RGPD para psicólogos: o que a lei exige na prática

Os dados de saúde são, nos termos do RGPD, uma categoria especial de dados, com um nível de proteção mais exigente do que os dados pessoais comuns. Para uma clínica de psicologia, isto não é um detalhe jurídico distante: é uma responsabilidade diária sobre notas de sessão, diagnósticos, contactos e todo o processo do paciente. Este artigo resume o que a lei exige na prática, sem juridiquês. Não substitui aconselhamento jurídico.

Fundamento e consentimento

O tratamento de dados de saúde exige um fundamento legal reforçado. Na prática clínica, esse fundamento costuma ser a prestação de cuidados de saúde e o consentimento informado do paciente. Registar de forma clara que o consentimento foi dado, e quando, é parte da conformidade.

Acesso restrito e registo de quem vê o quê

Nem toda a equipa deve ver tudo. Uma rececionista precisa da agenda e dos contactos, mas não das notas clínicas. O RGPD assenta no princípio da minimização: cada pessoa acede apenas ao necessário para a sua função. E deve existir um registo de acessos, para que seja possível saber quem consultou ou alterou um processo.

Segurança técnica: cifra e backups

Os dados devem estar cifrados em trânsito (ligações seguras) e em repouso (na base de dados). Devem existir cópias de segurança regulares, para que um incidente não signifique perder o histórico clínico dos pacientes. E, idealmente, a infraestrutura deve estar alojada na União Europeia.

Direitos do titular e retenção

O paciente tem direito a aceder aos seus dados, a corrigi-los e, em certos casos, a pedir a exportação ou eliminação. A clínica deve conseguir responder a estes pedidos. Ao mesmo tempo, há prazos legais de conservação (por exemplo, para documentos de faturação), pelo que eliminar não é sempre imediato.

• Consentimento informado registado (com data)
• Acesso por função: cada um vê só o que precisa
• Registo de acessos ao processo do paciente
• Cifra em trânsito e em repouso + backups na UE
• Capacidade de exportar e (quando aplicável) eliminar dados

Cumprir o RGPD à mão, com folhas de cálculo e pastas partilhadas, é difícil e arriscado. Um software de gestão pensado para saúde traz muitos destes requisitos de origem: isolamento de dados, controlo de acessos, registo de auditoria, cifra e backups.