O Que a LGPD Exige da Clínica Sobre o Encarregado
A pergunta chega ao escritório quase sempre no mesmo formato. O médico recebeu a proposta de uma consultoria, ouviu que a clínica está irregular e quer saber se precisa contratar um DPO. Antes de responder, vale separar o nome de mercado da regra escrita.
DPO é a sigla em inglês para data protection officer. A Lei 13.709/2018 usa outro termo: encarregado pelo tratamento de dados pessoais. O artigo 41 determina que o controlador indique esse encarregado, e o controlador aqui é a própria clínica ou o consultório que decide como os dados de paciente serão usados.
Existe um agravante conhecido no setor de saúde. O artigo 5º, inciso II, da LGPD classifica dado referente à saúde como dado pessoal sensível. Isso empurra o tratamento para o rol fechado do artigo 11, que é mais rígido do que a lista comum aplicada a dados cadastrais simples.
Só que o artigo 41 não termina no comando de indicar. O parágrafo 3º delega à ANPD o poder de estabelecer hipóteses de dispensa da indicação. É exatamente por causa desse parágrafo que a resposta correta não é sim para todo consultório.
Vale registrar o que o encarregado representa dentro da estrutura. Ele é o ponto de contato entre a clínica, os pacientes e a autoridade nacional. Não é um cargo de tecnologia, e nomear o rapaz que cuida do servidor raramente resolve o problema real, porque a maior parte das dúvidas de paciente é sobre uso e acesso, não sobre infraestrutura.
Outro ponto que confunde é a diferença entre controlador e operador. A clínica que decide quais dados coleta e para que serve é controladora. O fornecedor do prontuário eletrônico, que trata os dados seguindo essa decisão, tende a figurar como operador. Essa separação muda quem responde pelo quê e precisa estar clara no contrato antes de qualquer discussão sobre encarregado.
A Dispensa que Quase Ninguém Cita: Resolução CD/ANPD nº 2/2022
A regra que resolve a dúvida está fora da lei, em ato da própria autoridade. A Resolução CD/ANPD nº 2, de 27 de janeiro de 2022, trata dos agentes de tratamento de pequeno porte e traz uma regra direta no artigo 11.
O agente de tratamento de pequeno porte fica dispensado da indicação de encarregado. Em contrapartida, precisa disponibilizar um canal de comunicação com o titular dos dados. A troca é essa: em vez da figura formal, um caminho aberto e funcional para o paciente falar com a clínica.
Duas cautelas são obrigatórias aqui. A própria resolução define quem se enquadra como agente de pequeno porte, e o artigo 3º lista situações em que o agente não se beneficia desse regime diferenciado. Enquadramento é análise de caso, com documento na mesa, e não chute a partir do tamanho aparente da recepção.
Na prática, é comum ver material de venda que ignora o artigo 11 por completo. O discurso vira "toda empresa que trata dado de saúde precisa de DPO", o que não corresponde ao que a norma diz. Um consultório de Pindamonhangaba pode estar dispensado da nomeação e ainda assim seguir obrigado ao resto da lei.
A confusão tem uma explicação simples. Quem lê apenas o artigo 41 da LGPD encontra um comando aparentemente absoluto e para por ali. O parágrafo 3º e a resolução da autoridade ficam de fora da leitura, e o resultado é um mercado inteiro repetindo uma obrigação que a norma já flexibilizou para uma parte relevante das clínicas.
| Situação da clínica | Indicação de encarregado | O que continua obrigatório |
|---|---|---|
| Controlador em geral, pela regra do art. 41 da LGPD | Indicação exigida. | Todas as demais obrigações da LGPD. |
| Agente de tratamento de pequeno porte, art. 11 da Resolução CD/ANPD nº 2/2022 | Dispensado de indicar. | Canal de comunicação com o titular e as demais obrigações da LGPD. |
| Agente alcançado pelas exclusões do art. 3º da mesma resolução | Não se beneficia do regime diferenciado. | Regra geral da LGPD, com análise do caso concreto. |
| Clínica que optou por nomear mesmo sem obrigação | Nomeação voluntária, por gestão de risco. | Divulgação do contato e rotina de atendimento ao titular. |
Canal de Comunicação com o Titular Não é Opcional
A parte esquecida do artigo 11 é justamente a contrapartida. Quem está dispensado de nomear precisa manter um canal de comunicação com o titular, e titular aqui é o paciente. Sem esse canal, a dispensa perde o apoio.
Na rotina de uma clínica, isso costuma virar um endereço de e-mail divulgado no site e nos documentos de atendimento. Pode ser também um formulário próprio ou um telefone com registro. A ferramenta importa menos do que a existência de alguém do outro lado com instrução para responder.
O elo que mais quebra é a recepção. O paciente liga, pergunta quem tem acesso ao prontuário dele, e a atendente não sabe para onde encaminhar. O pedido morre ali, sem registro, e a clínica perde a prova de que tratou o assunto.
Por isso vale montar um controle simples de entradas e respostas. Data do pedido, o que foi solicitado, quem respondeu e quando. Uma planilha organizada resolve para a maioria das clínicas de São José dos Campos e do entorno.
O Mito do Alto Risco: o Critério é Cumulativo
Aqui está o erro mais repetido no conteúdo que circula sobre LGPD na saúde. Muita gente afirma que a clínica é automaticamente de alto risco porque trata dado sensível. A leitura da norma não sustenta essa conclusão.
O artigo 4º da Resolução CD/ANPD nº 2/2022 monta o conceito de forma cumulativa. É preciso preencher pelo menos um critério geral do inciso I, como tratamento em larga escala ou tratamento que afete significativamente interesses e direitos fundamentais dos titulares. E é preciso preencher também pelo menos um critério específico do inciso II, onde a alínea "d" trata do uso de dado sensível.
A consequência prática é grande. Um consultório que atende pacientes na agenda de um profissional preenche o critério específico, porque trata dado de saúde, mas não preenche automaticamente o critério geral. Sem os dois, a classificação de alto risco não se fecha.
Isso não significa relaxar. Significa apenas que a decisão sobre estrutura, investimento e nomeação deve partir de uma análise honesta do porte e do volume da operação. Uma clínica de imagem em Taubaté com fluxo alto tem um retrato diferente de um consultório individual em Jacareí.
Quando Nomear um Encarregado Faz Sentido Mesmo Sem Obrigação
Estar dispensado não é o mesmo que estar despreocupado. A dispensa alcança um ato formal, a indicação. A responsabilidade pelo tratamento de dados do paciente continua inteira com a clínica.
Existem cenários em que nomear alguém compensa mesmo sem obrigação. Clínicas com mais de uma unidade, operações com equipe de marketing ativa, contratos com operadoras e prestadores, participação em pesquisa e uso intenso de sistemas em nuvem. Nesses casos, a falta de um dono do assunto aparece rápido.
A função costuma ser acumulada por alguém da administração, e não exige uma contratação exclusiva na maioria das clínicas de médio porte. O que ela exige é tempo reservado, autoridade para cobrar fornecedor e acesso direto aos sócios. Encarregado sem acesso à decisão vira só um nome no rodapé do site.
Vale um alerta sobre o mercado de adequação. Existe muita proposta padronizada, vendida sem diagnóstico, que entrega um pacote de documentos genéricos. Antes de assinar, peça o enquadramento por escrito e pergunte qual norma sustenta cada obrigação apresentada.
Há também um ganho pouco comentado na nomeação voluntária. Quando alguém assume o assunto, as decisões deixam de ser tomadas caso a caso pela pessoa que estiver na recepção naquele dia. A clínica passa a ter um critério único para responder pedido de paciente, contratar sistema novo e liberar acesso à equipe.
Sanções: o Que Está Realmente em Jogo
As sanções administrativas estão no artigo 52 da LGPD. Entre elas está a multa simples de até 2 por cento do faturamento da pessoa jurídica, grupo ou conglomerado no Brasil, no último exercício, excluídos os tributos, limitada, no total, a R$ 50.000.000,00 por infração.
Dois detalhes desse texto costumam desaparecer nas manchetes. O cálculo exclui os tributos, e o teto é por infração. Quem cita o número de 50 milhões sem esses dois recortes distorce a norma e transforma informação em susto.
Para a clínica média do Vale do Paraíba, porém, o risco maior raramente é o valor da multa. É o desgaste com o paciente que descobre que a informação clínica dele circulou fora do lugar. Confiança é o ativo central de um consultório, e ela não tem seguro.
Existe ainda o custo silencioso da improvisação. Reunir contratos, mapear sistemas e definir responsáveis sob pressão, no meio de um incidente, custa muito mais do que fazer isso com calma. A preparação é barata quando ninguém está cobrando.
Roteiro Prático para a Clínica no Vale do Paraíba
O caminho seguro começa pelo enquadramento e termina na rotina. Não adianta nomear um encarregado se ninguém sabe quem responde quando um paciente pede acesso ao próprio registro.
Comece mapeando onde os dados vivem: prontuário eletrônico, agenda, sistema de faturamento, planilhas soltas e o aplicativo de mensagens da recepção. Esse último item aparece em quase toda clínica e quase nunca entra no mapa.
Depois, defina quem responde, por qual canal e em quanto tempo. Registre tudo. O checklist abaixo cobre os pontos que costumam faltar nas clínicas que atendemos em São José dos Campos, Jacareí, Taubaté e Pindamonhangaba.
- ✓Confirmar, com documento, se a clínica se enquadra como agente de tratamento de pequeno porte pela Resolução CD/ANPD nº 2/2022.
- ✓Verificar se alguma das situações do artigo 3º da resolução afasta o regime diferenciado no caso concreto.
- ✓Publicar um canal de comunicação com o titular no site e nos documentos de atendimento.
- ✓Definir por escrito quem recebe, responde e registra os pedidos dos pacientes.
- ✓Mapear todos os lugares onde há dado de paciente, incluindo planilhas e aplicativos de mensagem.
- ✓Revisar contratos com fornecedores de prontuário eletrônico, agenda e sistema de faturamento.
- ✓Treinar a recepção para encaminhar pedidos sobre dados sem improvisar resposta.
- ✓Documentar as decisões tomadas, porque a prova de diligência é da clínica.
- ✓Reavaliar o enquadramento sempre que abrir unidade, ampliar equipe ou iniciar pesquisa.
