O encarregado de dados, também chamado de DPO, é a pessoa indicada para ser o canal de comunicação entre a clínica, os pacientes e a Autoridade Nacional de Proteção de Dados (ANPD). A LGPD exige a indicação (art. 41), mas a ANPD dispensa os agentes de tratamento de pequeno porte, desde que mantenham um canal de comunicação com os titulares. Consultórios e clínicas pequenas podem se enquadrar na dispensa; as que fazem tratamento de alto risco, não.
A dúvida aparece toda vez que o assunto é adequação à LGPD: preciso contratar alguém para isso? Posso ser eu mesmo? A recepcionista pode ser a encarregada? As respostas dependem do porte da clínica e do tipo de tratamento de dados que ela faz, e a regra tem detalhes que valem para a área da saúde em especial, porque dados de saúde são sensíveis. Este texto explica quem é obrigado, o que o encarregado faz e como formalizar a indicação.
O que é o encarregado de dados?
É a pessoa, física ou jurídica, indicada pelo controlador para atuar como ponte entre a organização, os titulares dos dados e a ANPD. No consultório, o controlador é o médico ou a clínica, que decide como os dados dos pacientes são tratados. O encarregado não é o "dono" da proteção de dados nem responde sozinho por ela: a responsabilidade pelo cumprimento da lei continua sendo do controlador.
A LGPD define as atividades básicas do encarregado (art. 41, § 2º): receber reclamações e comunicações dos titulares, prestar esclarecimentos e adotar providências; receber comunicações da ANPD; orientar funcionários e contratados sobre as práticas de proteção de dados; e executar outras atribuições definidas pelo controlador ou por normas complementares. A lei também manda divulgar publicamente a identidade e os contatos do encarregado, de preferência no site (art. 41, § 1º).
Meu consultório é obrigado a ter encarregado?
Depende de o consultório ser ou não agente de tratamento de pequeno porte e de fazer ou não tratamento de alto risco. A Resolução CD/ANPD nº 2/2022 considera de pequeno porte, entre outros, microempresas, empresas de pequeno porte e pessoas naturais que tratam dados, e dispensa esses agentes de indicar encarregado (art. 11). A dispensa tem uma condição: manter um canal de comunicação com o titular para receber reclamações e pedidos.
O benefício não vale para todos. Ficam de fora os agentes com receita bruta acima do limite de empresa de pequeno porte, os que pertencem a grupo econômico que ultrapasse esse limite e os que realizam tratamento de alto risco (art. 3º). É neste último ponto que a área da saúde exige atenção:
| Critério | O que diz a resolução | Como se aplica à saúde |
|---|---|---|
| Critério geral (basta um) | Tratamento em larga escala, ou que possa afetar significativamente interesses e direitos fundamentais dos titulares | Volume de pacientes, duração e extensão do tratamento; potencial de dano em caso de exposição |
| Critério específico (basta um) | Uso de dados sensíveis ou de crianças, adolescentes e idosos; tecnologias emergentes; vigilância; decisões automatizadas | Dados de saúde são sensíveis: este critério costuma estar presente |
| Alto risco | Um critério geral e um específico, ao mesmo tempo | Clínicas com grande volume de pacientes tendem a se enquadrar |
Na prática, um consultório individual, com volume moderado de pacientes, tende a não tratar dados em larga escala e pode se beneficiar da dispensa. Uma clínica com muitos profissionais, várias unidades ou grande base de prontuários tem mais chance de ser considerada de alto risco e, nesse caso, deve indicar encarregado. A avaliação deve ser documentada. Se você quer apoio para fazer esse enquadramento, pode buscar advogados especializados em LGPD e compliance em saúde.
Quem pode ser o encarregado?
Pode ser uma pessoa natural, de dentro ou de fora da organização, ou uma pessoa jurídica (art. 12 do regulamento aprovado pela Resolução CD/ANPD nº 18/2024). A norma não exige inscrição em entidade, certificação ou formação específica (art. 14). Exige que o encarregado consiga se comunicar com os titulares e com a ANPD de forma clara e em língua portuguesa (art. 13).
Isso abre três caminhos para clínicas: indicar um sócio ou gestor, indicar um funcionário com perfil para a função ou contratar um serviço externo. A escolha deve considerar o conflito de interesse, definido pela norma como a situação que pode comprometer a objetividade e o julgamento técnico do encarregado. Quem decide sozinho sobre o uso dos dados e, ao mesmo tempo, fiscaliza essas decisões pode estar em conflito. Em clínicas pequenas, a acumulação de funções é comum, mas vale registrar como a independência da função é preservada.
Como formalizar a indicação?
A indicação deve ser feita por ato formal: um documento escrito, datado e assinado, que mostre de forma clara a intenção de designar o encarregado e descreva as formas de atuação e as atividades (art. 3º do regulamento). Esse documento deve ser apresentado à ANPD quando solicitado. Um roteiro simples:
- Avalie e registre se a clínica é agente de pequeno porte e se há tratamento de alto risco.
- Escolha o encarregado e verifique possíveis conflitos de interesse.
- Assine o ato de indicação, com as atividades e a forma de atuação.
- Divulgue nome e contato no site, em local de destaque e fácil acesso.
- Garanta os meios para o trabalho: acesso às informações, tempo e canal para receber pedidos.
Para quem é dispensado, o passo essencial é o canal de comunicação: um e-mail ou formulário divulgado aos pacientes, com alguém responsável por responder. A resolução considera a indicação voluntária de encarregado, por agentes de pequeno porte, uma boa prática de governança, o que pode pesar a favor da clínica em caso de fiscalização (art. 11, § 2º, da Resolução nº 2/2022).
Imagine que...
Imagine uma clínica de ginecologia com três médicas, duas recepcionistas e cerca de quatro mil prontuários ativos. As sócias querem saber se precisam de encarregado.
Elas verificam o faturamento, que está dentro do limite de empresa de pequeno porte, e avaliam o tratamento de dados. Os dados são sensíveis, o que preenche um critério específico. Sobre o critério geral, registram por escrito a análise do volume de pacientes, do tempo de guarda e do alcance geográfico. Por cautela, e considerando o tipo de informação que guardam, decidem indicar uma das sócias como encarregada. Assinam o ato de indicação, publicam o nome e um e-mail no site e definem um fluxo para responder a pedidos de pacientes. Quando chega o primeiro pedido de cópia de dados, a clínica sabe quem responde e em que prazo.
O que o encarregado faz no dia a dia da clínica?
Além de atender os titulares e a ANPD, o encarregado presta assistência e orientação ao controlador em temas como o registro e a comunicação de incidentes de segurança, o registro das operações de tratamento, o relatório de impacto, os mecanismos de supervisão de riscos e as medidas de segurança (art. 16 do regulamento). Em uma clínica, isso se traduz em tarefas concretas: organizar quem acessa prontuários, revisar contratos com fornecedores de sistemas, treinar a equipe sobre envio de exames e mensagens e manter o registro de incidentes.
Vale repetir que o encarregado orienta, mas quem decide e responde é o controlador. Uma clínica que indica um encarregado e ignora suas recomendações não está protegida. Para estruturar a adequação de forma proporcional ao tamanho da clínica, você pode encontrar advogados de direito médico que atuam com consultoria preventiva. Veja também o guia sobre LGPD para médicos e clínicas.
Erros comuns
O erro mais frequente é indicar um nome "no papel", como a recepcionista ou o contador, sem dar a essa pessoa informação, tempo ou autonomia. Outro é presumir a dispensa sem avaliar o alto risco, esquecendo que dados de saúde são sensíveis. Também é comum não ter canal de comunicação nenhum, nem encarregado nem e-mail divulgado, o que descumpre a regra mesmo para os dispensados. Por fim, muitas clínicas copiam políticas de privacidade prontas, com nome de encarregado que não existe.