200 000 euros de coima da AEPD pela utilização de aplicações da empresa nos telemóveis pessoais dos trabalhadores

A AEPD (Processo EXP202411411) aplicou uma coima de €200.000 a uma empresa por obrigar os seus trabalhadores a instalar aplicações móveis nos terminais que utilizam para trabalhar, incluindo os de propriedade pessoal, e por tratar dados pessoais para além do necessário (princípio da minimização de dados), sem fundamento legítimo válido e com informação insuficiente (doravante "Acórdão").

O Acórdão é particularmente relevante no domínio do emprego e da conformidade, pois aborda os limites das políticas BYOD, os critérios de validade do consentimento nas relações de trabalho subordinado e a necessidade de alternativas proporcionais quando o empregador pretende utilizar Apps que acedem a dados do dispositivo pessoal dos trabalhadores.

I. Factos e âmbito da decisão

A AEPD apurou que a empresa exigia a instalação obrigatória de diversas Apps operacionais (comunicação interna, abertura/fecho de viaturas, plataforma de serviços e geolocalização), tanto em telemóveis corporativos como em telemóveis pessoais quando estes não estivessem disponíveis, com permissões que permitiam o acesso a dados de geolocalização contínua, fotos e vídeos, contactos, áudio e fitness.

A Resolução qualifica a conduta como uma violação dos artigos 5.1.c) (minimização), 6.1 (licitude) e 13 (dever de informação) do RGPD e ordena, para além da coima de 200.000 €, a adoção, no prazo de dois meses, de medidas corretivas que demonstrem a minimização, uma base legítima válida e o cumprimento do dever de informação.

II. Base jurídica e doutrina aplicável (consentimento no emprego, proporcionalidade e BYOD)

Em ambientes de subordinação, o consentimento, como refere a AEPD, raramente é "livre", pelo que não pode servir de base para aceder a dados do dispositivo pessoal do trabalhador ou para ativar permissões intrusivas de aplicações.

Relativamente ao conceito de consentimento, a AEPD refere que a licitude do tratamento exige que o titular dos dados (neste caso, o trabalhador) seja informado sobre as finalidades a que os dados se destinam, através do chamado "consentimento informado", que deve ser prestado de forma livre. Neste sentido, entende-se que "o consentimento não é livre quando a pessoa em causa não tem uma escolha genuína ou livre ou não pode recusar ou retirar o seu consentimento sem prejuízo; ou quando não lhe é permitido dar um consentimento separado para as diferentes operações de tratamento de dados pessoais, embora tal seja adequado no caso concreto, ou quando a execução de um contrato ou a prestação de um serviço dependem do consentimento, mesmo que este não seja necessário para essa execução". Estas situações surgem, por exemplo, quando o consentimento é incluído como parte não negociável dos termos e condições gerais, ou quando é imposta uma obrigação de concordar com a utilização de dados pessoais para além dos estritamente necessários.

Particularmente no domínio laboral, este requisito assume especial relevância devido à diferente posição do empregador e do trabalhador, sendo necessário provar que a não prestação de consentimento pelo trabalhador não lhe trará quaisquer consequências negativas, de forma a garantir a sua livre prestação de consentimento. Como a AEPD tem salientado em várias resoluções, "sem estas condições, a prestação do consentimento não proporcionaria ao titular dos dados um controlo efetivo sobre os seus dados pessoais e o destino dos mesmos, o que tornaria a atividade de tratamento ilícita".

Na Resolução analisada, a AEPD fundamenta que a ausência inicial de telemóvel corporativo e a obrigatoriedade das Apps invalidam o consentimento e transferem o ónus para outras bases do art. 6.1 RGPD, que, neste caso, também não legitimam a recolha massiva de dados.

º, n.º 1, alínea c) do RGPD) ao estabelecer permissões que vão para além do estritamente necessário à prestação do serviço (e.g., acesso a fotos/vídeos ou métricas de saúde) e uma violação do dever de informação (art. 13.º do RGPD).

Esta abordagem é coerente com a doutrina judicial da ordem social que nega a validade de cláusulas "voluntárias" de fornecimento de dados ou de meios próprios (STS 21-9-2015) e com a jurisprudência que considera injustificada a imposição de Apps em telemóveis pessoais quando existem alternativas organizacionais (STSJ Galiza, 31-1-2022) e com as recentes pronúncias sobre a desconexão digital e os limites ao teletrabalho (STS, 2-4-2025). Em particular, o STS de 8-2-2021 confirmou a nulidade do sistema que obrigava os motoristas de entregas a fornecerem o seu próprio smartphone e a instalarem uma aplicação de geolocalização para o acompanhamento em tempo real das encomendas, bem como as cláusulas contratuais associadas (incluindo disposições disciplinares e de rescisão por não fornecimento ou não "reparação" do terminal). O Tribunal considerou que os dados de localização são dados pessoais e que a medida, embora prossiga objectivos legítimos, não passa no teste de proporcionalidade porque existem alternativas menos intrusivas que não exigem a utilização do telemóvel pessoal e a transferência de dados associados (por exemplo, dispositivos de bordo ou soluções equivalentes).

III. Impacto e principais riscos para o cumprimento da legislação laboral

Do ponto de vista do emprego, a imposição da instalação de aplicações em dispositivos pessoais pode constituir

• uma interferência ilegítima na esfera privada se as permissões das Apps permitirem o acesso a informações não necessárias ou não relacionadas com o trabalho;
• uma violação do direito à desconexão digital se as Apps permanecerem activas fora do horário de trabalho; e
• tratamento sem uma base jurídica válida quando se baseia num consentimento sem restrições.

Tudo isto expõe a empresa a sanções, não só em termos de proteção de dados, mas também por parte da Inspeção do Trabalho, bem como a contingências legais decorrentes de possíveis contestações individuais ou colectivas e conflitos com a representação legal dos trabalhadores, decorrentes de falhas no modelo de conformidade (EIPD ausente ou insuficiente, falta de políticas BYOD, registos de processamento incompletos e contratos de comissionamento deficientes com fornecedores de Apps).

IV. Recomendações práticas

Com uma abordagem preventiva do compliance laboral, as empresas, à luz desta última Resolução sancionatória da AEPD, devem ter em conta, entre outras, as seguintes recomendações:

(1) privilegie sempre os dispositivos empresariais com gestão MDM e contentores separados, em detrimento dos dispositivos pessoais;

(2) se for permitido o BYOD, faça-o como uma "opção real e reversível", com uma política específica que regule estas utilizações, com registo de consentimento informado e sem acesso a dados pessoais na área privada;

(3) realize uma Avaliação de Impacto prévia para excluir permissões e telemetrias não essenciais (ex.: acesso a fotos/vídeos, contactos ou saúde, geolocalização constante, etc.), justificando a proporcionalidade da medida;

(4) defina uma base de licitude diferente do consentimento para o tratamento necessário e, quando for inevitável pedir consentimento, garanta que este é livre, específico, informado e inequívoco, com alternativas organizacionais sem prejuízo para o trabalhador;

(5) cumprir o dever reforçado e transparente de informação (canais internos, fichas de tratamento por App e controlos eficazes de desconexão fora do horário de trabalho); e

(6) acções de formação para gestores e funcionários sobre o uso responsável de dispositivos, privacidade e desconexão digital, permitindo um canal interno para consultas e possíveis reclamações.

Nota informativa do Departamento de Direito do Trabalho da ECIJA Madrid.