Falar em LGPD para psicólogos exige mais do que inserir um aviso de privacidade no site. A rotina clínica trata dados de saúde, relatos íntimos, documentos, áudio, mensagens, agenda e informações financeiras. Parte desse conteúdo é dado pessoal sensível e parte também está protegida por sigilo profissional.
A conformidade precisa aparecer no desenho da operação: finalidade, necessidade, acesso, contratos, segurança, retenção, direitos do titular e resposta a incidentes.
Nota editorial: Informação geral, não consultoria jurídica. A base legal e as medidas adequadas dependem do contexto.
Quais dados a clínica realmente trata
Faça um inventário por fluxo, não apenas por sistema:
- formulário de contato e agendamento;
- cadastro e responsáveis;
- anamnese;
- prontuário e documentos;
- gravações e transcrições;
- mensagens e lembretes;
- pagamentos, recibos e dados fiscais;
- teleconsulta;
- backups;
- ferramentas de produtividade e IA.
Para cada item, registre finalidade, categoria de dados, titular, origem, onde fica, quem acessa, com quem é compartilhado e por quanto tempo é mantido.
Controlador, operador e suboperador
Em muitos contextos, o profissional ou a clínica decide finalidade e meios essenciais do tratamento e atua como controlador. O fornecedor de software pode atuar como operador em determinadas atividades. Serviços de nuvem, e-mail, vídeo, IA e pagamentos podem aparecer como suboperadores ou agentes com papéis próprios, conforme o fluxo.
A classificação depende da realidade contratual e operacional. O importante é não presumir que “o sistema cuida da LGPD”. Leia os contratos, identifique responsabilidades e verifique como pedidos e incidentes serão tratados.
Dados de saúde exigem proteção reforçada
A LGPD classifica dados referentes à saúde como sensíveis. Isso exige hipótese legal adequada e salvaguardas compatíveis. Consentimento não é a única base possível nem deve ser usado como um botão genérico para tudo.
A clínica deve aplicar finalidade, adequação, necessidade, segurança, prevenção, transparência e prestação de contas. Na prática: não coletar campo “por garantia”, não manter áudio indefinidamente, não dar acesso clínico à secretária e não enviar prontuário por canais improvisados.
Checklist de segurança para consultórios
- Ative autenticação multifator quando disponível.
- Use contas individuais, nunca senha compartilhada.
- Revise acessos de equipe e prestadores.
- Configure bloqueio de tela e criptografia do dispositivo.
- Mantenha sistema e navegador atualizados.
- Defina backup e teste restauração.
- Separe dados clínicos de arquivos pessoais.
- Evite baixar prontuários em dispositivos não gerenciados.
- Registre incidentes e tenha contatos de resposta.
- Oriente equipe sobre phishing, links e anexos.
- Avalie exportação e eliminação ao encerrar fornecedores.
IA, gravação e transferência de dados
Antes de enviar informação clínica para uma IA, identifique fornecedor, local de processamento, finalidade, retenção, treinamento, controles de acesso e possibilidade de exclusão. Minimize dados e prefira integração com contexto e permissões específicas.
Gravação e transcrição devem ter fluxo próprio de transparência e controle. O áudio não deve existir por padrão só porque a tecnologia permite. Defina quando é necessário, como é autorizado, quem acessa, quanto tempo fica e o que acontece após a revisão.
Direitos do titular e rotina de atendimento
A clínica precisa conseguir localizar dados de uma pessoa, confirmar tratamento, corrigir cadastro, fornecer informações e responder pedidos compatíveis com a lei e com as obrigações profissionais. Isso exige um canal, identidade verificada, registro do pedido e análise do alcance.
O direito à proteção de dados convive com deveres de guarda, sigilo e exercício profissional. Pedidos complexos não devem ser atendidos automaticamente por um botão sem revisão.
Como avaliar um software
Solicite:
- política de privacidade e termos;
- lista de subprocessadores;
- descrição de criptografia e backup;
- controles de acesso;
- logs e auditoria;
- procedimento de incidente;
- exportação e exclusão;
- retenção;
- localização de dados;
- regras para IA e treinamento;
- contrato ou aditivo de tratamento.
Na NeuroNex, páginas públicas de segurança devem ser usadas como ponto de partida, mas a contratação deve considerar os documentos vigentes e o fluxo específico do profissional.
Plano de ação em 30 dias
Semana 1: inventário de dados e fornecedores.
Semana 2: revisão de acessos, dispositivos, senhas e backups.
Semana 3: políticas, contratos, avisos e canal do titular.
Semana 4: teste de incidente, exportação, restauração e treinamento.
O objetivo não é produzir uma pasta de documentos que ninguém usa. É reduzir dados desnecessários, limitar acesso e tornar decisões demonstráveis.
Continue pela NeuroNex
Perguntas frequentes
Dados de pacientes são dados sensíveis?
Dados referentes à saúde são dados pessoais sensíveis. Relatos e registros clínicos também podem estar protegidos por sigilo profissional.
Preciso pedir consentimento para tudo?
Não necessariamente. A LGPD prevê diferentes hipóteses legais, inclusive para dados sensíveis. A base deve ser definida por finalidade e contexto, não por conveniência.
Um software que diz ser LGPD está automaticamente adequado?
Não. A adequação depende de recursos, configuração, contratos e uso. O profissional continua responsável pelas próprias decisões e acessos.
Posso usar WhatsApp com pacientes?
É preciso avaliar finalidade, conteúdo, expectativas, segurança, configuração e alternativas. Evite transmitir material clínico sensível sem necessidade e defina regras de comunicação.