Por Simão de Sant’Ana, sócio da Abreu Advogados e Mariana Figueiredo Calado, advogada estagiária

Num mundo cada vez mais digital, as antigas folhas de ponto deram lugar a novas tecnologias, entre estas, o reconhecimento facial e a recolha de outros dados biométricos.

Esta transformação não está, contudo, isenta de desafios técnicos e legais. O poder assimétrico do empregador face ao trabalhador pode facilmente pôr em causa a privacidade deste, e as consequências podem estender-se para além da sua vida profissional.

Perante os riscos que a utilização deste novo tipo de tecnologia coloca à privacidade dos trabalhadores, a lei traça limites claros à utilização dos dados biométricos em contexto laboral, circunscrevendo o seu tratamento a duas finalidades: o controlo de assiduidade e o controlo do acesso às instalações do empregador – fora destas duas situações qualquer utilização constituirá uma violação do normativo legal vigente.

Para além desta restrição legal, aplicável às finalidades de utilização, a lei condiciona ainda a forma como estes dados são tratados. Mais concretamente, o empregador não pode recolher, conservar e reproduzir a integralidade dos dados biométricos do trabalhador, sendo antes obrigado a recorrer a representações que não permitam a sua reversão.

Na prática, isto significa que de uma impressão digital com milhares de pontos característicos, o empregador apenas pode recolher uma pequena selecção de pontos, suficiente para confirmar a identidade do trabalhador, mas insuficiente para reconstituir a respectiva impressão original.

Esta salvaguarda é essencial pois, ao contrário de um código de acesso ao multibanco ou a um computador que poderá ser substituído e alterado a qualquer momento, uma característica biométrica comprometida não pode ser substituída, o que perante um cenário de ciberataque poderá ter consequências devastadoras para o titular dos dados – o trabalhador.

Nesta senda, a adopção de sistemas biométricos exige que os trabalhadores sejam previamente informados sobre os aspectos essenciais do tratamento dos seus dados pessoais. Por outras palavras, ainda que não seja necessário o consentimento do trabalhador para que o tratamento dos seus dados biométricos se realize – ou melhor dizendo, das representações destes –, o empregador tem sempre de prestar informação clara e transparente quanto às finalidades prosseguidas, aos dados recolhidos, à forma como estes são tratados, etc.

Acresce que, atendendo à natureza particularmente sensível dos dados em causa, a implementação do sistema deverá ser precedida de uma Avaliação de Impacto sobre a Protecção de Dados. Avaliação esta destinada a antecipar os riscos para os direitos e liberdades dos titulares dos dados e a identificar as medidas necessárias para a sua mitigação.

Por outro lado, com a entrada em vigor do Regulamento Geral de Protecção de Dados, a intervenção da Comissão Nacional de Protecção de Dados (“CNPD”) nesta matéria mudou. Em concreto, deixou de existir a obrigação de notificação prévia, prevista no artigo 18.º do Código do Trabalho, passando esta autoridade a ter um papel fiscalizador – a posteriori – no qual se inclui o poder de aplicar pesadas coimas.

De notar que, apesar da inaplicabilidade do dever de notificação à CNPD, o dever de consulta à comissão de trabalhadores da empresa, caso esta exista, deve continuar a realizar-se.

Em suma, é notório que os sistemas biométricos permitem optimizar o controlo e a gestão dos Recursos Humanos e das relações laborais – e permitem ao empregador cumprir a sua obrigação de registo dos tempos de trabalho -, mas a sua natureza intrusiva exige um tratamento rigoroso dos dados pessoais em apreço.

Assim, o verdadeiro desafio não reside na decisão de adopção desta tecnologia, mas na forma como a mesma é implementada e utilizada.