Psicólogo autônomo precisa de DPO (encarregado de dados) pela LGPD?
Você lê em algum lugar que a LGPD exige um "encarregado de dados" ou DPO, olha para o seu consultório de uma pessoa só e se pergunta se precisa contratar alguém, criar um cargo formal ou pagar por um serviço especializado para não ficar em falta com a lei. A resposta curta, para a grande maioria dos psicólogos autônomos sem equipe: não, você não precisa nomear um DPO formal. A resposta completa, que importa mais do que o sim ou não, é que essa dispensa não tira de você nenhuma responsabilidade sobre os dados dos seus pacientes.
Este texto responde só a essa pergunta específica. Se você ainda não sabe se é controlador ou operador dos dados que trata, isso já foi respondido aqui, e se você quer o checklist completo de LGPD para quem atende sozinho, ele está aqui.
O que o artigo 41 da LGPD exige, na regra geral
A Lei Geral de Proteção de Dados (Lei 13.709/2018), no artigo 41, determina que o controlador indique um encarregado pelo tratamento de dados pessoais, a figura popularmente chamada de DPO (data protection officer). A lei não exige formação específica: as qualificações ficam a critério do controlador. As atribuições do cargo incluem receber reclamações e solicitações de titulares de dados (por exemplo, um paciente que pede uma cópia do próprio prontuário), prestar esclarecimentos, receber comunicações da Autoridade Nacional de Proteção de Dados (ANPD) e orientar funcionários e contratados sobre proteção de dados.
Até aqui, a leitura literal da lei sugeriria que todo consultório, do maior ao menor, precisaria de um encarregado formalmente indicado. Mas o próprio artigo 41, no parágrafo 3º, dá à ANPD o poder de criar hipóteses de dispensa dessa exigência, conforme a natureza e o porte da entidade ou o volume de operações de tratamento de dados. É exatamente esse poder que muda a resposta para quem atende sozinho.
A dispensa para quem atende sozinho: Resolução CD/ANPD nº 2/2022
A ANPD já exerceu esse poder de dispensa pela Resolução CD/ANPD nº 2, de 27 de janeiro de 2022, que trata da aplicação da LGPD para os chamados agentes de tratamento de pequeno porte. O artigo 2º dessa resolução define quem se enquadra nessa categoria, e a lista inclui microempresas, empresas de pequeno porte, startups e, o que importa diretamente aqui, pessoas naturais que tratam dados pessoais, independentemente de terem ou não CNPJ formal. Um psicólogo autônomo que atende como pessoa física, sem funcionários, entra nessa categoria pela própria natureza da atividade, não porque preencheu algum cadastro específico de pequeno porte.
O artigo 11 dessa mesma resolução é direto: agentes de tratamento de pequeno porte não são obrigados a indicar o encarregado exigido pelo artigo 41 da LGPD. Na prática, isso cobre o cenário mais comum de consultório de psicologia: um profissional autônomo, sem equipe, atendendo um volume de pacientes compatível com uma agenda individual.
Há uma condição que vale entender antes de se declarar automaticamente dispensado: o artigo 3º da resolução exclui do benefício quem realiza tratamento de "alto risco", e o artigo 4º define esse alto risco como a combinação de um critério geral (tratamento em larga escala, ou que possa afetar significativamente interesses fundamentais do titular) com um critério específico (que inclui, entre outros, o uso de dados sensíveis). É fácil achar que, como todo dado de sessão terapêutica é dado sensível de saúde, isso já bastaria para excluir o psicólogo da dispensa. Não é o caso: o alto risco exige a combinação dos dois critérios, não o específico isolado, e um consultório de uma pessoa só dificilmente configura tratamento em larga escala. Isso muda se a estrutura crescer, por exemplo uma clínica com várias psicólogas e prontuários centralizados num sistema compartilhado, o que aproxima o cenário do território de alto risco.
O que não desaparece: o canal de comunicação com o paciente
A dispensa de nomear formalmente um encarregado não é uma dispensa de responsabilidade. O parágrafo 1º do artigo 11 da Resolução 2/2022 exige que o agente de tratamento de pequeno porte que optar por não indicar um encarregado disponibilize, ainda assim, um canal de comunicação com o titular de dados, cumprindo o que o artigo 41, parágrafo 2º, inciso I da LGPD já previa como atribuição do encarregado: receber e responder solicitações do titular.
Na prática, para um psicólogo autônomo, isso significa que o paciente precisa ter uma forma clara de pedir uma cópia do próprio prontuário, perguntar por quanto tempo os dados ficam guardados ou questionar como são tratados, e você precisa ser capaz de responder a esse pedido. Um e-mail de contato mencionado no contrato terapêutico, ou mesmo o canal que você já usa para agendamento, cumpre essa função, desde que você efetivamente responda quando solicitado. O que a lei não aceita é a ausência total de qualquer canal, deixando o paciente sem forma de exercer os próprios direitos sobre os dados que você guarda dele.
Vale registrar: o parágrafo 2º do mesmo artigo 11 trata a indicação voluntária de um encarregado, mesmo por quem está dispensado, como boa prática de governança para os fins do artigo 52 da LGPD (sanções administrativas). Não é uma exigência, é um incentivo, não o caminho necessário para a maioria dos consultórios solo.
E a Resolução CD/ANPD nº 18/2024? Ela regula outra coisa
Depois da resolução sobre pequeno porte, a ANPD publicou a Resolução CD/ANPD nº 18, de 16 de julho de 2024, que aprova o regulamento sobre a atuação do encarregado. É comum confundir as duas normas, mas respondem perguntas diferentes: a Resolução 2/2022 diz quem precisa nomear um encarregado; a Resolução 18/2024 diz como funciona a atuação de quem já tem um, com regras sobre indicação por escrito, divulgação pública da identidade e do contato do encarregado, independência na função e ausência de conflito de interesse com outras funções acumuladas pela mesma pessoa.
Um ponto que interessa a quem pensa em terceirizar o papel no futuro: o artigo 12 permite que o encarregado seja pessoa jurídica, abrindo espaço para contratar um serviço especializado em vez de nomear alguém internamente, o modelo às vezes chamado de "DPO as a service". Isso é relevante para clínicas maiores que decidam nomear um encarregado por escolha própria, mas não altera a dispensa que já existe para o consultório de uma pessoa só: a Resolução 18/2024 regula a atuação de quem tem encarregado, não estreita a dispensa da Resolução 2/2022 para quem não tem.
Não encontramos, nesta pesquisa, orientação específica do Conselho Federal de Psicologia (CFP) ou de um Conselho Regional que estreite essa dispensa geral da ANPD para a categoria profissional dos psicólogos. Se essa orientação existir ou for publicada, vale revisar este texto; até lá, aplica-se a regra geral de agente de pequeno porte.
Quando você de fato passa a precisar de um encarregado
Vale nomear (ou considerar contratar) um encarregado, mesmo como psicólogo autônomo, quando a estrutura do seu trabalho deixa de se parecer com "uma pessoa, uma agenda, um conjunto de prontuários". Alguns sinais concretos:
- Você contrata funcionários ou associados que também têm acesso aos dados dos pacientes, e não só você decide o que é feito com esses dados.
- Sua prática cresce para uma clínica com várias psicólogas atendendo sob a mesma estrutura, com prontuários centralizados num sistema compartilhado.
- Você passa a processar dados de pacientes em volume que se aproxima de "larga escala" no sentido que a Resolução 2/2022 usa esse termo, por exemplo uma rede de atendimento com muitos profissionais e milhares de registros.
- Você decide, por prudência ou por exigência de um parceiro institucional (um convênio, uma instituição de ensino), formalizar o papel mesmo sem ser estritamente obrigado.
Fora desses cenários, o psicólogo autônomo que atende sozinho, sem funcionários, cumpre a LGPD mantendo um canal de comunicação real com os pacientes e seguindo os demais pontos do checklist de LGPD para consultório, sem precisar nomear formalmente um DPO.