Por: Rita Duarte Guerra e Sandra Laranjeiro dos Santos, advogadas na LS Advogados, RL
A matéria dos dados pessoais conhece a sua primeira análise e proteção na Constituição da República Portuguesa. O legislador comunitário, consciente do Mundo Global que nos “consome”, viu nesta matéria fragilidades que se tornava necessário colmatar de forma uniforme para toda a União Europeia, nascendo assim o Regulamento Geral de Proteção de Dados (RGPD).
O RGPD vem introduzir alterações significativas às atuais regras de proteção de dados, nomeadamente no que concerne aos trabalhadores em contexto empresarial, sendo diretamente aplicável em Portugal desde dia 25 de maio de 2018, implementando-se uma nova perspetiva: a da autorregulação, em que as empresas têm de cumprir e conseguir provar que cumprem.
A este propósito a principal dúvida que assola os gestores é: têm os trabalhadores de prestar consentimento à sua entidade empregadora para a recolha e tratamento dos seus dados?
Sobre isso debruçaremos as seguintes linhas, desmistificando desde já: o consentimento do trabalhador não se afigura um fundamento legítimo para tratamento dos respetivos dados pessoais!
Com efeito, a entidade patronal, como responsável pelo tratamento dos dados, pode recorrendo ao fundamento da necessidade para a execução do contrato de trabalho e do interesse legítimo das partes, considerando imposições da legislação laboral, fiscal e da segurança social justificar legalmente a recolha e tratamento de dados dos seus trabalhadores como seja: nome, morada, estado civil, idade, registo de alguma deficiência, NIF, NISS.
Já o direito à informação passa a ser a pedra basilar pelo que, para que o tratamento seja legítimo, terá a entidade empregadora de demonstrar que o trabalhador está informado acerca do tratamento, necessidade, finalidade e dos direitos que lhe assistem (sugere-se a forma documental outorgada por ambas as partes).
Mais, a entidade patronal terá de assegurar que o tratamento é estritamente necessário e proporcional, só devendo recolher os dados que são tratados (princípio da minimização), sob pena de carecer do consentimento do titular dos dados para os demais (por exemplo: clube de futebol; idade dos filhos, entre outros).
Neste contexto uma nota para as atividades e serviços de Segurança e Saúde no Trabalho, onde se deverá verificar uma separação entre os dados referentes à saúde e os restantes dados pessoais (um pouco à semelhança do já exigido anteriormente, considerando a sensibilidade dos primeiros e o carácter sigiloso).
Em contexto de recrutamento, as empresas deverão obter o consentimento dos candidatos para tratamento dos respetivos dados mesmo no caso de candidaturas espontâneas.
Por fim: o que fazer aos dados já existentes na base de dados da empresa?
Resulta do quadro geral do RGPD que estes deverão ser revistos, no sentido de solicitar consentimento escrito ao titular para a respetiva manutenção na base e sua atualização, sendo indicado prazo máximo de conservação (em regra não superior a um ano).
No âmbito organizacional, será conveniente elaborar políticas internas de tratamento de dados pessoais que cumpram os princípios da segurança e proteção de dados, nomeadamente a minimização de dados, pseudononimização e transparência, em melhoria contínua, bem como, procedimentos em caso de violação.
Em matéria de procedimentalização interna, recomenda-se a utilização de pastas de rede e a implementação de uma política que limite o armazenamento de documentos nos vários dispositivos dentro da empresa e a que os trabalhadores tenham acesso no exercício de funções. Mais, todos os dados sensíveis e de maior importância deverão estar encriptados.
Ainda que inicialmente difícil crê-se que o tempo transformará o RGPD numa rotina procedimental e burocrática a que (mais uma vez) o tecido empresarial se terá de ajustar.
LS & Associados R.L. é uma sociedade de advogados, cujos especialistas colaboram nas sessões de esclarecimento jurídico (Diz) Juridicando.
Rita Duarte Guerra e Sandra Laranjeiro dos Santos são advogadas na LS & Associados R.L.
