Por Luciano Poubel · Publicado originalmente no LinkedIn em 9 de setembro de 2026.
Pequena clínica também precisa cumprir a LGPD?
Ser pequeno pode simplificar algumas obrigações. Não significa desaparecer do alcance da lei.
Scott Lang já havia aprendido uma coisa importante sobre tamanho.
Ser pequeno não significa ser irrelevante.
Dependendo da situação, alguma coisa aparentemente minúscula pode produzir um efeito enorme. Talvez por isso ele tenha prestado atenção numa conversa que acontecia atrás do balcão enquanto aguardava uma consulta.
A clínica era pequena. Quatro profissionais, duas pessoas na recepção, um financeiro terceirizado e algumas salas. Nada que lembrasse uma grande rede hospitalar.
Uma das funcionárias comentou:
— LGPD aqui não é uma preocupação tão grande. Isso é mais para hospital, banco e empresa grande.
Scott olhou para o tablet que segurava.
Ali estavam seu nome, CPF, telefone, endereço, contato de emergência, medicamentos em uso, alergias, cirurgias anteriores e outras informações de saúde. Na recepção havia uma câmera. O computador estava conectado ao sistema clínico e o celular recebia mensagens de pacientes.
Ele levantou os olhos.
— Vocês têm certeza de que o tamanho da clínica muda tudo isso?
A resposta veio rapidamente:
— Somos pequenos.
Scott sorriu.
Se havia alguém capaz de explicar que ser pequeno não significa ficar invisível, era ele.
E é exatamente essa a pergunta deste episódio: uma clínica pequena precisa cumprir a LGPD? Existe alguma dispensa? Precisa contratar um encarregado de dados? Precisa ter advogado ou consultoria? O fato de lidar com dados de saúde significa que a operação já é automaticamente considerada de alto risco? E, principalmente, o que uma clínica pequena realmente precisa organizar sem tentar copiar a estrutura de uma multinacional?
A resposta fica mais fácil quando abandonamos dois extremos.
De um lado, está a ideia de que a LGPD seria assunto apenas de grandes organizações. Do outro, a crença de que um consultório com meia dúzia de pessoas precisaria construir a mesma estrutura de privacidade de um hospital com milhares de funcionários.
A regulamentação da ANPD não trabalha com nenhum desses extremos.
Pequeno não significa dispensado
A Resolução CD/ANPD nº 2/2022 criou um regime jurídico diferenciado para os chamados agentes de tratamento de pequeno porte. A categoria pode abranger, observados os requisitos da norma, microempresas, empresas de pequeno porte, startups, determinadas pessoas jurídicas privadas, entidades sem fins lucrativos, pessoas naturais e entes privados despersonalizados que realizem tratamento de dados assumindo funções típicas de controlador ou operador.
A finalidade é reconhecer uma realidade evidente: estruturas econômicas e operacionais diferentes não deveriam ser obrigadas a cumprir todas as exigências procedimentais exatamente da mesma maneira.
Mas o próprio regulamento estabelece um limite muito importante. A flexibilização não afasta os demais dispositivos da LGPD, nem os seus princípios, bases legais, direitos dos titulares ou outras obrigações jurídicas relacionadas à proteção de dados.
Em linguagem menos regulatória, a regra poderia ser resumida assim:
a ANPD permite simplificação. Não concede invisibilidade.
Ant-Man pode diminuir até quase desaparecer.
A clínica não.
Antes de dizer “somos pequenos”, descubra se a norma concorda
O número de funcionários não é suficiente para responder.
Uma clínica pode ter apenas três pessoas trabalhando fisicamente naquela unidade e, ainda assim, não poder se beneficiar das flexibilizações do regime.
A Resolução nº 2/2022 impede o tratamento jurídico diferenciado, entre outras hipóteses, quando o agente ultrapassa os limites de receita estabelecidos na regulamentação, pertence a grupo econômico cuja receita global exceda esses limites ou realiza tratamento considerado de alto risco para os titulares — ressalvada uma hipótese específica do próprio regulamento relacionada à organização para mediação e conciliação de reclamações.
Isso significa que olhar apenas para o tamanho do imóvel pode ser bastante enganoso.
Uma pequena unidade pode fazer parte de um grupo muito maior.
Uma startup com poucos empregados pode tratar dados numa escala enorme.
Uma empresa aparentemente simples pode desenvolver uma operação tecnologicamente complexa.
E existe ainda um detalhe pouco conhecido: se a ANPD solicitar, o agente de pequeno porte deve comprovar que realmente atende aos requisitos do regime em até quinze dias.
Portanto, “somos pequenos” não deveria ser apenas uma percepção da gestão.
É uma conclusão que precisa ter fundamento.
“Tratamos dados de saúde. Então somos automaticamente de alto risco?”
Não.
Essa é provavelmente a distinção jurídica mais importante deste episódio.
Dados referentes à saúde são dados pessoais sensíveis nos termos da LGPD. Isso naturalmente exige cuidado maior.
Mas a Resolução nº 2/2022 não diz que qualquer uso de dado sensível transforma automaticamente todo pequeno agente em agente de alto risco.
Para os fins desse regulamento, o tratamento é considerado de alto risco quando atende cumulativamente a pelo menos um critério geral e um critério específico.
Entre os critérios gerais estão o tratamento em larga escala e o tratamento capaz de afetar significativamente interesses e direitos fundamentais dos titulares. Entre os critérios específicos aparecem situações como utilização de tecnologias emergentes, vigilância de zonas acessíveis ao público, determinadas decisões exclusivamente automatizadas e tratamento de dados sensíveis ou de dados de crianças, adolescentes e idosos.
Por isso, o simples fato de a clínica tratar informações de saúde atende a um dos critérios específicos, mas não encerra sozinho a análise.
Ainda será necessário verificar se existe também um dos critérios gerais exigidos pela norma.
Isso evita duas conclusões igualmente ruins:
“Tratamos saúde, então automaticamente perdemos qualquer benefício do regime de pequeno porte.”
e
“Somos pequenos, então nunca poderemos realizar tratamento de alto risco.”
A resposta depende da operação concreta.
Scott Lang sabe melhor do que ninguém: tamanho e impacto são coisas diferentes.
A clínica pode ser pequena e o tratamento não ser
Imagine uma empresa com cinco funcionários.
Fisicamente, parece pequena.
Agora descubra que ela possui uma plataforma utilizada por centenas de milhares de pessoas, realiza monitoramento contínuo e armazena grande quantidade de informações sensíveis.
O escritório continua pequeno.
O tratamento talvez não seja.
A própria Resolução nº 2 considera, para caracterizar tratamento em larga escala, fatores como número significativo de titulares, volume de dados, duração, frequência e extensão geográfica da atividade. Também considera tratamento capaz de afetar significativamente direitos aquele que possa, por exemplo, impedir exercício de direitos ou acesso a serviços ou provocar danos relevantes aos titulares.
Por isso, a pergunta não deveria ser apenas:
— Quantas pessoas trabalham aqui?
Mas:
— O que fazemos com os dados e qual impacto essa operação pode produzir?
Essa é uma análise muito mais útil.
Então o que realmente fica mais simples?
Aqui começa a parte que interessa bastante ao gestor.
O regime da ANPD não é simbólico. Ele traz flexibilizações concretas para quem realmente se enquadra.
Um bom exemplo está no registro das operações de tratamento.
O art. 37 da LGPD determina que controlador e operador mantenham registro das operações de tratamento que realizam. Para agentes de pequeno porte, a Resolução nº 2 permite cumprir essa obrigação de maneira simplificada. A própria ANPD disponibilizou um modelo com oito campos essenciais, incluindo categorias de titulares, dados tratados, compartilhamentos, medidas de segurança, período de armazenamento, processo, finalidade e hipótese legal.
Isso conversa diretamente com o que discutimos no episódio de Truman.
A clínica continua precisando conhecer seus dados.
A diferença é que não precisa necessariamente começar produzindo um documento gigantesco, cheio de terminologia que ninguém da operação compreende.
Pode utilizar um instrumento proporcional à própria realidade.
Simplificado não significa inexistente.
Significa cumprir de maneira mais adequada ao porte.
E o encarregado de dados? Preciso contratar um?
Essa talvez seja uma das perguntas mais frequentes.
Para agentes de tratamento de pequeno porte que efetivamente tenham direito ao regime diferenciado, a indicação de encarregado pelo tratamento de dados pessoais — muitas vezes chamado no mercado de DPO — não é obrigatória.
Mas a história não termina aí.
Se a clínica optar por não indicar encarregado, deverá disponibilizar um canal de comunicação com o titular para atender às funções previstas pela LGPD. A própria Resolução ainda considera a indicação voluntária de encarregado uma política de boas práticas e governança.
Imagine Scott perguntando:
— Quero saber quais dados vocês possuem sobre mim. Com quem eu falo?
A resposta não pode ser:
— Não temos DPO porque somos pequenos.
Ótimo.
Mas alguém precisa receber o pedido.
Pode ser um endereço eletrônico institucional, um canal específico ou uma pessoa internamente responsável pelo fluxo.
O que não deveria acontecer é Scott percorrer recepção, financeiro, profissional e contador tentando descobrir onde exercer um direito que a própria legislação lhe assegura.
Dispensa de encarregado não significa ausência de canal.
Preciso contratar advogado ou consultoria especializada?
A LGPD não estabelece uma regra geral obrigando toda pequena clínica a manter advogado, consultoria de privacidade ou empresa especializada permanentemente contratada.
Isso não significa que auxílio externo seja inútil. Em determinadas situações — estruturação inicial, análise de risco, contratos, incidentes ou operações mais complexas — orientação jurídica ou técnica pode ser bastante importante.
Mas conformidade não deveria ser apresentada como um produto padronizado que exige da clínica uma estrutura incompatível com sua realidade.
A própria Resolução nº 2 permite que agentes de pequeno porte adotem política simplificada de segurança da informação, considerando custos de implementação, estrutura, escala e volume das operações. Ao mesmo tempo, continua exigindo medidas administrativas e técnicas essenciais e necessárias à proteção dos dados.
Talvez a melhor síntese seja:
a estrutura pode ser proporcional; o cuidado não é opcional.
Uma política pequena pode ser melhor do que um manual enorme
Scott recebe um documento de quarenta páginas chamado:
POLÍTICA CORPORATIVA DE SEGURANÇA DA INFORMAÇÃO.
Ele pergunta:
— Quem leu isso?
Silêncio.
Depois descobre que todos usam a mesma senha no computador.
Esse contraste explica muita coisa.
Uma clínica pequena pode ter uma política simples e eficiente, desde que ela corresponda à realidade e seja realmente seguida. A própria regulamentação admite essa simplificação, e a ANPD disponibiliza guia e checklist de segurança voltados especificamente para agentes de pequeno porte.
Não é necessário transformar cada recepcionista em especialista em cibersegurança.
É necessário que a equipe conheça as regras que interferem no seu trabalho.
Quem pode acessar o quê?
Como concedemos e retiramos acesso?
O que acontece quando alguém deixa a equipe?
Como tratamos um incidente?
Quem responde ao pedido do paciente?
A complexidade da documentação pode diminuir.
A necessidade de organização não.
Existem coisas que o regime simplificado não simplifica
Este talvez seja o ponto que mais precisa ficar claro.
A clínica pode ter registro simplificado.
Pode, em determinadas condições, não indicar encarregado.
Pode adotar política simplificada de segurança.
Pode usufruir de prazos diferenciados em hipóteses específicas.
Mas continua precisando respeitar os fundamentos da LGPD.
Ainda precisa possuir finalidade para tratar dados.
Ainda precisa identificar hipótese legal adequada.
Ainda precisa respeitar os direitos dos titulares.
Ainda precisa adotar medidas de segurança.
Ainda precisa prevenir acessos indevidos.
Ainda precisa responder adequadamente quando ocorre incidente.
O art. 6º da Resolução nº 2 deixa isso expresso: a flexibilização não afasta princípios, bases legais, direitos nem demais obrigações aplicáveis.
Por isso, nenhuma destas frases se torna aceitável apenas porque a clínica é pequena:
“Todo mundo usa a mesma senha.”
“Não sabemos por que guardamos isso.”
“Ninguém aqui sabe responder pedidos de pacientes.”
“Não precisamos registrar nada.”
“LGPD só vale para empresa grande.”
O porte influencia a maneira de organizar a conformidade.
Não transforma desorganização em exceção legal.
Os direitos de Scott também não encolhem
Scott decide testar a clínica:
— Quero confirmação de que vocês tratam meus dados e acesso às informações que possuem.
A resposta:
— Somos pequenos. Não temos estrutura para atender isso.
O argumento não funciona.
A Resolução nº 2 determina expressamente que agentes de pequeno porte disponibilizem informações sobre o tratamento e atendam às requisições dos titulares pelos meios que assegurem os direitos previstos na LGPD.
A LGPD continua assegurando direitos como confirmação da existência de tratamento, acesso, correção e, conforme as circunstâncias, anonimização, bloqueio ou eliminação de dados tratados de forma inadequada, entre outros.
A clínica não precisa criar uma central com dezenas de atendentes.
Pode estruturar um fluxo simples.
O pedido chega.
Alguém identifica o titular.
Localiza as informações.
Analisa o que pode e deve ser fornecido.
Responde.
Pequeno porte pode simplificar o caminho.
Não elimina o destino.
Pequeno porte também pode significar prazos diferentes
A Resolução nº 2 concede prazo em dobro aos agentes de pequeno porte em determinadas hipóteses, como alguns atendimentos de direitos dos titulares, fornecimento de declaração clara e completa, apresentações de informações solicitadas pela ANPD e comunicação de incidente de segurança nos termos da regulamentação específica. Após a Resolução nº 15/2024, a regra de prazo diferenciado para incidentes foi expressamente ajustada ao regulamento atual.
Mas há uma condição óbvia que muitas vezes é esquecida:
a organização precisa realmente ter direito ao regime.
Não basta decidir internamente:
— Somos pequenos, então nosso prazo é em dobro.
Se a clínica realiza tratamento de alto risco nos termos da resolução ou não atende aos demais requisitos, talvez essas flexibilizações não estejam disponíveis.
Mais uma vez, enquadramento vem antes do benefício.
Há ainda uma cláusula de segurança que pouca gente conhece
Imagine que a clínica esteja corretamente enquadrada como agente de pequeno porte.
Pronto. Todas as flexibilizações estão garantidas para sempre?
Não necessariamente.
O art. 16 da Resolução nº 2 autoriza a ANPD a determinar que o agente cumpra obrigações que normalmente seriam dispensadas ou flexibilizadas, levando em consideração circunstâncias como natureza ou volume das operações e riscos para os titulares.
Esse dispositivo é muito importante porque mostra a lógica inteira do regulamento.
A simplificação existe para tornar a conformidade proporcional.
Não para impedir a autoridade de reagir quando determinado tratamento concreto demonstra que uma obrigação mais robusta é necessária.
Em outras palavras:
pequeno porte é um regime de proporcionalidade, não um escudo permanente.
“Mas nunca tivemos problema”
Talvez seja verdade.
Ótimo.
Mas ausência de incidente conhecido não prova que todos os processos estejam adequados.
Uma clínica pode utilizar senha compartilhada durante anos sem perceber acesso indevido. Pode manter informação desnecessária em cadastro. Pode não ter recebido ainda nenhum pedido formal de titular. Pode nunca ter enfrentado incidente relevante.
Isso não transforma essas práticas automaticamente em boas práticas.
Prevenção existe justamente antes da primeira ocorrência.
Esperar que algo dê errado para começar a organizar proteção de dados seria como Scott esperar que o prédio desabe para decidir se vale a pena diminuir de tamanho e entrar na estrutura.
Às vezes, a melhor hora para corrigir uma falha é quando ela ainda não virou caso.
Se estivéssemos advogando para Scott
Se Scott viesse até nós dizendo que a clínica utilizou seus dados de maneira inadequada, o tamanho da empresa seria apenas uma das informações da análise.
Primeiro perguntaríamos o que foi tratado, para qual finalidade, qual hipótese legal sustentava aquela atividade, quem teve acesso, quais medidas de segurança existiam e se houve violação de algum direito.
Depois verificaríamos se a clínica realmente se enquadrava como agente de pequeno porte e se a obrigação discutida admitia alguma flexibilização.
O porte pode modificar como determinado dever deve ser cumprido.
Não responde sozinho se determinado tratamento foi legítimo.
Se fôssemos os advogados da clínica
Nossa primeira pergunta também não seria:
— Qual é o mínimo necessário para não tomar multa?
Essa pergunta normalmente produz programas ruins, construídos para parecer adequados em vez de funcionar.
Começaríamos aproveitando o trabalho dos episódios anteriores: a clínica precisa conhecer os dados que trata e os canais por onde eles circulam.
Depois verificaríamos se ela realmente pode utilizar o regime de pequeno porte.
A partir daí, montaríamos uma estrutura simples.
Um registro simplificado das operações.
Um canal para titulares.
Responsáveis internos claramente definidos.
Uma política enxuta de segurança.
Regras mínimas sobre acessos e dispositivos.
Um fluxo para incidentes.
Contratos e fornecedores revisados quando necessário.
Treinamento da equipe.
Nada disso precisa transformar um consultório de cinco pessoas numa multinacional.
Mas precisa funcionar.
Porque o pior programa de LGPD para uma pequena clínica é aquele que fica perfeito numa pasta e impossível na rotina.
O teste do Ant-Man
Vamos diminuir o problema de tamanho até caber numa manhã de trabalho.
Imagine Scott caminhando pela clínica e fazendo apenas algumas perguntas.
Se um paciente pedir acesso aos próprios dados hoje, quem recebe o pedido?
A clínica sabe quais operações registra e por quê?
Existe alguém que conhece o fluxo de incidentes?
Os acessos são revisados quando uma pessoa entra ou sai da equipe?
Os principais fornecedores que tratam dados estão identificados?
A clínica sabe se realmente se enquadra no regime de pequeno porte?
Existe uma política de segurança compatível com aquilo que acontece na prática?
Agora faça a última pergunta:
— Se a ANPD pedisse amanhã que vocês comprovassem o enquadramento ou explicassem uma operação de tratamento, conseguiriam reunir as informações?
Se várias respostas forem “não sei”, não significa que a clínica precise contratar vinte pessoas.
Significa apenas que existe trabalho de organização a fazer.
E, numa estrutura pequena, essa organização pode ser mais rápida do que parece.
Talvez ser pequeno seja uma vantagem
Há um lado dessa conversa que costuma ser esquecido.
Uma pequena clínica não possui apenas limitações.
Também possui vantagens.
É mais fácil colocar seis pessoas numa sala e treinar todo mundo.
É mais fácil identificar os sistemas utilizados.
É mais fácil descobrir quem realmente precisa de acesso.
É mais rápido corrigir um formulário.
É possível alterar uma rotina sem passar por quinze departamentos.
A mesma escala que reduz recursos pode também facilitar transformação.
Por isso, conformidade proporcional não deveria ser lida apenas como:
“a lei exige menos de mim.”
Talvez seja melhor pensar:
“a minha estrutura permite organizar isso de uma forma mais simples.”
O maior risco pode caber na palma da mão
No final da consulta, Scott pega o celular.
Um aparelho pequeno.
Dentro dele podem existir centenas de conversas, fotografias, documentos e informações de saúde.
Talvez seja a melhor imagem para encerrar este episódio.
Tamanho físico diz pouco sobre impacto.
Uma clínica pequena pode cuidar de dados extremamente sensíveis e de relações de confiança profundas. Pode possuir poucos funcionários e ainda causar um prejuízo enorme se tratar essas informações de maneira inadequada.
Por outro lado, a LGPD e a regulamentação da ANPD reconhecem que não faz sentido exigir de estruturas completamente diferentes exatamente os mesmos processos burocráticos.
É por isso que existe um regime simplificado.
Não para dizer:
“Você é pequeno, então a LGPD não se aplica.”
Mas para permitir:
“Você é pequeno. Organize-se de uma forma proporcional, sem abandonar aquilo que realmente protege as pessoas.”
Ant-Man nunca confundiu tamanho reduzido com ausência de responsabilidade.
Uma pequena clínica também não deveria.
Se amanhã alguém da sua equipe perguntasse “somos pequenos; o que realmente precisamos fazer para cumprir a LGPD?”, você conseguiria responder com um plano que cabe na realidade da clínica — ou apenas diria que isso é assunto para empresa grande?
Referências oficiais
BRASIL. Lei nº 13.709/2018 — Lei Geral de Proteção de Dados Pessoais (LGPD), especialmente arts. 6º, 18, 37, 41, 46, 48, 52 e 55-J.
AGÊNCIA NACIONAL DE PROTEÇÃO DE DADOS — ANPD. Resolução CD/ANPD nº 2, de 27 de janeiro de 2022, vigente com alterações promovidas pela Resolução CD/ANPD nº 15/2024 — Regulamento de aplicação da LGPD aos agentes de tratamento de pequeno porte.
AGÊNCIA NACIONAL DE PROTEÇÃO DE DADOS — ANPD. Modelo de Registro Simplificado das Operações de Tratamento de Dados Pessoais para Agentes de Tratamento de Pequeno Porte.
AGÊNCIA NACIONAL DE PROTEÇÃO DE DADOS — ANPD. Guia Orientativo sobre Segurança da Informação para Agentes de Tratamento de Pequeno Porte e respectivo checklist.
Aviso: Este artigo apresenta orientações jurídicas gerais. O enquadramento como agente de tratamento de pequeno porte e a utilização das flexibilizações previstas pela ANPD dependem da natureza jurídica e econômica do agente, do grupo econômico, das características concretas das operações de tratamento, do nível de risco e das demais condições estabelecidas pela regulamentação vigente.