LGPD no consultório de psicologia: o que muda na prática
Equipe AltiviaClinica · 22/08/2026
A Lei Geral de Proteção de Dados (Lei 13.709/2018) trata anotação de sessão como dado pessoal sensível. Isso não é detalhe de classificação: dado sensível tem regime mais rígido que nome e telefone, e é a categoria em que a lei coloca informação sobre saúde.
Para quem atende, isso significa menos coisas do que o pânico sugere e mais do que a maioria dos consultórios faz hoje.
Sigilo profissional e LGPD não são a mesma coisa
O sigilo já era sua obrigação muito antes da LGPD, e continua sendo, por dever profissional perante o conselho. A LGPD acrescenta uma camada diferente: ela regula o tratamento do dado — coleta, guarda, compartilhamento, descarte — e dá ao titular um conjunto de direitos sobre isso.
Na prática as duas se sobrepõem quase sempre. Onde divergem, o ponto costuma ser o mesmo: alguém pede a exclusão dos próprios dados, e você tem dever de guarda do prontuário. Voltamos a isso adiante.
O mínimo que muda no dia a dia
Saber onde o dado está. Prontuário em caderno na gaveta, planilha no computador de casa, anotações no aplicativo de mensagens, backup no e-mail pessoal. Cada lugar é um lugar a proteger. Reduzir a quantidade de lugares é a medida mais eficaz e a mais barata.
Coletar só o necessário. A lei chama isso de minimização. Ficha cadastral que pede dado que você nunca vai usar é passivo sem contrapartida.
Ter base legal para o que faz. Para o atendimento em si, a base costuma ser a tutela da saúde e o cumprimento de obrigação. Para enviar mensagem de marketing, não é a mesma coisa — e é aí que a maioria dos consultórios escorrega.
Saber o que fazer se vazar. Incidente com dado sensível pode exigir comunicação ao titular e à autoridade. Ter isso pensado antes é diferente de descobrir durante.
Quem é controlador quando você usa um sistema
Se você contrata um software de gestão, em geral você é quem decide por que e como os dados são tratados, e o fornecedor executa por sua conta. Isso faz de você controlador e do fornecedor operador — com obrigações diferentes para cada um.
Vale ler o contrato do seu fornecedor procurando três coisas: se ele se declara operador, o que diz fazer com os dados, e o que acontece com eles no encerramento. Fornecedor que não trata disso por escrito está deixando a definição para depois do problema.
O ponto difícil: exclusão versus guarda
Um paciente pede que você apague tudo. A LGPD dá a ele o direito de solicitar eliminação. E você tem dever de guardar o prontuário por prazo mínimo definido pela norma do conselho — cinco anos após o encerramento, no padrão adotado pela maioria dos serviços.
Os dois comandos não se anulam: a própria lei ressalva a conservação do dado quando há obrigação legal ou regulatória de guarda. Na prática, a resposta honesta a esse pedido raramente é "apagamos tudo" — é explicar o que pode ser eliminado, o que precisa ser conservado, por quanto tempo e por quê.
Registrar o pedido e a resposta é parte do trabalho. Quem não registra não consegue demonstrar depois que agiu corretamente.
O que não vale a pena fazer
Comprar selo de conformidade, encher a ficha de aceite de termos que ninguém lê, ou tratar a LGPD como projeto com data de término. Nada disso protege dado nem impressiona ninguém numa fiscalização.
O que protege é bem menos glamouroso: menos cópias espalhadas, controle de quem acessa o quê, registro do que aconteceu e um prazo de guarda consciente.
Como saber se você está razoavelmente em ordem
Três perguntas costumam bastar:
- Você consegue listar todos os lugares onde há dado de paciente?
- Se alguém pedir hoje uma cópia completa dos próprios dados, você consegue entregar em prazo razoável?
- Se um prontuário fosse acessado indevidamente, você saberia dizer quando e por quem?
Responder "não" à terceira é o mais comum — e é justamente a que separa guardar dado de cuidar de dado. É essa pergunta que uma trilha de acesso que nem o administrador consegue apagar resolve de verdade.
Se você usa um sistema, vale saber também o que fica com ele e o que continua com você: a divisão entre controlador e operador está explicada em LGPD para clínicas.