PRONTUÁRIO E CFP
LGPD para psicólogos: o checklist completo do consultório em dia
Dados de saúde mental são dados sensíveis. O que a LGPD exige de um consultório de psicologia, em 12 itens verificáveis.
Todo prontuário psicológico é um conjunto de dados pessoais sensíveis — a categoria mais protegida da LGPD. Isso não exige um departamento jurídico: exige processo. Este checklist cobre o que um consultório precisa ter de pé.
Primeiro, os conceitos que importam
- Dado sensível: informação sobre saúde (física ou mental) tem proteção reforçada (art. 5º, II e art. 11);
- Base legal: você não trata dados "porque o paciente deixou" — trata por tutela da saúde, por profissional de saúde (art. 11, II, "f"). O consentimento entra para finalidades além do cuidado (ex.: lembretes de marketing);
- Controlador: no consultório próprio, o controlador é você — as decisões e a responsabilidade são suas. O sistema que você usa é operador e deve tratar dados só sob suas instruções.
O checklist
Coleta e transparência
- Colete o mínimo: cada dado pedido no cadastro tem um porquê clínico ou administrativo;
- Informe com clareza: uma página ou termo simples dizendo o que é coletado, para quê e por quanto tempo — linguagem humana, não juridiquês;
- Consentimento específico para o que sai do cuidado direto: gravação de sessões, uso de IA, envio de comunicações.
Armazenamento
- Prontuários fora de soluções improvisadas: planilha, Word e Drive pessoal não têm controle de acesso, trilha nem contrato de tratamento de dados;
- Criptografia em repouso e em trânsito (é o padrão de qualquer sistema sério de prontuário);
- Dados no Brasil ou com salvaguardas de transferência internacional documentadas;
- Backup que você não administra manualmente (backup manual é backup esquecido).
Rotina
- WhatsApp com juízo: confirmar horário é razoável; discutir conteúdo clínico no chat pessoal, não. Prefira o número institucional e mensagens operacionais;
- Tela e papel protegidos: computador com senha e bloqueio automático; nada de ficha sobre a mesa entre atendimentos;
- Equipe treinada (se houver): recepção acessa agenda e financeiro, não evolução clínica — acesso por perfil.
Direitos e incidentes
- Pedido de acesso do paciente tem fluxo: quem recebe, o que entrega, em quanto tempo (o prontuário é acessível ao paciente; anotações sobre terceiros podem ser resguardadas);
- Plano de incidente: vazou? Documente, avalie o risco aos titulares, comunique ANPD e afetados quando a lei exigir — e saiba disso antes de acontecer.
O que a LGPD NÃO exige de você
Mitos comuns: não é preciso contratar um DPO pessoa física exclusivo para um consultório individual (a função pode ser exercida de forma proporcional), não é preciso pedir consentimento para registrar o atendimento (base legal é tutela da saúde) e não é preciso apagar prontuário quando o paciente pede — o prazo de guarda do CFP prevalece como obrigação legal.
Ferramenta certa = metade do checklist pronta
Itens 4–7 e 10 são resolvidos pela escolha do sistema. O Theravus criptografa tudo, hospeda no Brasil, registra trilha de auditoria de cada acesso, separa perfis de acesso e mantém documentação pública de privacidade e segurança — incluindo DPA para clínicas. Sobra para você a parte que é sua: processo e cultura.