AIPD no controlo de ponto com geolocalização ou biometria: quando é obrigatória e como fazer

A avaliação de impacto sobre a proteção de dados (AIPD) é obrigatória antes de começar um tratamento suscetível de implicar um elevado risco para os direitos dos trabalhadores (artigo 35.º do RGPD). No controlo de ponto, a biometria cai nessa regra: a CNPD considera os trabalhadores um grupo vulnerável e exige AIPD mesmo em pequena escala, com base na sua lista de tratamentos sujeitos a avaliação (Regulamento n.º 798/2018). Na geolocalização, a lista inclui o tratamento que permita rastrear a localização de trabalhadores com efeito de avaliação ou classificação. Para a captura da localização no momento da picagem não há posição publicada da CNPD, e a recomendação prudente é fazer a AIPD.

A autorização e a notificação à CNPD previstas nos artigos 18.º e 21.º do Código do Trabalho deixaram de vigorar a 25 de maio de 2018 (artigo 62.º, n.º 2, da Lei n.º 58/2019). Hoje é a empresa que avalia o risco, decide e tem de poder demonstrar que cumpre (artigo 5.º, n.º 2, do RGPD).

A AIPD faz-se antes de começar, tem um conteúdo mínimo fixado no artigo 35.º, n.º 7, ouve o encarregado de proteção de dados, se existir, e só obriga a consultar a CNPD quando, depois das medidas, o risco continua elevado (artigo 36.º).

Quando a AIPD é obrigatória

Além da regra geral do n.º 1, que refere em especial as novas tecnologias, o n.º 3 do artigo 35.º do RGPD dá três casos obrigatórios: avaliação sistemática de aspetos pessoais com decisões automatizadas, tratamento em grande escala de categorias especiais de dados e controlo sistemático em grande escala de zonas acessíveis ao público.

Em Portugal, a CNPD publicou a lista de tratamentos que exigem AIPD (Regulamento n.º 798/2018, Diário da República, 2.ª série, de 30 de novembro de 2018). Três pontos tocam o controlo de ponto:

- Ponto 5: tratamento que permita rastrear a localização ou os comportamentos dos titulares, por exemplo trabalhadores, que tenha como efeito a sua avaliação ou classificação, exceto quando seja indispensável para prestar serviços que eles próprios pediram.

- Ponto 7: tratamento de dados biométricos para identificação inequívoca dos titulares, quando estes sejam pessoas vulneráveis.

- Ponto 9: tratamento de categorias especiais de dados, como os biométricos, com utilização de novas tecnologias ou nova utilização de tecnologias já existentes.

A lista não é exaustiva. Para os outros casos, as orientações europeias sobre AIPD (WP248 rev.01, publicadas em português pela CNPD) indicam nove critérios de risco, entre eles o controlo sistemático dos titulares e os dados de titulares vulneráveis, que incluem expressamente os empregados por causa do desequilíbrio de poder. Na maioria dos casos, um tratamento que preencha dois critérios exige AIPD.

Biometria: AIPD mesmo em pequena escala

Os dados biométricos usados para identificar uma pessoa de forma inequívoca são uma categoria especial (artigo 9.º do RGPD). No contexto laboral, o artigo 28.º, n.º 6, da Lei n.º 58/2019 só considera legítimo o seu tratamento para controlo de assiduidade e de acessos às instalações, e apenas com representações dos dados biométricos cujo processo de recolha não permita a reversibilidade. O Código do Trabalho acrescenta que os dados têm de ser necessários, adequados e proporcionais e que são destruídos na transferência do trabalhador para outro local de trabalho ou na cessação do contrato (artigo 18.º, n.os 2 e 3; a violação do n.º 3 é contraordenação grave).

Na página dedicada à biometria, a CNPD diz que as organizações estão obrigadas a fazer AIPD nos tratamentos em larga escala e também em pequena escala sempre que o tratamento recaia sobre grupos vulneráveis, como é o caso de trabalhadores, com base no ponto 7 da lista. A única dispensa que a CNPD refere é a das organizações que já tinham autorização da CNPD antes de 25 de maio de 2018 e não alteraram as condições autorizadas. A obrigação é do responsável pelo tratamento, ou seja, da empresa; a AIPD pode ser preparada pela empresa que concebeu o sistema, desde que o responsável assuma os resultados. A CNPD indica ainda que deve existir uma declaração do fabricante a atestar que o sistema só usa representações não reversíveis. As alternativas sem biometria estão no artigo sobre o relógio de ponto biométrico.

Geolocalização: o que se sabe e o que não se sabe

O artigo 202.º do Código do Trabalho não exige registar o local: pede as horas de início e de termo e os intervalos (n.º 2) e, no trabalho fora da empresa, que o trabalhador vise o registo para que a empresa o tenha em 15 dias (n.º 3). A localização é sempre um tratamento acessório, que tem de se justificar por si.

A CNPD, na Deliberação n.º 7680/2014, ainda listada nas suas orientações para as relações laborais, qualifica a geolocalização como meio de vigilância a distância (§48). O artigo 20.º do Código proíbe esses meios para controlar o desempenho (n.º 1, contraordenação muito grave) e só os admite para proteção e segurança de pessoas e bens ou quando particulares exigências da atividade o justifiquem (n.º 2), com informação ao trabalhador (n.º 3). A deliberação exclui a geolocalização em telemóveis para gestão do serviço externo (§75), afirma que não podem ser instaladas nos dispositivos móveis disponibilizados aos trabalhadores aplicações que ativem o GPS e comuniquem essa informação ao empregador (§77) e considera a geolocalização um meio não idóneo para provar as horas e o local da prestação (§58). Nas orientações de 2020 sobre teletrabalho, a CNPD limitou as ferramentas de registo ao início e ao fim da atividade e à pausa para almoço.

A deliberação é anterior ao RGPD, e hoje vale a lógica da responsabilidade: AIPD, documentação e demonstração do cumprimento. Mas não existe posição publicada da CNPD nem jurisprudência que valide expressamente a captura pontual da localização no momento da picagem. A AIPD não torna lícito um tratamento que a lei proíbe: serve para avaliar, reduzir o risco e decidir, incluindo decidir não avançar. O enquadramento completo está no artigo sobre geolocalização de trabalhadores.

O que a AIPD tem de conter

O artigo 35.º, n.º 7, do RGPD fixa o conteúdo mínimo:

a) Uma descrição sistemática das operações de tratamento e da finalidade, incluindo, se for o caso, os interesses legítimos do responsável.

b) Uma avaliação da necessidade e da proporcionalidade das operações em relação aos objetivos.

c) Uma avaliação dos riscos para os direitos e liberdades dos titulares.

d) As medidas previstas para fazer face a esses riscos, incluindo garantias, medidas de segurança e procedimentos para proteger os dados e demonstrar a conformidade.

O responsável pede o parecer do encarregado de proteção de dados, se o tiver designado (n.º 2), pede, se for adequado, a opinião dos titulares ou dos seus representantes (n.º 9) e revê a avaliação pelo menos quando o risco mudar (n.º 11).

Passo a passo: localização na picagem numa equipa externa

Uma empresa de manutenção com 25 técnicos que picam o ponto pela aplicação quer captar a localização no momento de cada picagem. A AIPD segue sete passos:

1. Descrever o tratamento. Que dados (identificação, data, hora e coordenadas no instante da picagem), em que aparelhos (telemóvel da empresa ou pessoal), quem acede, onde ficam alojados, que fornecedor trata os dados em nome da empresa (contrato do artigo 28.º do RGPD) e durante quanto tempo. A finalidade tem de ser concreta e escrita. Não pode ser avaliar o desempenho (artigo 20.º, n.º 1) nem provar a hora de chegada a clientes, que a CNPD considera meio não idóneo (§58).

2. Testar necessidade e proporcionalidade. O registo cumpre o artigo 202.º sem localização. Há meios menos intrusivos para a mesma finalidade? A CNPD aponta a assinatura de quem recebe o serviço como comprovativo (§58) e, para gerir o serviço externo, a geolocalização na viatura em vez do telemóvel (§75). Se a resposta for sim, a localização na picagem não passa este passo.

3. Identificar os riscos. Desvio para controlo de desempenho, uso disciplinar fora dos limites do artigo 28.º, n.os 4 e 5, da Lei n.º 58/2019, acesso indevido, recolha fora do horário ou no telemóvel pessoal e recolha em teletrabalho, onde o artigo 170.º, n.º 5, do Código veda meios de controlo que afetem a privacidade.

4. Definir as medidas. Captura só no instante da picagem, nunca seguimento contínuo nem em segundo plano; acesso restrito por perfis; histórico de quem consultou ou alterou; prazo de conservação curto e separado dos cinco anos do registo de tempos; regra escrita que proíba o uso para avaliar desempenho; informação a cada trabalhador (artigo 13.º do RGPD e artigo 20.º, n.º 3, do Código); alternativa de registo sem localização; nenhuma localização em teletrabalho.

5. Ouvir o EPD e os representantes. Parecer do EPD, se existir, e, quando adequado, opinião da comissão de trabalhadores ou dos próprios técnicos (artigo 35.º, n.os 2 e 9).

6. Decidir. Se as medidas reduzirem o risco para um nível aceitável, a empresa avança e documenta. Se o risco residual continuar elevado, ou consulta a CNPD antes de começar, ou não avança.

7. Rever. Sempre que mudar a finalidade, os aparelhos, o fornecedor ou o prazo de conservação.

Num relógio biométrico, o método é o mesmo: a descrição inclui o tipo de representação e onde fica guardada, a necessidade confronta a biometria com alternativas como cartão ou aplicação, e as medidas incluem a destruição dos dados na cessação do contrato e a declaração do fabricante sobre a irreversibilidade. Comparamos as alternativas no artigo sobre formas de picar o ponto.

Consulta prévia à CNPD (artigo 36.º)

O responsável consulta a CNPD antes de começar quando a AIPD indicar que o tratamento resultaria num elevado risco na ausência das medidas tomadas para o atenuar (n.º 1). As orientações europeias explicam o critério de forma simples: consulta-se quando os riscos residuais continuam elevados, dando como exemplo de risco inaceitável consequências significativas para os titulares, como um despedimento. O pedido inclui as responsabilidades de cada interveniente, as finalidades e os meios, as medidas e garantias, os contactos do EPD, a própria AIPD e o que mais a CNPD pedir (n.º 3). Se entender que o tratamento violaria o RGPD, a CNPD dá orientações por escrito no prazo máximo de oito semanas, prorrogável por seis (n.º 2).

A AIPD não tem de ser publicada nem enviada à CNPD fora destes casos, mas deve ser guardada, porque é a prova de que a empresa avaliou o risco antes de começar.

O papel do encarregado de proteção de dados

O EPD presta aconselhamento sobre a AIPD, quando lhe for pedido, e controla a sua realização (artigo 39.º, n.º 1, alínea c)); é também o ponto de contacto com a CNPD, incluindo na consulta prévia (alínea e)). A designação só é obrigatória nos casos do artigo 37.º, n.º 1: entidades públicas e organizações cuja atividade principal implique o controlo regular e sistemático de pessoas em grande escala ou o tratamento em grande escala de categorias especiais de dados. Uma PME que apenas regista o ponto dos seus trabalhadores não está, em regra, nesses casos. Sem EPD, a decisão continua a ser da empresa, e convém documentá-la com o apoio de um jurista. As restantes obrigações estão no artigo sobre registo de tempos de trabalho e RGPD.

Ligação ao Código do Trabalho e à Lei n.º 58/2019

- Artigo 18.º do Código (biometria): a notificação à CNPD do n.º 1 deixou de vigorar, mas mantêm-se os n.os 2 e 3, descritos acima. Ouvir a comissão de trabalhadores continua a ser boa prática e cabe na consulta do artigo 35.º, n.º 9, do RGPD.

- Artigos 20.º e 21.º (vigilância a distância): a proibição de controlar o desempenho e o dever de informar mantêm-se; a autorização da CNPD do artigo 21.º, n.º 1, deixou de vigorar, mas não os requisitos de necessidade, adequação e proporcionalidade nem o dever de destruir os dados (n.os 2 e 3).

- Artigo 28.º da Lei n.º 58/2019: o empregador trata os dados dos trabalhadores dentro das finalidades e limites do Código (n.º 1), as imagens e outros dados de vigilância a distância só podem ser usados no processo penal e, para efeitos disciplinares, na medida em que o sejam nesse processo (n.os 4 e 5), e a biometria só serve para assiduidade e acessos (n.º 6).

Falhar a AIPD ou a consulta prévia expõe a empresa a coimas do RGPD até 10 milhões de euros ou 2% do volume de negócios anual a nível mundial, consoante o montante mais elevado (artigo 83.º, n.º 4, alínea a)). Usar a localização para controlar o desempenho é, além disso, contraordenação laboral muito grave (artigo 20.º, n.º 4, do Código).

Fontes

- Regulamento (UE) 2016/679 (RGPD), artigos 5.º, 9.º, 13.º, 35.º a 39.º e 83.º

- Lei n.º 58/2019, artigos 28.º e 62.º

- Código do Trabalho, artigos 18.º, 20.º, 21.º, 170.º e 202.º

- CNPD, Regulamento n.º 798/2018 (lista de tratamentos sujeitos a AIPD)

- CNPD, Biometria (AIPD e trabalhadores como grupo vulnerável)

- CNPD, Deliberação n.º 7680/2014 (geolocalização no contexto laboral), §§48, 58, 75 e 77

Como o PontoSimples ajuda a documentar a AIPD

O PontoSimples é um sistema de controlo de ponto em nuvem. Cada trabalhador pica o ponto pela aplicação (Android e iOS) ou pelo site e, quando há geolocalização, ela é captada apenas no momento da picagem, sem seguimento contínuo. Antes de a usar, faça a avaliação descrita neste artigo e veja as condições no guia de picar o ponto pelo telemóvel.

Para as medidas da AIPD, o sistema oferece permissões de acesso para gestores, auditoria de registos com histórico de alterações e histórico em nuvem com consulta imediata. Experimente gratuitamente durante 30 dias, sem fidelização, em pontosimples.pt.