Por que operadoras de planos de saúde precisam ter um Encarregado (DPO)?

Tiago Karam
28/11/2025

Operadoras de planos de saúde precisam ter um Encarregado pelo Tratamento de Dados Pessoais (DPO) porque essa é uma exigência direta da Lei Geral de Proteção de Dados (LGPD – Lei nº 13.709/2018) e porque o setor de saúde lida com dados considerados sensíveis, o que aumenta o nível de responsabilidade e fiscalização.

1. Obrigação legal: Art. 41 da LGPD

O Art. 41 da LGPD determina que todo controlador deve indicar um encarregado pelo tratamento de dados pessoais.

Operadoras de planos de saúde são controladoras porque:

• definem as finalidades e os meios de tratamento de dados de beneficiários, dependentes, prestadores, corretores e colaboradores;
• realizam atividades contínuas de coleta, guarda, compartilhamento e análise de dados.

Portanto, a nomeação do encarregado é obrigatória, salvo se a ANPD regulamentar exceções — o que não ocorreu para operadoras de saúde, que continuam obrigadas.

2. Tratamento de dados sensíveis: Art. 5º, II, e Art. 11 da LGPD

Dados de saúde são classificados como dados pessoais sensíveis (Art. 5º, II). O tratamento desses dados exige maior nível de segurança, governança e justificativa (Art. 11).

Operadoras tratam:

• histórico médico do beneficiário;
• CID, exames e procedimentos;
• dados biométricos;
• prontuários compartilhados por prestadores;
• informações financeiras relacionadas ao plano.

Esse cenário torna indispensável a figura do Encarregado para: orientar a organização sobre boas práticas; atuar como canal com titulares e com a ANPD; monitorar conformidade e riscos.

3. Exigências adicionais regulatórias: ANS + LGPD

Embora a ANS não tenha norma específica sobre o Encarregado, ela: exige que operadoras assegurem proteção, integridade e confidencialidade das informações dos beneficiários em diversos normativos (ex.: RN nº 443/2019 sobre TISS); fiscaliza incidentes e vazamentos que podem impactar beneficiários.

A presença de um Encarregado é entendida como mecanismo mínimo de governança, compatível com as obrigações regulatórias e com a necessidade de resposta em incidentes.

4. Papel do Encarregado conforme Art. 41, §2º

A LGPD define as funções do Encarregado, deixando claro por que ele é crucial para operadoras:

• receber reclamações e comunicações dos titulares;
• receber comunicações da ANPD;
• orientar funcionários e contratados da entidade;
• executar as demais atribuições determinadas pelo controlador.

No setor de saúde, onde há compartilhamento constante de dados entre hospitais, laboratórios, clínicas e operadoras, esse papel é ainda mais essencial.

5. Riscos elevados exigem governança

Incidentes envolvendo saúde estão entre os mais graves sob a LGPD, pois podem afetar: dignidade da pessoa, discriminação, aspectos financeiros, sigilo médico e segurança jurídica da operadora. Por isso, a ANPD considera a presença de um Encarregado um indicador de maturidade e de mitigação de riscos.

Conclusão

Operadoras de planos de saúde devem ter um encarregado porque:

• é uma obrigatoriedade direta da LGPD (Art. 41);
• tratam dados sensíveis de forma intensa (Art. 5º, II; Art. 11);
• atuam em setor regulado que exige forte governança de informações;
• precisam garantir canais formais com titulares e com a ANPD.

Tiago Karam

Consultor regulatório