Nem todos os dados têm o mesmo risco. Alguns exigem atenção especial. Nesta lição veem-se o DNI, os dados habituais do pessoal e as categorias especiais do artigo 9.º do RGPD.
O número do DNI e outros identificadores
O número do DNI, do NIE ou do passaporte é um dado pessoal como qualquer outro. Não é um dado de categoria especial, mas serve para usurpar a identidade de alguém, pelo que convém tratá-lo com cuidado:
- Peça-o só se for necessário. Se bastar o nome, não peça também o DNI. O princípio da minimização aplica-se aqui como a qualquer outro dado.
- Não o publique completo junto ao nome. Para a publicação de atos administrativos que contenham dados pessoais, a disposição adicional sétima da LOPDGDD exige identificar a pessoa pelo nome e apelidos mais quatro algarismos aleatórios do seu documento. É um bom modelo de prudência para listas, painéis e avisos.
- Não deixe cópias soltas. Uma fotocópia do DNI esquecida numa mesa ou no tabuleiro da impressora é uma fuga de dados à espera de acontecer.
- Não o use como palavra-passe nem como código de acesso, nem o envie por canais pouco seguros.
Os dados habituais do pessoal
Uma empresa trata muitos dados dos seus trabalhadores: identificação, conta bancária, contrato, recibo de vencimento, horário, férias, ausências e formação. Quase todos se tratam por força do contrato e de obrigações legais. Só os deve ver quem precisa deles para a sua função: o departamento de pessoal e a gestoria veem os recibos de vencimento, mas o resto do pessoal não.
Uma regra simples: um dado de um colega não se comenta, não se reencaminha e não se publica sem uma razão de trabalho clara. Os recibos de vencimento, as sanções, as baixas e os problemas pessoais não são tema para o corredor nem para um grupo de mensagens.
As categorias especiais de dados
O artigo 9.º do RGPD proíbe, em princípio, o tratamento destes dados:
- origem étnica ou racial
- opiniões políticas
- convicções religiosas ou filosóficas
- filiação sindical
- dados genéticos
- dados biométricos destinados a identificar uma pessoa de forma inequívoca, por exemplo uma impressão digital para registar a assiduidade
- dados relativos à saúde
- dados relativos à vida sexual ou à orientação sexual
Há exceções, e no trabalho as mais comuns são as obrigações do direito do trabalho e da segurança social (artigo 9.º, n.º 2, alínea b) e a medicina do trabalho. Um exemplo: a empresa conhece a baixa por incapacidade temporária e a sua duração, mas não precisa de saber o diagnóstico. Outro: a quota sindical só é descontada no recibo de vencimento se a pessoa o pedir.
Os dados sobre condenações e infrações penais também têm proteção reforçada. Segundo o artigo 10.º do RGPD, só se tratam sob o controlo de uma autoridade pública ou quando uma norma o permitir. Por isso, uma empresa não pode pedir sem mais certidões de registo criminal a todo o pessoal: apenas quando a lei o exige para a atividade, por exemplo o certificado de crimes de natureza sexual para trabalhar com menores.
Dados de saúde e de menores
Se no seu trabalho vê dados de saúde (um centro médico, um lar, uma farmácia, um serviço de prevenção) ou dados de menores (uma escola, uma academia), o risco é maior. Aplique com mais rigor as instruções da sua empresa e use apenas os sistemas autorizados.
Lembre-se: quanto mais delicado é um dado, menos pessoas o devem ver e mais protegido deve estar.