apointoo.
Solicitar acesso
Privacidade e Compliance

Clínica pequena que trata dados de saúde precisa nomear encarregado pela LGPD?

cmsapointoo··9 min de leitura

Uma clínica pequena pode ficar dispensada de nomear encarregado pela LGPD, mas o número de funcionários ou o tamanho do consultório não decide isso sozinho. A dispensa da Resolução CD/ANPD nº 2 vale para quem se enquadra como agente de tratamento de pequeno porte e não cai nas exclusões do próprio regulamento. Mesmo quando a dispensa se aplica, a clínica precisa manter um canal de comunicação com titulares.

Tratar dados de saúde também não encerra a análise. Dados sensíveis são um critério específico de alto risco. Para o tratamento ser classificado como alto risco nesse regulamento, deve existir, cumulativamente, pelo menos um critério geral e um critério específico. Portanto, dado de saúde não retira automaticamente o regime diferenciado, mas pode retirá-lo quando aparece junto de larga escala ou de impacto significativo sobre interesses e direitos fundamentais.

A regra geral e a exceção para pequeno porte

O artigo 41 da LGPD estabelece que o controlador deve indicar encarregado pelo tratamento de dados pessoais. A lei permite que a ANPD defina hipóteses de dispensa conforme natureza, porte ou volume das operações. A Resolução CD/ANPD nº 2 usa essa competência para dar tratamento diferenciado a determinados agentes de pequeno porte.

O artigo 2º do regulamento inclui microempresas, empresas de pequeno porte, startups, pessoas jurídicas de direito privado, inclusive sem fins lucrativos, pessoas naturais e entes privados despersonalizados que assumem obrigações de controlador ou operador, desde que atendam às condições legais aplicáveis. O enquadramento empresarial precisa ser comprovável. Uma clínica com poucos profissionais não deve presumir que pertence à categoria apenas porque sua operação parece modesta.

Há também exclusões ligadas a receita e grupo econômico. Se a receita supera o limite referido pelo regulamento, ou se o grupo econômico ultrapassa esse limite globalmente, o tratamento diferenciado não se aplica. A decisão começa com documentos societários e financeiros, não com uma descrição informal do negócio.

O teste de alto risco tem duas partes cumulativas

O artigo 3º impede o uso do regime diferenciado quando o agente realiza tratamento de alto risco, salvo uma hipótese restrita de organização coletiva prevista no artigo 8º. O artigo 4º define alto risco por uma combinação: ao menos um critério geral e ao menos um critério específico. As duas partes são obrigatórias.

Os critérios gerais são tratamento em larga escala ou tratamento que possa afetar significativamente interesses e direitos fundamentais dos titulares. A resolução orienta a avaliação de larga escala pelo número significativo de titulares, pelo volume, pela duração, pela frequência e pela extensão geográfica. Impacto significativo pode existir quando o tratamento impede direitos ou uso de um serviço, ou pode causar danos materiais ou morais, discriminação, fraude, roubo de identidade ou outras consequências descritas no regulamento.

Entre os critérios específicos estão uso de tecnologia emergente, vigilância de zonas públicas, certas decisões exclusivamente automatizadas e uso de dados sensíveis ou de dados de crianças, adolescentes e idosos. Dado referente à saúde é dado pessoal sensível sob o artigo 5º da LGPD. Isso satisfaz o lado específico. Ainda é preciso testar o lado geral.

Como aplicar o teste a uma clínica sem automatizar a conclusão

Uma agenda que recebe nome, contato, horário e uma informação sobre o serviço procurado pode tratar dado de saúde, dependendo do que o conjunto revela. O conteúdo sobre legítimo interesse e dados de saúde no formulário explica por que campo e finalidade precisam ser avaliados separadamente.

Depois de identificar dados sensíveis, a clínica deve medir o critério geral com fatos. Quantas pessoas estão incluídas? Qual volume fica retido? O tratamento é contínuo ou ocasional? Abrange uma unidade local ou uma rede? Uma falha poderia impedir atendimento, expor condição de saúde ou produzir discriminação? Essas perguntas ajudam a aplicar os fatores do regulamento sem transformar um único número em regra universal.

Dois consultórios com a mesma receita podem chegar a resultados diferentes. Um pode manter uma agenda limitada e com pouca retenção. Outro pode integrar várias unidades, perfis sensíveis, automações decisórias e histórico amplo. A análise pertence a cada operação de tratamento. O porte da empresa não apaga a natureza, escala ou consequência do fluxo.

Dispensa de encarregado não significa ausência de contato

O artigo 11 da Resolução nº 2 dispensa os agentes de pequeno porte elegíveis de indicar encarregado. O parágrafo seguinte impõe uma condição operacional: quem não indicar encarregado deve disponibilizar canal de comunicação com o titular para cumprir a função de aceitar reclamações e comunicações, prestar esclarecimentos e adotar providências.

Esse canal precisa existir na prática. A clínica deve publicar um meio acessível, atribuir responsabilidade interna, registrar solicitações e impedir que mensagens fiquem esquecidas numa caixa sem acompanhamento. A lei não exige que o nome público do canal seja “encarregado” quando a dispensa é válida. Também não basta publicar um endereço que ninguém monitora.

Nomear voluntariamente um encarregado continua possível. A resolução considera isso uma política de boas práticas e governança. A escolha pode fazer sentido quando há muitos fornecedores, contratos empresariais, solicitações frequentes ou necessidade de coordenação. Ela não substitui a análise de enquadramento nem transforma uma pessoa em garantia de conformidade.

Quais obrigações permanecem mesmo com a dispensa?

O artigo 6º da resolução afirma que flexibilizações não isentam o agente dos demais dispositivos da LGPD, de outras normas aplicáveis nem de obrigações contratuais. A clínica ainda precisa definir hipóteses legais, respeitar finalidade e necessidade, atender direitos e proteger os dados. O artigo sobre BAA, DPA e contrato de operador LGPD mostra por que documento e papel real precisam continuar alinhados.

O regulamento também exige medidas administrativas e técnicas essenciais, considerando risco e realidade do agente. Uma política de segurança pode ser simplificada, mas deve proteger contra acesso não autorizado, perda, destruição, alteração ou tratamento inadequado. Simplificada descreve a forma do documento. Não reduz o dever de enfrentar riscos previsíveis do fluxo.

As regras sobre base legal de dados sensíveis continuam separadas. A eventual dispensa de encarregado não autoriza coleta excessiva, reaproveitamento para marketing ou acesso amplo. Para dados pediátricos, a análise ainda deve considerar o melhor interesse e as regras aplicáveis, como detalha o guia sobre agendamento pediátrico, LGPD e ECA Digital.

Que evidência sustenta a decisão?

A clínica deve conseguir reconstruir por que aplicou ou rejeitou a dispensa. Um registro curto pode reunir categoria empresarial, receita considerada, composição do grupo econômico, operações avaliadas, volume, frequência, extensão, categorias de titulares e possíveis impactos. Para cada operação com dado sensível, registre qual critério específico existe e se algum critério geral também foi satisfeito.

Guarde a versão do regulamento usada, a data da revisão, o responsável pela decisão e o canal publicado para titulares. Não inclua dados reais de pacientes nessa evidência. Use inventários, contagens agregadas e fluxos sintéticos. A documentação precisa demonstrar a análise sem criar uma nova base sensível.

A ANPD pode pedir comprovação do enquadramento e pode determinar o cumprimento de obrigações dispensadas ou flexibilizadas conforme natureza, volume e risco. Por isso, a conclusão deve ser revisável, não uma declaração permanente feita na abertura da empresa.

Como dividir responsabilidades entre clínica e plataforma

A clínica costuma decidir as finalidades e os campos de seu agendamento, enquanto a plataforma pode executar tratamento conforme instruções. Esses papéis dependem das atividades reais. O fornecedor não deve declarar que toda clínica está dispensada, pois não conhece sozinho receita, grupo econômico, escala, impacto e outras operações do cliente.

A plataforma pode oferecer canal configurável, exportação de solicitações, permissões, registros de acesso e documentação dos subprocessadores. A clínica conserva a decisão jurídica sobre seu enquadramento. Se ocorrer incidente, os papéis e o fluxo de comunicação precisam estar definidos antes da crise; o artigo sobre incidentes com dados de saúde trata dessa divisão.

Contrato, interface e processo interno devem contar a mesma história. Se o aviso público indica um canal, o suporte precisa saber encaminhar a solicitação. Se a clínica nomeia encarregado voluntariamente, seus dados de contato precisam permanecer atuais. Se usa a dispensa, alguém ainda deve responder pelo funcionamento do canal.

Quando revisar o enquadramento

Revise a análise quando houver crescimento relevante, entrada num grupo econômico, nova unidade, mudança de fornecedor, retenção maior, integração de bases, automação decisória ou inclusão de novos grupos vulneráveis. A revisão também é necessária quando a ANPD altera normas ou quando o fluxo real deixa de coincidir com o inventário.

Uma verificação anual pode ser suficiente para uma operação estável, mas não substitui revisão orientada por mudança. O gatilho deve acompanhar fatos que alterem porte ou risco. Até a conclusão da nova análise, evite ampliar coleta e acesso com base numa dispensa antiga.

Perguntas frequentes

Todo consultório individual está dispensado de encarregado?

Não automaticamente. É preciso confirmar o enquadramento como agente de pequeno porte e verificar as exclusões de receita, grupo econômico e tratamento de alto risco. A forma individual da atividade é um dado da análise, não a conclusão completa.

Tratar dados de saúde sempre torna a operação de alto risco?

Não para fins da Resolução nº 2. Dados de saúde cumprem um critério específico. O teste de alto risco também exige, cumulativamente, larga escala ou possibilidade de impacto significativo sobre interesses e direitos fundamentais.

A clínica dispensada pode deixar de publicar contato de privacidade?

Não. O artigo 11 exige canal de comunicação com o titular quando o agente elegível não indica encarregado. O canal deve permitir que reclamações, comunicações e pedidos recebam tratamento efetivo.

Nomear encarregado voluntariamente prova conformidade com a LGPD?

Não. A resolução trata a nomeação voluntária como boa prática, mas bases legais, segurança, direitos, contratos e controles continuam separados. A conformidade depende das operações reais e das regras aplicáveis a cada uma.

Referências

Leia também

Clínica pequena que trata dados de saúde precisa nomear encarregado pela LGPD? | Apointoo