) so ocorre mediante autorizacao do paciente ou
quando exigido por lei, e limitado ao estritamente necessario.

6. Direitos do paciente
Voce pode, a qualquer momento, solicitar confirmacao de que seus dados sao
tratados, acesso ao que esta registrado, correcao de dado incompleto ou
desatualizado, e informacoes sobre com quem esse dado e compartilhado,
conforme o artigo 18 da Lei 13.709/2018. Para exercer qualquer um desses
direitos, entre em contato por [CANAL DE CONTATO, ex.: e-mail ou telefone].

7. Contato
Duvidas sobre esta politica ou sobre o tratamento dos seus dados podem ser
enviadas para [E-MAIL OU TELEFONE DE CONTATO].

As cinco linhas que não podem faltar, mesmo na versão mais curta

Se você quiser reduzir o modelo acima a um parágrafo único, por exemplo, para colar no fim do contrato terapêutico, cinco elementos precisam sobreviver a qualquer corte. Cada um resolve uma pergunta específica que a LGPD (ou o Código de Ética) já responde e que um documento genérico simplesmente ignora.

1. Onde o dado fica armazenado. Prontuário em papel guardado em casa é uma resposta. Sistema de gestão clínica na nuvem, com o nome do fornecedor, é outra. O que não pode acontecer é o documento ficar em silêncio sobre isso, porque é a partir dessa informação que o paciente entende o risco real: papel trancado tem um perfil de risco, nuvem sem senha própria tem outro.

2. Por quanto tempo o dado é retido. "Guardamos para sempre" ou o silêncio total sobre prazo são as duas respostas mais comuns e as duas mais problemáticas. Retenção indefinida não é uma postura mais segura do ponto de vista de proteção de dados, é o oposto: quanto mais tempo um dado sensível fica armazenado sem necessidade declarada, maior a superfície exposta a um eventual incidente. Defina um prazo, mesmo que seja "no mínimo X anos, conforme a resolução do CFP aplicável", e aplique o mesmo prazo a todos os pacientes.

3. Sigilo profissional, nomeado explicitamente. Uma política de privacidade genérica fala de "confidencialidade" no sentido comercial (não vender seu e-mail para terceiros). Isso não é o mesmo que sigilo profissional, dever específico e mais rigoroso do psicólogo, que existe independentemente da LGPD e continua valendo mesmo quando a lei de proteção de dados não estivesse em vigor. O documento precisa nomear esse dever com essas palavras, não apenas com o vocabulário genérico de "privacidade de dados".

4. Os direitos do paciente sobre o próprio dado. O paciente tem o direito de pedir para ver o que está registrado sobre ele, corrigir uma informação errada e saber com quem ela foi compartilhada, direitos previstos no artigo 18 da LGPD. Um documento que nunca menciona que esse direito existe deixa o paciente sem saber que pode simplesmente perguntar.

5. Um canal claro para exercer esses direitos. De nada adianta listar os direitos do paciente sem dizer, na prática, para onde ele escreve se quiser usá-los. Um e-mail ou telefone de contato, uma linha só, fecha esse ciclo. O artigo 41 da LGPD exige um encarregado de dados, mas a própria lei (parágrafo 3º do mesmo artigo) autoriza a Autoridade Nacional de Proteção de Dados a dispensar essa exigência conforme o porte do agente de tratamento, o que a ANPD já fez para agentes de pequeno porte pela Resolução CD/ANPD nº 2/2022, desde que o tratamento não seja em larga escala nem se enquadre nos demais critérios de alto risco que a própria resolução define (artigos 3º e 4º), situação em que um consultório solo típico normalmente não se encaixa. Mesmo dispensado do encarregado formal, você continua precisando de um canal de contato claro, e é esse canal, não o cargo formal, que o paciente realmente usa.

Onde publicar e como manter atualizado

O lugar mais comum é uma página separada no seu site, linkada no rodapé, e um parágrafo de referência no contrato terapêutico que o paciente assina no início do acompanhamento ("os dados tratados neste acompanhamento seguem a política de privacidade disponível em [link]"). Se você não tem site, o documento pode simplesmente ser um anexo entregue e assinado junto com o contrato.

Um erro comum é publicar o documento uma vez e nunca mais revisar. Se você trocar de sistema de gestão clínica, mudar o prazo de retenção que pratica ou passar a usar algum recurso tecnológico novo no atendimento (uma videochamada, por exemplo, sujeita ao dever de informar recursos tecnológicos previsto na Resolução CFP nº 09/2024 sobre atendimento mediado por tecnologia), a política de privacidade precisa refletir essa mudança, não continuar descrevendo uma rotina que você já abandonou.

Fontes

• Lei 13.709/2018 (Lei Geral de Proteção de Dados), artigos 5º, 9º, 18 e 41
• Resolução CD/ANPD nº 2/2022 (dispensa de encarregado para agentes de tratamento de pequeno porte)

Leia também

• LGPD no consultório de psicologia: o checklist para quem atende sozinho, para os outros cinco pontos de conformidade além da política de privacidade em si.
• Resolução CFP 09/2024 traduzida: o que muda para quem atende sozinho, para entender o dever de informar recursos tecnológicos usados no atendimento.