RGPD e gravação de sessões de terapia: o que os terapeutas precisam de saber

Gravar ou transcrever uma sessão de terapia remota não é apenas uma decisão técnica, mas também uma decisão legal. Ao abrigo do Regulamento Geral sobre a Proteção de Dados (RGPD), a informação sobre saúde mental encontra-se no nível mais elevado de sensibilidade de dados. As obrigações decorrentes dessa classificação afetam todos os profissionais privados e clínicos institucionais que utilizam ferramentas de documentação digital. À medida que as ferramentas de documentação com inteligência artificial se tornam mais acessíveis, os terapeutas em toda a Europa enfrentam cada vez mais questões para as quais a sua formação raramente os preparou: Que base legal é necessária? Posso armazenar uma transcrição? O que devo comunicar ao meu paciente? As respostas são específicas, têm consequências e, em alguns casos, podem implicar penalizações financeiras significativas em caso de incumprimento.

Porque é que o RGPD se aplica com força acrescida aos dados de sessões de terapia

Os dados de saúde mental são classificados como uma categoria especial de dados pessoais ao abrigo do Artigo 9.º do RGPD. Estão ao mesmo nível de proteção que os dados genéticos, biométricos e relativos à origem racial ou étnica. A regra geral do Artigo 9.º, n.º 1, é que o tratamento desta categoria de dados é proibido, salvo se se aplicar uma das dez exceções previstas no Artigo 9.º, n.º 2. Trata-se de um limiar substancialmente mais elevado do que a base legal padrão exigida pelo Artigo 6.º para dados pessoais comuns.

Esta classificação elevada aplica-se independentemente do contexto da prática. Mesmo um consultório de psicoterapia individual deve cumprir integralmente os requisitos do Artigo 9.º, pois trata, por definição, dados de saúde de categoria especial. O conteúdo das sessões de terapia pode incluir informações sensíveis como relatos de trauma, ideação suicida, identidade sexual ou consumo de substâncias. As autoridades nacionais de proteção de dados consideram qualquer falha em estabelecer uma base válida ao abrigo do Artigo 9.º, n.º 2, uma violação grave.

O RGPD funciona como um piso, não como um teto. Os Estados-Membros podem impor obrigações adicionais a nível nacional. O §203 do Código Penal alemão, por exemplo, impõe obrigações de sigilo profissional aos terapeutas, que afetam diretamente a forma como os dados das sessões podem ser tratados ou partilhados. Os terapeutas devem verificar junto da autoridade nacional de proteção de dados os requisitos específicos antes de implementarem qualquer ferramenta de documentação.

O que conta como "tratamento" quando grava ou transcreve uma sessão

Ao abrigo do RGPD, o termo "tratamento" abrange qualquer operação realizada sobre dados pessoais, seja automatizada ou manual. No contexto de uma sessão de terapia remota, todas as seguintes ações constituem tratamento:

• Gravar áudio ou vídeo da sessão

• Gerar uma transcrição em tempo real ou após a sessão

• Armazenar um resumo ou uma nota clínica gerada por inteligência artificial

• Submeter o conteúdo da sessão a uma ferramenta de documentação com inteligência artificial de terceiros

• Carregar uma gravação para um serviço de armazenamento na nuvem

O tratamento aplica-se igualmente a ferramentas totalmente automatizadas e a transcrições manuais assistidas por tecnologia. Não existe isenção para ferramentas descritas como "assistivas" ou "de apoio" em vez de totalmente autónomas. Se o conteúdo da sessão estiver a ser tratado de alguma forma por um sistema ou serviço, as obrigações do RGPD aplicam-se a partir desse momento.

A base legal que os terapeutas devem estabelecer antes de utilizar qualquer ferramenta de documentação

Como os dados de sessões de terapia são dados de categoria especial, os terapeutas devem satisfazer simultaneamente dois requisitos legais distintos: uma base legal ao abrigo do Artigo 6.º e uma condição separada ao abrigo do Artigo 9.º, n.º 2.

As duas condições do Artigo 9.º, n.º 2, mais relevantes para os terapeutas são:

• Artigo 9.º, n.º 2, alínea a): Consentimento explícito do titular dos dados

• Artigo 9.º, n.º 2, alínea h): Tratamento necessário para a prestação de cuidados de saúde ou sociais, sujeito a obrigações de sigilo profissional

O Artigo 9.º, n.º 2, alínea h), é a condição mais amplamente aplicável às organizações de saúde que prestam cuidados clínicos diretos. Está sujeita à condição de que o tratamento seja realizado por um profissional vinculado a uma obrigação legal de sigilo. Não se estende automaticamente a todas as utilizações subsequentes dos dados da sessão, como o envio de conteúdo para uma ferramenta de inteligência artificial operada por terceiros.

Para profissionais privados, basear-se apenas em interesses legítimos raramente é suficiente para dados de categoria especial. O consentimento explícito ao abrigo do Artigo 9.º, n.º 2, alínea a), é geralmente a via mais defensável, pois documenta diretamente o acordo do paciente com a atividade de tratamento específica. Qualquer que seja a base escolhida, deve ser documentada antes de qualquer tratamento começar. O terapeuta, enquanto responsável pelo tratamento de dados, tem o ónus de demonstrar que existe uma base válida.

O que o consentimento explícito realmente exige neste contexto

O consentimento explícito válido ao abrigo do RGPD tem um significado legal preciso. Deve ser:

• Livremente dado: O paciente não deve sofrer qualquer prejuízo por recusar

• Específico: O consentimento para gravação não implica consentimento para transcrição, tratamento por inteligência artificial ou partilha com um supervisor. Cada finalidade requer consentimento separado

• Informado: O paciente deve compreender ao que está a consentir, incluindo quem irá tratar os seus dados e como

• Inequívoco: Uma caixa pré-selecionada ou aceitação passiva não cumpre o padrão

• Explícito: Para dados de categoria especial, o consentimento deve ser expresso de forma clara e ativa. O consentimento implícito é insuficiente

O consentimento incluído num documento geral de termos e condições não cumpre este padrão. A orientação do Comité Europeu para a Proteção de Dados deixa claro que o consentimento deve ser granular e específico quanto à finalidade. Um terapeuta que obtém a assinatura de um paciente num acordo geral de terapia não obteve, com isso, consentimento para submeter o áudio da sessão a um serviço de transcrição com inteligência artificial.

O consentimento também deve ser obtido antes de qualquer gravação ou transcrição começar. O consentimento retroativo (perguntar a um paciente após a sessão se se importou de ter sido gravado) não satisfaz o requisito.

Minimização de dados: capturar apenas o que realmente necessita

O Artigo 5.º, n.º 1, alínea c), do RGPD estabelece o princípio da minimização de dados: os dados pessoais devem ser adequados, relevantes e limitados ao necessário para as finalidades para as quais são tratados. Aplicado à documentação de terapia, isto tem implicações práticas diretas.

Se uma nota clínica estruturada regista tudo o que é clinicamente necessário de uma sessão, reter a gravação de áudio completa ou a transcrição literal pode não ser justificável ao abrigo deste princípio. A questão relevante é se os dados mais detalhados servem uma finalidade que os dados menos detalhados não conseguem.

Na prática, isto significa:

• As ferramentas de documentação com inteligência artificial devem ser configuradas para gerar uma nota estruturada e depois eliminar a transcrição subjacente, a menos que exista uma razão clínica ou legal específica para a reter

• As gravações completas de sessões não devem ser armazenadas por defeito apenas por conveniência administrativa

• O âmbito do que a ferramenta captura deve ser revisto face ao que o terapeuta realmente utiliza

Uma revisão de 2025 das ferramentas de geração de notas com inteligência artificial em cuidados de saúde mental concluiu que informações críticas sobre o tratamento de dados (incluindo o que é retido após a geração de uma nota) estavam frequentemente ausentes das comunicações dos fornecedores. Os terapeutas devem fazer perguntas específicas em vez de confiarem em descrições gerais de produtos.

Onde os dados de sessões podem ser armazenados e tratados: regras de residência de dados na UE

Ao abrigo do RGPD, a transferência de dados pessoais para fora do Espaço Económico Europeu (EEE) é restrita, a menos que o país de destino ofereça um nível adequado de proteção de dados ou exista uma salvaguarda apropriada, como as Cláusulas Contratuais Tipo (CCT). Para dados de saúde mental de categoria especial, este requisito tem ainda mais relevância.

Plataformas de consumo, como aplicações gerais de videoconferência (mesmo as mais conhecidas) frequentemente tratam e armazenam dados em servidores fora do EEE. Podem não oferecer as salvaguardas contratuais que o RGPD exige para dados de saúde. Um terapeuta que utiliza tal plataforma para uma sessão remota, com transcrição automática ativada, pode estar a transferir dados de categoria especial para um país terceiro sem um mecanismo legal válido.

Ao avaliar qualquer ferramenta de transcrição ou documentação com inteligência artificial, os terapeutas devem perguntar diretamente aos fornecedores:

• Onde são tratados os dados da sessão? (Que país, que região da nuvem?)

• Onde são armazenados os dados em repouso?

• Existem subcontratantes localizados fora do EEE?

• Se os dados forem tratados fora do EEE, que mecanismo de transferência se aplica?

A residência de dados na UE é um critério de conformidade fundamental para qualquer ferramenta que trate conteúdo de sessões de terapia. Os fornecedores devem ser capazes de responder a estas questões por escrito.

A relação de subcontratante de dados: as suas obrigações ao utilizar uma ferramenta de terceiros

Quando um terapeuta utiliza uma ferramenta externa de inteligência artificial ou transcrição, esse fornecedor torna-se um subcontratante de dados ao abrigo do RGPD. O terapeuta, enquanto responsável pelo tratamento de dados, permanece legalmente responsável por garantir que o subcontratante trata os dados em conformidade com os requisitos do RGPD.

O Artigo 28.º do RGPD exige um Acordo de Tratamento de Dados (ATD) assinado entre o terapeuta e qualquer fornecedor que trate dados de pacientes em seu nome. Um Acordo de Tratamento de Dados que cumpra os requisitos do RGPD deve especificar:

• O objeto, a duração e a finalidade do tratamento

• O tipo de dados pessoais e as categorias de titulares de dados

• As obrigações e direitos do responsável pelo tratamento

• Que o subcontratante só agirá mediante instruções documentadas do responsável pelo tratamento

• As medidas de segurança que o subcontratante implementou

• As obrigações do subcontratante relativamente a subcontratantes subsequentes

• Disposições para eliminação ou devolução de dados no final do contrato

A ausência de um Acordo de Tratamento de Dados não torna o tratamento lícito. Constitui uma violação. Os terapeutas não devem utilizar qualquer ferramenta que trate dados de sessões de pacientes sem primeiro obterem um Acordo de Tratamento de Dados assinado. Se um fornecedor não estiver disposto ou não for capaz de fornecer um, isso é, por si só, um sinal de não conformidade.

O que deve divulgar aos pacientes antes de utilizar uma ferramenta de documentação com inteligência artificial

As obrigações de transparência do RGPD ao abrigo dos Artigos 13.º e 14.º exigem que os pacientes sejam informados sobre o tratamento dos seus dados no momento da recolha. Para sessões de terapia, isto significa que os pacientes devem ser informados sobre:

• Que categorias de dados estão a ser recolhidos (por exemplo, gravação de áudio, transcrição, nota gerada por inteligência artificial)

• A identidade do responsável pelo tratamento de dados (o terapeuta ou consultório)

• A identidade de quaisquer subcontratantes de dados (o fornecedor da ferramenta de inteligência artificial)

• A base legal para o tratamento

• Onde os dados são armazenados e por quanto tempo

• Os seus direitos, incluindo o direito de aceder, retificar e solicitar a eliminação dos seus dados

Esta divulgação deve ser feita de forma genuinamente informativa, e não estar escondida num documento extenso. As melhores práticas para terapeutas que utilizam ferramentas de documentação com inteligência artificial incluem:

• Atualizar o aviso de privacidade do consultório para abordar especificamente a documentação assistida por inteligência artificial

• Fornecer uma explicação verbal antes da primeira sessão em que a ferramenta é utilizada

• Oferecer confirmação escrita (por exemplo, um resumo de uma página) que o paciente possa conservar

• Documentar que a divulgação foi feita e que o consentimento foi obtido

A análise jurídica das obrigações de telemedicina e proteção de dados confirma que os requisitos de transparência se aplicam plenamente às interações de saúde digital, incluindo sessões de terapia remota realizadas através de plataformas de vídeo.

Períodos de conservação: durante quanto tempo pode guardar transcrições ou notas geradas por inteligência artificial

O princípio da limitação da conservação ao abrigo do Artigo 5.º, n.º 1, alínea e), exige que os dados pessoais sejam conservados de forma a permitir a identificação dos titulares dos dados apenas durante o período necessário para as finalidades para as quais são tratados. Para transcrições de sessões de terapia e notas geradas por inteligência artificial, os terapeutas devem definir e documentar um período de conservação e aplicá-lo.

Várias considerações interagem aqui:

• As orientações dos organismos reguladores profissionais sobre a conservação de registos clínicos estabelecem um período mínimo (os requisitos de conservação variam por país e organismo profissional. Os terapeutas devem consultar o seu organismo regulador nacional para o período mínimo aplicável)

• As notas geradas por inteligência artificial e as transcrições de sessões não estão automaticamente sujeitas às mesmas regras de conservação que os registos clínicos formais. Uma transcrição literal pode ter um período de conservação justificável muito mais curto do que a nota clínica dela derivada

• Quando uma transcrição é retida apenas para gerar uma nota, deve ser eliminada assim que essa finalidade for cumprida

Os terapeutas devem documentar a sua política de conservação por escrito, especificando períodos diferentes para diferentes tipos de dados (gravação, transcrição, nota estruturada, carta ao paciente). Devem garantir que as práticas de eliminação de dados do fornecedor da ferramenta de inteligência artificial estão alinhadas com essa política.

Requisitos de segurança para armazenar dados de sessões de saúde mental

O Artigo 32.º do RGPD exige que os responsáveis pelo tratamento e os subcontratantes implementem medidas técnicas e organizativas adequadas ao risco. Para dados de saúde mental de categoria especial, o nível de risco é elevado por definição. As medidas exigidas refletem isso.

As expectativas mínimas de segurança para ferramentas que tratam dados de sessões de terapia incluem:

• Encriptação em repouso e em trânsito: As gravações de sessões, transcrições e notas devem ser encriptadas tanto quando armazenadas como quando transmitidas

• Controlos de acesso: Apenas indivíduos autorizados devem poder aceder aos dados das sessões, com permissões baseadas em funções e requisitos de autenticação

• Registos de auditoria: Os sistemas devem registar quem acedeu a que dados e quando

• Resposta a incidentes: Os fornecedores devem ter procedimentos documentados para detetar e reportar violações de dados

Ferramentas de consumo (incluindo aplicações gerais de videoconferência com transcrição automática ativada) dificilmente cumprirão estes requisitos sem acordos específicos de nível empresarial ou de saúde em vigor. O facto de uma plataforma ser amplamente utilizada em contextos clínicos não significa que seja conforme com o RGPD para o tratamento de dados de categoria especial sem salvaguardas contratuais e técnicas apropriadas.

Uma revisão por pares de 2025 das ferramentas de geração de notas com inteligência artificial em cuidados de saúde mental revelou que, embora a maioria dos fornecedores fornecesse informações sobre medidas de proteção de dados e privacidade nos seus websites, detalhes críticos (incluindo certificações de segurança específicas, listas de subcontratantes e práticas de eliminação de dados) estavam frequentemente ausentes. Os terapeutas não devem presumir conformidade. Devem verificá-la.

Passos práticos para profissionais privados que selecionam uma ferramenta de documentação conforme

Os profissionais privados que avaliam ferramentas de documentação com inteligência artificial normalmente fazem-no sem apoio institucional de TI ou jurídico. A seguinte lista de verificação cobre a diligência mínima que o RGPD exige:

• Confirmar a residência de dados na UE: Pergunte ao fornecedor por escrito onde os dados da sessão são tratados e armazenados. Confirme que nenhum subcontratante está localizado fora do EEE, ou que existem mecanismos de transferência adequados em vigor

• Obter um Acordo de Tratamento de Dados assinado: Não utilize qualquer ferramenta que trate dados de pacientes sem um Acordo de Tratamento de Dados assinado que cumpra os requisitos do Artigo 28.º

• Verificar a certificação ISO 27001: A certificação ISO 27001 indica que o fornecedor implementou um sistema de gestão de segurança da informação reconhecido internacionalmente. Não é uma garantia de conformidade com o RGPD, mas é um indicador de base significativo

• Rever a lista de subcontratantes: Os fornecedores normalmente dependem de subcontratantes (por exemplo, fornecedores de infraestrutura na nuvem). Solicite a lista completa e avalie se a localização e a postura de segurança de cada subcontratante são aceitáveis

• Compreender a política de eliminação de dados: Confirme durante quanto tempo o fornecedor retém dados após uma sessão, o que desencadeia a eliminação e se pode solicitar a eliminação de registos específicos

• Verificar se a ferramenta suporta pedidos de direitos dos pacientes: O sistema deve ser capaz de responder a pedidos de acesso e pedidos de eliminação dentro dos prazos exigidos pelo RGPD

A falta de transparência nas comunicações dos fornecedores identificada em investigação revista por pares significa que os terapeutas devem fazer perguntas específicas e por escrito, em vez de confiarem em materiais de marketing. Um fornecedor que não consegue responder claramente a estas questões não é uma escolha conforme.

Quando um paciente retira o consentimento ou solicita a eliminação

Os pacientes têm direitos exequíveis ao abrigo do RGPD que os terapeutas devem estar operacionalmente preparados para respeitar. Dois são particularmente relevantes para a documentação assistida por inteligência artificial.

Direito de retirar o consentimento (Artigo 7.º, n.º 3): Um paciente pode retirar o consentimento para o tratamento dos seus dados a qualquer momento. A retirada não afeta a licitude do tratamento realizado antes da retirada, mas deve produzir efeitos no futuro. A investigação sobre a implementação da retirada de consentimento em contextos de dados de saúde destaca a complexidade operacional: os dados podem existir em múltiplos sistemas (a ferramenta de inteligência artificial, uma cópia de segurança na nuvem, uma cópia local) e devem ser identificados e tratados em cada um.

Direito ao apagamento (Artigo 17.º): Quando o tratamento foi baseado no consentimento, um paciente que retira o consentimento tem o direito de solicitar a eliminação dos seus dados. O terapeuta, enquanto responsável pelo tratamento de dados, deve agir sobre este pedido no prazo de um mês. Deve instruir quaisquer subcontratantes de dados (incluindo o fornecedor da ferramenta de inteligência artificial) a eliminarem os dados relevantes dos seus sistemas.

Na prática, os terapeutas devem:

• Documentar a retirada de consentimento por escrito e registar a data

• Contactar o fornecedor da ferramenta de inteligência artificial imediatamente e solicitar a eliminação de todos os dados de sessão associados a esse paciente

• Obter confirmação escrita do fornecedor de que a eliminação foi concluída

• Verificar se quaisquer cópias locais (por exemplo, transcrições descarregadas) também precisam de ser eliminadas

O direito ao apagamento não é absoluto. Quando os dados devem ser retidos para cumprir uma obrigação legal (como requisitos regulamentares profissionais para manter registos clínicos por um período mínimo), essa obrigação pode prevalecer sobre o pedido de apagamento no que respeita ao registo clínico formal. Transcrições ou gravações brutas que vão além do que o registo clínico exige dificilmente beneficiarão desta exceção. Devem, em geral, ser eliminadas mediante pedido.

Os códigos de ética profissional na prática de saúde mental identificam consistentemente a documentação e a governação de dados como componentes centrais da responsabilidade do clínico. A capacidade de responder a pedidos de direitos dos pacientes é cada vez mais parte dessa expectativa num ambiente clínico mediado digitalmente.

Perguntas frequentes

▶ O RGPD aplica-se a gravações e transcrições de sessões de terapia

Sim. Ao abrigo do Regulamento Geral sobre a Proteção de Dados, os dados de saúde mental são classificados como uma categoria especial de dados pessoais ao abrigo do Artigo 9.º. Estão no nível mais elevado de sensibilidade de dados. Gravar uma sessão, gerar uma transcrição, armazenar uma nota clínica gerada por inteligência artificial ou submeter o conteúdo da sessão a uma ferramenta de terceiros constituem todos tratamento ao abrigo do RGPD. Isto aplica-se a todos os profissionais que tratam dados de sessões digitalmente, incluindo consultórios de psicoterapia individuais.

▶ Que base legal os terapeutas necessitam antes de utilizar uma ferramenta de documentação com inteligência artificial

Os terapeutas devem satisfazer simultaneamente dois requisitos legais: uma base legal ao abrigo do Artigo 6.º do RGPD e uma condição separada ao abrigo do Artigo 9.º, n.º 2. As duas condições do Artigo 9.º, n.º 2, mais relevantes são o consentimento explícito do paciente (Artigo 9.º, n.º 2, alínea a)) e o tratamento necessário para a prestação de cuidados de saúde ou sociais, sujeito a obrigações de sigilo profissional (Artigo 9.º, n.º 2, alínea h)). Para profissionais privados, o consentimento explícito é geralmente a via mais defensável, pois documenta diretamente o acordo do paciente com a atividade de tratamento específica. Qualquer que seja a base escolhida, deve ser documentada antes de qualquer tratamento começar.

▶ O que exige o consentimento explícito válido ao gravar ou transcrever uma sessão de terapia

O consentimento explícito válido ao abrigo do RGPD deve ser livremente dado, específico, informado, inequívoco e ativamente expresso. O consentimento para gravação não implica consentimento para transcrição, tratamento por inteligência artificial ou partilha com um supervisor. Cada finalidade requer consentimento separado. O consentimento incluído num documento geral de termos e condições não cumpre este padrão. Também deve ser obtido antes de qualquer gravação ou transcrição começar. O consentimento retroativo não satisfaz o requisito.

▶ O que é o princípio da minimização de dados e como se aplica à documentação de terapia

O Artigo 5.º, n.º 1, alínea c), do RGPD exige que os dados pessoais sejam adequados, relevantes e limitados ao necessário para as finalidades para as quais são tratados. Na prática, se uma nota clínica estruturada regista tudo o que é clinicamente necessário de uma sessão, reter a gravação de áudio completa ou a transcrição literal pode não ser justificável. As ferramentas de documentação com inteligência artificial devem ser configuradas para gerar uma nota estruturada e depois eliminar a transcrição subjacente, a menos que exista uma razão clínica ou legal específica para a reter. As gravações completas de sessões não devem ser armazenadas por defeito apenas por conveniência administrativa.

▶ Os dados de sessões de terapia podem ser armazenados ou tratados fora do Espaço Económico Europeu

A transferência de dados pessoais para fora do Espaço Económico Europeu é restrita ao abrigo do RGPD, a menos que o país de destino ofereça um nível adequado de proteção de dados ou exista uma salvaguarda apropriada, como as Cláusulas Contratuais Tipo. Plataformas de consumo, incluindo aplicações gerais de videoconferência, frequentemente tratam e armazenam dados em servidores fora do Espaço Económico Europeu. Podem não oferecer as salvaguardas contratuais que o RGPD exige para dados de saúde. Os terapeutas devem perguntar aos fornecedores por escrito onde os dados da sessão são tratados e armazenados, se existem subcontratantes localizados fora do Espaço Económico Europeu e que mecanismo de transferência se aplica caso os dados saiam da região.

▶ O que é um Acordo de Tratamento de Dados e os terapeutas precisam de um

Quando um terapeuta utiliza uma ferramenta externa de inteligência artificial ou transcrição, esse fornecedor torna-se um subcontratante de dados ao abrigo do RGPD. O Artigo 28.º do RGPD exige um Acordo de Tratamento de Dados assinado entre o terapeuta e qualquer fornecedor que trate dados de pacientes em seu nome. O acordo deve especificar a finalidade e duração do tratamento, as medidas de segurança em vigor, as obrigações do subcontratante relativamente a subcontratantes subsequentes e disposições para eliminação ou devolução de dados no final do contrato. A ausência de um Acordo de Tratamento de Dados não torna o tratamento lícito. Constitui uma violação. Os terapeutas não devem utilizar qualquer ferramenta que trate dados de sessões de pacientes sem um acordo assinado em vigor.

▶ O que devem os terapeutas dizer aos pacientes antes de utilizar uma ferramenta de documentação com inteligência artificial

As obrigações de transparência do RGPD ao abrigo dos Artigos 13.º e 14.º exigem que os pacientes sejam informados sobre o tratamento dos seus dados no momento da recolha. Os terapeutas devem informar os pacientes sobre que categorias de dados estão a ser recolhidos, a identidade do responsável pelo tratamento de dados e de quaisquer subcontratantes de dados, a base legal para o tratamento, onde os dados são armazenados e por quanto tempo, e os direitos do paciente, incluindo acesso, retificação e eliminação. As melhores práticas incluem atualizar o aviso de privacidade do consultório para abordar especificamente a documentação assistida por inteligência artificial, fornecer uma explicação verbal antes da primeira sessão em que a ferramenta é utilizada e documentar que a divulgação foi feita e o consentimento obtido.

▶ Durante quanto tempo os terapeutas podem reter transcrições e notas geradas por inteligência artificial

O princípio da limitação da conservação ao abrigo do Artigo 5.º, n.º 1, alínea e), do RGPD exige que os dados pessoais sejam conservados apenas durante o período necessário para as finalidades para as quais são tratados. Os terapeutas devem definir e documentar um período de conservação para cada tipo de dados e aplicá-lo de forma consistente. As notas geradas por inteligência artificial e as transcrições de sessões não estão automaticamente sujeitas às mesmas regras de conservação que os registos clínicos formais. Quando uma transcrição é retida apenas para gerar uma nota, deve ser eliminada assim que essa finalidade for cumprida. Os terapeutas devem confirmar que as práticas de eliminação de dados do fornecedor da ferramenta de inteligência artificial estão alinhadas com a sua política de conservação documentada.

▶ O que acontece se um paciente retirar o consentimento ou solicitar a eliminação dos seus dados de sessão

Um paciente pode retirar o consentimento para o tratamento dos seus dados a qualquer momento ao abrigo do Artigo 7.º, n.º 3, do RGPD. Quando o tratamento foi baseado no consentimento, o paciente também tem o direito de solicitar a eliminação dos seus dados ao abrigo do Artigo 17.º. O terapeuta deve agir sobre um pedido de eliminação no prazo de um mês. Deve instruir o fornecedor da ferramenta de inteligência artificial a eliminar os dados relevantes dos seus sistemas, obtendo confirmação escrita de que a eliminação foi concluída. O direito ao apagamento não é absoluto: quando os dados devem ser retidos para cumprir uma obrigação legal, como requisitos regulamentares profissionais para registos clínicos, essa obrigação pode prevalecer sobre o pedido de apagamento no que respeita ao registo clínico formal. Transcrições ou gravações brutas que vão além do que o registo clínico exige dificilmente beneficiarão desta exceção.

▶ Que normas de segurança devem os terapeutas procurar ao escolher uma ferramenta de documentação com inteligência artificial

O Artigo 32.º do RGPD exige que os responsáveis pelo tratamento e os subcontratantes implementem medidas técnicas e organizativas adequadas ao risco. Para dados de saúde mental de categoria especial, o nível de risco é elevado por definição. As expectativas mínimas incluem encriptação de gravações de sessões, transcrições e notas tanto em repouso como em trânsito, controlos de acesso baseados em funções, registos de auditoria que registam quem acedeu a dados e quando, e procedimentos documentados de resposta a incidentes. A certificação ISO 27001 indica que um fornecedor implementou um sistema de gestão de segurança da informação reconhecido internacionalmente. Serve como um indicador de base significativo, embora não seja uma garantia de conformidade com o RGPD em si. Uma revisão por pares de 2025 das ferramentas de geração de notas com inteligência artificial em cuidados de saúde mental revelou que detalhes críticos de segurança, incluindo certificações específicas, listas de subcontratantes e práticas de eliminação de dados, estavam frequentemente ausentes das comunicações dos fornecedores. Os terapeutas devem verificar a conformidade diretamente em vez de confiarem em materiais de marketing.