O que é o DPO e o que a LGPD diz sobre ele
O DPO (Data Protection Officer), chamado pela LGPD de Encarregado pelo Tratamento de Dados Pessoais (art. 5º, VIII, e art. 41 da Lei 13.709/2018), é a figura que faz a ponte entre a clínica, os titulares de dados e a ANPD (Autoridade Nacional de Proteção de Dados). A lei prevê o Encarregado, mas não traz um limiar de tamanho que obrigue ou dispense todas as organizações de forma automática — coube à ANPD regulamentar hipóteses de dispensa, especialmente para agentes de pequeno porte. Para saber a posição vigente da ANPD aplicável à sua clínica, recomendo consultar o site oficial da autoridade e validar a decisão com um advogado especializado em proteção de dados, porque a regulamentação evolui.
Toda clínica precisa de DPO?
A LGPD não fixa um número de funcionários ou de pacientes que torne o Encarregado obrigatório de forma rígida. O que a lei estabelece é que o controlador — a clínica — deve indicar o Encarregado e divulgar suas informações de contato de forma clara, preferencialmente no site (art. 41, §1º). A ANPD editou regulamento que admite tratamento diferenciado para agentes de pequeno porte, incluindo a possibilidade de dispensa da indicação formal em certos casos. Mesmo quando dispensada, a clínica precisa manter um canal de comunicação com os titulares. Como toda clínica trata dados sensíveis de saúde, a nomeação de um Encarregado é fortemente recomendável por prudência, ainda que não seja sempre obrigatória.
Quem pode ser o DPO de uma clínica?
A LGPD não exige formação jurídica nem certificação obrigatória para o Encarregado. Pode ser um funcionário interno treinado, um profissional externo contratado como serviço ou até o próprio gestor da clínica, desde que tenha conhecimento de proteção de dados e disponibilidade para exercer a função. Clínicas pequenas costumam optar por um Encarregado externo compartilhado, que reduz custo e traz especialização. O essencial é que a pessoa indicada seja efetivamente acionável — Encarregado que não responde é um problema de conformidade, não uma solução.
O que o DPO faz na prática
Atender solicitações de titulares
Quando um paciente pede acesso aos seus dados, correção de informação ou exclusão de dado não mais necessário, é o Encarregado (ou o canal definido) quem recebe e encaminha internamente. A LGPD assegura ao titular o direito de obter resposta a essas solicitações; trate o atendimento desses pedidos com prazo razoável e registro, porque ignorá-los é uma das infrações mais fáceis de comprovar numa fiscalização.
Orientar a equipe sobre boas práticas
O Encarregado não precisa auditar cada processo, mas precisa garantir que a equipe saiba o que pode e o que não pode fazer com dado de paciente. Treinamentos periódicos curtos fazem parte do papel — a maioria dos incidentes começa em erro humano evitável.
Ser o ponto de contato com a ANPD
Em caso de incidente de segurança — vazamento, acesso não autorizado —, o Encarregado é o canal oficial de comunicação com a ANPD. A lei determina que incidentes que possam acarretar risco ou dano relevante aos titulares sejam comunicados à ANPD em prazo razoável; a autoridade tem orientado a comunicação em até 3 dias úteis da ciência. Confirme o prazo vigente no site da ANPD, pois ele foi objeto de regulamentação específica.
Manter o registro de operações (RoPA)
O Encarregado costuma ser o responsável por manter atualizado o registro das operações de tratamento — o mapa de quais dados são coletados, para quê, onde ficam e por quanto tempo são retidos. Esse documento é, em geral, o primeiro que a ANPD solicita numa fiscalização.
Como publicar as informações do DPO
A LGPD exige que a identidade e as informações de contato do Encarregado sejam divulgadas de forma clara e acessível, normalmente na política de privacidade do site. Uma seção simples com nome (ou função), e-mail de contato e um formulário de solicitação de direitos cumpre a exigência. Isso não expõe o profissional publicamente — expõe o canal pelo qual o paciente exerce seus direitos. Esse trabalho não vive isolado: ele integra a adequação à LGPD da clínica como um todo, que começa no mapeamento de dados e na definição das bases legais.
O custo de não ter um Encarregado claro
O risco de tratar o DPO como formalidade adiável não é abstrato. Quando um paciente quer exercer um direito — acessar seus dados, corrigir um cadastro, entender como suas informações são usadas — e não encontra a quem recorrer, ele tem um caminho simples: registrar reclamação na ANPD. Pedido de titular sem resposta é uma das infrações mais fáceis de comprovar, porque a própria omissão é a prova. Designar um Encarregado acionável e publicar seu contato é barato perto do custo de uma reclamação formal mal respondida. Para a clínica de pequeno porte que avalia se vale o esforço, o cálculo é direto: o canal de atendimento ao titular custa pouco para montar e protege contra o tipo de problema que mais aparece em fiscalização. Recomendo formalizar a indicação por escrito, ainda que seja um documento simples, para deixar registrado quem responde pelo tema e desde quando.
Perguntas frequentes
Minha clínica pequena é obrigada a ter um DPO?
Não necessariamente. A ANPD admite tratamento diferenciado para agentes de pequeno porte e, em certos casos, a dispensa da indicação formal. Mesmo dispensada, a clínica precisa manter um canal de contato com os titulares. Como saúde envolve dado sensível, a indicação de um Encarregado é recomendável por prudência. Confirme a regra vigente com um advogado da área.
O DPO precisa ser advogado?
Não. A LGPD não exige formação jurídica nem certificação. Pode ser um funcionário treinado, um prestador externo ou o próprio gestor, desde que tenha conhecimento de proteção de dados e disponibilidade para a função.
Posso contratar um DPO externo compartilhado?
Sim, e é uma solução comum entre clínicas de pequeno porte. O Encarregado externo compartilhado reduz custo e traz especialização. O importante é que ele seja efetivamente acionável e que seu contato esteja publicado.
O que o DPO faz em caso de vazamento de dados?
Atua como ponto de contato com a ANPD e com os titulares afetados. A lei exige a comunicação de incidentes que possam gerar risco ou dano relevante; a ANPD tem orientado prazo de até 3 dias úteis da ciência. Verifique o prazo vigente no site oficial da autoridade.
Onde devo publicar o contato do Encarregado?
Preferencialmente na política de privacidade do site da clínica, de forma clara e acessível. Basta uma seção com a função ou nome do Encarregado, um e-mail de contato e um meio de o paciente registrar solicitações de direitos.