A Lei Geral de Proteção de Dados (Lei nº 13.709/2018) entrou em vigor em 2020 e passou a ter aplicação das sanções desde 2021. Mesmo com mais de quatro anos de vigência, muitos psicólogos ainda têm dúvidas sobre como a lei se aplica ao contexto do consultório e da clínica terapêutica.
E a dúvida tem motivo: a LGPD foi criada como lei geral, não como norma específica para a saúde. Cabe ao profissional — e ao seu sistema de gestão — entender quais partes da lei afetam a prática clínica e como estruturar o atendimento para estar em conformidade.
Por que a LGPD importa especialmente para psicólogos
Psicólogos tratam dados que a LGPD classifica como dados sensíveis — a categoria mais protegida da lei. Dados de saúde, dados sobre a vida sexual, dados que revelam crença religiosa ou convicção filosófica: todos são sensíveis.
Na prática clínica, praticamente tudo que você coleta sobre um paciente é dado sensível: o motivo da consulta, o histórico familiar, as anotações de sessão, os arquivos de áudio. Isso significa que as exigências de consentimento, segurança e transparência são mais rigorosas do que para dados comuns.
As consequências de não estar em conformidade vão além da multa da ANPD (que pode chegar a 2% do faturamento, limitada a R$ 50 milhões por infração). Para psicólogos, há também o risco de processo ético no CFP por violação de sigilo — que é uma obrigação anterior à LGPD e agora se soma a ela.
Quem é afetado: a LGPD vale para autônomos também
Um equívoco comum é achar que a LGPD só afeta empresas grandes. A lei é clara: qualquer pessoa física ou jurídica que trate dados pessoais está sujeita a ela, independentemente do porte.
Se você é psicólogo autônomo com 20 pacientes e armazena nome, CPF, histórico clínico e anotações de sessão — você é um controlador de dados e está sujeito à LGPD.
Quais dados o psicólogo coleta e como classificá-los
Para estruturar a conformidade, o primeiro passo é mapear quais dados você coleta. Em um consultório ou clínica típica:
- Dados cadastrais: nome, CPF, data de nascimento, contato, endereço — dados pessoais comuns.
- Dados clínicos: motivo da consulta, histórico familiar, diagnóstico, evolução das sessões — dados sensíveis de saúde.
- Gravações de sessão: áudio ou vídeo do atendimento — dados sensíveis, exigem consentimento explícito.
- Dados financeiros: valor das sessões, status de pagamento, histórico de cobranças — dados pessoais comuns, mas que exigem proteção adequada.
- Dados de menores: qualquer dado de paciente menor de 18 anos exige consentimento dos responsáveis e atenção especial à proteção.
Consentimento: o que precisa estar documentado
Para dados sensíveis, a LGPD exige consentimento específico e destacado — não basta um termo genérico que menciona tudo de uma vez. O consentimento precisa:
- Ser para finalidade determinada — o paciente precisa saber para que os dados serão usados.
- Ser informado — o paciente precisa entender o que está autorizando em linguagem acessível.
- Ser revogável — o paciente pode retirar o consentimento a qualquer momento.
- Estar documentado — você precisa ter registro de que o consentimento foi dado.
No caso específico de gravações de sessão, o consentimento precisa ser colhido antes de cada gravação ou mediante autorização prévia que cubra explicitamente esse uso.
Os direitos do paciente que você precisa saber atender
A LGPD garante ao titular dos dados (o paciente) uma série de direitos que você, como controlador, precisa estar preparado para atender:
- Acesso: o paciente pode pedir para ver todos os dados que você tem sobre ele.
- Correção: o paciente pode pedir a correção de dados incorretos ou desatualizados.
- Exclusão: o paciente pode pedir a exclusão dos dados quando o tratamento se encerrar — com algumas exceções relacionadas à obrigação legal de guarda.
- Portabilidade: o paciente pode pedir os dados em formato que permita transferência para outro prestador.
- Informação sobre compartilhamento: o paciente tem direito de saber com quem seus dados foram compartilhados.
O que seu sistema de gestão precisa suportar
A conformidade com a LGPD não depende só das políticas escritas — depende de infraestrutura. Um sistema de gestão para psicólogos precisa ter, no mínimo:
Controle de acesso por perfil
Diferentes profissionais e funções devem ter acesso apenas ao que precisam. A recepcionista vê a agenda, não o prontuário. O terapeuta vê apenas os pacientes sob sua responsabilidade. Isso reduz o risco de exposição indevida e facilita a rastreabilidade.
Registro de consentimento por paciente
O sistema precisa armazenar quando e como cada consentimento foi obtido — especialmente o consentimento para gravação. Esse registro é sua defesa em caso de questionamento.
Rastreabilidade operacional
Quem acessou qual dado, quando e com que finalidade. Em caso de incidente ou auditoria, você precisa saber o que aconteceu com os dados dos seus pacientes.
Backup e criptografia
Dados de saúde precisam estar protegidos em trânsito e em repouso. O sistema que você usa precisa garantir que os dados não estejam expostos a acessos não autorizados — incluindo o próprio fornecedor do sistema.
Mecanismo de exclusão
Quando um paciente solicita a exclusão dos dados, você precisa ter um processo documentado para executar e confirmar a exclusão — respeitando as exceções legais de guarda (como o prazo mínimo de retenção do prontuário exigido pelo CFP).
Agenda e Prontuário Eletrônico: o que o CFP e a LGPD Exigem em 2026
A combinação de agenda online e prontuário eletrônico é hoje o modelo mais comum para psicólogos autônomos e clínicas. Do ponto de vista da LGPD e das resoluções do CFP, alguns requisitos são inegociáveis.
Para a agenda: o sistema não pode armazenar mais dados do que o necessário para o agendamento (nome, contato, horário). Dados sensíveis de saúde não devem estar na plataforma de agendamento se ela não oferecer as salvaguardas adequadas. Confirmações por WhatsApp são aceitáveis para fins administrativos, mas o histórico das conversas não pode conter informações clínicas.
Para o prontuário eletrônico: o CFP exige que o prontuário seja mantido por no mínimo 5 anos após o encerramento do atendimento, e 20 anos para menores de idade (contados a partir da maioridade). A plataforma precisa garantir confidencialidade, integridade e disponibilidade dos dados. Backups regulares e controle de acesso por perfil são obrigatórios.
Em 2026, o CFP recomenda explicitamente que psicólogos utilizem sistemas com criptografia em repouso e em trânsito, além de contrato de processamento de dados com o fornecedor. Isso vale para qualquer ferramenta que armazene dados de pacientes, de planilhas em nuvem a sistemas especializados.
Psicólogos que usam planilhas compartilhadas para prontuário provavelmente estão em desconformidade com a LGPD sem perceber: planilhas em nuvem costumam ter configurações de acesso permissivas e não geram auditoria de quem visualizou os dados.
Checklist de conformidade para consultórios e clínicas
- Termo de consentimento para coleta de dados com linguagem acessível
- Consentimento específico e documentado para gravações de sessão
- Prontuários armazenados em sistema com acesso restrito
- Controle de quem acessa qual dado, com registro de acesso
- Processo definido para atender solicitações de acesso, correção e exclusão
- Backup automatizado com criptografia
- Contrato de tratamento de dados com o fornecedor do sistema de gestão
- Política de não envio de dados de pacientes por WhatsApp ou e-mail sem criptografia
LGPD e o sigilo profissional do psicólogo: onde se sobrepõem
O Código de Ética do CFP já exigia sigilo sobre os dados dos pacientes antes da LGPD existir. A lei veio fortalecer esse requisito com sanções administrativas e civis mais claras.
A diferença principal: o CFP cuida da responsabilidade ética do profissional; a ANPD cuida da responsabilidade legal sobre os dados. Um incidente de vazamento pode gerar consequências nos dois âmbitos ao mesmo tempo.
O alinhamento entre os dois não é coincidência — a LGPD foi desenhada para refletir boas práticas que profissionais de saúde já deveriam seguir. Para quem já respeitava o sigilo profissional, boa parte da LGPD é uma formalização do que já era boa prática.
O AgilizaPSI foi construído com a LGPD no fluxo
Consentimento de gravação por paciente, controle de acesso por perfil de função e rastreabilidade operacional — integrados ao dia a dia da clínica, não como documentos avulsos.
Perguntas frequentes sobre LGPD para psicólogos
A LGPD se aplica a psicólogos autônomos?
Sim. Qualquer pessoa física ou jurídica que trate dados pessoais está sujeita à LGPD, independentemente do porte. Psicólogos autônomos que armazenam dados de pacientes são controladores de dados e precisam atender aos requisitos da lei.
O psicólogo precisa pedir consentimento para gravar a sessão?
Sim. Gravações de áudio de sessões são dados sensíveis. O consentimento precisa ser explícito, documentado e informado sobre como os dados serão usados, por quanto tempo serão armazenados e quem terá acesso. O paciente pode revogar o consentimento a qualquer momento.
Qual a diferença entre controlador e operador na LGPD para clínicas?
O psicólogo ou a clínica é o controlador: decide o que coletar, por que e como. O sistema de gestão é o operador: processa os dados conforme as instruções do controlador. O controlador é o responsável primário perante a ANPD.
Veja também: Prontuário eletrônico na psicologia · IA para psicólogos: como usar com segurança · Google Agenda serve para psicólogo?