CLINITRAA LGPD exige tecnicamente que todo controlador de dados indique um encarregado, conhecido como DPO. Na prática, a ANPD reconhece que profissionais de saúde autônomos e clínicas pequenas são agentes de pequeno porte, com obrigações proporcionais ao porte e ao risco do tratamento. Para a maioria dos consultórios com até 5 profissionais, 2 medidas simples já atendem à expectativa prática: um canal de contato acessível para solicitações de titulares e uma política interna documentada de como os dados são tratados.
O que a LGPD diz sobre o DPO
A LGPD dedica o Art. 41 ao encarregado pelo tratamento de dados pessoais. O texto é direto: o controlador deve indicar um encarregado. O encarregado é o canal entre a clínica, os pacientes e a ANPD.
As responsabilidades do DPO incluem receber solicitações de titulares (pedidos de acesso, correção e exclusão dos dados), orientar colaboradores sobre proteção de dados e comunicar-se com a ANPD quando necessário.
O mesmo artigo abre uma porta importante: a ANPD pode "estabelecer normas complementares sobre a definição e as atribuições do encarregado, incluindo hipóteses de dispensa da necessidade de sua indicação" (Art. 41, §3°). E a ANPD usou essa abertura.
O que a ANPD diz sobre operadores pequenos
A ANPD publicou a Resolução CD/ANPD nº 2/2022, que regulamenta tanto a comunicação de incidentes quanto as obrigações de agentes de pequeno porte. Para esses agentes, a resolução estabelece que algumas exigências podem ser cumpridas de forma simplificada, com ênfase na proporcionalidade entre o porte do operador e o risco do tratamento.
Agente de pequeno porte, conforme a ANPD, inclui microempresas, empresas de pequeno porte e profissionais liberais. Um psicólogo autônomo, um fisioterapeuta com 2 funcionários ou uma clínica de psicomotricidade com 3 profissionais se enquadram nessa categoria.
Para esses agentes, a ANPD não exige a nomeação formal de um DPO com estrutura própria. O que espera é que exista uma pessoa responsável por receber e responder solicitações de titulares e que os dados sejam tratados com as proteções adequadas.
A distinção prática: você provavelmente não precisa contratar um DPO externo nem criar um cargo interno. Mas precisa ter alguém responsável pelo tema e um canal para que pacientes possam exercer seus direitos.
Quando a nomeação formal faz sentido
Existem situações em que investir em um DPO formal, seja funcionário ou serviço externo, passa a fazer sentido:
Volume significativo de dados: uma clínica com 300 ou mais pacientes ativos, múltiplos profissionais e histórico longo de atendimentos processa um volume que justifica estrutura mais formal.
Atendimento exclusivo a populações vulneráveis: clínicas que atendem exclusivamente crianças, idosos ou pessoas em situação de vulnerabilidade têm risco elevado por definição, o que pesa para um nível maior de estrutura.
Expansão e contratos B2B: se a clínica começa a firmar contratos com planos de saúde, empresas ou instituições, esses parceiros costumam exigir DPO nomeado formalmente como parte do processo de conformidade contratual.
Histórico de incidente: uma clínica que já passou por vazamento ou investigação da ANPD tem razão para formalizar mais a estrutura de governança de dados.
Para o profissional autônomo com consultório pequeno, nenhum desses cenários costuma se aplicar no início da carreira.
O que fazer no lugar do DPO formal
Para quem está fora dos cenários acima, o mínimo esperado pela ANPD é simples de implementar:
1. Canal de contato para titulares
Crie um e-mail específico para solicitações de dados, como privacidade@seuconsultorio.com.br, ou use o e-mail profissional com indicação clara de que recebe esse tipo de solicitação. Esse canal precisa estar mencionado na sua política de privacidade e no termo de consentimento dos pacientes.
2. Política de privacidade documentada
Um documento simples que explica quais dados você coleta, para que usa, por quanto tempo guarda, com quem compartilha e como o paciente pode exercer seus direitos. Não precisa de linguagem jurídica densa: o objetivo é que o paciente entenda.
3. Processo para responder solicitações
Se um paciente pedir acesso aos próprios dados, correção de informação incorreta ou exclusão, você precisa saber o que fazer. Defina internamente: quem recebe, em quanto tempo responde (15 dias é uma referência amplamente usada), como exporta os dados ou executa a anonimização.
4. Registro interno das decisões
Documente brevemente as decisões que tomou sobre proteção de dados: qual sistema usa, por que escolheu, quais dados coleta e por que. Esse registro é o que você apresenta em caso de questionamento.
O DPO pode ser o próprio profissional?
Sim. A LGPD não proíbe que o controlador seja também o encarregado, e para profissionais autônomos isso é a situação mais comum e mais razoável.
O próprio fisioterapeuta, psicólogo ou psicomotricista pode ser o DPO do próprio consultório. Ele conhece os dados, os processos e os pacientes melhor do que qualquer pessoa externa. O que precisa fazer é:
Divulgar nome e e-mail de contato como responsável pelo tratamento de dados
Estar disponível para responder solicitações de pacientes
Conhecer o suficiente sobre LGPD para orientar eventuais colaboradores
Se quiser um nível extra de formalidade sem custo alto, existem serviços de DPO compartilhado por assinatura, com valores a partir de R$150 a R$300 por mês para pequenos operadores. Algumas associações de profissionais de saúde também oferecem orientação sobre o tema.
Checklist: obrigações mínimas para pequenos consultórios
Canal de contato para solicitações de dados publicado (e-mail ou formulário)
Responsável identificado para receber e responder essas solicitações
Política de privacidade com informações claras sobre tratamento de dados
Processo definido para responder pedidos de acesso, correção e exclusão
Sistema de gestão com exportação e anonimização de dados (LGPD Art. 18)
Registro interno das decisões sobre proteção de dados
Nome e contato do responsável pelo tratamento divulgados nos termos de serviço
Perguntas frequentes
A ANPD fiscaliza pequenos consultórios? A ANPD tem foco prioritário em agentes de grande porte e em incidentes com impacto relevante. Isso não significa que pequenos operadores estão isentos, mas o risco de fiscalização ativa é significativamente menor. O risco mais concreto para consultórios pequenos é uma reclamação direta de paciente.
Se um paciente reclamar à ANPD, o que acontece? A ANPD inicia um processo de apuração. Se o profissional tiver documentação adequada e puder demonstrar que trata os dados com responsabilidade, a tendência é uma advertência com prazo para ajuste, especialmente para pequenos operadores. A boa-fé e as medidas implementadas são consideradas.
Preciso registrar meu consultório na ANPD como controlador? Não existe, até o momento, obrigação de registro ativo na ANPD para controladores privados no Brasil. A obrigação é de conformidade com a LGPD, não de cadastro em sistema da autoridade.
Qual a diferença entre DPO, encarregado e responsável pelo tratamento? Encarregado e DPO são a mesma função, termos equivalentes. Responsável pelo tratamento é o controlador: a clínica ou o profissional que decide como os dados são usados. O encarregado operacionaliza a relação com titulares e ANPD, e pode ser a mesma pessoa que o controlador em operações pequenas.
Um sistema de gestão clínica substitui o DPO? Não. O sistema é uma ferramenta técnica que implementa proteção de dados: criptografia, exportação, anonimização. O DPO ou encarregado é uma responsabilidade organizacional de quem toma decisões sobre o tratamento. Os dois são complementares, não substitutos.
O Clinitra oferece exportação de dados e anonimização conforme LGPD Art. 18 em todos os planos, incluindo o gratuito. Isso facilita o atendimento das solicitações de titulares que chegam pelo canal de contato do consultório, sem precisar acessar banco de dados manualmente. O DPO de contato da Clinitra é dpo@clinitra.com.br. Conheça em clinitra.com.br.