Encarregado de dados (DPO) na clínica de HOF

Quando se fala em LGPD numa clínica de harmonização orofacial (HOF), as primeiras ideias são consentimento, política de privacidade e cuidado com fotos. Mas há uma função que costuma ficar no limbo: o encarregado de dados, conhecido pela sigla inglesa DPO. É a pessoa que a clínica indica para receber os pedidos dos titulares, orientar a equipe e conversar com a autoridade, quando necessário.

Este guia explica, em linguagem de gestão, o que essa função significa, quando ela é exigida ou recomendada, quem pode exercê-la, o que faz no dia a dia e como formalizar sem burocracia excessiva. Não é parecer jurídico. As regras de dispensa e as particularidades dependem das normas da autoridade nacional e do porte da clínica, e devem ser confirmadas com quem cuida da área. Veja o conceito geral em LGPD.

O que a LGPD diz sobre o encarregado?

A LGPD prevê que o controlador (no caso, a clínica) indique um encarregado pelo tratamento de dados pessoais, e que a identidade e as informações de contato dele sejam divulgadas publicamente, de forma clara e objetiva. A autoridade nacional pode estabelecer hipóteses de dispensa e normas complementares, inclusive com tratamento diferenciado para agentes de pequeno porte. Por isso, a pergunta correta não é "meu consultório precisa ou não de DPO?", e sim "qual é o enquadramento da minha clínica nas normas vigentes e como documentamos a decisão?"

As atividades previstas para o encarregado incluem:

• aceitar reclamações e comunicações dos titulares, prestar esclarecimentos e adotar providências;
• receber comunicações da autoridade e adotar providências;
• orientar funcionários e contratados sobre as práticas de proteção de dados;
• executar as demais atribuições determinadas pelo controlador ou por normas complementares.

Quem pode ser o encarregado?

Independentemente da escolha, a pessoa precisa:

1. Entender o básico da LGPD e da rotina da clínica.
2. Ter canal direto com a direção, para levar decisões sérias a tempo.
3. Ter tempo reservado, mesmo que poucas horas por mês.
4. Ser conhecida por equipe e pacientes.
5. Manter sigilo sobre o que vê.

O que o encarregado faz na rotina de uma clínica de HOF?

Em clínica pequena, a função não é um cargo em tempo integral; é uma responsabilidade com rotina:

• Manter o inventário de dados: onde estão fichas, fotos, sistemas, nuvens e celulares. Veja descarte de fotos e dados do paciente.
• Revisar documentos: política de privacidade, termos, fichas, avisos de coleta e contratos com terceiros. Use o modelo de política de privacidade da clínica como ponto de partida.
• Atender pedidos de titulares: acesso, correção, exclusão, portabilidade, revogação de consentimento.
• Treinar a equipe: na entrada e a cada revisão, com casos reais da recepção, do marketing e da sala.
• Apoiar incidentes: receber o aviso, conduzir a apuração e levar a direção a decidir sobre comunicação.
• Acompanhar fornecedores: sistemas, agências e softwares que tratam dados em nome da clínica.
• Revisar o marketing: consentimento, e-mails, anúncios, pixel e uso de imagem. Veja LGPD no marketing da clínica e cookies e pixel no site da clínica.

Como funciona o atendimento a um pedido de titular?

Os prazos e o formato de resposta têm previsão em lei e em normas da autoridade; confirme os vigentes. Um pedido recusado deve ter justificativa clara, por exemplo, quando se trata de dado que a clínica é obrigada a guardar, como prontuário. Veja prazo de guarda do prontuário em HOF.

Como formalizar sem burocracia excessiva?

Uma formalização enxuta tem quatro passos:

1. Decidir quem será o encarregado e registrar a decisão em um documento simples, com data.
2. Divulgar o contato no site e na política de privacidade (nome ou função e e-mail).
3. Descrever a função em uma página: o que faz, a quem reporta, quanto tempo dedica.
4. Treinar a equipe para encaminhar pedidos ao encarregado e para reconhecer incidentes.

E quando acontece um incidente?

Incidente é qualquer evento que possa comprometer dados pessoais: celular perdido com fotos, e-mail enviado ao paciente errado, acesso indevido ao sistema, invasão. O encarregado tem papel central:

• Receber o aviso rápido, sem punir quem comunica. Punir cria silêncio.
• Conter o problema, com ações práticas (trocar senhas, revogar acessos, bloquear aparelhos).
• Avaliar o risco aos titulares com apoio jurídico e técnico.
• Decidir sobre comunicação à autoridade e aos titulares, conforme as normas vigentes.
• Registrar o que aconteceu, o que foi feito e o que será mudado.

Entenda o conceito em incidente de segurança e veja medidas de prevenção em segurança de dados na clínica de HOF.

Como o uso de ferramentas como o Harmy entra nessa conversa?

Toda ferramenta que trata dados de pacientes precisa constar no inventário e ser compreendida pelo encarregado. No caso do Harmy, os fatos relevantes para o inventário são:

Para o encarregado, a pergunta é: o paciente foi informado do uso da ferramenta e consentiu? O profissional registra esse consentimento? Veja IA com foto do paciente: consentimento e consentimento do paciente para usar o Harmy.

O encarregado não é um escudo jurídico nem um cargo de fachada: é a pessoa que mantém a clínica atenta ao tema todos os meses. Em clínicas de HOF, onde o rosto do paciente é parte do trabalho, ter alguém com essa responsabilidade clara é uma forma concreta de cuidar do que o paciente confiou.