RGPD e dados de pacientes: o que um psicólogo precisa de garantir
8 min de leitura · atualizado em 13/08/2026
Este texto é uma orientação prática, não aconselhamento jurídico. Serve para reconhecer as obrigações que aparecem no dia a dia de um consultório de psicologia em Portugal e perceber onde vale a pena procurar apoio especializado.
Dados de saúde são categoria especial
O artigo 9.º do RGPD trata dados relativos à saúde como categoria especial, com proteção reforçada. Na prática, isto eleva a fasquia das medidas técnicas e organizativas que tem de conseguir demonstrar — controlo de acessos, cifra e limitação de quem vê o quê.
É responsável pelo tratamento
Enquanto profissional, é responsável pelo tratamento dos dados dos seus pacientes. Os fornecedores que usa para os tratar — sistema de gestão, alojamento, correio eletrónico — são subcontratantes e precisam de contrato escrito nos termos do artigo 28.º.
Recolha apenas o necessário
O princípio da minimização é o mais fácil de aplicar e o mais esquecido. Se um campo não serve para acompanhar ou para faturar, não o recolha. Menos dados guardados é menos superfície de risco.
Conservação com prazo
Registos clínicos e documentos com relevância fiscal têm prazos distintos. Defina por escrito quanto tempo conserva cada tipo de registo e o que faz no fim desse prazo, em vez de acumular indefinidamente.
Direitos dos titulares
Um paciente pode pedir acesso, retificação, portabilidade e, dentro dos limites legais, apagamento. Precisa de conseguir responder em prazo — o que é muito mais simples quando tudo está num sistema com exportação em formato aberto.
- Acesso aos dados que guarda sobre a pessoa.
- Retificação de dados incorretos.
- Portabilidade em formato aberto.
Cuidados com canais informais
Nomes de pacientes em calendários pessoais, ficheiros em serviços de nuvem pessoais e conversas com informação clínica em aplicações de mensagens são as três fugas mais comuns. Definir onde a informação clínica pode viver resolve a maioria.
Violações de dados
Se houver uma violação de dados pessoais com risco para os titulares, existe obrigação de notificação à autoridade de controlo, em regra em 72 horas. Saber a quem liga no dia em que isso acontece faz parte de estar preparado.
Perguntas frequentes
- Preciso de encarregado de proteção de dados?
- Nem todos os consultórios precisam. Depende sobretudo da escala e da natureza do tratamento — é uma avaliação a fazer caso a caso, de preferência com apoio jurídico.
- Posso guardar registos clínicos numa nuvem pessoal?
- É desaconselhável. Falta contrato de subcontratação, controlo de acessos e capacidade de demonstrar as medidas aplicadas.