Segurança de dados e LGPD na clínica de psicologia

Três obrigações sobre o mesmo dado

Elas convivem e às vezes puxam para lados diferentes, o que gera dúvida legítima na hora de decidir.

O exemplo clássico é o pedido de exclusão. Um paciente solicita que seus dados sejam apagados, amparado na LGPD. O registro documental, porém, tem prazo mínimo de guarda definido pelo conselho, e há base legal que sustenta a preservação. Atender integralmente ao pedido descumpre a obrigação de guarda; recusar sem explicar parece descaso. A resposta correta é preservar o registro clínico pelo prazo devido, explicar o fundamento ao titular e eliminar o que não estiver sob essa exigência.

Por isso a política de privacidade da clínica precisa dizer isso em português claro, antes de alguém perguntar.

• Sigilo profissional: dever ético, anterior e independente de qualquer sistema.
• LGPD: dado de saúde é sensível, com base legal específica e direitos do titular.
• Guarda documental: prazo mínimo de retenção do registro, definido pelo conselho.

Controlador e operador: quem responde pelo quê

A clínica ou o profissional que atende é o controlador dos dados dos pacientes: é quem decide as finalidades e os meios do tratamento. O fornecedor do software atua como operador, tratando os dados em nome do controlador.

A consequência prática incomoda e é importante: contratar um bom sistema não transfere a responsabilidade. Perante o titular e perante a ANPD, quem responde pelo tratamento é a clínica. O fornecedor responde pelo que lhe cabe, nos termos do contrato — e é por isso que vale ler o que o contrato diz sobre segurança, subcontratação e comunicação de incidentes.

Vale verificar se existe um contrato ou termo que descreva esse papel de operador. Um fornecedor que não consegue apresentar nada nesse sentido está deixando a clínica exposta.

Mapeie onde o dado circula de verdade

O mapa que importa não é o dos sistemas contratados, é o da rotina real. Comece observando como o trabalho acontece durante uma semana, antes de escrever qualquer política.

O que costuma aparecer: planilha exportada para conferir o financeiro, documento baixado para enviar ao paciente, foto de um encaminhamento no celular pessoal, e-mail com anexo, mensagem com nome e horário. Cada uma dessas cópias tem finalidade legítima e vive fora do sistema — que é justamente onde a proteção acaba.

Para cada ponto, registre três coisas: para que existe, quem tem acesso e quando deixa de ser necessário. A terceira é a mais negligenciada. Cópia que nunca deixa de ser necessária é cópia permanente.

O WhatsApp que todo mundo usa e ninguém mapeou

Em clínicas pequenas é normal que o contato com o paciente aconteça por WhatsApp, muitas vezes no celular pessoal de quem atende ou da recepção. Isso não é um erro a ser eliminado por decreto — é o canal que funciona. Mas precisa entrar no mapa.

Três cuidados cobrem a maior parte do risco, e nenhum deles exige ferramenta nova.

Primeiro: mensagem administrativa não carrega conteúdo clínico. Data, horário e como remarcar bastam. Segundo: documento clínico não trafega por mensagem sem necessidade e sem combinar com o paciente; quando trafegar, confira o destinatário duas vezes, porque errar contato é o incidente mais frequente. Terceiro: se o aparelho é pessoal, ele precisa de bloqueio de tela, e é preciso combinar o que acontece com aquelas conversas quando a pessoa deixa a clínica.

Contas individuais e o dia do desligamento

Conta compartilhada elimina a possibilidade de saber quem fez o quê. Numa clínica onde o acesso ao prontuário precisa ser rastreável, isso não é detalhe de organização: é a diferença entre ter e não ter trilha de auditoria.

O desligamento de alguém é o momento em que a maioria das clínicas descobre quantos acessos existiam. Vale ter a lista pronta antes de precisar dela, porque no dia sempre falta tempo.

Combine também, antecipadamente, o que acontece com os casos que o profissional acompanhava. Encerrar o acesso é necessário; fazer os registros desaparecerem junto, não — a clínica continua tendo o dever de guarda.

• Sistema de gestão e prontuário.
• E-mail da clínica e listas de contato.
• Armazenamento em nuvem e pastas compartilhadas.
• Grupos e conversas com pacientes em aplicativos de mensagem.
• Acesso físico: chaves, armários e documentos em papel.

Backup não é recuperação

Perguntar ao fornecedor se existe cópia de segurança rende sempre um sim. A pergunta útil é outra: em quanto tempo os dados voltam, com qual perda máxima, e quando isso foi testado pela última vez.

Cópia que nunca foi restaurada é uma hipótese, não uma garantia. Uma pergunta que revela bastante: se o serviço ficar indisponível numa terça de manhã, qual é o procedimento e quem me avisa?

Do lado da clínica, defina um procedimento temporário para indisponibilidade — como registrar atendimentos em papel e lançar depois — e onde ficam os contatos de emergência. Não é pessimismo: é a diferença entre uma manhã improvisada e uma manhã perdida.

Incidente: o que fazer nas primeiras horas

Incidente de segurança com dado pessoal é previsto em lei, e a LGPD determina que o controlador comunique à ANPD e aos titulares afetados quando houver risco ou dano relevante. Em clínica de psicologia, envolvendo dado sensível, esse patamar é alcançado com facilidade.

O caso típico não é invasão: é documento enviado ao destinatário errado, celular perdido com conversas de pacientes, ou acesso indevido por alguém da equipe. Nos três, as primeiras horas importam.

Tenha definido de antemão quem coordena a resposta — uma pessoa, nomeada — e registre desde o primeiro momento o que aconteceu, quando foi percebido, quais dados e quantas pessoas foram afetadas, e que medidas foram tomadas. Esse registro é a base da comunicação ao titular e à autoridade, e reconstruí-lo depois é bem mais difícil do que anotá-lo durante.

Indique também o encarregado pelo tratamento de dados. Numa clínica pequena costuma ser o próprio responsável, e o contato precisa estar publicado.

O que perguntar ao fornecedor

Peça demonstração em vez de declaração. As três primeiras perguntas abaixo são verificáveis na tela durante um teste; as demais dependem do contrato e da resposta escrita.

Um fornecedor que responde com franqueza ao que não faz é mais confiável que um que responde 'sim' a tudo.

• A recepção consegue abrir o conteúdo de uma evolução? Mostre entrando com o perfil dela.
• Existe registro de quem acessou cada prontuário, e a clínica consegue consultá-lo?
• Uma evolução corrigida preserva o texto anterior?
• Em quanto tempo os dados são recuperados após uma falha, e quando isso foi testado?
• Existe contrato que descreva o papel de operador e a comunicação de incidentes?
• Como a clínica extrai a base completa, com anexos, se decidir sair?