LGPD e Prontuário Eletrônico: O Que Psicólogos Precisam Saber

Você se formou para ajudar pessoas, não para navegar legislações de proteção de dados. Mas no momento em que considera armazenar notas de pacientes digitalmente — seja escaneando anotações manuscritas, digitando num aplicativo ou usando um prontuário eletrônico — a conformidade com a LGPD prontuário eletrônico psicólogo se torna sua responsabilidade.

Isso não é opcional, e as consequências são reais. Além das sanções administrativas da ANPD (que podem chegar a 2% do faturamento), um vazamento de dados envolvendo notas de terapia representa uma violação profunda da confiança que seus pacientes depositam em você. E no âmbito do CRP, pode configurar infração ética com consequências para seu registro profissional.

Aqui está o que você realmente precisa saber, escrito para clínicos, não para advogados.

O Que a LGPD Protege

A Lei Geral de Proteção de Dados (Lei 13.709/2018) regula o tratamento de dados pessoais no Brasil. Para psicólogos, o ponto central é que dados de saúde são classificados como dados pessoais sensíveis — a categoria que recebe a proteção mais rigorosa da lei.

Dados Sensíveis na Prática Clínica

Tudo que você registra sobre seus pacientes é dado sensível sob a LGPD:

• Notas de sessão (manuscritas ou digitais)
• Avaliações de intake
• Planos terapêuticos
• Informações diagnósticas
• Dados de contato do paciente
• Registros de agendamento
• Histórico de evolução

Bases Legais para o Tratamento

A LGPD exige uma base legal para tratar dados pessoais. Para psicólogos, as bases mais relevantes são:

• Tutela da saúde (Art. 11, II, f) — permite o tratamento de dados sensíveis por profissionais de saúde para fins de atendimento.
• Exercício regular de direitos — inclui a obrigação legal de manter prontuário.
• Consentimento — pode ser utilizado, mas lembre-se: consentimento para tratamento de dados é diferente do termo de consentimento para o processo terapêutico.

Na prática, a tutela da saúde é a base legal mais sólida para o prontuário clínico, já que o consentimento pode ser revogado a qualquer momento, o que criaria um problema com a obrigação de guarda do prontuário.

O Que o CFP e os CRPs Determinam

O Conselho Federal de Psicologia estabelece normas específicas sobre documentação e sigilo que complementam a LGPD.

Resolução CFP 001/2009 e Atualizações

O CFP determina que o prontuário psicológico deve:

• Ser mantido pelo período mínimo de 5 anos após o último atendimento
• Garantir o sigilo profissional conforme o Código de Ética (Art. 9)
• Ser armazenado de forma que impeça o acesso de pessoas não autorizadas

Sigilo Profissional

O sigilo é um dos pilares da prática psicológica no Brasil. O Código de Ética do Psicólogo (Resolução CFP 010/2005) é explícito:

• Art. 9: "É dever do psicólogo respeitar o sigilo profissional a fim de proteger, por meio da confidencialidade, a intimidade das pessoas."
• Art. 12: O psicólogo deve assegurar a guarda do material de registro documental.

Quando você migra para o digital, o sigilo não muda — mas os meios de garanti-lo mudam.

Requisitos Técnicos para Prontuário Eletrônico

Criptografia

Este é o requisito técnico mais crítico. Suas notas de pacientes devem ser criptografadas:

• Em repouso — Quando armazenadas em um servidor ou dispositivo, os dados devem estar criptografados para que, mesmo se alguém obtiver acesso físico ao armazenamento, não consiga ler o conteúdo.
• Em trânsito — Quando as notas trafegam entre seu dispositivo e a nuvem (upload, sincronização, busca), a conexão deve ser criptografada. Isso significa HTTPS/TLS no mínimo.

Controle de Acesso

Apenas pessoas autorizadas devem poder acessar notas de pacientes:

• Credenciais únicas (sem logins compartilhados)
• Timeout automático de sessão
• Capacidade de revogar acesso se necessário

Rastreabilidade

Você deve poder acompanhar quem acessou o quê e quando. Isso importa para responsabilização e para investigar potenciais incidentes.

Backup e Recuperação

A LGPD e as normas do CFP implicam que você deve ter mecanismos para não perder os dados do prontuário. Backups devem ser criptografados e protegidos com o mesmo nível de segurança dos dados originais.

Erros Comuns de Psicólogos

Usar Aplicativos de Consumo

Google Docs, Notion, Evernote, Apple Notes, Dropbox — nenhum desses oferece contratos de proteção de dados adequados para informações de saúde em seus planos padrão. Armazenar informações identificáveis de pacientes nessas plataformas levanta questões sérias tanto sob a LGPD quanto sob o Código de Ética.

A ferramenta pode ser segura em sentido geral, mas sem um compromisso contratual específico sobre dados de saúde, você não tem garantia legal.

Assumir que Papel É Automaticamente Seguro

Notas em papel têm seus próprios requisitos: armazenamento trancado, acesso controlado, descarte seguro (trituração, não reciclagem). Papel não é um atalho de conformidade — só tem requisitos diferentes.

Negligenciar o Celular

Se você fotografa notas de sessão com o celular, essa foto contém dados sensíveis de saúde. Seu celular precisa de:

• Senha ou biometria
• Criptografia (a maioria dos celulares modernos criptografa por padrão)
• Capacidade de limpeza remota
• Fotos devem ser enviadas à plataforma segura e excluídas do rolo da câmera

Enviar Notas por WhatsApp ou Email Não Criptografado

WhatsApp tem criptografia ponta a ponta, mas os backups em nuvem geralmente não são criptografados. Email comum não é criptografado de ponta a ponta. Enviar notas de sessão por esses canais é um risco real.

O Que Procurar Numa Ferramenta de Prontuário Digital

Ao avaliar qualquer plataforma para armazenar notas de terapia, aqui está seu checklist de conformidade:

• Há compromisso contratual sobre proteção de dados de saúde? Este é o primeiro e mais importante critério.
• Os dados são criptografados em repouso e em trânsito? Ambos são necessários. Pergunte especificamente.
• Onde os dados são armazenados? Servidores no Brasil ou em países com nível adequado de proteção são preferíveis sob a LGPD.
• Você controla o acesso? Só você deve poder acessar as notas dos seus pacientes.
• Há trilha de auditoria? Você deve poder ver quando notas foram acessadas ou modificadas.
• O que acontece se você sair? Precisa poder exportar ou excluir seus dados (direito de portabilidade e eliminação da LGPD).
• Seus dados são usados para outra coisa? Treinar modelos de IA, analytics, publicidade — qualquer uso secundário de dados de pacientes é uma preocupação de conformidade.

Como o Notoria Trata a Conformidade

O Notoria foi construído com privacidade de nível clínico desde o início:

• Criptografia em repouso e em trânsito. Suas notas de sessão são criptografadas quando armazenadas e quando trafegam entre seu dispositivo e a plataforma.
• Seus dados nunca são usados para treinar modelos de IA. Os recursos de IA (busca, chat, OCR) processam seus dados para seu benefício exclusivo. Informações de pacientes não saem do seu workspace para melhorar um modelo.
• Controle de acesso. Seu workspace é seu. Apenas usuários autenticados que você autorizar podem acessá-lo.
• As notas de sessão ficam entre você e seu paciente. Isso não é slogan de marketing — é um compromisso arquitetural.

Conformidade É o Piso, Não o Teto

A conformidade com a LGPD e as normas do CFP é o padrão mínimo. Sua obrigação ética com seus pacientes vai além do que a lei exige. O espírito do sigilo profissional — a razão pela qual seus pacientes confiam em você com suas experiências mais vulneráveis — exige que você escolha ferramentas dignas dessa confiança.

Quando avaliar soluções de prontuário digital, não pergunte apenas "Isso está em conformidade com a LGPD?" Pergunte "Eu ficaria confortável explicando ao meu paciente exatamente como suas notas são armazenadas e quem pode acessá-las?"

Se a resposta for sim, você encontrou a ferramenta certa.

Se está pronto para armazenar suas notas de sessão com a privacidade que elas merecem, visite o workspace Terapia para começar. A confiança dos seus pacientes não aceita menos.