Como a clínica deve indicar o encarregado de dados (DPO) exigido pela LGPD?

O que é o encarregado de dados e o que ele faz na clínica?

O encarregado — também chamado de DPO (data protection officer) — é a pessoa que a clínica indica para ser o ponto de contato entre pacientes, equipe interna e a Autoridade Nacional de Proteção de Dados (ANPD). Pelo art. 41, §2º, da LGPD, ele recebe e responde reclamação de paciente, recebe comunicação da ANPD, orienta funcionários e prestadores sobre as práticas de proteção de dados e cumpre outras atribuições que a clínica definir.

Não é cargo decorativo. O nome e o canal precisam aparecer, de forma clara, no site ou no aviso de privacidade da clínica — o §1º do mesmo artigo exige divulgação pública da identidade e do contato dele.

Clínica pequena pode ficar dispensada de ter um encarregado?

Em parte, sim — mas raramente na prática de uma clínica médica. A Resolução CD/ANPD nº 2, de 27 de janeiro de 2022, criou regime simplificado para "agentes de tratamento de pequeno porte" (microempresas, pequenas empresas, MEIs, startups e pessoas físicas, pelo critério de faturamento da Lei Complementar 123/2006). O art. 11 dessa resolução dispensa esses agentes de indicar o encarregado do art. 41, desde que disponibilizem um canal de comunicação com o paciente.

O problema: essa dispensa não vale para quem faz tratamento de alto risco. A própria resolução enquadra como alto risco o cruzamento de um critério geral (tratamento em grande escala ou que pode afetar significativamente direitos do titular) com um critério específico — e dado de saúde está nessa lista, junto com dado biométrico, racial, religioso e genético. Como o prontuário é dado sensível de saúde por definição, a maioria das clínicas acaba enquadrada em alto risco e perde o direito à dispensa, mesmo sendo pequena. Na dúvida, o mais seguro é indicar o encarregado mesmo assim.

Passo a passo para indicar o encarregado de dados da clínica

1. Decida quem vai ocupar o cargo. Pode ser o próprio médico responsável técnico, um administrativo de confiança ou um serviço terceirizado — a LGPD não exige formação jurídica nem certificação específica.
2. Formalize a indicação por escrito. Um documento interno simples (ata, portaria ou termo de nomeação) com nome, função e data já atende ao art. 41.
3. Divulgue o nome e o contato publicamente. Site, aviso de privacidade na recepção ou rodapé do prontuário eletrônico — o paciente precisa achar essa informação sem perguntar.
4. Documente as operações de tratamento de dados. Liste que dados a clínica coleta, pra que usa, com quem compartilha (laboratório, convênio, sistema de gestão) e por quanto tempo guarda.
5. Treine a equipe. Recepção e setor administrativo precisam saber a quem encaminhar reclamação ou pedido de acesso a dados — função do encarregado pelo art. 41, §2º, III.
6. Revise periodicamente. Trocou o encarregado ou o sistema de prontuário? A divulgação pública e o mapeamento precisam ser atualizados junto.

Quem pode ser o encarregado: precisa ser médico, advogado ou ter curso específico?

Não. A LGPD não exige formação nem registro em conselho profissional para o cargo. Pode ser o próprio médico à frente da clínica, um gestor administrativo ou um prestador externo contratado só para essa função — o que importa é ter estrutura pra responder em prazo razoável e conhecer o fluxo de dados da clínica. Clínicas maiores, com múltiplos sistemas e convênios, costumam terceirizar o cargo pela complexidade de monitorar tantas integrações, como já aparece na discussão sobre prontuário eletrônico e LGPD ao compartilhar dados com apps de gestão de clínica.

Se a clínica já foi notificada pela ANPD ou tem dúvida sobre como estruturar a nomeação diante do histórico de dados que trata, vale buscar orientação de um escritório especializado em direito médico antes de formalizar o processo.

O que diz a lei

• Lei nº 13.709/2018 (LGPD), art. 41 — obriga todo controlador a indicar encarregado pelo tratamento de dados pessoais; o §1º exige divulgação pública da identidade e do contato; o §2º lista as quatro funções do cargo.
• Resolução CD/ANPD nº 2, de 27 de janeiro de 2022, art. 2º — define quem é "agente de tratamento de pequeno porte" pelo critério de faturamento da Lei Complementar 123/2006.
• Resolução CD/ANPD nº 2/2022, art. 11 — dispensa o agente de pequeno porte de indicar encarregado, exceto quando o tratamento for classificado como de alto risco (o que inclui, na prática, o tratamento de dado sensível de saúde em volume relevante).

Erros que fazem a clínica perder a proteção legal

• Achar que "é pequena, então está automaticamente dispensada". A dispensa da Resolução nº 2/2022 não vale pra quem trata dado de saúde em alto risco — o que cobre a maioria das clínicas com prontuário ativo.
• Nomear alguém só no papel, sem divulgar o contato. Sem publicidade da identidade e do canal, a clínica descumpre o §1º do art. 41 mesmo tendo indicado um encarregado.
• Confundir encarregado com advogado da clínica. São papéis diferentes: o encarregado responde a reclamação no dia a dia; o suporte jurídico entra quando há processo ou notificação formal.
• Não atualizar a indicação quando muda de sistema. Trocar o prontuário eletrônico sem revisar o mapeamento de dados deixa a clínica exposta num eventual vazamento ou ataque de ransomware.
• Ignorar o prazo de guarda do prontuário na política de dados. O encarregado também precisa saber por quanto tempo a clínica é obrigada a guardar o prontuário antes de descartar.

Perguntas frequentes