A criptografia de dados em prontuário psicológico é o conjunto de técnicas que transforma informações clínicas em conteúdo ilegível para qualquer pessoa que não possua a chave de decifração. Ela deixou de ser um detalhe de infraestrutura de TI e passou a ocupar o centro das obrigações de quem registra sessões, aplica instrumentos de avaliação e arquiva histórias de vida em meio digital. Quando um prontuário vaza, o dano não é apenas jurídico: é a quebra do sigilo profissional, a exposição do paciente e o risco concreto de processo ético no Conselho Regional de Psicologia.
A maioria dos psicólogos não precisa se tornar especialista em segurança da informação. Precisa, isso sim, entender o que está protegido, o que está exposto e quais perguntas fazer ao fornecedor do sistema que guarda seus registros. É exatamente esse o recorte deste artigo: prontuário psicológico cfp traduzir requisitos técnicos da Lei Geral de Proteção de Dados, das resoluções do Conselho Federal de Psicologia e das boas práticas internacionais em decisões práticas de consultório.
O que a criptografia realmente protege dentro de um prontuário psicológico
Antes de discutir obrigações legais, é necessário desfazer uma confusão comum: criptografia não é senha, não é backup e não é controle de acesso. São camadas diferentes que se complementam. Um prontuário pode ter senha forte, backup diário e, ainda assim, estar completamente exposto porque foi salvo em uma pasta compartilhada sem cifragem ou enviado por e-mail em texto puro.
Da ficha de papel ao arquivo cifrado: o que muda na prática
No prontuário em papel, a proteção era física: gaveta com chave, armário trancado, sala com acesso restrito. No ambiente digital, a proteção precisa ser lógica, porque o dado deixa de ter um único endereço. Ele existe no notebook do consultório, na nuvem do sistema de gestão, no celular usado para responder mensagens, no pendrive do backup e, muitas vezes, no e-mail encaminhado para um supervisor.
Cada um desses pontos é uma cópia. A criptografia garante que, mesmo que alguém obtenha o arquivo — por furto do equipamento, invasão da conta, erro humano no compartilhamento ou vazamento do provedor de nuvem —, o conteúdo permaneça ininteligível sem a chave. Na prática, ela converte o pior cenário possível (leitura integral do histórico clínico de um paciente) em um cenário gerenciável (um incidente de segurança com dados protegidos, que ainda exige resposta, mas sem exposição do conteúdo sensível).
Criptografia em trânsito, em repouso e ponta a ponta: as três camadas que importam
Criptografia em trânsito protege o dado enquanto ele viaja entre o seu dispositivo e o servidor. É o que o cadeado HTTPS e o protocolo TLS (versão 1.2 ou, preferencialmente, 1.3) fazem ao enviar um laudo, uma anotação de sessão ou um recibo. Sem ela, qualquer intermediário na rede — inclusive o Wi-Fi público de um coworking — pode capturar o conteúdo.
Criptografia em repouso protege o dado armazenado. Aqui entram o AES-256 nos servidores do fornecedor do prontuário eletrônico e a cifragem de disco completa nos seus próprios equipamentos, com ferramentas nativas como BitLocker (Windows), FileVault (macOS) e LUKS (Linux). O disco cifrado é especialmente relevante para o psicólogo autônomo: é o que impede que um notebook roubado vire um vazamento de centenas de prontuários.
Criptografia ponta a ponta (frequentemente abreviada como E2EE) é o nível mais forte. O conteúdo é cifrado no dispositivo do remetente e só é decifrado no dispositivo do destinatário, o que significa que nem o provedor do serviço consegue ler a mensagem ou o arquivo. É o padrão desejável para trocas de documentos clínicos e para comunicação com pacientes por aplicativos de mensagem — mas exige verificação: muitos serviços divulgam "criptografia" referindo-se apenas ao trânsito, não ao Modelo De ProntuáRio PsicolóGico ponta a ponta.
Hash, chave e senha: conceitos que geram decisões erradas
Três termos aparecem misturados em conversas sobre prontuário eletrônico e cada um tem função distinta. Chave criptográfica é o segredo que cifra e decifra o conteúdo — ela precisa ser guardada e gerenciada com cuidado, e sua perda significa perda definitiva do dado, a menos que exista um mecanismo de recuperação planejado. Hash é uma função de mão única usada para verificar integridade e para armazenar senhas (com algoritmos adequados como bcrypt ou Argon2id); ele não é reversível e, portanto, não serve para "criptografar prontuários", serve para conferir se um documento foi alterado e para proteger credenciais. Senha é apenas a primeira barreira de autenticação, e depende de fatores complementares como a autenticação multifator para ter valor real.
Um sistema sério informa qual algoritmo usa, onde ficam as chaves, quem consegue acessá-las e o que acontece em caso de perda. Um sistema que responde apenas "é seguro" ou "usamos criptografia de ponta" sem detalhar não oferece elementos para o psicólogo cumprir seu dever de diligência na escolha do fornecedor.
O que a LGPD exige de quem guarda dados sensíveis de saúde
A Lei nº 13.709/2018 não menciona a palavra criptografia como obrigação expressa, e é justamente essa ausência que costuma gerar tranquilidade indevida. A lei adota lógica de responsabilidade e risco: exige medidas técnicas e administrativas adequadas à proteção do dado, e a criptografia é a medida técnica mais reconhecida para dados de saúde. Na prática, ela funciona como o que se espera de quem trata informação sensível sem justificativa plausível para não adotá-la.
Dados sensíveis, base legal e a lógica do risco
O prontuário psicológico contém dado pessoal sensível por definição: informações sobre saúde, e frequentemente sobre origem racial ou étnica, convicção religiosa, opinião política, vida sexual e dados genéticos. O artigo 11 da LGPD restringe o tratamento desses dados a hipóteses específicas, e o exercício profissional da psicologia se enquadra principalmente na tutela da saúde por profissionais de saúde e na proteção da vida.
Essa qualificação eleva o padrão de cuidado exigido. O princípio da segurança, previsto no artigo 6º, e o princípio da prevenção impõem que o psicólogo adote medidas capazes de evitar danos antes que eles ocorram. Criptografia, autenticação forte, controle de acesso por perfil e registro de auditoria são a materialização desse dever.
Segurança da informação, vazamentos e a comunicação de incidentes à ANPD
O artigo 46 determina que agentes de tratamento adotem medidas de segurança aptas a proteger os dados de acessos não autorizados e de situações acidentais de destruição, perda, alteração e difusão. O artigo 48 trata do dever de comunicar incidentes de segurança relevantes à Autoridade Nacional de Proteção de Dados e ao titular.
A Resolução CD/ANPD nº 15/2024 regulamentou essa comunicação e trouxe um prazo curto — três dias úteis a contar do conhecimento do incidente — para o envio das informações preliminares. Isso muda a natureza do problema: não basta reagir; é preciso ter detecção mínima e um plano escrito. Se o incidente envolver prontuários cifrados com chaves preservadas, a avaliação de risco tende a ser favorável. Se envolver arquivos em texto puro, a comunicação é obrigatória e as sanções do artigo 52 podem alcançar 2% do faturamento da empresa, limitadas a R$ 50 milhões por infração, além de danos reputacionais e ações civis individuais.
O que a ANPD espera ver documentado em um consultório ou clínica
Não é exigido um departamento jurídico. É exigido registro de decisões. Um psicólogo autônomo ou uma clínica pequena demonstram conformidade quando conseguem apresentar, de forma simples e objetiva:
inventário dos dados tratados e onde estão armazenados; descrição das medidas de segurança adotadas, incluindo cifragem em trânsito e em repouso; controle de quem tem acesso ao prontuário e em qual nível; registros de treinamento e orientação da equipe administrativa; plano de resposta a incidentes com responsáveis e prazos; contratos com fornecedores que definam papéis de controlador e operador, conforme o artigo 39 e a lógica do artigo 5º, incisos VI e VII.
Esse conjunto, mais uma política de retenção e descarte alinhada ao artigo 16, responde ao núcleo das perguntas que uma fiscalização faz.
O que o CFP e os CRPs determinam sobre sigilo e guarda do prontuário
A conformidade com a LGPD não substitui as obrigações específicas da profissão, e é aqui que muitos psicólogos se perdem: cumprem a lei geral e descumprem a norma profissional, ou o inverso. As duas esferas conversam, mas têm autoridades e consequências distintas. Uma reclamação no CRP tramita independentemente de qualquer sanção administrativa da ANPD e pode resultar em advertência, censura pública ou suspensão do exercício profissional.
Resolução CFP nº 001/2009: o registro documental como dever ético
A Resolução CFP nº 001/2009 dispõe sobre a obrigatoriedade do registro documental decorrente da prestação de serviços psicológicos. Ela estabelece que o psicólogo mantenha registro atualizado e organizado de todos os atendimentos, vinculando o prontuário a um conjunto mínimo de informações que assegure continuidade do cuidado, identificação do serviço prestado e defesa do próprio profissional em caso de questionamento.
A norma determina guarda mínima de cinco anos, e o razoável é tratar esse prazo como piso, não como teto: prazos prescricionais civis, demandas trabalhistas e situações envolvendo menores de idade podem exigir retenção mais longa. Isso significa que os dados ficarão armazenados por muitos anos, sobrevivendo a trocas de sistema, de computador e até de cidade. Criptografia não é um cuidado de curto prazo; é uma decisão de arquitetura de longo prazo.
Sigilo profissional, Código de Ética e hipóteses de compartilhamento
O Código de Ética Profissional do Psicólogo, instituído pela Resolução CFP nº 010/2005, coloca o sigilo no centro da relação profissional e prevê as situações excepcionais em que ele pode ser relativizado, sempre com o mínimo de informação necessária. A leitura equivocada mais frequente é imaginar que "compartilhar com quem precisa saber" autoriza enviar o prontuário inteiro por e-mail ou aplicativo.
A criptografia entra como instrumento de proporcionalidade. Em uma interconsulta, um relatório cifrado com senha transmitida por canal distinto entrega a informação necessária com exposição mínima. Em uma perícia, uma via assinada digitalmente e protegida cumpre a finalidade processual. Em uma supervisão, o uso de dados pseudonimizados reduz a exposição a terceiros sem comprometer o estudo do caso. O princípio não é apenas "guardar segredo": é reduzir superfície de exposição sem comprometer o cuidado.
Atendimento online, supervisão e interconsulta sob criptografia
A Resolução CFP nº 11/2018 regulamentou a prestação de serviços psicológicos por meios de tecnologias da informação e da comunicação, com atualizações posteriores por parte do Conselho. A norma já aponta a necessidade de plataformas seguras e de cuidado com o armazenamento e a transmissão dos dados. No atendimento remoto, o psicólogo deixa de controlar a rede do paciente e passa a depender de escolhas de terceiros.
As decisões concretas aqui são: usar plataformas com cifragem ponta a ponta para videochamadas e mensagens; evitar gravar sessões em dispositivos pessoais sem cifragem de disco; nunca armazenar anotações clínicas em aplicativos de notas sincronizados com contas pessoais; e exigir do sistema de prontuário um modelo em que o fornecedor não consiga ler o conteúdo, ou, quando isso não for possível, que haja contratos claros, controle de acesso rigoroso e auditoria de leitura.
Riscos que a criptografia resolve e riscos que ela não resolve
Vender criptografia como solução universal é tão equivocado quanto ignorá-la. Compreender os limites é o que separa uma decisão técnica madura de uma falsa sensação de segurança — e a segunda é mais perigosa que a primeira, porque desativa a cautela.
Cenários de exposição que custam registro profissional e confiança
Considere situações banais. O notebook do consultório é furtado do carro; sem cifragem de disco, milhares de anotações clínicas ficam acessíveis. Uma pasta do prontuário eletrônico é compartilhada por engano com um link público. Um e-mail com laudo é enviado para o endereço errado. Um sistema de gestão sofre invasão e expõe dados de todos os profissionais que o utilizam. Em cada um desses casos, a pergunta decisiva é a mesma: o conteúdo estava cifrado, e as chaves permaneceram protegidas?
Quando a resposta é afirmativa, o incidente passa a ser tratado como evento de segurança, com obrigações de registro e resposta, mas sem exposição do conteúdo sigiloso. Quando é negativa, prontuário psicologia cfp o psicólogo enfrenta simultaneamente a investigação da ANPD, a possibilidade de ação civil por dano moral, a sindicância no CRP e a perda irreparável da confiança de pacientes que descobrem seus históricos expostos.
O que nenhuma criptografia salva: phishing, dispositivos comprometidos e chaves perdidas
Criptografia protege o dado, não o comportamento. Se um malware captura a tela do computador enquanto o prontuário está aberto, o conteúdo foi lido antes de qualquer cifragem entrar em ação. Se o psicólogo é vítima de phishing e entrega suas credenciais, o atacante acessa o sistema legítimo com as permissões legítimas. Se um dispositivo compartilhado com familiares mantém a sessão aberta, o acesso indevido acontece sem violação técnica alguma.
Também existe o risco inverso e frequentemente ignorado: a perda da chave. Um prontuário cifrado sem plano de recuperação pode se tornar permanentemente ilegível, o que configura descumprimento do dever de guarda documental. Sistemas bem projetados usam criptografia de envelope, com chaves de dados protegidas por uma chave mestra sob gestão de serviço especializado, além de mecanismos de recuperação auditáveis. O ponto prático é claro: só adote criptografia com estratégia de recuperação testada.
Backup, retenção e o dia em que você precisa recuperar um prontuário
Backup criptografado é obrigatório, e a cópia precisa herdar a proteção do original. Uma pasta de backup em disco externo sem cifragem anula todo o investimento feito no sistema principal, assim como um backup na nuvem em conta pessoal sem autenticação multifator. O ideal é a regra de três cópias, em dois tipos de mídia, com uma delas fora do local de trabalho.
A retenção, por sua vez, exige política explícita: por quanto tempo cada categoria de registro será mantida, quem pode eliminar, como a eliminação é registrada e como se garante que cópias residuais também sejam apagadas. Dados sensíveis descartados incorretamente continuam sendo dados sensíveis, e o descarte de mídia precisa ser feito com sanitização adequada.
Como implementar criptografia no prontuário psicológico sem virar especialista em segurança
A parte mais difícil já passou: entender o que está em jogo. Agora a execução pode ser organizada em três frentes — escolha do sistema, migração do papel e rotina diária —, e cada uma delas se resolve com perguntas objetivas e decisões pequenas.
Escolhendo o sistema: perguntas que você deve fazer ao fornecedor
Um fornecedor preparado responde sem rodeios. Se hesitar, isso já é uma resposta. Pergunte, por escrito:
Os dados são cifrados em repouso? Com qual algoritmo e em qual provedor de nuvem? A transmissão usa TLS 1.2 ou superior em todas as rotas, inclusive nas APIs internas? Existe modelo zero-knowledge, em que o fornecedor não consegue ler o conteúdo do prontuário? Como as chaves são gerenciadas, quem tem acesso a elas e com qual frequência são rotacionadas? Há autenticação multifator obrigatória e controle de acesso por perfil de usuário? Existem logs de auditoria que registram quem leu, alterou ou exportou cada prontuário? Qual é o plano de resposta a incidentes e em quanto tempo o fornecedor comunica um vazamento? O contrato define o fornecedor como operador de dados e prevê suboperadores e transferência internacional? Como funciona a exportação dos dados em formato aberto caso você decida trocar de sistema?
A última pergunta é estratégica. Portabilidade sem dependência de fornecedor reduz o risco de ficar preso a uma plataforma insegura por medo de perder o histórico.
Migrando do papel para o digital com validade documental
A digitalização de prontuários físicos deve preservar três coisas: legibilidade, integridade e rastreabilidade. Digitalize em resolução adequada, em formato PDF/A quando possível, e mantenha registro de quem digitalizou, quando e a partir de qual documento original. No Brasil, a Medida Provisória nº 2.200-2/2001 sustenta a validade jurídica de documentos eletrônicos e admite assinaturas digitais com certificado da ICP-Brasil ou outras formas que garantam autenticidade e integridade.
Depois da digitalização, defina o destino do papel. Manter originais indefinidamente em armário sem controle é tão problemático quanto eliminá-los sem critério. A prática prudente é conservar o original quando houver exigência legal específica ou risco de questionamento judicial, e destruir com registro formal nos demais casos, garantindo que a versão digital esteja cifrada, com backup verificado antes do descarte.
Rotina mínima de segurança no consultório
A adoção se sustenta em hábitos simples:
Cifragem de disco ativada em todos os equipamentos que acessam prontuários, incluindo celulares; Autenticação multifator em e-mail, sistema de prontuário, nuvem e contas pessoais usadas profissionalmente; Bloqueio automático de tela e senha de desbloqueio longa ou biometria; Nenhum prontuário em pendrive sem cifragem, em conversas pessoais ou em rascunhos de e-mail; Compartilhamento sempre por link protegido, com senha enviada por canal separado e prazo de expiração; Nunca nomear arquivos com o nome completo do paciente: use códigos ou iniciais; Backup criptografado com teste de restauração trimestral; Revisão anual dos acessos concedidos a estagiários, secretárias e equipe de TI.
Cada item reduz um vetor de exposição conhecido e cria evidência de diligência, o que tem valor direto em eventual sindicância ética ou questionamento judicial.
Resumo prático: o que fazer nos próximos 30 dias
A criptografia de dados em prontuário psicológico é, em essência, uma decisão sobre proporcionalidade: quanto esforço proteger informações que, se expostas, podem destruir a relação terapêutica e a carreira do profissional. O risco cresce com o volume acumulado de registros digitais, e o custo de agir aumenta a cada ano de história clínica armazenada sem proteção.
Um plano exequível em um mês:
Mapeie onde os prontuários estão. Liste sistema de gestão, computadores, celulares, e-mails, nuvens pessoais, pendrives e a pasta de backups. Você não protege o que não sabe que existe. Ative a cifragem de disco em todos os dispositivos que acessam dados clínicos, começando pelo notebook principal e pelo celular. Habilite autenticação multifator em e-mail, prontuário eletrônico, armazenamento em nuvem e contas usadas para compartilhar arquivos. Interrogue o fornecedor do prontuário com a lista de perguntas técnicas e registre as respostas por escrito. Respostas vagas indicam risco. Crie uma política de retenção e descarte alinhada à Resolução CFP nº 001/2009 e ao artigo 16 da LGPD, definindo prazos e responsáveis. Implante backup cifrado com uma cópia fora do local de trabalho e faça um teste real de restauração antes de considerar a rotina pronta. Escreva um plano de resposta a incidentes de uma página: quem faz o quê nas primeiras 72 horas, incluindo o prazo de três dias úteis de comunicação à ANPD previsto na regulamentação vigente. Migre o papel com registro, mantendo rastreabilidade da digitalização, validade documental e critérios claros para o descarte dos originais. Treine a equipe e documente o treinamento. A maior parte dos vazamentos nasce de erro humano, não de falha criptográfica. Reavalie anualmente. Algoritmos evoluem, fornecedores mudam, equipes se renovam. Segurança de prontuário é processo contínuo, não projeto com data de conclusão.
O psicólogo que executa esses passos não elimina todo risco, mas muda de posição. Deixa de depender da sorte e passa a demonstrar, com evidências, que cumpriu o dever de diligência sobre dados sensíveis. Em um cenário de fiscalização da ANPD, de reclamação no Conselho Regional ou de incidente real, essa diferença entre ter feito e não ter feito é o que define a consequência — e a carreira.