Nos termos do artigo 6.º do UK GDPR, uma organização só pode usar dados pessoais se se aplicar pelo menos um fundamento de licitude. O responsável tem de decidir qual se aplica antes de começar e informar as pessoas no seu aviso de privacidade.
Os fundamentos de licitude
- Consentimento. A pessoa concordou de forma clara.
- Contrato. O uso é necessário para executar um contrato com a pessoa, ou para diligências que ela pede antes de o celebrar. Um exemplo é entregar uma encomenda.
- Obrigação legal. O uso é necessário para cumprir a lei, por exemplo os registos de salários e impostos.
- Interesses vitais. O uso é necessário para proteger a vida de alguém, como numa emergência médica.
- Missão de interesse público. O uso é necessário para uma tarefa de interesse público ou uma função prevista na lei. Aplica-se sobretudo a organismos públicos.
- Interesses legítimos. O uso é necessário para os interesses legítimos da organização ou de um terceiro, a menos que prevaleçam os direitos da pessoa. A organização tem de ponderar os dois lados.
A Data (Use and Access) Act 2025 acrescenta uma sétima via, chamada interesses legítimos reconhecidos (recognised legitimate interests). Refere-se a uma lista curta de fins fixados na lei, como a prevenção de crimes e o safeguarding (a proteção de pessoas contra danos). O seu empregador decidirá quando a usar. Não lhe cabe a si escolhê-la.
Os dados de categoria especial exigem mais
Para os dados de categoria especial (saúde, religião, filiação sindical, etc.), a organização precisa de um fundamento de licitude e de uma condição distinta do artigo 9.º. Muitas destas condições estão previstas no Anexo 1 da DPA 2018. O direito do trabalho e os cuidados de saúde são exemplos comuns. Por isso, tenha mais cuidado com os registos de saúde, as baixas médicas e informação semelhante.
Como é um consentimento válido
O consentimento é apenas uma opção, e muitas vezes não a melhor. Quando é usado, tem de ser:
- livre. A pessoa tem uma escolha real. O consentimento raramente é livre quando há um desequilíbrio de poder, por exemplo de um empregador para um trabalhador;
- específico para um fim claro;
- informado. A pessoa sabe quem lho pede e para quê;
- inequívoco, com uma ação positiva clara. Caixas já preenchidas, o silêncio e a inatividade não são consentimento;
- fácil de retirar a qualquer momento, e tão fácil de retirar como de dar.
A organização tem de conseguir provar que tem o consentimento.
Empregadores e consentimento
Os dados dos trabalhadores são usados sobretudo com outros fundamentos, como o contrato (o salário) e a obrigação legal (verificação do direito ao trabalho, impostos). Um empregador não deve pedir consentimento quando o trabalhador não pode dizer não sem receio.
Porque é que isto lhe interessa
Não lhe cabe escolher o fundamento de licitude. Mas deve conhecer o essencial:
- Se um cliente deu o seu email para receber um recibo, não o junte a uma lista de marketing. É outra finalidade.
- Se alguém retirar o consentimento, avise de imediato a pessoa certa para que o registo seja atualizado.
- Se um colega pedir dados de uma pessoa «por curiosidade», não existe fundamento de licitude para os dar. Partilhe apenas os dados de que o trabalho precisa.
Lealdade e transparência
Um fundamento de licitude não basta por si só. O uso também tem de ser leal e aberto. As pessoas não devem ser apanhadas de surpresa pelo que se faz com os seus dados. Um aviso de privacidade explica quem é o responsável, que dados são usados, porquê, o fundamento de licitude, quem os recebe, durante quanto tempo são conservados e que direitos as pessoas têm. Os empregadores têm de o disponibilizar. Se alguém lhe perguntar onde o encontrar, indique-lho.