A Lei Geral de Proteção de Dados (Lei nº 13.709/2018) entrou em vigor em 2020 e passou a ter aplicação das sanções desde 2021. Mesmo com mais de quatro anos de vigência, muitos psicólogos ainda têm dúvidas sobre como a lei se aplica ao contexto do consultório e da clínica terapêutica.
E a dúvida tem motivo: a LGPD foi criada como lei geral, não como norma específica para a saúde. Cabe ao profissional — e ao seu sistema de gestão — entender quais partes da lei afetam a prática clínica e como estruturar o atendimento para estar em conformidade.
Por que a LGPD importa especialmente para psicólogos
Psicólogos tratam dados que a LGPD classifica como dados sensíveis — a categoria mais protegida da lei. Dados de saúde, dados sobre a vida sexual, dados que revelam crença religiosa ou convicção filosófica: todos são sensíveis.
Na prática clínica, praticamente tudo que você coleta sobre um paciente é dado sensível: o motivo da consulta, o histórico familiar, as anotações de sessão, os arquivos de áudio. Isso significa que as exigências de consentimento, segurança e transparência são mais rigorosas do que para dados comuns.
As consequências de não estar em conformidade vão além da multa da ANPD (que pode chegar a 2% do faturamento, limitada a R$ 50 milhões por infração). Para psicólogos, há também o risco de processo ético no CFP por violação de sigilo — que é uma obrigação anterior à LGPD e agora se soma a ela.
Quem é afetado: a LGPD vale para autônomos também
Um equívoco comum é achar que a LGPD só afeta empresas grandes. A lei é clara: qualquer pessoa física ou jurídica que trate dados pessoais está sujeita a ela, independentemente do porte.
Se você é psicólogo autônomo com 20 pacientes e armazena nome, CPF, histórico clínico e anotações de sessão — você é um controlador de dados e está sujeito à LGPD.
Quais dados o psicólogo coleta e como classificá-los
Para estruturar a conformidade, o primeiro passo é mapear quais dados você coleta. Em um consultório ou clínica típica:
- Dados cadastrais: nome, CPF, data de nascimento, contato, endereço — dados pessoais comuns.
- Dados clínicos: motivo da consulta, histórico familiar, diagnóstico, evolução das sessões — dados sensíveis de saúde.
- Gravações de sessão: áudio ou vídeo do atendimento — dados sensíveis, exigem consentimento explícito.
- Dados financeiros: valor das sessões, status de pagamento, histórico de cobranças — dados pessoais comuns, mas que exigem proteção adequada.
- Dados de menores: qualquer dado de paciente menor de 18 anos exige consentimento dos responsáveis e atenção especial à proteção.
Consentimento: o que precisa estar documentado
Para dados sensíveis, a LGPD exige consentimento específico e destacado — não basta um termo genérico que menciona tudo de uma vez. O consentimento precisa:
- Ser para finalidade determinada — o paciente precisa saber para que os dados serão usados.
- Ser informado — o paciente precisa entender o que está autorizando em linguagem acessível.
- Ser revogável — o paciente pode retirar o consentimento a qualquer momento.
- Estar documentado — você precisa ter registro de que o consentimento foi dado.
No caso específico de gravações de sessão, o consentimento precisa ser colhido antes de cada gravação ou mediante autorização prévia que cubra explicitamente esse uso.
Os direitos do paciente que você precisa saber atender
A LGPD garante ao titular dos dados (o paciente) uma série de direitos que você, como controlador, precisa estar preparado para atender:
- Acesso: o paciente pode pedir para ver todos os dados que você tem sobre ele.
- Correção: o paciente pode pedir a correção de dados incorretos ou desatualizados.
- Exclusão: o paciente pode pedir a exclusão dos dados quando o tratamento se encerrar — com algumas exceções relacionadas à obrigação legal de guarda.
- Portabilidade: o paciente pode pedir os dados em formato que permita transferência para outro prestador.
- Informação sobre compartilhamento: o paciente tem direito de saber com quem seus dados foram compartilhados.
O que seu sistema de gestão precisa suportar
A conformidade com a LGPD não depende só das políticas escritas — depende de infraestrutura. Um sistema de gestão para psicólogos precisa ter, no mínimo:
Controle de acesso por perfil
Diferentes profissionais e funções devem ter acesso apenas ao que precisam. A recepcionista vê a agenda, não o prontuário. O terapeuta vê apenas os pacientes sob sua responsabilidade. Isso reduz o risco de exposição indevida e facilita a rastreabilidade.
Registro de consentimento por paciente
O sistema precisa armazenar quando e como cada consentimento foi obtido — especialmente o consentimento para gravação. Esse registro é sua defesa em caso de questionamento.
Rastreabilidade operacional
Quem acessou qual dado, quando e com que finalidade. Em caso de incidente ou auditoria, você precisa saber o que aconteceu com os dados dos seus pacientes.
Backup e criptografia
Dados de saúde precisam estar protegidos em trânsito e em repouso. O sistema que você usa precisa garantir que os dados não estejam expostos a acessos não autorizados — incluindo o próprio fornecedor do sistema.
Mecanismo de exclusão
Quando um paciente solicita a exclusão dos dados, você precisa ter um processo documentado para executar e confirmar a exclusão — respeitando as exceções legais de guarda (como o prazo mínimo de retenção do prontuário exigido pelo CFP).
Checklist de conformidade para consultórios e clínicas
- Termo de consentimento para coleta de dados com linguagem acessível
- Consentimento específico e documentado para gravações de sessão
- Prontuários armazenados em sistema com acesso restrito
- Controle de quem acessa qual dado, com registro de acesso
- Processo definido para atender solicitações de acesso, correção e exclusão
- Backup automatizado com criptografia
- Contrato de tratamento de dados com o fornecedor do sistema de gestão
- Política de não envio de dados de pacientes por WhatsApp ou e-mail sem criptografia
LGPD e o sigilo profissional do psicólogo: onde se sobrepõem
O Código de Ética do CFP já exigia sigilo sobre os dados dos pacientes antes da LGPD existir. A lei veio fortalecer esse requisito com sanções administrativas e civis mais claras.
A diferença principal: o CFP cuida da responsabilidade ética do profissional; a ANPD cuida da responsabilidade legal sobre os dados. Um incidente de vazamento pode gerar consequências nos dois âmbitos ao mesmo tempo.
O alinhamento entre os dois não é coincidência — a LGPD foi desenhada para refletir boas práticas que profissionais de saúde já deveriam seguir. Para quem já respeitava o sigilo profissional, boa parte da LGPD é uma formalização do que já era boa prática.
O AgilizaPSI foi construído com a LGPD no fluxo
Consentimento de gravação por paciente, controle de acesso por perfil de função e rastreabilidade operacional — integrados ao dia a dia da clínica, não como documentos avulsos.
Perguntas frequentes sobre LGPD para psicólogos
A LGPD se aplica a psicólogos autônomos?
Sim. Qualquer pessoa física ou jurídica que trate dados pessoais está sujeita à LGPD, independentemente do porte. Psicólogos autônomos que armazenam dados de pacientes são controladores de dados e precisam atender aos requisitos da lei.
O psicólogo precisa pedir consentimento para gravar a sessão?
Sim. Gravações de áudio de sessões são dados sensíveis. O consentimento precisa ser explícito, documentado e informado sobre como os dados serão usados, por quanto tempo serão armazenados e quem terá acesso. O paciente pode revogar o consentimento a qualquer momento.
Qual a diferença entre controlador e operador na LGPD para clínicas?
O psicólogo ou a clínica é o controlador: decide o que coletar, por que e como. O sistema de gestão é o operador: processa os dados conforme as instruções do controlador. O controlador é o responsável primário perante a ANPD.
Veja também: Prontuário eletrônico para psicólogos · IA para psicólogos: como usar com segurança · Agenda online para psicólogos