Impactos da Lei Geral de Proteção de Dados Pessoais nos contratos de trabalho

A LGPD, Lei Geral de Proteção de Dados Pessoais, que entrou em vigor em 18 de setembro de 2020, à exceção das sanções administrativas, que passaram a ser exigíveis, a partir de 1º de agosto de 2021, não se dedicou, ao contrário do Regulamento Geral sobre Proteção de Dados da União Europeia (em vigor, desde 25 de maio de 2018), no qual se espelhou, a regular, especificamente, as relações em contexto laboral (RGPD, art. 88).

Entretanto, é inequívoca a aplicação da LGPD também aos contratos de trabalho, considerando-se a necessidade de tratamento de imensa quantidade de dados pessoais do empregado, por parte do empregador.

Aliás, relevante observar, a incidência da norma sob exame ocorre em todas as fases do pacto laboral, seja pré-contratual, contratual ou pós-contratual.

Citem-se, exemplificativamente, na fase pré-contratual, o processo seletivo e o armazenamento de currículos. Ambos, à evidência, recheados de dados pessoais dos candidatos e, por consequência, como já se adiantou, sujeitos à incidência da norma em análise.

A fase contratual, de seu turno, é aquela em que mais se obtêm e se movimentam dados pessoais dos trabalhadores, quer para fins de registros do próprio empregador ou para compartilhamento com terceiros (como a operadora de plano de saúde, dentre outros), quer para a própria execução do contrato (consignação de jornada, com a utilização, por exemplo, de dados biométricos).

A fase pós-contratual, de outro aspecto, não exige menos cautelas, tendo-se em conta que o empregador há de preservar os dados pessoais do trabalhador, para eventual necessidade de comprovação do cumprimento de suas obrigações legais, o que, de resto, é autorizado pela lei (art. 16, I).

Relevante ressaltar, no aspecto, todavia, que o prazo prescricional não é o único a nortear a necessidade de manutenção dos dados pessoais de ex-empregados.

Considere-se, de forma exemplificativa, a imprescritibilidade do reconhecimento do vínculo empregatício (art. 11, § 1º, CLT), bem como eventual doença do trabalho, cuja manifestação pode ocorrer, após o término contratual, e para a qual o início de contagem do prazo prescricional tem lugar com a ciência inequívoca da moléstia (Súmulas 230 do STF e 278 do STJ).

Em sendo assim, para que se evitem riscos desnecessários, recomenda-se a utilização da técnica de anonimização dos dados pessoais a serem preservados por longos períodos, após a ruptura contratual (art. 16, IV).

Discussão não menos relevante, de outro lado, diz respeito à responsabilidade civil do empregador, no caso de vazamento de dados pessoais de trabalhadores, muito embora a doutrina ainda se mostre hesitante acerca da espécie aplicável à hipótese, se objetiva (art. 927, § único, do CC) ou subjetiva (arts. 186 e 187, CC).

Quanto à primeira, bastaria à vítima, a fim de ver-se ressarcida por prejuízos sofridos, comprovar a existência de três elementos: a conduta (por ação ou omissão), a ocorrência do dano e o nexo de causalidade.

Quanto à segunda, além dos três elementos já referidos, imprescindível a comprovação da culpa do agente de tratamento, na hipótese sob enfoque, o empregador.

Importante ressaltar, que o Regulamento Europeu adota a chamada responsabilidade proativa, que implica mudança de paradigma, quanto à questão sob análise.

Trata-se, em suma, de modelo de proteção preventivo.

Assim, observar a norma não seria, por si só, o suficiente, impondo-se mais que isso: a demonstração da adoção de medidas eficazes a prevenir a existência de danos.

Nesse sentido, aliás, acórdão proferido pela 27ª. Câmara de Direito Privado, do Tribunal de Justiça de São Paulo, da lavra do Exmo. Desembargador Alfredo Attié, que, acolhendo parcialmente o pleito, aduziu tratar-se da hipótese “em que às empresas não é suficiente o cumprimento dos artigos da lei, mas será necessária a demonstração da adoção de medidas eficazes e capazes de comprovar a observância e o cumprimento das normas de proteção de dados pessoais e, inclusive, a eficácia dessas medidas" (Apelação Cível nº 1008308-35.2020.8.26.0704, da Comarca de São Paulo).

Eis a corrente a que nos filiamos.

Conclui-se, à vista do que se disse, ser imperiosa a necessidade de que todas as empresas, independentemente de suas dimensões, estejam em conformidade com a Lei Geral de Proteção de Dados Pessoais, também com relação aos seus empregados.