São dados pessoais de categorias especiais?

São dados pessoais de categorias especiais: Coimas até 20M€

Identificar se são dados pessoais de categorias especiais protege a sua empresa de sanções severas em auditorias diárias. Negligenciar a natureza sensível destas informações compromete a conformidade institucional e resulta em responsabilidade legal grave. Compreenda os riscos regulamentares gerais para salvaguardar a estabilidade financeira da organização.

O que são dados pessoais de categorias especiais?

A resposta à questão sobre se são dados pessoais de categorias especiais depende intrinsecamente de estarmos a falar de informações que revelam aspetos íntimos, liberdades fundamentais ou características genéticas e biológicas únicas de um indivíduo.

Sim, as categorias especiais de dados pessoais - comummente designadas por dados sensíveis - são tipos de informação que exigem proteção jurídica redobrada por apresentarem riscos elevados de discriminação e violação dos direitos humanos. De acordo com o Artigo 9.º do Regulamento Geral sobre a Proteção de Dados (RGPD), o tratamento deste tipo de dados é, por regra geral, estritamente proibido, exceto quando se aplica uma exceção legal muito específica.

No ecossistema empresarial europeu, as multas globais acumuladas por incumprimento da proteção de dados ultrapassaram a fasquia histórica de 6.000 milhões de euros pela primeira vez.

Esse crescimento demonstra que o escrutínio das autoridades de controlo evoluiu de processos isolados para auditorias operacionais diárias nas empresas. Ignorar a natureza sensível de uma base de dados interna pode expor uma organização a penalizações massivas. As contraordenações muito graves ao abrigo da legislação portuguesa podem resultar em coimas que vão desde os 5.000 euros até ao limite máximo de 20.000.000 de euros ou 4% do volume de negócios anual global da empresa, aplicando-se o montante que for mais elevado. ^[2]

A lista completa dos dados sensíveis segundo o Artigo 9.º

Para não haver espaço para dúvidas na classificação, o regulamento europeu define uma lista fechada do que constitui uma categoria especial de dados pessoais: Origem racial ou étnica: Informações que liguem diretamente a pessoa a uma determinada etnia.

Opiniões políticas e filiação sindical: Dados que indiquem a orientação partidária ou o vínculo a sindicatos laborais. Convicções religiosas ou filosóficas: A escolha de fé, crenças espirituais ou ausência delas. Dados genéticos e biométricos: Características hereditárias ou elementos biológicos tratados para identificar alguém de forma inequívoca. Dados relativos à saúde: Histórico médico, exames, diagnósticos e registos de tratamentos. Vida sexual ou orientação sexual: Elementos pertencentes à esfera estritamente privada da identidade e comportamento íntimo.

A linha ténue nos dados biométricos: Quando se tornam sensíveis?

Um dos maiores erros que vejo os encarregados de proteção de dados (DPO) e gestores cometerem é assumir que qualquer imagem ou dado biológico é automaticamente sensível. O RGPD estabelece uma distinção cirúrgica aqui. Os dados biométricos apenas entram na categoria especial quando são sujeitos a um tratamento técnico específico destinado a identificar de forma inequívoca uma pessoa singular. Mas há uma rasteira técnica neste ponto.

Pense no caso de um circuito de videovigilância (CCTV) convencional que grava imagens de rostos num corredor de escritórios. As imagens captadas contêm dados que permitem identificar indivíduos indiretamente, mas o sistema em si não está configurado para analisar a geometria facial de forma automatizada e cruzá-la com uma base de dados de identidades.

Por isso, a videovigilância comum rege-se pelas bases legais gerais do RGPD. Contudo, se a empresa decidir instalar um mecanismo de reconhecimento facial na porta de entrada para controlo de acessos, a situação muda radicalmente. O sistema passa a extrair moldes geométricos do rosto (templates) com o propósito explícito de verificar uma identidade única. Nesse preciso segundo, o dado facial comum transforma-se em dado pessoal de categoria especial.

Exceções legais e o contexto laboral em Portugal

Se o tratamento de dados sensíveis é proibido por regra, como é que hospitais, seguradoras e departamentos de Recursos Humanos conseguem operar legalmente no dia a dia? A resposta está nas exceções taxativas descritas no n.º 2 do Artigo 9.º do RGPD, as quais são adaptadas ao panorama nacional pela Lei n.º 58/2019.

Em Portugal, o tratamento de dados biométricos dos trabalhadores é expressamente considerado legítimo para fins de controlo de assiduidade (o famoso relógio de ponto por impressão digital ou reconhecimento facial) e para controlo de acessos a instalações reservadas da empresa.

No entanto, a lei nacional impõe um requisito técnico restrito. O empregador só pode utilizar representações criptografadas do dado biométrico original - ou seja, um código matemático gerado pela máquina que serve de modelo de comparação - e o processo não pode, sob circunstância alguma, permitir a reversibilidade dos dados para reconstruir a imagem real da impressão digital ou do rosto do funcionário. É obrigatório obter uma declaração formal do fabricante do sistema a atestar esta impossibilidade técnica de reversão.

Boas práticas para garantir a conformidade nas organizações

Trabalhar com dados de categorias especiais exige uma postura de segurança proativa. O primeiro passo que qualquer organização deve dar antes de avançar para a recolha de dados sensíveis é realizar uma Avaliação de Impacto sobre a Proteção de Dados (AIPD). Este estudo interno serve para mapear exaustivamente todos os fluxos de informação, identificar as vulnerabilidades do sistema e desenhar medidas de mitigação de riscos, como a cifragem ponta a ponta e a minimização dos períodos de conservação.

Além disso, a implementação de controlos de acesso lógicos é vital. Um funcionário do departamento de marketing de uma clínica médica não tem qualquer justificação operacional para aceder ao histórico de patologias dos pacientes na base de dados de saúde. O acesso aos dados sensíveis deve estar estritamente restrito a quem deles necessita para cumprir uma obrigação profissional ou legal direta, devendo ser auditado através de registos de acessos permanentes (logs).

Bases Legais: Dados Comuns vs. Categorias Especiais

Dados Pessoais Comuns

• Medidas técnicas e administrativas adequadas ao risco padrão da atividade comercial

• Execução de um contrato, interesse legítimo da empresa, cumprimento de obrigações legais ou consentimento simples

• O tratamento é permitido desde que esteja ancorado numa das seis bases legais gerais descritas no Artigo 6.º

Categorias Especiais (Dados Sensíveis) ⭐

• Segurança redobrada com necessidade de pseudonimização, cifragem obrigatória e realização de auditorias AIPD

• Consentimento explícito por escrito, cumprimento de deveres laborais específicos ou proteção de interesses vitais

• O tratamento é estritamente proibido, exceto se a organização preencher os requisitos de uma das exceções do Artigo 9.º

O Pesadelo do Relógio de Ponto na Logística de Setúbal

Uma empresa de distribuição em Setúbal instalou um novo sistema biométrico de leitura de impressão digital para os seus 120 operadores de armazém. O objetivo inicial era simplificar o processamento salarial ao final do mês, eliminando os cartões físicos que os trabalhadores frequentemente esqueciam em casa.

A equipa de Recursos Humanos avançou com a recolha das impressões digitais de todos os funcionários numa manhã de segunda-feira sem efetuar qualquer auditoria prévia. Duas semanas depois, três operadores recusaram-se a colocar o dedo na máquina e submeteram queixas formais à administração, alegando violação de direitos.

A administração percebeu o erro quando o fornecedor do software não conseguiu fornecer a certidão técnica de irreversibilidade dos dados. O sistema estava a armazenar as imagens reais das digitais em vez de meras representações criptografadas em formato de código numérico.

A empresa foi forçada a desligar o equipamento biométrico de imediato, regressando temporariamente às folhas de ponto manuais. O incidente resultou num atraso de 10 dias no processamento dos salários e numa despesa imprevista com consultoria jurídica para redesenhar a infraestrutura de acessos.