Guias · Atualizado em 12/10/2026

RGPD e o processo clínico do psicólogo: o que a lei pede

Um processo clínico de psicologia é, para o RGPD, um tratamento de dados de saúde — a categoria que a lei mais protege. Este guia junta o que o regulamento europeu, a lei portuguesa que o executa e o Código Deontológico da Ordem dizem sobre ele, artigo a artigo.

Este guia é informativo e não é aconselhamento jurídico nem fiscal. Cada afirmação remete para uma fonte listada no fim; confirme-a para o seu caso.

Dados de saúde: uma categoria especial

O RGPD define dados relativos à saúde como os «dados pessoais relacionados com a saúde física ou mental de uma pessoa singular, incluindo a prestação de serviços de saúde, que revelem informações sobre o seu estado de saúde» (art. 4.º, 15)). Uma nota de sessão, um resultado de um teste, uma hipótese de diagnóstico e o simples registo de que alguém é seu paciente cabem nesta definição.

O art. 9.º, n.º 1 começa por proibir o tratamento destes dados. Tudo o que um psicólogo faz com eles assenta numa das exceções do n.º 2.

O fundamento: cuidados de saúde, não (só) consentimento

Há duas exceções que interessam a um consultório. A alínea a) permite o tratamento com o «consentimento explícito» do titular. A alínea h) permite-o quando é necessário para «o diagnóstico médico, a prestação de cuidados ou tratamentos de saúde […] por força de um contrato com um profissional de saúde», desde que, pelo n.º 3, os dados sejam tratados «por ou sob a responsabilidade de um profissional sujeito à obrigação de sigilo profissional».

A leitura que decorre destes artigos — e do art. 29.º, n.º 2 da Lei n.º 58/2019, que liga expressamente a alínea h) ao profissional obrigado a sigilo — é que o processo clínico de um psicólogo assenta, em regra, na alínea h). O consentimento continua a existir, mas é outro: o consentimento informado para a intervenção, que o Código Deontológico da OPP manda documentar no processo (norma 1.15). Quando assenta o tratamento no consentimento do RGPD, assume também que ele pode ser retirado a qualquer momento — o que não combina bem com um dever de conservar registos.

Dados que não são necessários para a intervenção — uma lista de contactos para uma newsletter, por exemplo — não cabem na alínea h) e precisam do seu próprio fundamento.

Quem pode ver o quê

A Lei n.º 58/2019 é direta: «nos tratamentos de dados de saúde […] o acesso a dados pessoais rege-se pelo princípio da necessidade de conhecer a informação» (art. 29.º, n.º 1). Todos os trabalhadores e prestadores de serviços do responsável pelo tratamento que acedam a dados de saúde estão obrigados a sigilo (n.º 4).

Num consultório, isto traduz-se em perguntas concretas:

Uma pessoa que marca consultas e trata dos pagamentos precisa do nome, do contacto, das datas e dos valores. Não precisa das notas clínicas, nem dos resultados dos testes.
Um colega que o substitui durante as férias precisa do que é necessário para dar continuidade — não necessariamente de todo o histórico.
O próprio Código Deontológico manda recolher e registar «apenas a informação estritamente necessária sobre o/a cliente, de acordo com os objetivos em causa» (norma 2.2), e transmitir informação confidencial «exclusivamente em relação à informação estritamente imprescindível», «não existindo o direito à curiosidade» (norma 2.7.1).

A lei prevê ainda que o titular seja notificado de qualquer acesso aos seus dados de saúde (art. 29.º, n.º 6) e remete os requisitos técnicos — permissões diferenciadas, autenticação, registo dos acessos — para uma portaria (n.º 7). Confirme junto da CNPD se essa portaria já foi publicada e o que exige ao seu caso.

Quanto tempo guardar o processo

O RGPD não fixa um prazo: manda conservar os dados identificáveis «apenas durante o período necessário para as finalidades» (art. 5.º, n.º 1, al. e)). A Lei n.º 58/2019 completa: o prazo é o que estiver fixado por norma legal ou regulamentar ou, na falta dela, o necessário para a finalidade (art. 21.º, n.º 1); terminada a finalidade, os dados são destruídos ou anonimizados (n.º 4).

Para os psicólogos, o Código Deontológico em vigor desde 19 de agosto de 2024 (Regulamento n.º 898/2024) fixa um mínimo: os registos «devem ser guardados durante o período mínimo de 5 anos depois da conclusão da intervenção, período durante o qual o/a cliente pode solicitar a sua consulta» (norma 5.5). Os 5 anos contam do fim da intervenção, não da última nota.

A mesma norma diz que os registos, excetuando as folhas de protocolo dos testes, são propriedade do cliente, e que o psicólogo é responsável pela sua segurança e sigilo. Se o cliente pedir que sejam eliminados, é preciso um consentimento informado específico, por escrito, sem prejuízo do prazo mínimo (norma 5.6).

O acesso do próprio cliente

O Código Deontológico garante ao cliente o «direito de acesso à informação sobre si a todo o momento» e a ajuda adequada para a compreender (norma 2.3). O RGPD dá-lhe o direito de obter uma cópia dos dados (art. 15.º, n.º 3), sem prejuízo dos direitos de terceiros (n.º 4) — o que importa quando uma nota fala de outras pessoas.

O Código distingue os registos das notas pessoais, que o psicólogo produz para organizar o seu trabalho: estas são propriedade do psicólogo, mas «merecem a mesma proteção que os registos em relação à sua privacidade» (norma 5.7). Nenhuma das fontes deste guia diz que as notas pessoais ficam fora de um pedido de acesso feito ao abrigo do RGPD — não parta desse princípio sem parecer jurídico.

Pseudonimizar: separar quem é de o que tem

O RGPD define pseudonimização como tratar os dados de forma que «deixem de poder ser atribuídos a um titular de dados específico sem recorrer a informações suplementares, desde que essas informações suplementares sejam mantidas separadamente» (art. 4.º, 5)). Dá-a como exemplo de proteção de dados desde a conceção (art. 25.º, n.º 1) e de medida de segurança, a par da cifragem (art. 32.º, n.º 1, al. a)).

Na prática, é o que um processo em papel faz quando a capa tem um número e a lista que liga números a nomes está noutra gaveta. Num sistema informático, quer dizer que as notas, as consultas e os resultados se referem a um código, e o nome, o contacto e o NIF vivem noutro sítio, juntados só onde alguém precisa de os ler. Uma cópia das notas que saia do sítio onde deveria estar é então uma lista de códigos.

Dados pseudonimizados continuam a ser dados pessoais — quem tem a tabela de correspondência identifica a pessoa. Pseudonimizar reduz o risco; não tira o processo do RGPD.

O resto da lista

Registo das atividades de tratamento (art. 30.º). A dispensa para organizações com menos de 250 trabalhadores não se aplica a quem trata dados de saúde (n.º 5) — um consultório individual também o deve ter.
Contrato com quem trata os dados por si (art. 28.º): o software de gestão, o alojamento, o serviço de email. O contrato fixa o objeto, a duração, o tipo de dados e as instruções.
Violações de dados (art. 33.º): notificar a CNPD sem demora injustificada e, sempre que possível, até 72 horas depois de ter conhecimento — e comunicar aos titulares quando o risco for elevado (art. 34.º).
Avaliação de impacto e encarregado de proteção de dados: são obrigatórios para tratamentos de dados de saúde «em grande escala» (arts. 35.º e 37.º), e o considerando 91 diz que os dados dos pacientes de um profissional de saúde individual não devem ser considerados de grande escala. Mas a lista da CNPD de tratamentos sujeitos a avaliação de impacto inclui, por exemplo, dados de saúde transmitidos por dispositivos eletrónicos em rede e categorias especiais com novas tecnologias — leia-a antes de concluir que não se aplica.

Como o menteo trata isto

No menteo, um paciente é um número interno. As consultas, as notas clínicas, os exercícios, os testes e a faturação referem-se a esse número; o nome, o contacto, a data de nascimento e o NIF estão numa tabela separada e só são juntados onde alguém tem de os ler. Não existe rota na área do paciente que devolva uma nota clínica. O que está feito, e o que ainda não está — o registo de acessos, por exemplo —, está descrito na página de segurança.

Segurança e RGPD no menteo

Modelo para imprimir

O que este guia explica, numa folha pronta a preencher: Modelo de consentimento informado para acompanhamento psicológico (com RGPD).