COVID-19 - Quais os cuidados que as empresas deverão ter no tratamento de dados pessoais em contexto laboral?

Ao contrário da maioria das entidades de controlo de outros países europeus, a Comissão Nacional de Proteção de Dados (CNPD) ainda não se pronunciou sobre esta matéria, apenas esclarecendo, através da Deliberação/2020/170 (que poderá consultar aqui), que os prazos de resposta a projetos de deliberação se encontram interrompidos até ser declarado o fim do período excecional que o país atravessa, devido ao Covid-19 (iniciando-se a contagem do novo prazo no dia útil seguinte ao da publicação de tal declaração).

Uma vez que urge responder a questões essenciais relacionadas com o tratamento de dados pessoais realizado no contexto do combate à pandemia, decidimos exercitar um “olhar pela Europa” e analisar a posição de outras autoridades de proteção de dados sobre esta matéria, uma vez que espelham a forma como os princípios e bases legais do RGPD estão a ser interpretados.

Com base nesta premissa e enquanto aguardamos os necessários esclarecimentos e medidas das autoridades portuguesas, a Garrigues decidiu preparar e disponibilizar um conjunto de respostas a questões que nos têm sido colocadas por alguns clientes e que são de extrema relevância para o tecido empresarial.

Em geral e como nota prévia, importa ter presente que, nos termos do RGPD, o tratamento de dados pessoais pela entidade empregadora depende: (i) da existência de base legal para o tratamento, (ii) da existência de exceção que permita o tratamento de dados de saúde ou outros dados especialmente protegidos (se a empresa pretender tratar tais categorias de dados) e (iii) de o tratamento ser efetivamente necessário, adequado e proporcional (princípio da minimização dos dados).

Além disso, importa relembrar que, em qualquer caso, os trabalhadores devem ser informados do tratamento de dados pessoais que a empresa pretende realizar e as empresas têm de aplicar medidas de segurança adequadas ao risco de tais tratamentos.

1. A entidade empregadora pode exigir aos seus trabalhadores que realizem testes de diagnóstico de COVID-19 fornecidos por esta?

A imposição da realização de tais testes a todos os trabalhadores, como implica o tratamento de dados de saúde, deveria passar não só pelo crivo da exigência de bases legais e exceções para o tratamento de dados de saúde, como também pelo crivo da adequação e necessidade de tal tratamento (i.e. teria a empresa de conseguir provar que não seria possível atingir o objetivo pretendido de contenção do vírus através de métodos menos intrusivos na privacidade dos trabalhadores).

Ora, muitas autoridades de controlo europeias têm vindo a considerar que a recolha sistemática e generalizada de informações relacionadas com infeção ou sintomas de COVID-19 não é proporcional e, portanto, também não o seria a realização de testes a todos os trabalhadores. No entanto, existem outras autoridades mais permissivas e que legitimam esta ação na legislação nacional relativa à proteção da segurança e saúde no trabalho.

Em Portugal, haverá também que verificar a legislação laboral relacionada com a realização de exames médicos, já que tal poderá relevar para a definição da base legal e exceção para o tratamento de dados de saúde aplicáveis. Haverá ainda que ponderar se o tratamento de dados pessoais decorrente da realização de tais testes é necessário, adequado e proporcional.

Em geral parece-nos que a realização de testes a todos os trabalhadores será, em muitos casos, considerada excessiva. No entanto, e dependendo do caso concreto, poderá justificar-se a realização de testes a apenas alguns trabalhadores, dependendo do critério utilizado.

2. A entidade empregadora pode controlar sistematicamente a temperatura corporal dos seus trabalhadores?

Pese embora tal medição pareça, à primeira vista, menos intrusiva do que a realização de testes de diagnóstico de COVID-19, certo é que, também esta, envolve o tratamento de dados de saúde. Assim, a resposta a esta questão é similar à dada anteriormente.

A nível europeu, as autoridades de controlo Belga, Francesa, Holandesa e Luxemburguesa pronunciaram-se sobre esta matéria e consideram que não, a entidade empregadora não pode controlar sistematicamente a temperatura corporal dos seus trabalhadores, enquanto as autoridades de controlo Alemãs e a Espanhola decidiram permiti-lo, salvaguardados certos limites. Consideramos relevante destacar a posição italiana, país onde foi aprovada legislação e emitidas orientações específicas que vieram expressamente prever e autorizar, no contexto da atual pandemia, a realização de tais controlos.

3. A entidade empregadora pode exigir aos seus trabalhadores que periodicamente respondam a questionários relativos a sintomas de COVID-19? E os questionários relativos às últimas viagens realizadas pelos trabalhadores e datas de saída e regresso ao país? Tais questionários podem incluir questões relativas a pessoas que vivam com o trabalhador?

Quanto aos questionários relativos a sintomas de COVID-19, importa notar que também estes implicam a recolha de dados de saúde, pelo que a licitude deste tratamento dependeria, desde logo, da aplicação de uma das exceções que permitem o tratamento de dados especialmente protegidos. Já os questionários relativos a viagens realizadas, porquanto não implicam o tratamento de dados especialmente protegidos, dependem da existência de base legal que permita o tratamento. No entanto, em qualquer dos casos, estamos perante uma recolha sistemática e generalizada de informações, que terá de obedecer aos princípios da adequação, necessidade e proporcionalidade.

A nível europeu, autoridades de controlo como a Belga, Francesa, e Luxemburguesa pronunciaram-se sobre esta matéria e consideraram que tais controlos sistemáticos não deveriam ser realizados. Já a autoridade Espanhola apresenta uma postura mais permissiva, admitindo tais questionários, desde que respeitados certos limites. Em Itália tal também é permitido ao abrigo de medidas excecionais aprovadas no contexto da pandemia atual.

Em Portugal, notamos que mais uma vez poderá ser difícil encontrar uma base legal que permita o tratamento, como também justificar a sua necessidade, adequação e proporcionalidade, mesmo no quadro da legislação relativa a saúde e segurança no trabalho.

A resposta no que respeita a questionários relativos a familiares é semelhante, com a nuance de que, neste caso, poderá ser mais difícil invocar que o tratamento é necessário à proteção da segurança e saúde dos trabalhadores.

4. A entidade empregadora pode exigir aos seus trabalhadores que indiquem se pertencem ou não a grupos de risco?

Nesta matéria aplica-se tudo o que até agora foi dito.

Notamos apenas que é diferente perguntar a um trabalhador se pertence aos grupos de risco (explicando-lhe, obviamente, quais as morbilidades abrangidas) ou pedir-lhe para assinalar as morbilidades de que padece facultando-lhe uma lista para o efeito, qualificando-o consequentemente como grupo de risco. Porque menos intrusiva na privacidade dos trabalhadores, entendemos que deverá sempre ser dada preferência à primeira hipótese e sempre no quadro das atividades e serviços de medicina no trabalho. 

Deverá no entanto ser identificada pelo empregador a base legal que utiliza para esta qualificação, sendo que o empregador terá de conseguir evidenciar que necessita efetivamente desta informação (por exemplo para decidir que trabalhadores serão alocados a funções de atendimento ao público), pelo que a resposta variará de caso para caso.

5. Uma empresa pode exigir às pessoas que visitam as suas instalações que indiquem se têm sintomas de COVID-19 e/ou os destinos para onde viajaram recentemente, bem como as datas de ida e regresso?

A autoridade de controlo inglesa admite tais controlos, ressalvando contudo que tal não deve conduzir à recolha de informação excessiva. No mesmo sentido se pronunciou a autoridade de controlo Espanhola e as autoridades Italianas, sendo que em todos os casos tal posição é apoiada na obrigação legal do empregador proteger a saúde dos seus trabalhadores.

Em Portugal não existem ainda indicações relativas a esta matéria, pelo que as empresas terão de realizar o exercício de verificação dos pressupostos já referidos nas questões anteriores. Note-se que, por forma a mitigar os riscos relacionados com o tratamento, as empresas deverão sempre procurar recolher o mínimo de informação indispensável e avisar o visitante, no momento do agendamento da visita, dos controlos que serão realizados, por forma a gerir as expetativas dos visitantes quanto aos tratamentos dos seus dados pessoais que serão realizados.

6. A entidade empregadora pode informar os restantes trabalhadores quando identifica um trabalhador da empresa infetado com COVID-19? 

O European Data Protection Board esclareceu nesta matéria que ao informar os restantes trabalhadores da existência de um trabalhador infetado, a entidade empregadora deverá ter um especial cuidado relativamente à informação que é prestada, isto é, apenas prestando a informação necessária (principio da minimização de dados). Neste sentido, e a título de exemplo, a autoridade de controlo Belga considera que a entidade empregadora, de acordo com o princípio da confidencialidade e com o princípio da minimização de dados previstos no RGPD, não deverá revelar o nome do trabalhador infetado ao informar os restantes trabalhadores. Ou seja, deverá apenas informar da ocorrência da situação sem mencionar a identidade do titular dos dados. O nome da pessoa infetada poderá apenas ser comunicado ao médico do trabalho ou às autoridades competentes.

Em Portugal, recomenda a Direção-Geral da saúde (na Orientação n.º 006/2020, de 26 de fevereiro) que, perante um caso suspeito validado (ainda que a aguardar resultados de testes laboratoriais), a entidade empregadora informe os restantes trabalhadores da existência de tal caso. No entanto, não é referido que tal comunicação deverá incluir o nome do trabalhador.

Deste modo, se for suficiente informar os trabalhadores da existência de um caso, sem identificar o trabalhador em causa, então a comunicação deverá limitar-se a isso.

7. Posso pedir a um trabalhador que suspeita estar infetado com COVID-19 que indique os nomes dos trabalhadores com quem esteve em contacto recentemente? 

De acordo com a referida Orientação n.º 006/2020, é recomendado que a entidade empregadora colabore com a Autoridade de Saúde Local na identificação dos contactos próximos do doente após verificação de caso suspeito validado pelos profissionais da linha SNS 24.

No entanto, o empregador deverá também neste caso garantir a verificação de base legal que permita o tratamento e, bem assim, a existência de razões que evidenciem a necessidade, adequação e proporcionalidade do tratamento, documentando-as e envolver em qualquer atuação os serviços de medicina no trabalho.

8. Posso partilhar dados relativos a trabalhadores que suspeitam estar infetados com COVID-19 com as autoridades de saúde? 

Em linha com as respostas anteriores, tal depende, desde logo, da existência de base legal que o permita (sendo neste contexto especialmente relevante a existência de disposições legais que obriguem ou permitam tal comunicação). De seguida, o empregador deverá aferir se o tratamento é necessário e adequado.     

Note-se que a referida Orientação n.º 006/2020, prevê que qualquer trabalhador que desempenhe as suas funções nas instalações da entidade empregadora e comunique a esta a existência de sintomas de COVID-19, deverá dirigir-se para uma área de “isolamento” preparada pela entidade empregadora, cabendo ao trabalhador depois realizar os contactos com a linha SNS 24. Portanto e por precaução, os desvios a estas orientações (como seria o caso de o referido contacto com a linha SNS 24 ser feito diretamente pelo empregador), deverão ser justificados.

Quanto à comunicação às autoridades de saúde da identidade de trabalhadores que estiveram em contacto com um trabalhador que é um caso suspeito validado, aplicar-se-á o referido na resposta à questão anterior.