Dados de Saúde Mental: Proteção Reforçada

Dados de saúde mental recebem proteção jurídica reforçada no Brasil, e empresas que os tratam sem cautela extrema enfrentam sanções severas da ANPD.

Por que dados de saúde mental exigem proteção diferenciada

Quando falamos em dados pessoais sensíveis, os registros de saúde mental ocupam uma posição de vulnerabilidade singular. A Lei Geral de Proteção de Dados (LGPD) classifica dados referentes à saúde como sensíveis em seu artigo 5º, inciso II, submetendo-os a um regime jurídico mais restritivo. No entanto, dentro dessa categoria ampla, as informações sobre condições psiquiátricas, acompanhamento psicológico, uso de medicamentos psicotrópicos e diagnósticos de transtornos mentais carregam um potencial discriminatório que supera, em muitos cenários práticos, o de outros dados de saúde.

Consideramos que essa proteção reforçada se justifica por razões concretas. O estigma social associado a condições de saúde mental permanece arraigado na cultura brasileira. Um vazamento de informações sobre tratamento psiquiátrico pode comprometer relações de trabalho, processos seletivos, contratação de seguros e até vínculos familiares. Diferentemente de um exame laboratorial de rotina, um laudo psicológico ou psiquiátrico revela aspectos íntimos da personalidade e da história de vida do titular, tornando a exposição indevida especialmente danosa.

No contexto de due diligence de dados, essa realidade impõe às organizações um dever de investigação aprofundada. Antes de adquirir uma empresa, firmar parcerias ou integrar sistemas, verificamos se os bancos de dados envolvidos contêm registros de saúde mental e, em caso positivo, qual o nível de proteção técnica e jurídica efetivamente implementado. A ausência dessa verificação pode transformar uma operação comercial aparentemente vantajosa em um passivo regulatório de proporções significativas.

O regime jurídico aplicável e suas implicações práticas

A LGPD estabelece, em seu artigo 11, que o tratamento de dados sensíveis somente pode ocorrer em hipóteses taxativas. Para dados de saúde mental, as bases legais mais relevantes na prática são o consentimento específico e destacado do titular, a tutela da saúde em procedimento realizado por profissionais da área ou por entidades sanitárias, e o cumprimento de obrigação legal ou regulatória. Cada uma dessas bases impõe requisitos próprios que precisamos examinar durante qualquer processo de due diligence.

O consentimento, quando utilizado como base legal, precisa atender a critérios rigorosos de especificidade. Não basta um termo genérico autorizando o “tratamento de dados de saúde”. O titular deve compreender exatamente quais informações de saúde mental serão coletadas, para qual finalidade específica, por quanto tempo serão armazenadas e com quem poderão ser compartilhadas. Verificamos, nos processos de auditoria, que a maioria dos termos de consentimento utilizados por empresas de tecnologia em saúde (healthtechs) e por operadoras de planos de saúde não atende a esse grau de especificidade, o que fragiliza toda a cadeia de tratamento.

A base legal de tutela da saúde, prevista no artigo 11, inciso II, alínea “f”, exige que o tratamento seja realizado exclusivamente por profissionais de saúde, serviços de saúde ou autoridade sanitária. Quando identificamos, durante a due diligence, que dados de saúde mental são acessados por equipes administrativas, departamentos de recursos humanos ou sistemas de inteligência artificial sem supervisão clínica direta, constatamos uma irregularidade que pode comprometer a legitimidade de todo o tratamento.

Além da LGPD, precisamos considerar o arcabouço regulatório setorial. O Conselho Federal de Medicina e o Conselho Federal de Psicologia possuem resoluções específicas sobre prontuários eletrônicos e sigilo profissional que se sobrepõem às normas gerais de proteção de dados. A Resolução CFM nº 1.638/2002, por exemplo, estabelece critérios para a guarda de prontuários que impactam diretamente políticas de retenção de dados. O Código de Ética do Psicólogo impõe deveres de sigilo que podem conflitar com solicitações de compartilhamento de dados em contextos corporativos.

Due diligence de dados de saúde mental: metodologia e pontos críticos

Quando conduzimos uma due diligence focada em dados de saúde mental, adotamos uma abordagem que vai além da simples verificação documental. O processo envolve cinco dimensões que consideramos indispensáveis para uma avaliação adequada do risco.

Mapeamento e inventário de dados

A primeira etapa consiste em identificar todos os fluxos de dados que envolvem informações de saúde mental. Isso inclui não apenas os sistemas primários (prontuários eletrônicos, plataformas de telemedicina, aplicativos de bem-estar), mas também sistemas secundários onde esses dados podem transitar de forma menos evidente: ferramentas de RH que registram afastamentos por CID, programas de assistência ao empregado (EAP), pesquisas de clima organizacional com perguntas sobre saúde emocional e plataformas de benefícios que processam reembolsos de consultas psicológicas.

Frequentemente encontramos dados de saúde mental “ocultos” em campos de texto livre, anotações de gestores sobre desempenho de colaboradores ou em metadados de sistemas que, embora não armazenem diagnósticos diretamente, permitem inferências sobre condições psicológicas. Esses dados inferidos também recebem proteção da LGPD e precisam ser mapeados.

Avaliação de bases legais e finalidades

Para cada fluxo identificado, verificamos se existe base legal adequada e se a finalidade declarada corresponde ao uso efetivo dos dados. Analisamos contratos com operadores de dados, termos de consentimento, políticas de privacidade e registros de operações de tratamento (ROPA). Um problema recorrente que identificamos é a utilização de dados coletados para finalidade clínica em contextos de analytics, desenvolvimento de produtos ou treinamento de algoritmos, sem que o titular tenha sido informado sobre esses usos secundários.

Segurança técnica e controles de acesso

A proteção reforçada de dados de saúde mental exige medidas técnicas proporcionais ao risco. Avaliamos a implementação de criptografia (em trânsito e em repouso), controles de acesso baseados em função (RBAC), registros de auditoria (logs de acesso), pseudonimização ou anonimização quando aplicável e procedimentos de resposta a incidentes. Verificamos se os controles de acesso refletem o princípio da necessidade de conhecer, garantindo que apenas profissionais com justificativa legítima possam acessar esses registros.

A proteção de dados de saúde mental não é apenas uma exigência regulatória, é um compromisso ético com a dignidade e a privacidade de pessoas em situação de vulnerabilidade emocional.

Transferências e compartilhamentos

Mapeamos todas as transferências de dados de saúde mental, sejam elas entre controladores, de controlador para operador, ou internacionais. Cada transferência precisa estar amparada por instrumento contratual adequado (contrato de processamento de dados, cláusulas contratuais padrão para transferências internacionais) e respeitar os limites da finalidade original. Verificamos se os operadores de dados (laboratórios, clínicas terceirizadas, provedores de tecnologia em nuvem) oferecem garantias suficientes de proteção e se foram realizadas avaliações de impacto quando o compartilhamento envolve riscos elevados.

Governança e conformidade contínua

Por fim, avaliamos a maturidade do programa de governança de dados da organização auditada. Isso inclui a existência de encarregado de proteção de dados (DPO), políticas internas atualizadas, programas de treinamento para colaboradores que lidam com dados sensíveis, procedimentos para atender direitos dos titulares e mecanismos de monitoramento contínuo. Uma organização pode estar em conformidade pontual no momento da due diligence, mas sem governança estruturada, a tendência é que desvios surjam rapidamente após a conclusão do processo.

Riscos específicos e cenários de exposição

Durante os processos de due diligence que conduzimos, identificamos padrões recorrentes de risco associados a dados de saúde mental que merecem atenção especial das organizações.

O primeiro cenário envolve programas corporativos de saúde e bem-estar. Muitas empresas implementam plataformas de apoio psicológico para colaboradores sem avaliar adequadamente os fluxos de dados gerados. Informações sobre frequência de sessões, temas abordados (ainda que de forma agregada) e níveis de risco psicológico podem retornar ao departamento de RH de maneiras que comprometem a confidencialidade do colaborador. Quando adquirimos ou nos associamos a uma empresa com esse tipo de programa, herdamos não apenas os dados, mas também os riscos de tratamento irregular.

O segundo cenário diz respeito a aplicativos de saúde mental e bem-estar emocional. O mercado brasileiro de saúde digital cresceu expressivamente nos últimos anos, com dezenas de aplicativos oferecendo meditação guiada, monitoramento de humor, diários emocionais e conexão com terapeutas. Esses aplicativos coletam dados extremamente sensíveis (padrões de sono, registros de ansiedade, relatos de ideação suicida) que, em caso de incidente de segurança ou uso indevido, podem causar danos irreparáveis aos titulares.

O terceiro cenário envolve a integração de sistemas após fusões e aquisições. Quando duas organizações de saúde se fundem, a consolidação de prontuários eletrônicos e sistemas de gestão clínica cria janelas de vulnerabilidade. Dados de saúde mental de pacientes podem ser expostos a profissionais que não possuem relação terapêutica com o titular, violando tanto a LGPD quanto normas deontológicas dos conselhos profissionais.

Um quarto cenário, cada vez mais relevante, envolve o uso de inteligência artificial para análise de dados de saúde mental. Algoritmos de triagem, predição de risco e recomendação de tratamento processam informações sensíveis em escala, frequentemente sem que os titulares compreendam a extensão do tratamento automatizado. A LGPD garante, em seu artigo 20, o direito à revisão de decisões automatizadas, o que impõe obrigações adicionais às organizações que utilizam IA nesse contexto.

Recomendações para organizações que tratam dados de saúde mental

Com base na experiência acumulada em processos de due diligence, consolidamos recomendações práticas que consideramos essenciais para organizações que lidam com dados de saúde mental.

Primeiramente, recomendamos a elaboração de um Relatório de Impacto à Proteção de Dados Pessoais (RIPD) específico para operações que envolvam dados de saúde mental. Embora a ANPD ainda não tenha regulamentado de forma definitiva os casos em que o RIPD é obrigatório, entendemos que o tratamento de dados de saúde mental configura hipótese de alto risco que justifica a elaboração preventiva desse documento.

Em segundo lugar, sugerimos a implementação de políticas de minimização de dados rigorosas. Organizações devem coletar apenas as informações de saúde mental estritamente necessárias para a finalidade declarada, evitando a tentação de acumular dados “para uso futuro”. A minimização reduz a superfície de ataque em caso de incidentes e simplifica o cumprimento de obrigações regulatórias.

Também recomendamos a adoção de técnicas de pseudonimização sempre que possível, separando dados identificadores de dados clínicos em repositórios distintos, com chaves de ligação controladas. Essa medida não elimina a natureza sensível dos dados, mas reduz significativamente o impacto de acessos não autorizados.

Por fim, destacamos a importância de estabelecer canais específicos para que titulares de dados de saúde mental exerçam seus direitos. O pedido de acesso, correção ou eliminação de dados psicológicos merece tratamento diferenciado, com prazos reduzidos e verificação de identidade reforçada, considerando a sensibilidade excepcional dessas informações.

As informações deste artigo são de caráter informativo e não substituem consulta jurídica individualizada.

As informações deste artigo são de caráter informativo e não substituem consulta jurídica individualizada.