Prontuário psicologia: guia sobre LGPD e o que o CFP exige

Prontuário psicológico não é papelada burocrática. É registro de saúde mental de alguém, e tanto a LGPD quanto o Conselho Federal de Psicologia tratam esse documento com regras específicas — bem antes de "proteção de dados" virar pauta de jornal. Este artigo detalha o que o CFP exige do prontuário na prática, e onde a LGPD se encaixa nisso.

A confusão comum é tratar os dois como a mesma exigência. Não são. A LGPD regula o dado. O CFP regula o documento clínico e a conduta de quem atende. Quem entende os dois separadamente sabe exatamente onde ajustar o consultório.

Por que o prontuário é dado sensível, não dado comum

A LGPD define, no artigo 5º, inciso II, o que é dado pessoal sensível: informação sobre saúde, entre outras categorias que exigem tratamento mais rigoroso que um cadastro qualquer.

Prontuário psicológico entra nessa categoria sem exceção. Anotações de sessão, testes aplicados, diagnóstico, histórico de tratamento — qualquer registro que revele a condição de saúde mental do paciente é dado sensível.

Isso muda três coisas na prática:

• Base legal mais restrita. Tratar dado sensível exige uma das hipóteses do artigo 11 da LGPD — normalmente consentimento específico do paciente, ou tutela da saúde em procedimento conduzido por profissional habilitado.

• Consentimento não pode ser genérico. Um termo assinado na primeira sessão, cobrindo "qualquer uso de dados", não resiste a uma auditoria. O paciente precisa entender o que é coletado e com qual finalidade.

• Minimização. Só se registra o que é necessário ao caso. Campo disponível no sistema não é justificativa para coletar dado irrelevante.

A LGPD não inventou uma exigência estranha à profissão. Ela formalizou, em linguagem jurídica, o que o sigilo profissional já pedia.

Segurança da informação não é opcional para dado sensível

A LGPD também exige medidas técnicas e administrativas de segurança compatíveis com o risco do dado tratado (art. 46). Para dado de saúde, isso significa acesso restrito a quem tem responsabilidade direta pelo caso, controle de quem visualiza cada registro, e proteção contra vazamento — seja o prontuário em papel trancado num armário, seja digital com criptografia e log de acesso.

Não existe hierarquia entre "cumprir a LGPD" e "cumprir a resolução do CFP" nesse ponto. As duas normas cobram exatamente o mesmo cuidado, uma pela via jurídica, outra pela via da conduta profissional.

O que a Resolução CFP nº 001/2009 define sobre o prontuário

A Resolução CFP nº 001/2009 estabelece o registro documental como obrigatório na prestação de serviços psicológicos, com o prontuário como forma prioritária desse registro.

Dois pontos técnicos da resolução merecem atenção:

Diferença entre registro documental e prontuário. O registro documental é sigiloso e de acesso restrito ao profissional — usado quando não é possível manter prontuário por razões de sigilo. O prontuário psicológico, por sua vez, garante ao paciente ou representante legal acesso integral às informações registradas nele (Capítulo II, art. 5º).

Guarda sob responsabilidade direta do profissional. A resolução deixa claro que quem responde tecnicamente pelo prontuário é a psicóloga ou o psicólogo que atende, junto com a instituição onde o serviço foi prestado — não uma plataforma ou sistema que hospeda o dado sem esse vínculo de responsabilidade técnica.

Atendimento multiprofissional: o que compartilhar

A resolução também trata do caso em que o psicólogo atua em serviço multiprofissional — junto com médico, assistente social, terapeuta ocupacional. Nesse cenário, o registro deve ser feito em prontuário único, mas o compartilhamento de informações entre profissionais fica restrito ao que é necessário para cumprir os objetivos do trabalho.

Na prática: não é porque o prontuário é compartilhado numa equipe que todo o histórico da sessão psicológica vira acessível a todo mundo. O psicólogo decide o que qualifica o serviço prestado por outro profissional e o que é exclusivamente clínico, sujeito ao sigilo da profissão.

O que a Resolução CFP nº 006/2019 exige na guarda e no descarte

A Resolução CFP nº 006/2019 trata da elaboração, guarda e envio dos documentos escritos produzidos no exercício profissional — prontuário incluído.

O artigo 15 é o ponto central: documentos decorrentes da prestação de serviços psicológicos, em forma física ou digital, devem ser guardados pelo prazo mínimo de 5 anos. Esse prazo pode ser ampliado por determinação legal, judicial, ou quando as circunstâncias do caso exigirem manutenção por mais tempo.

A responsabilidade pela guarda, novamente, é do psicólogo em conjunto com a instituição onde o atendimento aconteceu. Não existe transferência dessa responsabilidade só porque um sistema terceiro guarda o arquivo.

Um ponto que a literatura técnica já apontou como lacuna: a resolução não detalha cuidados específicos para guarda digital — senha, criptografia, controle de quem acessa o dispositivo. Esse detalhamento fica por conta da LGPD e das boas práticas de segurança da informação que o profissional precisa adotar por conta própria.

Veja como o WiseThera protege prontuários por design →

Prontuário em atendimento online: o que muda

Desde a Resolução CFP nº 09/2024, não existe mais exigência de cadastro em plataforma do conselho para atender por vídeo, chamada ou mensagem — cabe ao profissional avaliar caso a caso a viabilidade de prestar cada serviço por tecnologia. Isso deu mais liberdade operacional, mas não alterou a exigência sobre o prontuário.

O dado continua sendo dado sensível, independente do canal em que a sessão acontece. Um atendimento por videochamada gera o mesmo tipo de registro que um atendimento presencial, e esse registro segue as mesmas regras de guarda, acesso e segurança das Resoluções nº 001/2009 e nº 006/2019.

O risco prático do atendimento online não está na tecnologia em si, mas em onde o registro dessa sessão é armazenado depois. Anotação feita direto num app de mensagem, ou gravação de sessão guardada sem controle de acesso, quebra a mesma exigência de sigilo que valeria num prontuário em papel.

Erros comuns que colocam o prontuário em risco

Na prática, os problemas de conformidade se repetem entre consultórios independentes. Os mais frequentes:

Prontuário misturado com registro documental. Tratar as duas categorias como se fossem a mesma coisa gera confusão sobre o que o paciente pode acessar. Se o registro precisa ficar restrito por alguma razão específica (por exemplo, informação que envolve terceiros), isso precisa estar claro desde o início — não descoberto quando o paciente pede acesso.

Prontuário em ferramenta de uso geral. Planilha do Google, WhatsApp, ou notas no celular sem controle de acesso nem log de quem visualizou o quê. Funciona até o dia em que precisa ser auditado ou comprovado em processo ético.

Backup sem criptografia. Cópia de segurança guardada em pendrive, e-mail pessoal ou serviço de nuvem genérico, sem controle de quem tem a senha ou acesso ao dispositivo.

Ausência de política de descarte. Prontuário de paciente que encerrou tratamento há anos, ainda acessível sem critério — ou, no sentido oposto, descartado antes do prazo mínimo de guarda por falta de organização.

Compartilhamento informal com plataforma de terceiro. Uso de sistema que armazena o prontuário em servidor cuja política de dados o profissional nunca leu com atenção. Nesse modelo, o psicólogo perde visibilidade sobre quem, de fato, tem acesso técnico às informações do paciente — mesmo que o termo de uso diga o contrário.

Nenhum desses erros exige alarme. Exige ajuste. A diferença entre um consultório em conformidade e um em risco raramente é sofisticação técnica — é ter um processo simples, documentado e seguido com consistência.

Onde CFP e LGPD se encontram

As duas normas chegam à mesma conclusão por caminhos diferentes: quem atende é quem responde pelo prontuário. Não existe delegação legítima dessa responsabilidade para uma plataforma só porque ela oferece armazenamento em nuvem.

Isso importa além do cumprimento formal. Onde o prontuário está hospedado, e quem tem acesso técnico a ele, define quem de fato controla a relação terapêutica. Uma ferramenta com modelo de negócio que depende de monetizar dado de uso, ou que tem interesse comercial no conteúdo das sessões, carrega um conflito estrutural que nenhum termo de uso resolve — mesmo cumprindo a LGPD ao pé da letra.

Quem responde num processo ético ou numa fiscalização

Em caso de denúncia ao Conselho Regional de Psicologia ou de requisição judicial, o prontuário funciona como prova técnica do trabalho realizado. É por isso que a Resolução CFP nº 001/2009 trata o registro documental como meio de prova idônea para instruir processos disciplinares e para a defesa legal do próprio profissional.

Se o prontuário está incompleto, mal guardado, ou hospedado num sistema que o profissional não controla de fato, a defesa técnica fica comprometida — mesmo quando o atendimento clínico foi conduzido de forma correta. Documentação bem-feita não é burocracia extra: é o que sustenta a versão do psicólogo quando ela precisa ser sustentada.

Checklist de conformidade: prontuário e dados sensíveis

• Prontuário centralizado em sistema com controle de acesso — não em planilha, WhatsApp ou anotação solta

• Diferenciação clara entre prontuário (acesso garantido ao paciente) e registro documental restrito, quando aplicável

• Termo de consentimento específico para dado sensível, com finalidade e prazo declarados

• Prazo de guarda documentado — mínimo 5 anos (Resolução CFP nº 006/2019, art. 15)

• Backup com criptografia e acesso restrito a quem tem responsabilidade técnica sobre o caso

• Verificação de quem, além do profissional, tem acesso técnico ao prontuário — equipe, plataforma, terceiro

• Política de descarte aplicada só após o prazo mínimo de guarda vencer

• Revisão anual do termo de consentimento e dos fluxos de dados do consultório

Esse checklist não substitui orientação jurídica formal — cada consultório tem particularidades que merecem revisão específica. Mas cobre os pontos onde a maioria dos gaps de conformidade realmente acontece.

O que muda quando o profissional trata isso como prioridade

Cumprir a LGPD e as resoluções do CFP é o piso. A pergunta que protege o consultório no médio prazo é outra: quem tem interesse comercial nos dados que você guarda?

O prontuário sob responsabilidade direta do profissional, hospedado numa ferramenta sem conflito de interesse comercial nos dados do paciente, mantém a relação terapêutica onde ela deve estar: entre o psicólogo e quem ele atende, sem intermediário com agenda própria.

Fontes oficiais:

• CFP: Resolução nº 001/2009 (registro documental)

• CFP: Resolução nº 006/2019 comentada

• Planalto: Lei nº 13.709/2018 (LGPD), art. 5º, II e art. 11