RGPD para psicólogos: o que guardar nos registos clínicos

O RGPD pede que guardes só o necessário, durante o tempo necessário. Vê como aplicar isto aos registos clínicos do teu consultório, passo a passo.

Os registos clínicos são a memória do teu trabalho. São também dos dados mais sensíveis que existem: dizem respeito à saúde, à vida familiar e às experiências mais íntimas de quem te procura.

O RGPD não te diz exatamente o que escrever numa nota de sessão, mas dá dois princípios que ajudam a decidir: guardar só o necessário e só durante o tempo necessário. Neste artigo vemos como aplicar isto no dia a dia de um consultório.

Porque é que os registos clínicos são um caso especial

O RGPD trata os dados de saúde como uma categoria especial (artigo 9.º). Isso significa mais exigência na forma como os recolhes, guardas e partilhas.

A isto junta-se o sigilo profissional e o Código Deontológico da OPP de 2024, que reformulou as normas sobre a privacidade dos registos e o uso de tecnologias. As duas coisas puxam no mesmo sentido: registar o que é útil para o acompanhamento e proteger bem o que registas.

Minimização: o que escrever (e o que deixar de fora)

O princípio da minimização (artigo 5.º do RGPD) diz que os dados devem ser adequados, pertinentes e limitados ao necessário para a finalidade. Num registo clínico, a finalidade é acompanhar bem o paciente.

Uma forma prática de aplicar isto é fazer três perguntas antes de escrever:

1. Isto ajuda-me a acompanhar este paciente na próxima sessão ou daqui a seis meses?
2. Preciso de detalhes identificativos de terceiros (nomes de colegas de trabalho, de ex-companheiros, moradas)? Muitas vezes basta «o chefe» ou «a ex-companheira».
3. Estou a registar factos ou interpretações? Distingue o que o paciente disse do que é a tua hipótese clínica.

Durante quanto tempo guardar

É a pergunta mais comum, e a resposta honesta é que não encontrámos um prazo fixo definido pela OPP para os registos de um consultório privado. O RGPD exige que os dados sejam conservados apenas durante o tempo necessário para a finalidade (artigo 5.º).

Na prática, isto pede-te três coisas:

• Definir um prazo para os processos de pacientes que terminaram o acompanhamento, e saber justificá-lo (por exemplo, a possibilidade de o paciente voltar ou de precisares de documentar o trabalho feito).
• Escrevê-lo num documento simples sobre como tratas os dados no teu consultório.
• Cumpri-lo: rever uma vez por ano os processos antigos e eliminar de forma segura o que já passou do prazo.

Se tiveres dúvidas sobre o prazo adequado ao teu caso, a CNPD e um jurista com experiência em proteção de dados são os interlocutores certos.

Registo das atividades de tratamento

O artigo 30.º do RGPD pede um registo das atividades de tratamento de dados. Existe uma exceção para organizações com menos de 250 pessoas, mas ela não se aplica a quem trata categorias especiais de dados, como os de saúde. Por isso, mesmo sozinho no teu consultório, convém teres este registo.

Não precisa de ser complexo. Uma tabela com: que dados recolhes, para quê, onde ficam guardados, quem tem acesso, durante quanto tempo e que ferramentas usas (agenda, software, email, faturação).

Segurança no dia a dia

O artigo 32.º do RGPD pede medidas de segurança adequadas ao risco. Num consultório, as mais importantes são simples:

• Um só sítio para os registos, em vez de papel, Word e notas no telemóvel ao mesmo tempo.
• Acesso protegido: palavra-passe forte e, sempre que possível, autenticação em dois passos.
• Cópias de segurança e um plano para o caso de perderes o computador.
• Cuidado com o email e o WhatsApp para enviar informação clínica.

Este artigo tem fins informativos e não substitui o aconselhamento de um jurista ou encarregado de proteção de dados.