Tomada a decisão, por parte do Controlador (empregador, nesse caso), pela coleta de dados pessoais relacionados à verificação do status Covid do empregado, o primeiro questionamento que surge é: a lei Geral de Proteção de Dados fornece base jurídica que permite a verificação do status de vacinação para Covid de empregados?
A resposta é sim. A LGPD é uma legislação ampla e também prevê as regras aplicáveis ao tratamento de dados pessoais em um contexto como o relacionado à Covid. Com efeito, a LGPD fornece os fundamentos jurídicos que permitem aos empregadores e às autoridades de saúde pública competentes tratar dados pessoais no contexto de epidemias, sem a necessidade de obter o consentimento do titular dos dados.
No entanto, como destacado por Andrea Jelinek, Presidente do Comitê Europeu para a Proteção de Dados (European Data Protection Board), mesmo nestes tempos excepcionais, os princípios da eficácia, da necessidade, da proporcionalidade e, principalmente, o da não discriminação devem ser respeitados. E, vai além, afirma ainda que o responsável pelo tratamento deve garantir a proteção dos dados pessoais dos titulares dos dados, suficientemente, de forma eficaz, contra o risco de potenciais discriminações1.
Da mesma forma, no Brasil, em qualquer atividade de tratamento, independentemente da base legitimadora de tratamento, deverão ser observados os princípios gerais da LGPD, além da garantia dos direitos do titular e entre estes, a finalidade, necessidade, adequação, como primeiro trinômio, além do princípio da não discriminação negativa ou em prejuízo do titular, previstos no artigo 6.º da LGPD.
Portanto, por não se tratar de um requisito legal2, a verificação do status de vacinação contra a Covid, ao tratarmos de dados pessoais sensíveis, com proteção especial da lei Geral de Proteção de Dados, fica a critério da empresa ou do empregador.
Antes, porém, de decidir verificar voluntariamente o status de vacinação contra a Covid de seus empregados, recomenda-se que a empresa ou organização seja transparente sobre o propósito que está tentando alcançar e como a coleta desses dados pode ajudar a atingir esse objetivo e atender essa finalidade. Lembremos que a transparência também é princípio da LGPD (artigo 6º) e sempre deverá ser informada a finalidade de qualquer atividade de tratamento antes da coleta.
O status de vacinação para a Covid de um empregado, como já citado anteriormente, é um dado pessoal sensível, ou seja, um dado de categoria especial, pois se trata de uma informação de saúde privada, dado sensível por excelência. Portanto, o uso desses dados deverá ser justo, relevante e estritamente necessário para um propósito específico e legítimo.
Superada essa fase, de definição de finalidade, necessidade e adequação, a organização deverá considerar na implementação dessa verificação do status de vacinação Covid os seguintes pontos:
i. Legislação trabalhista e contratos de trabalho;
ii. Requisitos de saúde e segurança; e
Iii. Igualdade e direitos humanos, incluindo direitos de privacidade.
O motivo para verificar e registrar o status de vacinação contra a Covid dos empregados deve ser claro, necessário e transparente. Caso a organização não possa especificar uma finalidade para a coleta dessa informação, ou possa atingir seu objetivo sem coletar esses dados, é improvável que consiga justificar a coleta.
Na ausência de uma determinação clara, objetiva e abrangente, que obrigue as organizações a coletar essas informações, recomenda-se que o empregador deva considerar o setor em que opera e os riscos de saúde e segurança em seu ambiente para ajudá-lo a decidir se tem motivos imperiosos para verificar o status de vacinação Covid dos empregados.
O uso desses dados não deve resultar em nenhum tratamento injustificado e, somente, devem ser utilizados para os fins que os empregados razoavelmente esperam. O tratamento dessas informações deve ser justo e, se a coleta ou o uso dos dados tiver probabilidade de ter uma consequência negativa para alguém, a empresa deve ser capaz de justificá-la3.
Caso o uso desses dados resulte em um alto risco para as pessoas (por exemplo, negativa de oportunidade de emprego4) ou se o empregador tratar dados de saúde em larga escala, será necessário realizar uma avaliação do impacto da proteção de dados.
O segundo questionamento que advém da decisão de realizar esse tratamento de dados pessoais é: que base legal devo usar para verificar o status de vacinação contra a Covid dos empregados?
Concluindo a organização de que possui um bom motivo para coletar o status de vacinação contra Covid dos empregados, realizada a avaliação do impacto da proteção de dados é provável que a base legal mais apropriada seja a “proteção da vida ou da incolumidade física do titular ou de terceiro”, prevista na alínea “e”, inciso II, do artigo 11, da LGPD.
Nesse sentido, para justificar o uso da base legal acima teríamos como fundamento o dever do empregador em assegurar a todos os empregados um meio ambiente de trabalho seguro (art. 225, CF/88), com base em medidas adequadas de saúde, higiene e segurança, assim como no direito que os empregados têm a um meio ambiente laboral saudável (art. 7º, XXII, CF/88).
Nesse aspecto, há os que defendem que a base legal mais apropriada seria o “cumprimento de obrigação legal ou regulatória pelo controlador”, prevista na alínea “a”, inciso II, do artigo 11, da LGPD.
No entanto, a base legal “cumprimento de obrigação legal ou regulatória pelo controlador”, prevista na alínea “a”, inciso II, do artigo 11, da LGPD, parece ser mais ajustada para os casos onde já existem leis tratando do tema5 e/ou para certos setores da economia, como profissionais que atuam em determinadas áreas da saúde6, especialmente, aquelas que estão na linha de frente do tratamento da Covid-19.
Logo, para esses casos, o empregador deverá verificar se:
a. Há obrigação legal de ser vacinado contra Covid-19 para desempenhar sua função; ou
b. Suas atividades são desempenhadas em algum lugar onde haja maior probabilidade de encontrar pessoas infectadas com Covid-19; ou, ainda,
c. Pode representar um risco para indivíduos clinicamente vulneráveis.
Assim, quando essas verificações são justificadas por lei, o empregador poderá contar com a base legal “cumprimento de obrigação legal ou regulatória pelo controlador”, prevista na alínea “a”, inciso II, do artigo 11, da LGPD, para o tratamento.
Quanto ao “consentimento”, o seu uso como base legal nos termos da LGPD raramente é apropriado em uma relação de emprego devido ao desequilíbrio de poder entre o empregador e o empregado. Nessas circunstâncias, o consentimento presumidamente não seria “dado de forma livre7”. Ademais, caso o empregador decida coletar esses dados tendo como base legal o “consentimento”, previsto no inciso I, do artigo 11 da LGPD, estará sujeito à eventual revogação pelo titular, consoante disposição do inciso IX, do artigo 18 da mesma lei8.
Destaquemos ainda que é um direito do titular ser informado da possibilidade de não fornecer consentimento e sobre as consequências da negativa, nos termos do artigo 18, inciso VIII. Logo, não existe consentimento se não existe liberdade de escolha do titular. O GDPR, considerando 42, também preconiza que não se deverá considerar que o consentimento foi dado de livre vontade se o titular dos dados não dispuser de uma verdadeira escolha, ou não puder recusar, nem retirar o consentimento, sem ser prejudicado.
Independentemente da base legal a ser enquadrada, por se tratar de dados pessoais sensíveis, que exigem uma proteção maior sob o ponto de vista da LGPD, caso o empregador colete e mantenha o registro de quem está vacinado para fins de monitoramento deverá ser capaz de demonstrar que a atividade de tratamento é de fato necessária e que não poderia atingir-se a mesma finalidade por meios menos invasivos e com a mesma eficácia, o que nos leva mais uma vez no sentido de eleição pela base legal proteção à vida e integridade física do titular ou terceiro.
Também deverá ser capaz de demonstrar que os critérios de monitoramento do status de vacinação Covid não sejam discriminatórios ou desproporcionais a ponto de causar um prejuízo desproporcional em razão da condição de saúde do empregado.
Uma vez decidido que realizará a coleta e o tratamento do status de vacinação contra Covid de seus empregados, recomenda-se que o empregador faça o tratamento por meio de um profissional de saúde, em assim não o fazendo, deve garantir aos titulares (empregados) que está tratando o status de vacinação contra a Covid como confidencial e que só divulgará essas informações em circunstâncias claramente definidas.
O terceiro e último, quais são os pontos de atenção se o empregador decidir tratar o status de vacinação Covid de seus empregados?
Os empregados devem entender de forma clara porque o empregador necessita coletar essas informações, que não há outro meio de se atingir a mesma finalidade e qual objetivo o empregador pretende alcançar.
O empregador deve garantir aos titulares que o tratamento está ocorrendo de forma segura e que os dados serão considerados confidenciais, de modo que eventual divulgação do status de vacinação contra Covid de um empregado somente ocorrerá caso exista um motivo legítimo e justificável para fazê-lo, assegurando-se a privacidade do trabalhador.
O empregador também deve se atentar para o prazo de retenção dessas informações. Ou seja, deve assegurar-se de não as reter por mais tempo do que o necessário para atingir sua finalidade, sendo imediatamente descartadas após esta ser atingida. O status de vacinação contra Covid não poderão ser utilizados para finalidade distinta daquelas informadas e que os titulares não esperariam.
Também deve solicitar-se apenas a quantidade mínima de dados necessária para o seu propósito, atendendo ao princípio da necessidade. O princípio da necessidade, no contexto da LGPD, traduz-se na coleta restritiva de dados. Deve-se tratar apenas os dados pessoais estritamente necessários para atingir-se a finalidade pretendida, não podendo haver coleta excessiva. Por exemplo, se um empregado possui um status justificado de recusa à vacinação, o empregador não deve solicitar rotineiramente mais informações sobre o motivo por trás da justificativa.
Por fim, alerta-se que, diante da categoria de dados pessoais, o controlador, agente de tratamento responsável, deve verificar regularmente se ainda precisa tratar os dados de status de vacinação contra Covid de seus empregados.
________
1.https://edpb.europa.eu/news/news/2021/eu-data-protection-authorities-adopt-joint-opinion-digital-green-certificate_pt. Acesso em 07/12/2021.
2.Em respeito ao tema, importante mencionar que o Supremo Tribunal Federal (STF) decidiu em duas Ações Diretas de Inconstitucionalidade (ADIs 6586 e 6587 e do ARE 1.267.897) que a vacinação obrigatória é uma medida legítima, desde que observadas as regras da Lei nº 13.979/20. Ou seja, a vacinação só pode ser obrigatória mediante evidências científicas e análises sobre informações estratégicas em saúde. E não é só isso, na decisão, o STF deixa claro que vacina obrigatória não equivale a imposição de vacinação forçada, uma vez que a vacinação exige o consentimento daquele que será imunizado. E, somente quando inexista tal consentimento, é possível adotar medidas indiretas tais como a restrição de frequência em determinados lugares, desde que exista previsão legal. A exigência da vacinação obrigatória do empregado deve, portanto, acima de tudo, respeitar os princípios da dignidade da pessoa humana, o direito ao trabalho, além da razoabilidade e proporcionalidade.
3.Em Luxemburgo, os empregadores têm a opção de implementar o chamado sistema CovidCheck para os trabalhadores, o que significa que, se desejarem, podem fazer com que os empregados comprovem que estão vacinados ou tiveram teste negativo para Covid-19 ou se recuperaram recentemente do vírus, antes de permitir que eles entrem na empresa. Ou seja, não há imposição de uma vacinação obrigatória. Ministro do Trabalho Dan Kersch e o ministro do Serviço Civil, Marc Hansen, esclareceram ainda que, ainda que, os empregados que se recusem a se vacinar ou se recusem a fazer um teste da Covid não possam entrar no local de trabalho, não devem ser demitidos por não cumprirem essas condições. (https://www.luxtimes.lu/en/luxembourg/unvaccinated-to-take-daily-covid-test-to-enter-workplace-61a9ff32de135b9236aacefc. Acesso em 07/12/2021.)
4.A Comissão Nacional de Informática e Liberdades da França – CNIL, em página de perguntas e respostas sobre a coleta de dados pessoais no local de trabalho em razão da pandemia provocada pelo Coronavírus, esclarece que o empregador tem apenas uma função organizacional na realização de campanhas de vacinação e nenhuma consequência negativa pode ser tomada pelo empregador diante da recusa da vacina pelo trabalhador. Além disso, o retorno do empregado ao seu local de trabalho não pode ser condicionado à vacinação e nenhuma decisão de inaptidão pode ser proferida por sua recusa em ser vacinado. (https://www.cnil.fr/fr/covid-19-questions-reponses-sur-la-collecte-de-donnees-personnelles-sur-le-lieu-de-travail. Acesso em 07/12/2021)
5.Entre os estados que já estão adotando o passaporte vacinal, se encontram Rio Grande do Sul, Amazonas, Pará, Pernambuco e Espírito Santo e Santa Catarina. No caso de Santa Catarina o passaporte é exigido apenas para eventos, mas pode ser substituído por um teste de covid (RT-PCR) realizando nas últimas 72 horas.
6.A NR 32 tem por finalidade estabelecer as diretrizes básicas para a implementação de medidas de proteção à segurança e à saúde dos trabalhadores dos serviços de saúde, bem como daqueles que exercem atividades de promoção e assistência à saúde em geral.
7.Art. 5º Para os fins desta Lei, considera-se:
[...]
XII - consentimento: manifestação livre, informada e inequívoca pela qual o titular concorda com o tratamento de seus dados pessoais para uma finalidade determinada;”
8.“Art. 18. O titular dos dados pessoais tem direito a obter do controlador, em relação aos dados do titular por ele tratados, a qualquer momento e mediante requisição:
[...]
IX - revogação do consentimento, nos termos do § 5º do art. 8º desta Lei.”