Um leitor biométrico não deve ser escolhido apenas porque evita cartões esquecidos. A organização precisa de demonstrar por que o tratamento é necessário, quais os dados realmente utilizados e como impede que uma identificação para assiduidade se transforme noutra forma de acompanhamento do trabalhador.
Em Portugal, a avaliação exige atenção às finalidades laborais admitidas, às representações biométricas não reversíveis e à AIPD. Este guia permite preparar um dossiê de decisão e aceitação do sistema. O exemplo fictício compara cartões e biometria num estabelecimento com turnos, incluindo a decisão de não avançar quando o fornecedor não demonstra as condições exigidas.
Delimitar a finalidade laboral e os titulares
O artigo 28.º, n.º 6, da Lei n.º 58/2019 admite o tratamento biométrico de trabalhadores para controlo de assiduidade e de acessos às instalações do empregador, com utilização de representações e sem reversibilidade no processo de recolha. A norma não fornece uma autorização para acrescentar pagamentos, máquinas de venda ou avaliação de produtividade.
Identifique a finalidade escolhida e se existem duas utilizações distintas. Controlar a entrada num edifício não é necessariamente igual a apurar tempo de trabalho. Um registo de acesso pode ter uma interpretação diferente quando alguém entra fora do turno para uma reunião autorizada ou atravessa uma porta várias vezes.
A CNPD esclarece o enquadramento atual da biometria, incluindo a articulação com o artigo 9.º, n.º 2, alínea b), do RGPD no contexto laboral. Para acesso de clientes ou utentes, a autoridade trata a hipótese de consentimento com alternativa efetiva, sem obstáculos indevidos. Não aplique a regra dos trabalhadores a visitantes, fornecedores e familiares apenas porque usam a mesma porta.
No RGPD, dados biométricos destinados à identificação inequívoca integram categorias especiais. A análise deve considerar os artigos 6.º e 9.º, os princípios e as garantias aplicáveis. Uma fotografia guardada num cartão e um sistema que extrai características para reconhecer automaticamente uma pessoa são operações que precisam de ser descritas com precisão.
Comparar a necessidade com alternativas concretas
O artigo 18.º do Código do Trabalho exige necessidade, adequação e proporcionalidade. O mesmo artigo contém regras de conservação e destruição. A CNPD esclarece que a antiga notificação à autoridade já não se aplica. A ausência desse procedimento não dispensa a análise substantiva nem os demais deveres laborais pertinentes.
Comece por definir o problema: cartões partilhados demonstrados, perda frequente de credenciais, acesso a uma área com necessidades específicas ou um processo manual que produz erros. Distinga ocorrências verificadas de receios genéricos. Compare medidas organizativas, cartões individuais, revisão de permissões e outros meios menos intrusivos.
| Opção no estabelecimento fictício | Vantagem observada | Limitação a avaliar |
|---|---|---|
| Cartão individual com gestão de permissões | Não exige recolher biometria | Exige tratar perda e substituição |
| Cartão com verificação pontual adequada | Pode responder ao problema de partilha | Depende do contexto e de procedimentos consistentes |
| Identificação biométrica | Liga a operação a características da pessoa | Acrescenta riscos, requisitos técnicos e AIPD |
| Continuação do processo manual | Evita uma mudança tecnológica imediata | Pode manter erros que devem ser corrigidos |
No exemplo, a equipa descobre que o problema principal é a falta de atualização de cartões de antigos trabalhadores. Um processo de revogação resolve esse problema sem biometria. A primeira decisão é corrigir a gestão de acessos e avaliar o resultado. Não se presume necessária uma tecnologia mais intrusiva para compensar uma falha administrativa conhecida.
Guarde os factos e a comparação no dossiê de responsabilidade pelo RGPD. A decisão pode ser negativa e continuar a ser um resultado útil: evita contratar um sistema cuja necessidade não foi demonstrada.
Pedir prova sobre o que o sistema conserva
Solicite uma descrição do percurso desde a captura até à comparação e eliminação. Pergunte se há imagens originais, amostras temporárias, representações, cópias em terminais e sincronização central. A palavra «template» na proposta comercial não demonstra, por si, todas as características exigidas.
A CNPD indica que o responsável deve possuir uma declaração do fabricante atestando a utilização de representações e a não reversibilidade. Peça um documento que identifique produto, versão e funcionamento abrangido. Uma declaração sobre um leitor diferente ou uma versão antiga não esclarece o sistema que será instalado.
Distinga não reversibilidade e cifragem. Se a organização consegue recuperar uma imagem original com uma chave, a cifragem protege essa imagem mas não a transforma numa representação não reversível. A cifragem e a gestão de chaves continuam a ser relevantes para segurança, sem substituir a verificação da característica biométrica exigida.
Mapeie os identificadores associados. Mesmo uma representação não reversível continua ligada a uma pessoa quando o sistema a usa para a identificar e registar entradas. Não anuncie que os dados são anónimos apenas porque não existe uma fotografia legível. Essa distinção deve estar clara na informação aos trabalhadores e no contrato com o prestador.
Realizar a AIPD antes do início do novo tratamento
A triagem com a lista da CNPD deve ocorrer antes da contratação ficar irreversivelmente comprometida. A orientação atual da autoridade exige AIPD para novos tratamentos biométricos de trabalhadores mesmo em pequena escala, atendendo à vulnerabilidade e ao ponto 7 da lista nacional. Não use o número reduzido de trabalhadores como dispensa automática.
Se existir uma autorização anterior a 25 de maio de 2018, a CNPD distingue a manutenção das condições autorizadas das alterações ao funcionamento. Examine o documento e o que mudou efetivamente; não basta o fornecedor afirmar que o modelo de equipamento «já foi autorizado». Uma autorização de outra organização não corresponde ao tratamento desta empresa.
A avaliação deve considerar falsos resultados, impedimento de acesso, erro no registo de assiduidade, comprometimento de representações e utilização para fins diferentes. Inclua também quem tem dificuldade em usar o leitor e como é atendido. O risco não se limita ao furto de uma base de dados.
Se o fabricante disponibilizar uma avaliação genérica, confronte-a com os locais, trabalhadores, integrações e medidas reais. O responsável assume a decisão. Solicite o parecer do EPD quando designado e documente as divergências. Se permanecer risco elevado apesar das medidas, aplica-se a consulta prévia do artigo 36.º antes de iniciar o tratamento.
Preparar falhas e alternativas de funcionamento
Uma pessoa não deve ficar sem forma de registar trabalho porque o leitor falhou. Defina um procedimento de contingência que preserve o registo correto e permita corrigir erros sem expor informação desnecessária. A alternativa deve funcionar na prática durante todos os turnos abrangidos.
No exercício, uma trabalhadora não é reconhecida à entrada. O responsável de turno usa o mecanismo alternativo aprovado, regista a ocorrência técnica e encaminha a correção do horário. Não exige que a pessoa envie fotografias da mão para um grupo de mensagens. Também não regista automaticamente uma falta com base apenas na falha do equipamento.
Distinga esta contingência laboral da alternativa exigida para garantir consentimento livre num sistema de acesso de clientes. São contextos diferentes. Para trabalhadores, a análise assenta nas condições legais do tratamento laboral; não se resolve simplesmente apresentando um formulário de consentimento e deixando toda a responsabilidade de escolha à pessoa.
O procedimento de retificação deve abranger o resultado administrativo de uma identificação errada. Conserve elementos suficientes para verificar a correção, sem manter indefinidamente amostras biométricas recolhidas durante a resolução técnica.
Separar representação biométrica e registo de assiduidade
Os dois conjuntos não precisam de ter a mesma conservação. O Código do Trabalho determina a destruição dos dados biométricos na transferência para outro local de trabalho ou na cessação do contrato. Os registos administrativos de assiduidade devem seguir o seu enquadramento próprio, sem prolongar por arrastamento a conservação da representação biométrica.
Desenhe o circuito de saída com recursos humanos e o administrador. O evento deve chegar ao sistema, bloquear utilizações indevidas e acionar a eliminação nos locais identificados. Inclua terminais desligados, cópias centrais, contas do prestador e substituição de equipamentos.
Num exercício fictício de transferência, o administrador confirma a remoção da representação no local anterior e verifica que uma sincronização posterior não a recria. O processo no novo local exige a análise pertinente; uma mudança de estabelecimento não deve ser tratada apenas como alteração de etiqueta no mesmo perfil.
Documente estas operações no calendário de conservação com eventos concretos. Não guarde a representação «para o caso de a pessoa regressar». Se surgir um litígio sobre horários, avalie quais os registos administrativos necessários, em vez de presumir que a prova exige conservar os dados biométricos de identificação.
Limitar acessos, integrações e manutenção
Recursos humanos pode precisar de consultar horários sem aceder à base biométrica. A equipa técnica pode administrar o serviço sem exportar representações para folhas de cálculo. Defina perfis separados e justifique exceções. A cartografia dos sistemas deve mostrar tanto o leitor como as integrações e os acessos remotos.
Peça ao prestador para demonstrar como presta suporte. Verifique se copia a base para diagnosticar falhas, onde a guarda e quem pode consultá-la. Determine as condições do artigo 28.º quando atua como subcontratante e avalie eventuais transferências internacionais. Um servidor instalado em Portugal não esclarece, sozinho, todos os acessos posteriores.
Registe alterações de configuração, inscrições, eliminações e operações administrativas relevantes. Evite colocar amostras ou representações completas nos próprios logs. A capacidade de auditar o sistema deve apoiar a segurança sem multiplicar o material sensível em repositórios menos protegidos.
Preencher a decisão de aceitação
No projeto fictício, a ficha B-11 conclui: «A necessidade de substituir cartões não foi demonstrada; existe falha de revogação corrigível. O fornecedor também não apresentou declaração referente à versão proposta. Decisão: não ativar biometria. Ação: corrigir acessos, medir o problema remanescente e reavaliar apenas se houver factos novos.» Esta é uma decisão completa, com razões e responsáveis.
Se outro projeto demonstrar necessidade e cumprir as condições, a aceitação deve referir a AIPD concluída, as características verificadas, os acessos, o procedimento alternativo e a eliminação ensaiada. Não use uma fórmula vaga de «conformidade total» para substituir essas verificações.
A revisão torna-se necessária quando mudam finalidades, titulares, equipamentos, integrações ou riscos. Acrescentar clientes ao leitor dos trabalhadores, reutilizar representações numa máquina de venda ou introduzir reconhecimento à distância exige análise própria. A utilidade do dossiê é permitir perceber o que foi aprovado e detetar quando o sistema deixou de corresponder àquela decisão.