LGPD no consultório: checklist prático de dados de saúde

Em outubro de 2023, no 1º Simpósio Internacional de Transformação Digital no SUS, a diretora da Autoridade Nacional de Proteção de Dados (ANPD) destacou, em notícia publicada no site da autoridade, a importância da LGPD e o papel da autoridade na proteção de dados pessoais na saúde. A mensagem segue atual: a ANPD tem agenda regulatória declarada para 2026-2027, e dados de saúde seguem no centro das atenções.

Para o psicólogo autônomo, isso levanta uma pergunta prática: o que muda de verdade no dia a dia do consultório? A resposta não passa por contratar um escritório de advocacia. Passa por cinco pontos concretos que qualquer profissional consegue revisar sozinho.

Por que a ANPD está falando de dados de saúde agora

Dado de saúde é dado pessoal sensível pela LGPD desde que a lei entrou em vigor, em 2020 (art. 5º, inciso II). O que mudou em 2026 foi a atenção regulatória: fiscalização e articulação entre órgãos cresceram, puxadas por dois movimentos concretos:

• Agenda regulatória da ANPD com foco declarado em saúde digital e, mais recentemente, IA aplicada a dados sensíveis.

• Articulação entre órgãos: iniciativas como o encontro entre CGU e ANPD sobre LAI e LGPD em consultórios vinculados a SUS e planos de saúde mostram que a fiscalização deixou de ser só teórica.

Nenhum desses movimentos cria uma obrigação nova isolada para o psicólogo autônomo. O que eles fazem é sinalizar que a fiscalização de dados de saúde, historicamente concentrada em hospitais e operadoras, está descendo para operações menores, incluindo consultórios individuais.

O psicólogo autônomo já é "controlador de dados", mesmo sozinho

Um erro comum: achar que a LGPD é regra para empresa grande, com equipe de TI e jurídico. Não é. A lei não distingue porte. Se você coleta, organiza, armazena ou consulta dados de pacientes (nome, histórico clínico, anotações de sessão, contato), exerce o papel de controlador de dados, com as mesmas obrigações de qualquer clínica.

A operação não precisa ficar mais burocrática por causa disso. Hábitos que já fazem parte da prática clínica, como sigilo profissional e cuidado com o prontuário, só precisam ganhar uma camada de documentação simples.

Veja como o WiseThera protege prontuários por design.

Checklist prático: 5 pontos para revisar esta semana

1. Base legal do prontuário

Todo dado de saúde tratado precisa de uma base legal (art. 7º ou art. 11 da LGPD). Para prontuário clínico, a base mais comum é tutela da saúde (art. 11, II, "f"). Ela não depende de consentimento explícito do paciente para existir, mas exige que o dado seja tratado só para a finalidade clínica, nada além disso.

Na prática: se você usa o prontuário só para acompanhar o paciente, está dentro da base legal. Se passa a usar esses dados para outra finalidade (ex: campanhas de marketing segmentadas), isso já exige base legal diferente.

2. Quem tem acesso aos dados

Pergunta simples: além de você, quem mais consegue acessar prontuário, agenda e dados de contato dos pacientes? Secretária, estagiário, sistema de terceiros?

Cada pessoa ou sistema com acesso precisa ter motivo claro e, idealmente, acesso limitado ao que realmente precisa ver, não a base inteira de pacientes.

3. Onde os dados ficam armazenados

Planilha no computador pessoal, papel em armário, sistema em nuvem: cada opção tem um nível de risco diferente. O ponto não é qual ferramenta é a "certa". É se você consegue descrever, em uma frase, onde estão os dados e quem responde pela segurança desse armazenamento.

Se a resposta for "não sei ao certo", esse é o primeiro ponto a resolver.

4. Plano mínimo para incidente de vazamento

A LGPD exige comunicação à ANPD e aos titulares em caso de incidente de segurança que possa gerar risco relevante (art. 48). Não é preciso ter um plano de crise formal. Basta saber, de antemão, o que fazer se um notebook for roubado ou um e-mail com dados for enviado ao destinatário errado: quem avisar, em quanto tempo, e como registrar o que aconteceu.

5. Documentação simples do que você já faz

Boa parte da conformidade não é criar processo novo. É registrar, em texto simples, o que já é rotina: que dados coleta, para quê, onde ficam, quem acessa. Esse registro não precisa ser jurídico. Precisa existir.

Isso não é alarmismo

A ANPD reforçar a LGPD não significa uma onda de multas chegando para consultórios individuais. Significa que o tema está mais visível, e visibilidade tende a aumentar a régua de expectativa, inclusive a dos próprios pacientes, que perguntam cada vez mais como seus dados são tratados.

Tratar isso como rotina de gestão, não como ameaça, é o caminho mais sustentável. Consequências legais de falhas de privacidade na psicologia já cobre os riscos reais de não fazer esse dever de casa. Este artigo é sobre o que fazer para não chegar lá.

Resumo prático

A LGPD não pede departamento jurídico do psicólogo autônomo. Pede clareza sobre cinco pontos: base legal do prontuário, quem acessa os dados, onde eles ficam, o que fazer em caso de incidente e um registro simples de tudo isso. Quem já pratica sigilo profissional está mais perto da conformidade do que imagina. Na maioria dos casos, falta só documentar.

Veja também: prontuário e LGPD.