Como parte de sua orientação específica para tópicos sobre práticas de emprego e proteção de dados, a ICO divulgou seu rascunho de orientação para acompanhamento dos funcionários no trabalho para consulta. Ele permanecerá aberto até 11 de janeiro de 2023 para comentários.
Num relance
A versão anterior da orientação foi publicada pela primeira vez há mais de uma década, quando a tecnologia e as práticas de trabalho de hoje eram inexistentes. Para ajudar os empregadores, o projeto foi atualizado para incluir o monitoramento de trabalhadores remotos e domésticos e novas tecnologias, como dados biométricos.
A abordagem geral é praticamente a mesma, trazendo cor aos princípios com exemplos. Tal como acontece com a maioria das leis e práticas trabalhistas, a justiça é um conceito-chave de proteção de dados. Para os funcionários, isso significa que nada deve ser uma surpresa. Está intimamente ligado à transparência, onde o “como” e o “porquê” do processamento são claros.
Existem alguns pontos de diferença, o que pode significar que os empregadores desejarão repensar ou atualizar suas políticas de proteção de dados, incluindo:
- consulta aos funcionários onde o monitoramento está sendo implementado, a menos que haja boas razões para não fazê-lo, o que deve ser documentado;
- a necessidade de uma condição de categoria especial a ser identificada e documentada antes do início do monitoramento, onde o monitoramento (por exemplo, e-mails) provavelmente capturará dados de categoria especial inadvertidamente;
- realizar uma avaliação de impacto como uma questão de boa prática, mesmo quando não há exigência de fazê-lo porque não há riscos elevados para os funcionários (e qualquer decisão de prosseguir sem uma deve ser documentada); e
- a expectativa de que o nível de privacidade provavelmente será maior ao monitorar o trabalho em casa do que no local de trabalho.
O projeto de orientação
Os ICOs rascunho de orientação abrange o monitoramento de funcionários no trabalho e as considerações relacionadas à proteção de dados sob o Regulamento Geral de Proteção de Dados do Reino Unido e a Lei de Proteção de Dados de 2018. Com este projeto de orientação, o ICO afirma que visa:
- ajudar a fornecer maior segurança regulatória;
- proteger os direitos de proteção de dados dos trabalhadores; e
- ajudar os empregadores a construir confiança com trabalhadores, clientes e usuários de serviços.
O projeto de orientação é destinado a qualquer organização pública ou privada que tenha funcionários, trabalhadores (incluindo trabalhadores temporários), contratados ou voluntários, todos chamados de “trabalhadores”.
O que a ICO quer dizer com “monitoramento no trabalho”?
A OIC reconhece que “monitoramento no trabalho” é um termo amplo que inclui o uso do seguinte:
- vigilância por câmeras;
- webcams e capturas de tela;
- tecnologias para monitoramento de cronometragem ou controle de acesso;
- monitoramento de pressionamento de tecla para rastrear, capturar e registrar a atividade do teclado; e
- rastrear a atividade da Internet e as teclas digitadas.
As justificativas potenciais para esse monitoramento incluem:
- revisar a qualidade e a quantidade da produção de um trabalhador;
- proteger a saúde e a segurança dos trabalhadores, incluindo o seu bem-estar;
- cumprir as obrigações regulamentares, incluindo fazer parte das medidas de segurança do empregador para proteger os dados pessoais; e
- fazendo parte de uma resposta de curto prazo a uma necessidade específica, como a instalação de câmeras de vigilância para monitorar uma suspeita de roubo.
Principais conclusões
O projeto de orientação resume a posição sob a lei do Reino Unido sobre monitoramento no trabalho da seguinte forma:
- O monitoramento é permitido, mas regulamentado pelas leis de proteção de dados, direitos humanos e igualdade: Os empregadores devem equilibrar o nível de intrusão em relação às suas necessidades e às dos trabalhadores e do público.
- Os trabalhadores devem ser notificados: Os empregadores devem notificar os trabalhadores sobre o monitoramento, incluindo sua natureza, extensão e justificativa, a menos que circunstâncias excepcionais exijam monitoramento encoberto.
- Objetivo claro: Os empregadores devem ser claros sobre o propósito do monitoramento. Além disso, eles não devem usar os dados coletados sob uma finalidade existente para uma nova finalidade, a menos que seja compatível com a finalidade existente na maioria das circunstâncias.
- DPIA: Os empregadores devem realizar uma avaliação de impacto na proteção de dados para qualquer monitoramento que possa resultar em alto risco para os direitos dos trabalhadores e outros titulares de dados. Além disso, os empregadores devem manter a necessidade de uma avaliação de impacto sob análise. Mesmo quando essas avaliações de impacto não são obrigatórias, os empregadores devem considerar a realização de uma boa prática, pois o processo ajudaria os empregadores a tomar melhores decisões com base em riscos e cumprir mais claramente suas obrigações de proteção de dados.
Dados biométricos
Em reconhecimento à tendência universal de usar tecnologias para aprimorar os processos de RH, o ICO incorporou uma seção sobre dados biométricos (impressões digitais, reconhecimento facial e de voz). Em contexto de trabalho, isso pode ser usado, por exemplo, para processos como monitoramento de acesso a prédios ou áreas restritas – uma questão que ganhou maior relevância com o trabalho híbrido e a necessidade de saber quem está trabalhando onde. Se seguir esse caminho, a ICO alerta que o processamento da biometria requer uma consideração cuidadosa. Os desafios incluem:
- ser claro sobre por que alternativas menos intrusivas não estão sendo usadas e documentar as razões para não fazê-lo, o que pode ser complicado porque os processos de RH, como controle de acesso e segurança, já possuem métodos menos intrusivos que são mais eficazes;
- identificar uma condição de categoria especial para o tratamento, que é susceptível de ser o consentimento (não obstante serem conhecidas as dificuldades que envolvem o consentimento, devido ao suposto desequilíbrio de poder entre empregadores e trabalhadores); e
- fornecer aos funcionários que não consentirem uma alternativa, sem qualquer prejuízo, que seja necessária.
A exigência de fornecer uma alternativa pode ser problemática neste contexto. Por exemplo, isso pode significar que um empregador que introduza acesso biométrico a laptops e outros dispositivos, para aumentar a segurança, ainda precisaria oferecer uma alternativa. Oferecer simplesmente uma alternativa de senha forte pode frustrar os propósitos de introdução de acesso biométrico (ou seja, oferecer proteção mais forte contra o risco de senhas comprometidas), portanto, outras soluções precisariam ser consideradas (por exemplo, autenticação multifator).
Próximos passos
- A orientação anterior era um volume bem manuseado para aqueles em RH e relações trabalhistas cujos empregos diários encontravam aspectos de proteção de dados relacionados a funcionários. Vale a pena revisar este rascunho, pois o monitoramento pode ser altamente técnico, mas esta publicação é muito acessível com exemplos úteis.
- Não há necessidade de fazer mudanças nas políticas de proteção de dados e treinamento nesta fase, mas as seções de monitoramento devem ser revisadas para identificar lacunas e áreas que podem ser melhoradas.
- Discuta com as partes interessadas relevantes se existem práticas de trabalho recentes, por exemplo, em relação ao trabalho híbrido ou monitoramento da presença de trabalhadores nos locais de trabalho que precisam ser incorporadas às políticas de proteção de dados e comunicadas aos trabalhadores.
- Considere se deve responder à consulta, especialmente em relação às áreas do seu negócio que você acha que não estão cobertas de forma clara ou adequada. Se pretender enviar respostas, pode fazê-lo preenchendo o inquérito para o projecto de orientação e/ou o pesquisa para o rascunho do documento de escopo de impacto. Alternativamente, você pode baixar o inquérito para o projecto de orientação e/ou o pesquisa para o rascunho do documento de escopo de impacto e enviá-los por e-mail para jobguidance@ico.org.uk.