Esta lição trata dos dados das pessoas com quem trabalha e das regras sobre a sua monitorização. A DPC publicou em abril de 2023 o seu guia para empregadores, Data Protection in the Workplace (Proteção de dados no local de trabalho). Aplica o RGPD aos dados dos trabalhadores e remete para a jurisprudência europeia em matéria de direitos humanos.
Dados dos trabalhadores
Os empregadores guardam muitos dados pessoais: contactos, dados bancários, vencimentos, desempenho, ausências e informação de saúde. As regras das lições 2 a 6 aplicam-se da mesma forma. Em especial:
- O pessoal tem de saber o que é recolhido e porquê (o aviso de privacidade para o pessoal do empregador).
- Os dados de saúde são categorias especiais de dados. Os registos de baixas por doença só devem ser vistos por quem deles precisa, e não se deve recolher mais pormenor médico do que o empregador tem direito a conhecer.
- Limite o acesso aos processos de recursos humanos. Um chefe não precisa de ver o processo de queixa nem o atestado médico de um colega, a menos que faça parte do procedimento.
- Não afixe dados pessoais de colegas, como aniversários, saúde ou assuntos disciplinares, em quadros de avisos nem em grupos de conversa.
- Conserve os registos apenas o tempo necessário, de acordo com o calendário de conservação.
Monitorização do pessoal
Os empregadores podem ter razões para monitorizar: segurança, proteção de bens, segurança no trabalho ou verificação do cumprimento. Mas a monitorização é um tratamento de dados pessoais e tem de respeitar os princípios. Segundo o guia da DPC, tem de ser:
- necessária: para uma finalidade clara e legítima, não «por precaução»;
- proporcionada: a opção menos intrusiva que cumpra o objetivo;
- transparente: o pessoal tem de ser informado previamente do que é monitorizado, como e porquê, normalmente numa política escrita;
- limitada: os dados só são usados para a finalidade declarada.
Em regra, os empregadores devem realizar uma avaliação de impacto sobre a proteção de dados (AIPD) antes de introduzir uma monitorização intrusiva (artigo 35.º). A monitorização encoberta é excecional. A DPC diz que deve ser evitada sempre que possível e usada apenas caso a caso, por exemplo para investigar um presumível crime, com a participação dos Gardaí (a polícia irlandesa).
Tipos habituais:
- Email e internet: Uma política deve dizer se o uso pessoal é permitido e o que pode ser verificado. Olhar para o conteúdo de mensagens privadas é muito mais difícil de justificar do que olhar para volumes ou registos.
- Videovigilância (CCTV): As câmaras precisam de uma finalidade clara, como a segurança, e de avisos a dizer que há CCTV e quem a gere. Não devem filmar casas de banho, vestiários nem salas de descanso, salvo em casos muito raros. As gravações não devem ser conservadas mais tempo do que o necessário. As pessoas podem pedir uma cópia das imagens em que aparecem.
- Localização GPS de veículos: Deve estar ligada à atividade da empresa, por exemplo para planear o trabalho. Fora do horário de trabalho é pouco provável que seja lícita, sobretudo num carro que pertence ao trabalhador.
- Gravação de chamadas e programas de teletrabalho: Aplicam-se os mesmos testes. Capturas de ecrã constantes ou o registo das teclas premidas são difíceis de justificar.
O Tribunal Europeu dos Direitos do Homem declarou em Bărbulescu c. Roménia (2017) que os empregadores têm de informar previamente o pessoal sobre a natureza e a extensão da monitorização das comunicações. Os trabalhadores não perdem o direito à privacidade no trabalho.
Números PPS
O Personal Public Service Number (PPSN) é um número de referência para as relações com o Estado. As regras sobre a sua utilização estão na Social Welfare Consolidation Act 2005 (secções 262 a 270 e anexo 5).
- Apenas os organismos especificados, sobretudo organismos públicos indicados na lei, podem usar o PPSN nas relações com uma pessoa, para os fins previstos na lei.
- Quem mais usar um PPSN, ou o pedir, sem motivo legal comete um crime (secção 262, n.º 9). Não peça a um cliente o PPSN para cartões de fidelização, inscrições ou identificação.
- Os empregadores precisam, sim, do PPSN de um trabalhador para processar salários e informar a Revenue e o Department of Social Protection (o ministério irlandês da proteção social), porque são relações com organismos especificados. É uma obrigação legal, e o número deve ser guardado nos registos salariais e de recursos humanos, com acesso limitado.
- Trate-o como um dado sensível: pode ser usado em fraudes de identidade. Não o inclua em emails nem em documentos partilhados sem necessidade.
Freedom of Information
Se o seu empregador é um organismo público (um departamento do Governo, uma autoridade local, um serviço do HSE, uma escola ou colégio financiado pelo Estado), aplica-se também a Freedom of Information Act 2014 (lei do acesso à informação pública). Dá ao público o direito de ver os documentos detidos pelo organismo. Os documentos com informação pessoal sobre outras pessoas estão normalmente protegidos contra divulgação (secção 37). A FOI e a proteção de dados são leis diferentes, com pedidos diferentes: quem pede os seus próprios dados pessoais usa um SAR, embora a FOI Act também possa aplicar-se. Se receber um pedido que mencione «Freedom of Information», encaminhe-o sem demora ao responsável de FOI.
O que deve recordar
- A monitorização tem de ser necessária, proporcionada e transparente, com o pessoal informado previamente.
- A CCTV precisa de uma finalidade clara e de avisos.
- O PPSN só pode ser usado como a lei permite. Os empregadores precisam dele para salários e impostos.
- Mantenha privados os processos de recursos humanos e partilhe-os apenas com quem deles precisa.