O consultório precisa de DPO?
Quem pode ficar sem DPO?
A LGPD, no art. 41, diz que o controlador deve indicar um encarregado pelo tratamento de dados pessoais, o chamado DPO. Em regra, o consultório é o controlador dos dados dos pacientes.
A Resolução CD/ANPD nº 2/2022 criou regras mais leves para o agente de tratamento de pequeno porte, conceito que inclui microempresas, empresas de pequeno porte e também pessoas naturais, como o profissional que atende como pessoa física (art. 2º). Pelo art. 11, esse agente não é obrigado a indicar encarregado, mas precisa oferecer um canal de comunicação com o titular dos dados (§ 1º). A dispensa não isenta das demais obrigações da LGPD (art. 6º).
A dispensa não vale em três casos (art. 3º):
- tratamento de alto risco para os titulares;
- receita bruta acima do limite da empresa de pequeno porte, definido na Lei Complementar 123/2006;
- empresa de grupo econômico cuja receita somada passa desse limite.
Consultório faz tratamento de alto risco?
Pode fazer. Pelo art. 4º, é alto risco o tratamento que reúne ao mesmo tempo um critério geral (larga escala ou possibilidade de afetar significativamente os direitos dos titulares) e um específico. Dado de saúde é dado sensível, e o uso de dados sensíveis é um dos critérios específicos. Ou seja, o dado de saúde se enquadra no critério específico; falta avaliar se há também um critério geral. Se a dúvida persistir, confirme com um advogado.
Como indicar o encarregado, se for o caso?
A Resolução CD/ANPD nº 18/2024 detalha a função:
- A indicação é feita por ato formal: documento escrito, datado e assinado (art. 3º, § 1º), com um substituto para ausências (art. 4º).
- O encarregado pode ser alguém da equipe, uma pessoa externa ou uma empresa (art. 12), e não precisa de certificação específica (art. 14).
- O nome e o contato do encarregado devem ficar em local de destaque no site do consultório; quem não tem site divulga por outro meio usado com os pacientes (art. 9º, § 3º).
Mesmo para quem é dispensado, indicar um encarregado conta como boa prática de governança (Resolução CD/ANPD nº 2/2022, art. 11, § 2º).
O que fazer no consultório
- Veja se o consultório se enquadra como pequeno porte e se há tratamento de alto risco.
- Dispensado ou não, publique um canal para os pacientes falarem sobre seus dados, como um e-mail próprio.
- Se indicar encarregado, registre a indicação por escrito e publique nome e contato no site.
O resto das obrigações (segurança, incidentes, guarda do prontuário) está no guia Prontuário eletrônico e LGPD: o que o consultório precisa cumprir.
Quer o guia completo?
Leia Prontuário eletrônico e LGPD: o que o consultório precisa cumprir, com todas as regras, a fonte de cada uma e um passo a passo.
No Doctor System: Veja o prontuário em linha do tempo do Doctor System.
