LGPD e o Encarregado de Proteção de Dados (DPO) nas Operadoras
A LGPD consolidou a necessidade de governança sobre dados pessoais — e, para operadoras de planos de saúde, isso ganha ainda mais relevância pelo tratamento intenso de dados sensíveis. A indicação do encarregado de proteção de dados nas operadoras (DPO) organiza o canal de comunicação, fortalece controles e melhora a prontidão para fiscalização e incidentes.
O que muda
O encarregado (DPO) atua como ponto focal entre a operadora, os titulares de dados e a ANPD, apoiando a condução de práticas consistentes de privacidade e segurança da informação.
- Receber e responder comunicações de titulares e da ANPD;
- Orientar colaboradores, contratados e terceiros sobre boas práticas de proteção de dados;
- Apoiar políticas internas e rotinas de governança (procedimentos, registros e evidências);
- Atuar com independência, com atenção a conflitos de interesse em decisões sobre tratamento de dados.
Impacto para operadoras
Em operadoras, o DPO precisa dialogar com áreas assistenciais, regulação, TI, jurídico e rede credenciada — pois o ciclo de vida dos dados (coleta, uso, compartilhamento, retenção e descarte) é amplo e altamente sensível.
- Conformidade e governança: estruturação de políticas, papéis, fluxos e evidências;
- Auditoria e controles internos: monitoramento de processos e riscos de não conformidade;
- Rede credenciada e parceiros: padronização de requisitos contratuais e práticas mínimas de proteção;
- Gestão de incidentes: organização de ritos, registros e comunicação em caso de vazamentos;
- Eficiência operacional: redução de retrabalho e melhoria na resposta a solicitações de titulares.
Na prática, a operadora deve avaliar se o modelo será DPO interno (com perfil e autonomia adequados) ou DPO as a Service, principalmente quando busca padronização, rapidez de implantação e cobertura técnica multidisciplinar.
Vigência
A LGPD está em vigor e a indicação do encarregado é uma exigência contínua enquanto houver tratamento de dados pessoais pela operadora. Além de nomear, é essencial divulgar um canal de contato e manter rotinas de governança ativas e comprováveis.
