Impactos da LGPD no monitoramento de empregados

A prática de monitoramento das atividades profissionais dos empregados pelos empregadores já é consolidada no Brasil, possuindo, inclusive, amparo da jurisprudência dos tribunais do trabalho, desde que respeitadas algumas condições e limitações. Entretanto, a lei 13.709/18 (Lei Geral de Proteção de Dados - LGPD), cuja entrada em vigor se aproxima, impacta diretamente essa atividade, sendo importante rever os fundamentos que justificam o monitoramento de empregados à luz das bases legais e dos princípios para tratamento de dados pessoais previstos na LGPD.

O monitoramento de atividades profissionais é frequentemente feito pelo empregador, com o objetivo de apurar o desempenho do profissional, verificando, por exemplo, se este tem dedicado parte relevante de seu tempo ao desempenho de atividades extrafuncionais, bem como visando garantir a segurança da empresa, de modo a prevenir, dentre outros aspectos, a prática de condutas ilícitas pelo empregado ou o desvio de informações confidenciais da empresa.

Trata-se, ainda, de atividade que engloba tanto a videovigilância, quanto a utilização de ferramentas que fiscalizam a utilização da infraestrutura tecnológica da empresa, como, por exemplo, por meio do controle de acesso a aplicações ou de arquivos trocados pelos colaboradores.

Deste modo, embora se trate de prática comum e aceita pelo ordenamento jurídico brasileiro, sua implementação depende de alguns cuidados, de forma a respeitar a esfera de privacidade do funcionário, consistindo esta em direito garantido pela Constituição Federal e pelo Código Civil brasileiro¹.

Cenário pré-LGPD

Atualmente, a licitude do monitoramento de empregados, tanto da infraestrutura física quanto tecnológica da empresa, é reconhecida, dentre outros fundamentos, com base no poder diretivo do empregador, previsto na Consolidação das Leis do Trabalho (CLT)², bem como em razão da propriedade do empregador sobre os meios de produção disponibilizados ao empregado³.

Para que a prática seja reconhecida como lícita, os tribunais entendem que o empregado deve ser devidamente informado acerca do monitoramento, de modo a reduzir sua expectativa de privacidade no ambiente profissional, e tal monitoramento não pode ser vexatório⁴. Assim, não é possível que o monitoramento tenha como foco um empregado específico, ou que seja excessivo a ponto de violar a privacidade e intimidade do empregado, como, por exemplo, pela instalação de câmeras em banheiros ou vestiários.

É evidente, entretanto, que, ao monitorar as atividades desenvolvidas pelo empregado, o empregador terá acesso a uma série de dados pessoais a respeito do primeiro, cuja extensão exata dependerá do meio adotado para o monitoramento e de qual atividade é monitorada. Assim, além do amparo da Constituição Federal, do Código Civil e da legislação trabalhista, é importante também que a atividade se encontre adequada aos ditames da LGPD, quando de sua entrada em vigor.

Cenário pós-LGPD

Considerando o cenário após a vigência da LGPD, é fundamental que as atividades de monitoramento pretendidas pelo empregador sejam amparadas por uma das bases legais que autorizam o tratamento de dados pessoais, previstas na LGPD, bem como estejam de acordo com os princípios constantes da lei.

Quanto à base legal aplicável, a LGPD, em seu artigo 7º, estabelece dez hipóteses autorizativas para o tratamento de dados pessoais, ao passo que, em seu 11, estabelece bases específicas (e mais restritivas) para o tratamento de dados pessoais caracterizados como sensíveis⁵. Deste modo, para que o tratamento de dados pessoais seja considerado lícito de acordo com a LGPD, é necessário, dentre outros aspectos, que este se enquadre em uma das bases legais previstas na lei em questão.

Embora a definição da base legal capaz de amparar determinado tratamento de dados deva ser analisada de acordo com o caso concreto e a natureza dos dados tratados (pessoais ou sensíveis), é possível vislumbrar, desde logo, algumas bases que parecem ser adequadas para o monitoramento de funcionários, envolvendo dados pessoais não sensíveis.

Cumpre apontar, desde já, que o consentimento, embora corresponda à base legal amplamente utilizada (mesmo não sendo, muitas vezes, a mais indicada), especialmente considerando-se o histórico da legislação brasileira com relação à proteção de dados pessoais, não parece adequado ao presente caso, diante da assimetria de poder existente entre o empregado e o empregador. A LGPD apresenta, como requisito de validade para a utilização da base legal do consentimento, que este seja livre, informado e inequívoco, sendo certo que, em um relação de emprego, dificilmente será possível demonstrar que o consentimento foi obtido livremente. Isso porque o empregado pode vir a ser impelido a consentir para não contrariar o empregador, considerando a relação de subordinação existente na relação trabalhista⁶. Resta, portanto, verificar dentre as demais bases legais previstas no artigo 7º, quais são adequadas ao presente caso.

Primeiramente, considerando-se que a atividade de monitoramento tenha por foco a análise da produtividade do empregado, é possível amparar o tratamento de dados pessoais na base legal da execução de contrato, na medida em que, neste caso, o tratamento de dados tem por foco exatamente apurar o adequado cumprimento das obrigações decorrentes do contrato de trabalho.

Por sua vez, caso o monitoramento seja realizado com foco em apurar eventuais condutas indevidas do funcionário no desempenho de atividades profissionais, é defensável a aplicabilidade da base legal do exercício regular de direito em processos judiciais, administrativos e arbitrais, na medida em que, neste caso, o monitoramento terá por objetivo exatamente a formação de conjunto probatório, visando resguardar os direitos e interesses do empregador.

Outra base possivelmente aplicável ao tratamento de dados em questão é o legítimo interesse do controlador, no caso, o empregador. A LGPD, ao estabelecer o legítimo interesse como base legal para o tratamento de dados pessoais, prevê, em seu artigo 10, que, para a aplicabilidade de tal base, a finalidade do tratamento deve ser legítima (ou seja, lícita) e que devem ser tratados apenas os dados estritamente necessários para atingimento da finalidade pretendida. Além disso, o artigo 7º, IX, da LGPD, indica que a base legal do legítimo interesse não poderá ser utilizada quando prevalecerem direitos e liberdades fundamentais do titular que exijam a proteção dos dados pessoais.

Como, no entanto, a LGPD não apresenta maiores detalhes acerca da aplicação da base legal do legítimo interesse, aos operadores do direito resta socorrer-se das orientações europeias acerca da aplicação de tal base legal, realizadas com base nas previsões do General Data Protection Regulation (GDPR), o regulamento europeu de proteção de dados pessoais, sobre o tema.

Dentre tais orientações, cumpre destacar a guideline apresentada pelo Information Commissioner's Office - ICO, a autoridade de proteção de dados do Reino Unido, acerca da aplicação do legítimo interesse, que propõe a realização de um teste em três etapas, bastante alinhado aos requisitos estabelecidos pela LGPD para a utilização da base legal em questão, qual seja: (I) finalidade: a finalidade que o controlador pretende atingir com o tratamento é legítima?; (II) necessidade: o tratamento em questão é necessário para atingir a finalidade?; e (III) balanceamento: os direitos individuais do titular prevalecem sobre o legítimo interesse do controlador?⁷

Parece claro, assim, que a base legal do legítimo interesse é, a princípio, adequada para fundar o monitoramento das atividades profissionais do empregado, vez que, se realizada dentro de contornos adequados: (I) tal prática é lícita, de acordo com o ordenamento jurídico brasileiro, sendo, portanto, possível defender sua legitimidade; (II) a coleta dos dados pessoais se faz necessária para atingir às finalidades do tratamento, pois, como regra, não haveria outra forma de realizar investigações sobre a adequação da conduta do empregado senão pelo monitoramento de suas atividades profissionais; e (III)  embora a prática possa afetar a privacidade do empregado, já é pacífico na jurisprudência brasileira o entendimento de que o direito à privacidade, no ambiente de trabalho, pode ser mitigado (embora, obviamente, nunca afastado, considerando tratar-se de direito fundamental), desde que garantida a adequada transparência acerca de tal tratamento ao empregado titular dos dados.

Obviamente, no entanto, a análise da adequação da base do legítimo interesse para fundamentar o monitoramento das atividades do empregado pelo empregador deve ser feita sempre caso a caso, de modo a apurar se a situação concreta de fato se amolda aos contornos estabelecidos para a adoção desta base legal. Ainda, é importante ter em mente que o artigo 10, §3º, da LGPD prevê que poderá ser solicitado, pela Autoridade Nacional de Proteção de Dados, relatório de impacto à proteção de dados pessoais, quando o tratamento for pautado no legítimo interesse, sendo recomendável, assim, a realização, de forma documentada, do teste ora proposto previamente à realização do tratamento com base no legítimo interesse.

Para além da seleção da base legal adequada para tratamento, o monitoramento das atividades do empregado pelo empregador deve estar também em conformidade com os princípios estabelecidos pelo artigo 6º da LGPD. Muito embora todos os princípios previstos na lei devam ser respeitados quando do tratamento de dados pessoais, alguns princípios se destacam no que diz respeito ao monitoramento de empregados, quais sejam: finalidade, necessidade e transparência.

De acordo com o princípio da finalidade, os dados pessoais devem ser tratados para propósitos legítimos, específicos, explícitos e informados ao titular. Considerando-se que, normalmente, o monitoramento das atividades dos empregados tem como finalidade a segurança das informações do empregador e a verificação do cumprimento do contrato de trabalho pelo empregado, tal atividade de tratamento, como regra, possui propósitos legítimos, devendo, no entanto, ser claramente informada ao titular, inclusive para atender ao princípio da transparência, como abaixo apontado. Não obstante, deve o empregador cuidar para que os dados coletados por meio da atividade de monitoramento não sejam utilizados para propósitos que desvirtuem a finalidade legítima que justificou sua coleta.

Com relação ao princípio da necessidade, este estabelece que somente devem ser coletados os dados mínimos necessários para atender às finalidades do tratamento. Por exemplo, dados referentes à vida particular do empregado, como troca de mensagens em aplicativos de comunicação pessoal, certamente serão vistos como excessivos à finalidade do monitoramento e, portanto, seu tratamento pode ser considerado ilícito. Este entendimento, inclusive vai ao encontro do posicionamento majoritário atual dos tribunais do trabalho, que têm se manifestado no sentido de que não é lícito o monitoramento de ferramentas de comunicação privadas do empregado, como seu e-mail pessoal.

Por fim, outro aspecto essencial para que o monitoramento do empregado possa ser considerado lícito, de acordo com a LGPD, é o atendimento ao princípio da transparência. Por tal princípio, o controlador de dados pessoais deve garantir aos titulares informações claras, precisas e facilmente acessíveis sobre a realização do tratamento de seus dados. Essencial, portanto, que o empregador informe o empregado, previamente ao monitoramento, a realização de tal prática.

Este princípio também se encontra alinhado ao entendimento jurisprudencial atualmente posto acerca do tema, que segue no sentido de que o empregado deve ser previamente comunicado acerca da realização do monitoramento de suas atividades profissionais, de modo a mitigar sua expectativa de privacidade no ambiente de trabalho. Tal comunicação ao empregado normalmente é realizada por meio das políticas internas da empresa, especialmente a política interna de segurança da informação da empresa, sendo recomendável que o empregado adote meios para comprovar a ciência do empregado com relação à prática em questão.

Considerações finais

Conforme o exposto, as regras da LGPD não impendem a prática de monitoramento das atividades do empregado em ambiente profissional. Ao contrário: referida lei, inclusive, apresenta disposições capazes de embasar e garantir maior segurança jurídica à referida prática, atualmente baseada essencialmente em entendimentos jurisprudenciais e doutrinários, desde que respeitadas as regras e limitações dela decorrentes.

Tais limitações, inclusive, se encontram alinhadas às diretrizes atualmente postas pelo ordenamento jurídico brasileiro para a realização da prática em questão, tornando, ainda, mais claros os cuidados que devem ser adotados pelo empregador quando da realização do monitoramento de atividades profissionais.

_________

1 Constituição Federal, art. 5º, X; e Código Civil, art. 21.

_________

*Carla Segala Aves é advogada na área de Tecnologia, Proteção de Dados e Propriedade Intelectual no Lefosse Advogados. Especialista em Propriedade Intelectual e Novos Negócios pela Escola de Direito de São Paulo da Fundação Getúlio Vargas (FGV-SP).