Multa da LGPD para psicólogo autônomo: o que realmente pode acontecer

Alguém compartilhou no grupo de psicólogos que a multa da LGPD pode chegar a R$ 50 milhões, e agora você está com aquela sensação de que qualquer deslize no seu consultório solo pode acabar em falência. Vale respirar: esse número existe na lei, mas ele foi desenhado para uma realidade que não é a sua. Este texto separa o teto teórico do risco real para quem atende sozinho, e mostra o que de fato costuma acionar uma investigação da Autoridade Nacional de Proteção de Dados (ANPD).

O número que assusta todo mundo (e por que ele quase nunca se aplica a um consultório solo)

O artigo 52, inciso II, da Lei Geral de Proteção de Dados (Lei 13.709/2018) prevê multa simples de até 2% do faturamento da pessoa jurídica de direito privado, grupo ou conglomerado no Brasil no seu último exercício, excluídos os tributos, limitada a R$ 50 milhões por infração. Há também previsão de multa diária para infrações continuadas, com o mesmo teto.

Repare no que essa fórmula realmente diz: o valor é uma porcentagem do faturamento, e R$ 50 milhões é o limite superior, não o ponto de partida. A conta foi pensada para bancos, redes de varejo e operadoras de plano de saúde, empresas cujo faturamento anual justifica um teto desse tamanho.

Um caso fictício ajuda a visualizar a escala. Imagine uma psicóloga autônoma que fatura R$ 8 mil por mês, R$ 96 mil por ano. Aplicando os mesmos 2% que a lei usa como referência, o resultado seria algo em torno de R$ 1.920, uma fração ínfima do teto de R$ 50 milhões. Isso não é uma garantia de valor (a ANPD calcula caso a caso, e o próprio conceito de "faturamento" para uma pessoa física que atua sozinha já é diferente do de uma empresa), mas ilustra por que o número que circula nos grupos de WhatsApp é o pior cenário possível para uma multinacional, não o cenário provável para o seu consultório.

O que de fato aciona uma investigação da ANPD

A ANPD não sai procurando psicólogos autônomos para fiscalizar. Na prática, um processo de fiscalização costuma começar de duas formas: uma denúncia de qualquer pessoa sobre suposta infração, ou uma petição de um titular de dados que não conseguiu exercer um direito (como pedir cópia do próprio prontuário) diretamente com o controlador. Desde 1º de janeiro de 2025, esse envio é feito exclusivamente pelo Sistema de Requerimentos da ANPD, com login gov.br.

O caso concreto mais citado até hoje é ilustrativo do padrão. Em julho de 2023, a ANPD aplicou sua primeira sanção pecuniária baseada na LGPD, contra uma microempresa (Telekall Infoservice), depois de uma denúncia de que a empresa estaria oferecendo uma listagem de contatos de WhatsApp de eleitores para disseminação de material de campanha. O resultado: multa simples por falta de base legal para o tratamento (artigo 7º), multa por infração ao regulamento de fiscalização, e uma advertência (não multa) pela ausência de encarregado de dados, artigo 41. Somadas, as multas pecuniárias ficaram na casa de alguns milhares de reais, não milhões.

Esse padrão importa para quem atende sozinho: o que chama atenção da ANPD costuma ser uma conduta concreta e reportada por alguém, como compartilhar ou vender dados sem base legal, ignorar o pedido de um paciente para acessar o próprio prontuário, ou um vazamento de dados de saúde mental que expõe muita gente de uma vez. Um esquecimento isolado de formalização (por exemplo, não ter um termo de consentimento por escrito) raramente vira, sozinho, o gatilho de uma fiscalização, embora seja algo a corrigir de qualquer forma.

Fatores que reduzem a penalidade (boa-fé, correção rápida, porte do controlador)

Se um processo administrativo chega a acontecer, a lei não trata todo mundo do mesmo jeito. O artigo 52, parágrafo 1º, da LGPD lista, entre outros critérios, os que a ANPD deve considerar ao dosar a sanção: a gravidade e a natureza da infração, a boa-fé do infrator, a vantagem obtida ou pretendida, a condição econômica do infrator, a reincidência, o grau do dano, o grau de cooperação com a autoridade e a adoção reiterada de mecanismos e procedimentos internos capazes de minimizar o dano.

O Regulamento de Dosimetria e Aplicação de Sanções Administrativas da ANPD (Resolução CD/ANPD nº 4/2023) detalha esses critérios em regras práticas. Duas valem destaque para quem atua sozinho: quem renuncia expressamente ao direito de recorrer da decisão de primeira instância ganha uma redução de 25% no valor da multa aplicada; e agentes de tratamento de pequeno porte, categoria definida pela Resolução CD/ANPD nº 2/2022, têm prazo em dobro para pagamento (40 dias úteis, em vez de 20). A mesma resolução também permite à ANPD substituir a multa por outra sanção, como advertência, quando houver desproporção entre a gravidade da infração e a intensidade da penalidade, o que costuma favorecer quem corrige o problema rápido e coopera com a fiscalização.

Vale um parêntese sobre a segunda palavra-chave deste texto: um psicólogo autônomo tende a se enquadrar como agente de tratamento de pequeno porte (a Resolução CD/ANPD nº 2/2022 inclui pessoas naturais que tratam dados para fins econômicos nessa categoria), o que dispensa a indicação formal de um encarregado de dados (DPO) previsto no artigo 41 da lei. A dispensa não elimina a obrigação de fundo: mesmo sem um DPO nomeado, é preciso manter um canal claro de comunicação para o paciente exercer seus direitos, como pedir acesso ou correção dos próprios dados. O checklist LGPD para consultório (linkado abaixo) detalha esse ponto passo a passo.

O que realmente protege você na prática

A conclusão prática de tudo isso não é "relaxe, nunca vai acontecer nada". É que o esforço vale mais quando direcionado ao que a lei e a ANPD de fato observam: base legal clara para cada tratamento de dado (consentimento do paciente, quando é o caso), um canal de contato disponível para pedidos de acesso ou exclusão, coleta apenas do dado necessário, e uma reação rápida e documentada se algo sair errado.

Boa-fé e correção rápida, os dois fatores que mais pesam na dosimetria de uma eventual sanção, são mais fáceis de demonstrar quando o próprio sistema que você usa no dia a dia já registra o que foi feito e quando. Um histórico de edições que não pode ser apagado (append-only) e uma síntese de IA que nunca entra automaticamente no prontuário, só depois de você revisar e aprovar, são exatamente o tipo de evidência de controle e boa-fé que ajuda numa eventual fiscalização. É o caminho que o Sessão, ainda novo e gratuito para começar, adotou desde o primeiro dia.

No fim das contas, o número que assusta é real, mas ele mede o risco de uma multinacional, não o do seu consultório. O que protege você é a rotina: base legal em dia, canal de contato aberto, dado mínimo necessário, e correção rápida quando alguma coisa falha.

Fontes

• Lei 13.709/2018 (LGPD), art. 52
• ANPD: denúncia e petição de titular pelo Sistema de Requerimentos
• ANPD aplica a primeira multa por descumprimento à LGPD (caso Telekall Infoservice)
• Resolução CD/ANPD nº 2, de 27 de janeiro de 2022 (agentes de tratamento de pequeno porte)
• Resolução CD/ANPD nº 4, de 24 de fevereiro de 2023 (Regulamento de Dosimetria e Aplicação de Sanções Administrativas), Diário Oficial da União