Encargado de datos (DPO) en la clínica de armonización

Cuando se habla de LGPD (la ley brasileña de protección de datos) en una clínica de armonización orofacial (HOF), las primeras ideas son consentimiento, política de privacidad y cuidado con las fotos. Pero hay una función que suele quedar en el limbo: el encargado de datos, conocido por la sigla inglesa DPO. Es la persona que la clínica designa para recibir las solicitudes de los titulares, orientar al equipo y conversar con la autoridad, cuando sea necesario.

Esta guía explica, en lenguaje de gestión, qué significa esa función, cuándo se exige o se recomienda, quién puede ejercerla, qué hace en el día a día y cómo formalizarla sin burocracia excesiva. No es un dictamen jurídico. Las reglas de dispensa y las particularidades dependen de las normas de la autoridad nacional y del tamaño de la clínica, y deben confirmarse con quien se ocupa del área. Mira el concepto general en LGPD.

¿Qué dice la LGPD sobre el encargado?

La LGPD prevé que el controlador (en este caso, la clínica) designe a un encargado del tratamiento de datos personales, y que su identidad y datos de contacto se divulguen públicamente, de forma clara y objetiva. La autoridad nacional puede establecer hipótesis de dispensa y normas complementarias, incluido un trato diferenciado para agentes de pequeño porte. Por eso, la pregunta correcta no es "¿mi consultorio necesita o no un DPO?", sino "¿cuál es el encuadre de mi clínica en las normas vigentes y cómo documentamos la decisión?"

Las actividades previstas para el encargado incluyen:

• aceptar reclamos y comunicaciones de los titulares, dar explicaciones y adoptar medidas;
• recibir comunicaciones de la autoridad y adoptar medidas;
• orientar a empleados y contratados sobre las prácticas de protección de datos;
• ejecutar las demás atribuciones determinadas por el controlador o por normas complementarias.

¿Quién puede ser el encargado?

Sea cual sea la elección, la persona necesita:

1. Entender lo básico de la LGPD y de la rutina de la clínica.
2. Tener un canal directo con la dirección, para llevar decisiones serias a tiempo.
3. Tener tiempo reservado, aunque sean pocas horas por mes.
4. Ser conocida por el equipo y los pacientes.
5. Mantener la confidencialidad sobre lo que ve.

¿Qué hace el encargado en la rutina de una clínica de HOF?

En una clínica pequeña, la función no es un cargo de tiempo completo; es una responsabilidad con rutina:

• Mantener el inventario de datos: dónde están las fichas, fotos, sistemas, nubes y celulares. Mira eliminación de fotos y datos del paciente.
• Revisar documentos: política de privacidad, términos, fichas, avisos de recolección y contratos con terceros. Usa el modelo de política de privacidad de la clínica como punto de partida.
• Atender solicitudes de titulares: acceso, corrección, eliminación, portabilidad, revocación del consentimiento.
• Capacitar al equipo: al ingresar y en cada revisión, con casos reales de la recepción, del marketing y del consultorio.
• Apoyar en incidentes: recibir el aviso, conducir la investigación y llevar a la dirección a decidir sobre la comunicación.
• Dar seguimiento a los proveedores: sistemas, agencias y software que tratan datos en nombre de la clínica.
• Revisar el marketing: consentimiento, emails, anuncios, píxel y uso de imágenes. Mira LGPD en el marketing de la clínica y cookies y píxel en el sitio de la clínica.

¿Cómo funciona la atención de una solicitud de un titular?

Los plazos y el formato de respuesta están previstos en la ley y en normas de la autoridad; confirma los vigentes. Una solicitud rechazada debe tener una justificación clara, por ejemplo, cuando se trata de datos que la clínica está obligada a conservar, como la historia clínica. Mira plazo de conservación de la historia clínica en armonización.

¿Cómo formalizar sin burocracia excesiva?

Una formalización sencilla tiene cuatro pasos:

1. Decidir quién será el encargado y registrar la decisión en un documento simple, con fecha.
2. Divulgar el contacto en el sitio y en la política de privacidad (nombre o función y email).
3. Describir la función en una página: qué hace, a quién reporta, cuánto tiempo dedica.
4. Capacitar al equipo para derivar solicitudes al encargado y para reconocer incidentes.

¿Y cuando ocurre un incidente?

Un incidente es cualquier evento que pueda comprometer datos personales: celular perdido con fotos, email enviado al paciente equivocado, acceso indebido al sistema, intrusión. El encargado tiene un rol central:

• Recibir el aviso rápido, sin castigar a quien lo comunica. Castigar crea silencio.
• Contener el problema, con acciones prácticas (cambiar contraseñas, revocar accesos, bloquear dispositivos).
• Evaluar el riesgo para los titulares con apoyo jurídico y técnico.
• Decidir sobre la comunicación a la autoridad y a los titulares, conforme a las normas vigentes.
• Registrar lo que ocurrió, lo que se hizo y lo que se cambiará.

Entiende el concepto en incidente de seguridad y mira medidas de prevención en seguridad de datos en la clínica de armonización.

¿Cómo entra en esta conversación el uso de herramientas como Harmy?

Toda herramienta que trata datos de pacientes debe constar en el inventario y ser comprendida por el encargado. En el caso de Harmy, los hechos relevantes para el inventario son:

Para el encargado, la pregunta es: ¿se informó al paciente del uso de la herramienta y dio su consentimiento? ¿El profesional registra ese consentimiento? Mira IA con foto del paciente: consentimiento y consentimiento del paciente para usar Harmy.

El encargado no es un escudo jurídico ni un cargo de fachada: es la persona que mantiene a la clínica atenta al tema todos los meses. En las clínicas de HOF, donde el rostro del paciente es parte del trabajo, tener a alguien con esta responsabilidad clara es una forma concreta de cuidar lo que el paciente confió.