LGPD na psicologia: base legal e dados sensíveis

Na clínica de psicologia, a LGPD classifica dado de saúde como dado pessoal sensível, e o tratamento desse tipo de dado só é permitido nas hipóteses listadas no Art. 11 da Lei nº 13.709/2018. Consentimento é uma dessas hipóteses, e não a única. Este guia reúne o texto dos dispositivos aplicáveis e o que decorre de cada um.

Prontuário psicológico é dado sensível

O Art. 5º, inciso II define dado pessoal sensível e inclui expressamente “dado referente à saúde ou à vida sexual”.

O que decorre: o tratamento não se apoia nas hipóteses do Art. 7º, que valem para dados comuns, e sim na lista mais restrita do Art. 11. Transcrições, áudios de sessão e anotações de evolução pertencem à mesma categoria do prontuário.

As hipóteses do Art. 11

O Art. 11 estabelece que o tratamento de dados pessoais sensíveis “somente poderá ocorrer nas seguintes hipóteses”. O inciso I é o consentimento, que precisa ser dado “de forma específica e destacada, para finalidades específicas”. O inciso II lista hipóteses em que o tratamento é permitido sem consentimento, quando indispensável. Quatro delas alcançam o consultório:

• Alínea “f”: “tutela da saúde, exclusivamente, em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária” (redação dada pela Lei nº 13.853/2019).
• Alínea “a”: cumprimento de obrigação legal ou regulatória pelo controlador.
• Alínea “d”: exercício regular de direitos, inclusive em processo judicial, administrativo e arbitral.
• Alínea “e”: proteção da vida ou da incolumidade física do titular ou de terceiro.

O que decorre: além do consentimento, a lei prevê hipóteses aplicáveis a dados de saúde tratados por profissional de saúde. A alínea “a” alcança obrigações impostas por norma, entre elas a obrigatoriedade de registro e o prazo de guarda da Resolução CFP nº 001/2009. A alínea “d” alcança o uso do registro em processo, finalidade que o Art. 4º, §2º dessa resolução atribui expressamente ao registro documental.

Qual hipótese se aplica a cada tratamento na sua prática depende do contexto e da finalidade. Para essa definição, consulte profissional habilitado.

O conteúdo mínimo que a norma profissional exige está no guia sobre registro de sessão em psicologia.

Base legal e dever de informar têm fontes distintas

O Art. 14 do Código de Ética Profissional do Psicólogo determina que a utilização de quaisquer meios de registro e observação da prática psicológica obedeça às normas do Código e à legislação profissional vigente, “devendo o usuário ou beneficiário, desde o início, ser informado”.

O que decorre: o dever de informar tem fonte no Código de Ética, e a base legal do tratamento tem fonte na LGPD. São obrigações de normas diferentes, cumpridas separadamente. O tema está detalhado no guia sobre gravar a sessão do paciente.

A vedação do Art. 11, §4º

É vedada a comunicação ou o uso compartilhado entre controladores de dados pessoais sensíveis referentes à saúde com objetivo de obter vantagem econômica, exceto nos casos de portabilidade de dados quando consentido pelo titular.

O que decorre: a comunicação e o uso compartilhado de dados de saúde entre controladores com finalidade econômica são vedados, ressalvada a portabilidade consentida. A vedação alcança controladores, o que inclui fornecedores de serviços que tratem dados de pacientes.

Minimização aparece nas duas normas

Três dispositivos limitam o que se registra:

• Art. 6º, parágrafo único da Resolução CFP nº 001/2009: em prontuário único de serviço multiprofissional, devem ser registradas “apenas as informações necessárias ao cumprimento dos objetivos do trabalho”.
• Art. 12 do Código de Ética: nos documentos que embasam atividades em equipe multiprofissional, o psicólogo registra apenas as informações necessárias ao cumprimento dos objetivos do trabalho.
• Art. 13 do Código de Ética: no atendimento à criança, ao adolescente ou ao interdito, comunica-se aos responsáveis o estritamente essencial para se promoverem medidas em seu benefício.

O que decorre: a limitação do volume de dados registrados decorre tanto da LGPD quanto das normas profissionais, por fundamentos independentes.

Direito de acesso

A LGPD garante ao titular acesso aos seus dados. O Art. 5º, inciso II da Resolução CFP nº 001/2009 é específico quanto ao prontuário psicológico: fica garantido ao usuário, ou ao seu representante legal, “o acesso integral às informações registradas” pelo psicólogo em seu prontuário.

O que decorre: o conteúdo registrado é acessível ao titular por força das duas normas.

Segurança e local de guarda

A LGPD exige medidas de segurança adequadas. O Art. 4º, §2º da Resolução CFP nº 001/2009 acrescenta que o registro documental seja mantido em local que garanta sigilo e privacidade, e mantido à disposição dos Conselhos de Psicologia para orientação e fiscalização, servindo como meio de prova idônea para instruir processos disciplinares e a defesa legal.

O que decorre: o local de guarda precisa satisfazer sigilo em relação a terceiros e disponibilidade para o profissional e para o Conselho, simultaneamente, por todo o prazo de guarda aplicável. Os prazos estão no guia sobre tempo de guarda.

Criptografia de ponta a ponta

Qualquer que seja a hipótese do Art. 11 aplicável ao seu caso, os registros no Maestra ficam armazenados criptografados de ponta a ponta, protegidos por uma senha que só você conhece, e por isso o Maestra não consegue ler o conteúdo das suas sessões. Não existe conteúdo clínico legível no servidor para ser comunicado ou compartilhado.

Para transcrever suas sessões e gerar suas notas, o áudio e o texto passam por processadores de IA especializados, sob contrato de tratamento de dados (DPA) e em conformidade com a LGPD, processados de forma transitória, sem armazenar.

O Maestra é construído com base na LGPD, com documentação pública sobre como seus dados são tratados. O que se descreve aqui é o desenho técnico do produto, e não a conformidade da sua prática, que depende do uso que você faz da ferramenta.

Veja a política de privacidade ou conheça o Maestra.

Fontes

• Lei nº 13.709/2018 (LGPD), Art. 5º, II e Art. 11.
• Resolução CFP nº 001/2009, Art. 4º, 5º e 6º.
• Código de Ética Profissional do Psicólogo, Art. 12, 13 e 14.

Este conteúdo reúne o texto das normas citadas e não constitui orientação jurídica. Para decisões sobre tratamento de dados na sua prática, consulte profissional habilitado.