CLINITRAO que é a CFP Resolução 06/2019?
Resolução CFP nº 06/2019 é a norma do Conselho Federal de Psicologia que regulamenta a elaboração e guarda do prontuário psicológico. Ela substitui a Resolução 001/2009 e trouxe exigências importantes especificamente para o formato eletrônico.
O prontuário psicológico é um documento obrigatório, sigiloso e de responsabilidade do profissional, independentemente de estar em papel ou digital. Se você atende pacientes, você tem essa obrigação.
O que deve constar no prontuário, segundo a CFP?
A Resolução 06/2019 determina que o prontuário psicológico deve conter, no mínimo:
Identificação do paciente (nome, data de nascimento, contato)
Data de início e término do atendimento
Registro de cada sessão com data, conteúdo relevante e evolução
Documentos gerados no processo (laudos, relatórios, encaminhamentos)
Dados do profissional responsável (nome, CRP)
Para serviços e clínicas, o prontuário deve ser individual por paciente e acessível ao profissional responsável pelo atendimento.
Prontuário eletrônico: o que a resolução exige do sistema?
Aqui está o ponto que muita psicóloga desconhece: quando você usa um sistema digital para guardar prontuários, não basta o sistema "funcionar". A CFP exige requisitos técnicos específicos.
1. Criptografia dos dados
O Art. 9° da Resolução 06/2019 exige que sistemas eletrônicos de prontuário adotem mecanismos de criptografia para proteger o conteúdo dos registros. Isso significa que as notas de sessão, os dados do paciente e qualquer documento clínico devem ser armazenados de forma cifrada, ilegíveis para qualquer pessoa que não tenha autorização de acesso.
Um arquivo de texto no Google Docs ou numa planilha do Excel não atende a esse requisito. Esses dados ficam legíveis para o provedor da plataforma, para quem tiver acesso à conta e, em caso de vazamento, para qualquer pessoa.
2. Registro de acesso (trilha de auditoria)
A resolução determina que o sistema deve manter um registro de cada acesso ao prontuário: quem acessou, quando e o que fez. Esse log precisa ser preservado pelo mesmo prazo que o próprio prontuário.
Isso serve para dois fins: garantir a rastreabilidade em caso de questionamento ético ou jurídico, e demonstrar que o sigilo foi preservado.
3. Prazo de guarda: 5 anos (10 para menores)
O prontuário psicológico deve ser guardado por no mínimo 5 anos após o último atendimento. Para pacientes que eram menores de idade durante o atendimento, o prazo é de 10 anos a partir do encerramento do caso.
Isso significa que você não pode simplesmente deletar os dados de um paciente quando ele para de ser atendido. Os registros clínicos precisam permanecer acessíveis e protegidos.
4. Sigilo e controle de acesso
Apenas o profissional responsável pelo atendimento e, em contexto de clínica, quem tiver autorização explícita, pode acessar o prontuário. O sistema precisa garantir esse controle por meio de autenticação e permissões.
LGPD + CFP: uma combinação que você não pode ignorar
A CFP Resolução 06/2019 não existe no vácuo. Ela se soma à Lei Geral de Proteção de Dados (LGPD, Lei 13.709/2018), que classifica dados de saúde como dados sensíveis e exige proteções adicionais.
Na prática, isso significa que:
Você precisa de consentimento explícito do paciente para coletar e tratar os dados dele
Os dados precisam ser armazenados com segurança reforçada (criptografia é obrigatória)
O paciente tem direito a acessar, exportar e solicitar a eliminação dos seus dados
Em caso de vazamento grave, você tem obrigação de notificar a ANPD em até 72 horas
A psicóloga autônoma é, na prática, a Controladora dos dados dos seus pacientes sob a LGPD. Isso significa que a responsabilidade pela segurança desses dados é sua, mesmo que você use um sistema de terceiro para armazená-los.
O que acontece se eu não estiver em conformidade?
As consequências de não seguir a Resolução 06/2019 e a LGPD podem ser sérias.
Do ponto de vista do CFP: o descumprimento das normas de prontuário pode resultar em processo ético e sanções disciplinares pelo Conselho Regional de Psicologia (CRP) da sua região.
Do ponto de vista da LGPD: a Autoridade Nacional de Proteção de Dados (ANPD) pode aplicar multas de até 2% do faturamento, com teto de R$ 50 milhões por infração, além de advertências e obrigação de publicizar o incidente.
Do ponto de vista prático: em caso de reclamação de um paciente, o ônus de provar que os dados foram tratados corretamente é seu. Sem trilha de auditoria, sem criptografia e sem registro de consentimento, essa prova se torna impossível.
Checklist: seu sistema está em conformidade?
Use estas perguntas para avaliar o sistema que você usa atualmente:
Os registros clínicos são armazenados com criptografia?
O sistema registra quem acessou cada prontuário e quando?
Os dados são retidos automaticamente pelo prazo mínimo de 5 anos?
Existe controle de quem pode acessar cada prontuário?
O sistema permite que você exporte os dados do paciente em formato estruturado?
Existe uma forma de anonimizar os dados de um paciente que solicitar a eliminação, preservando os registros clínicos?
O sistema tem autenticação com verificação em dois fatores (2FA)?
Se você respondeu "não" ou "não sei" para qualquer um desses itens, vale a pena revisar a solução que você está usando.
Planilha, Google Docs e WhatsApp: por que não servem
É muito comum psicólogas autônomas usarem soluções caseiras para registrar sessões. São compreensíveis: gratuitas, já conhecidas e simples de usar. Mas elas têm problemas sérios do ponto de vista regulatório.
Google Docs e Drive: os dados ficam nos servidores do Google, sem criptografia específica para dados de saúde, sem trilha de auditoria clínica e sem controle de retenção. O Google não é signatário de nenhum acordo de processamento de dados compatível com a LGPD para fins de saúde no Brasil.
Planilhas Excel/LibreOffice: armazenadas localmente ou em nuvem, sem controle de acesso granular, sem log de auditoria e sem criptografia por campo. Um arquivo compartilhado por e-mail já é uma violação de sigilo.
WhatsApp e e-mail: comunicação com pacientes por canais não adequados para fins de prontuário é problemática. O WhatsApp Business, em particular, armazena metadados que podem ser acessados pela Meta.
Nenhum desses canais foi projetado para cumprir os requisitos da CFP 06/2019 ou da LGPD.
O que procurar em um sistema de gestão clínica
Ao escolher uma plataforma para gerenciar sua clínica, verifique se ela oferece:
Criptografia real dos dados: não apenas HTTPS na transmissão, mas criptografia dos dados armazenados, o que os especialistas chamam de criptografia em repouso. Cada campo sensível (notas clínicas, CPF, data de nascimento) deve ser armazenado de forma cifrada.
Trilha de auditoria: registro automático de cada acesso a prontuários, com data, hora e identificação do usuário. Esse log deve ser imutável e retido pelo prazo legal.
Gestão de retenção: o sistema deve preservar automaticamente os registros clínicos pelo prazo mínimo exigido pelo CFP, mesmo quando um paciente é desativado ou solicita a eliminação dos seus dados pessoais.
Direitos LGPD implementados: exportação dos dados do paciente em formato estruturado e mecanismo de anonimização que remove os dados pessoais preservando os registros clínicos.
Autenticação forte: 2FA obrigatório para operações críticas, como exclusão ou anonimização de dados.
Perguntas frequentes
A Resolução 06/2019 se aplica a psicólogas autônomas ou só a clínicas?
Aplica-se a todos os profissionais de psicologia registrados no CFP, independentemente do vínculo empregatício ou do porte da operação. Se você atende pacientes, você tem obrigação de manter prontuário conforme a resolução.
Posso continuar usando papel e digitalizar depois?
Sim. A resolução permite prontuário em papel. Mas se você digitalizar, o arquivo digital passa a ser sujeito às mesmas exigências de segurança. E prontuários apenas em papel criam riscos de perda, deterioração e acesso não autorizado físico.
O que é "criptografia em repouso" e por que é diferente do HTTPS?
HTTPS protege os dados enquanto eles viajam entre seu navegador e o servidor, durante a transmissão. Criptografia em repouso protege os dados enquanto eles estão armazenados no banco de dados. São camadas diferentes e complementares. A CFP exige que o conteúdo dos prontuários seja protegido mesmo se alguém acessar diretamente o banco de dados.
Preciso de um DPO (Encarregado de Dados) como psicóloga autônoma?
A ANPD tem orientado que profissionais autônomos de pequeno porte podem ser dispensados da obrigação formal de indicar um DPO. Mas você ainda precisa cumprir os demais requisitos da LGPD: consentimento, segurança e direitos dos titulares.
Se meu paciente pede para apagar os dados dele, devo deletar o prontuário?
Não exatamente. A LGPD permite que você preserve os registros clínicos com base em obrigação legal, pois a CFP exige a guarda por 5 anos. O correto é anonimizar os dados pessoais (nome, CPF, telefone) enquanto preserva o conteúdo clínico. Um sistema bem projetado faz isso automaticamente.
Conclusão
A CFP Resolução 06/2019 não é burocracia: é a proteção ética e legal tanto do paciente quanto da profissional. Cumprir seus requisitos significa que, em caso de qualquer questionamento, você tem documentação, rastreabilidade e prova de que agiu com responsabilidade.
A boa notícia é que, com o sistema certo, toda essa conformidade acontece automaticamente. Você não precisa pensar em criptografia, em log de auditoria ou em prazos de retenção: o sistema cuida disso enquanto você cuida dos seus pacientes.
A Clinitra foi desenvolvido com conformidade nativa à CFP Resolução 06/2019 e à LGPD: criptografia AES-256-GCM por campo, trilha de auditoria com retenção de 5 anos, anonimização que preserva registros clínicos e 2FA obrigatório para operações críticas. Conheça Clinitra
Referências:
CFP Resolução nº 06/2019 — Conselho Federal de Psicologia
Lei 13.709/2018 — Lei Geral de Proteção de Dados (LGPD)
ANPD — Guia Orientativo para Definições dos Agentes de Tratamento e do Encarregado