Proteção de dados no prontuário psicológico: a base legal correta desde o primeiro clique

Nesta página

A proteção do prontuário começa antes do primeiro dado.

Quase toda conversa sobre proteção de dados em saúde mental chega tarde. Ela aparece quando um vazamento já expôs uma conversa que deveria ter morrido na sala, ou quando uma notificação de fiscalização obriga a explicar, depois do fato, por que aquele registro existe e onde ele mora. Mas a decisão que de fato protege o prontuário psicológico não é tomada no momento do incidente. Ela é tomada no começo, quando a pessoa profissional escolhe sob qual justificativa jurídica vai tratar aquele dado. Essa escolha é silenciosa, quase invisível, e determina a validade de tudo o que vem depois.

Esta peça abre uma série sobre proteção de dados na prática clínica. E ela começa pelo ponto mais a montante de todos, não pela criptografia nem pela política de privacidade, mas pela base legal. Porque um prontuário mal fundamentado na origem não se conserta com uma boa senha depois. O vício nasce antes do primeiro clique de segurança, na resposta a uma pergunta que muita gente pula: com que direito eu guardo este dado?

O prontuário não guarda um dado qualquer

O primeiro passo é reconhecer a natureza do que está em jogo. Informação sobre a saúde de uma pessoa não é um dado comum, como um telefone ou um endereço. A lei brasileira de proteção de dados a classifica como dado pessoal sensível, uma categoria com regime jurídico mais estrito, porque seu uso indevido pode gerar discriminação e dano de difícil reparação. Tudo o que um prontuário psicológico contém, do motivo da procura à hipótese de trabalho, é dado de saúde.

Essa classificação tem uma consequência prática que muita gente não percebe. As justificativas legais que autorizam tratar um dado comum não são as mesmas que autorizam tratar um dado sensível. A lei reserva ao dado sensível um rol próprio e mais restrito de hipóteses, distinto e mais exigente do que o rol aplicável ao dado comum. Escolher uma base legal do rol comum para um dado que é sensível é começar com o pé errado, ainda que de boa-fé. É como assinar o contrato certo no formulário errado.

Consentimento não é a única porta, e às vezes nem é a melhor

Há uma crença difundida de que basta a pessoa atendida assinar um termo de consentimento e a conformidade está resolvida. O consentimento é, de fato, uma das justificativas legais possíveis, mas quando se trata de dado sensível a lei exige que ele seja específico e destacado, para finalidades determinadas, e não um bloco genérico escondido no meio de um documento de adesão. Um consentimento amplo demais, que autoriza tudo para qualquer finalidade, é frágil justamente por prometer demais.

Há ainda um ponto que costuma surpreender. Para o registro clínico feito por uma pessoa profissional de saúde no exercício do cuidado, a lei prevê uma hipótese própria, a da tutela da saúde em procedimento realizado por profissionais e serviços de saúde. Isso significa que o prontuário em si, enquanto instrumento do cuidado, pode não depender do consentimento como base para existir, o que é diferente de dizer que o consentimento perde a função. Ele continua essencial para outras finalidades, como pesquisa ou comunicação, que não se confundem com o ato de registrar o atendimento. E vale o alerta na direção oposta: nenhuma dessas hipóteses é um atalho que dispensa examinar as demais finalidades do tratamento uma a uma, porque a base que sustenta o prontuário não sustenta automaticamente tudo o que se faz com aquele dado depois.

Essa separação é o coração da competência que a série quer construir. Tratar dado sob a base correta não é burocracia, é higiene de origem. A régua fina é decompor cada finalidade e perguntar, para cada uma, qual base a sustenta. Uma finalidade sem base legal clara é um tratamento que não deveria estar acontecendo, por mais bem-intencionado que seja.

Menos dado é mais proteção

Definida a base legal, dois princípios continuam governando cada campo preenchido. O princípio da finalidade exige que o dado só seja tratado para propósitos legítimos, específicos e informados à pessoa, sem uso posterior incompatível. O princípio da necessidade exige que se colete o mínimo indispensável para aquele propósito, e nada além. Juntos, eles desmontam o hábito de guardar tudo por precaução, que na prática é acumular risco por comodidade.

Na engenharia de sistemas, esses princípios ganham forma nas noções de proteção desde a concepção e proteção por padrão, a ideia de que a privacidade não é um recurso acrescentado no fim, mas uma decisão de arquitetura tomada antes da primeira linha de código. Uma plataforma que minimiza a coleta por desenho, que cifra o conteúdo em repouso e em trânsito e que restringe o acesso por perfil profissional reduz a superfície de risco mesmo diante de falha humana. A proteção deixa de depender só da disciplina de cada pessoa e passa a estar embutida no sistema, sem que isso, em nenhum caso, transfira para a infraestrutura a responsabilidade que segue sendo de quem trata o dado.

Sigilo e proteção de dados não são a mesma camada

Vale desfazer uma confusão comum. O sigilo profissional, dever ético que acompanha a psicologia desde sua origem, e a proteção de dados pessoais, regime jurídico horizontal mais recente, não são a mesma coisa nem um substitui o outro. O sigilo responde a quem a pessoa profissional pode ou não revelar o conteúdo de um atendimento, com suas exceções éticas. A proteção de dados responde a como esse dado é coletado, armazenado, acessado, compartilhado e descartado ao longo de todo o seu ciclo de vida.

As duas camadas se somam, e nenhuma anula a outra. A lei de proteção de dados não afrouxa o dever de sigilo, nem o sigilo isenta do dever de proteger o dado: um prontuário pode estar coberto pelo sigilo e, ao mesmo tempo, ser tratado em desacordo com a lei de proteção de dados, por exemplo se for retido além do prazo devido ou acessado por quem não deveria. As normas do conselho profissional determinam a guarda do documento psicológico por um período mínimo, e esse dever de guarda dialoga com o dever de não reter dado além do necessário. Conciliar os dois é parte do ofício, e não uma contradição a ignorar.

Por que a decisão de origem é a que a fiscalização enxerga

Há uma razão concreta para levar isso a sério agora. A autoridade nacional que fiscaliza a proteção de dados tem sinalizado atenção ao setor de saúde, e sua avaliação não se contenta com a existência formal de uma política de privacidade no rodapé do site. Ela examina a efetividade das práticas, ou seja, se o que está escrito corresponde ao que de fato acontece com o dado. Uma base legal escolhida com clareza na origem é a primeira coisa que sustenta essa correspondência entre o documento e a realidade.

É por isso que a Conexão Psicológica trata a escolha da base legal como uma decisão clínica, e não apenas jurídica. Quem cuida de uma pessoa também custodia a informação mais íntima dela, e essa custódia começa antes do primeiro dado digitado, na resposta honesta à pergunta que abre esta série. A base legal correta desde o primeiro clique não é um detalhe de conformidade que se ajusta depois. É a fundação sobre a qual todo o resto, o consentimento, a criptografia, o direito da pessoa atendida de acessar o próprio registro, ou se sustenta ou desaba. Construir certo na origem é a forma mais barata, e a mais respeitosa, de proteger quem confiou à pessoa profissional aquilo que não contaria a mais ninguém.

Curadoria editorial - Conexão Psicológica