Encarregado de dados (DPO) no consultório: o médico precisa ter um?
A LGPD manda indicar encarregado, mas a ANPD dispensa o pequeno porte, exceto em tratamento de alto risco. Veja os critérios da norma, o que fazer se houver dispensa e como indicar.
Resposta direta
Depende de dois enquadramentos. A LGPD manda o controlador indicar um encarregado (art. 41), e a ANPD dispensa dessa indicação os agentes de tratamento de pequeno porte (Resolução CD/ANPD 2/2022, art. 11). A dispensa, porém, não vale para quem faz tratamento de alto risco, e a norma define alto risco como a soma de pelo menos um critério geral com um critério específico. Dado de saúde preenche o critério específico; o critério geral precisa ser avaliado em cada consultório. Quem fica dispensado continua obrigado a manter um canal de comunicação com os pacientes.
O que é o encarregado e o que ele faz
Encarregado é o nome que a lei brasileira dá ao que muita gente chama de DPO (sigla em inglês para data protection officer). A LGPD o define como a "pessoa indicada pelo controlador e operador para atuar como canal de comunicação entre o controlador, os titulares dos dados e a Agência Nacional de Proteção de Dados (ANPD)" (art. 5º, VIII). Desde a Medida Provisória 1.317/2025, convertida na Lei 15.352/2026, a sigla ANPD designa a Agência Nacional de Proteção de Dados.
Pelo art. 41, §2º, as atividades do encarregado são quatro:
aceitar reclamações e comunicações dos titulares (no consultório, os pacientes), prestar esclarecimentos e adotar providências;
receber comunicações da ANPD e adotar providências;
orientar funcionários e contratados sobre as práticas de proteção de dados;
executar as demais atribuições determinadas pelo controlador ou por normas complementares.
O encarregado não responde pela conformidade: o agente de tratamento "é o responsável pela conformidade" (Resolução CD/ANPD 18/2024, arts. 11 e 17). Num incidente, por exemplo, quem comunica é o controlador, e o encarregado presta assistência (art. 16, I). Prazos e papéis estão em vazamento de dados clínicos: responsabilidades e prazos.
Quem é o controlador no consultório
A obrigação do art. 41 recai sobre o controlador, quem toma as principais decisões sobre o tratamento dos dados. O guia orientativo da ANPD sobre agentes de tratamento (versão 2.0, abril de 2022) traz dois exemplos da área:
Médica profissional liberal: guarda prontuários e dados dos pacientes no computador do consultório. Ela, pessoa natural, é a controladora.
Médica empregada de um hospital: o controlador é o hospital. A médica, por atuar sob o poder diretivo da organização, não é agente de tratamento.
Se o consultório funciona como pessoa jurídica, a análise é feita sobre ela.
A dispensa para agentes de pequeno porte
O art. 41, §3º, da LGPD permite que a ANPD crie hipóteses de dispensa "conforme a natureza e o porte da entidade ou o volume de operações de tratamento de dados". Foi o que fez a Resolução CD/ANPD 2/2022. Pelo art. 2º, I, agentes de pequeno porte incluem microempresas, empresas de pequeno porte e startups, além de "pessoas naturais e entes privados despersonalizados" que tratam dados como controlador ou operador.
O art. 11 diz que esses agentes "não são obrigados a indicar o encarregado". Mas o art. 3º exclui do regime diferenciado quem:
realiza tratamento de alto risco para os titulares;
tem receita bruta acima do limite do art. 3º, II, da Lei Complementar 123/2006 (o guia da ANPD sobre o encarregado indica R$ 4,8 milhões por ano-calendário);
pertence a grupo econômico cuja receita global ultrapasse esse limite.
O que a norma chama de alto risco
Este é o ponto decisivo para um consultório. O art. 4º da Resolução CD/ANPD 2/2022 considera de alto risco o tratamento que "atender cumulativamente a pelo menos um critério geral e um critério específico":
Critérios gerais (art. 4º, I)
Critérios específicos (art. 4º, II)
a) tratamento de dados pessoais em larga escala
a) uso de tecnologias emergentes ou inovadoras
b) tratamento que possa afetar significativamente interesses e direitos fundamentais dos titulares
b) vigilância ou controle de zonas acessíveis ao público
c) decisões tomadas unicamente com base em tratamento automatizado, inclusive para definir perfil pessoal, profissional, de saúde, de consumo e de crédito
d) utilização de dados pessoais sensíveis ou de dados de crianças, de adolescentes e de idosos
Dado de saúde é dado sensível, então o critério específico da alínea "d" está presente em praticamente qualquer consultório. Sozinho, porém, ele não caracteriza alto risco: a norma exige também um critério geral.
A larga escala considera número de titulares, volume de dados, duração, frequência e extensão geográfica (§1º). O impacto significativo inclui o tratamento que possa "impedir o exercício de direitos ou a utilização de um serviço" ou causar danos materiais ou morais, como discriminação ou dano à reputação (§2º).
No guia sobre o encarregado (dezembro de 2024, exemplo 2), a ANPD analisou uma empresa de pequeno porte de atendimento médico domiciliar a pessoas idosas, com dados de saúde. Concluiu que o tratamento poderia afetar significativamente os direitos dos pacientes e que a empresa "deverá indicar um encarregado". É um exemplo, não regra para todo consultório, mas mostra como a autoridade lê a combinação.
Dado de saúde, sozinho, não fecha a conta do alto risco. Mas ele já preenche metade dela, e a outra metade depende do contexto de cada consultório.
Se a ANPD pedir, o agente tem 15 dias para comprovar o enquadramento como pequeno porte (art. 5º), e ela pode determinar o cumprimento das obrigações dispensadas (art. 16).
Se houver dispensa: canal de comunicação
Quem não indica encarregado "deve disponibilizar um canal de comunicação com o titular de dados" (Resolução CD/ANPD 2/2022, art. 11, §1º; Resolução 18/2024, art. 3º, §3º). Na prática, um e-mail ou telefone divulgado para o paciente pedir acesso, correção ou informações sobre seus dados.
A dispensa também não afasta o resto da LGPD: bases legais, princípios, direitos dos titulares e segurança continuam valendo (art. 6º). E a própria resolução estimula a indicação: para o pequeno porte, indicar encarregado "será considerada política de boas práticas e governança" (art. 11, §2º).
Se for indicar: o que a Resolução CD/ANPD 18/2024 pede
Ato formal: documento "escrito, datado e assinado", com as formas de atuação e as atividades, a ser apresentado à ANPD quando solicitado (art. 3º).
Quem pode ser: pessoa natural da equipe ou externa, ou pessoa jurídica (art. 12). Não se exige inscrição em entidade, certificação nem formação específica (art. 14), e a comunicação tem de ser possível em língua portuguesa (art. 13).
Divulgação: nome e contato em local de destaque no site; sem site, por outros meios usados com os pacientes (art. 9º, §3º).
Substituto: um substituto formalmente designado para ausências e impedimentos (art. 4º).
Conflito de interesse: pode haver conflito quando o encarregado acumula funções de decisão estratégica sobre o tratamento de dados (art. 19, §1º, II). O guia da ANPD cita como exemplo cargos de chefia em setores como recursos humanos, tecnologia da informação, finanças ou saúde.
O próprio médico pode ser o encarregado do consultório?
As normas lidas não proíbem expressamente. A Resolução CD/ANPD 18/2024 alerta para conflito de interesse quando o encarregado também toma decisões estratégicas sobre o tratamento (art. 19, §1º, II), e o guia da ANPD sobre o encarregado aponta que, de modo geral, há posição conflitante quando ele acumula cargo de chefia ou direção responsável por definir meios e objetivos do tratamento. É algo a avaliar no caso concreto, de preferência com orientação jurídica.
A secretária pode ser a encarregada?
A norma admite pessoa natural da equipe (art. 12) e não exige certificação (art. 14). Cabe ao controlador definir as qualificações necessárias, considerando contexto, volume e risco do tratamento (art. 7º).
Consultório sem site precisa divulgar o encarregado?
Sim. Sem site, a divulgação pode ser feita por outros meios de comunicação disponíveis, especialmente os usados com os pacientes (Resolução 18/2024, art. 9º, §3º).
Ser dispensado de encarregado dispensa o resto da LGPD?
Não. A Resolução CD/ANPD 2/2022 diz que a dispensa não isenta o agente das bases legais, dos princípios, dos direitos dos titulares e das demais obrigações (art. 6º).
Conteúdo editorial da equipe CliniqMais, revisado em 8 de outubro de 2026 a partir das fontes oficiais listadas. Esta página é mantida pelo CliniqMais — conflito de interesse declarado. As normas citadas podem ser atualizadas — consulte sempre as fontes oficiais. Este texto não substitui orientação do seu conselho profissional nem assessoria jurídica.