Redução do Horário de Trabalho: boa ou má ideia?
TIPO DE ARTIGO: Artigo de Opinião
AUTORES: Santos M(1), Almeida A(2), Oliveira T(3).
Em abril de 2016 o Parlamento Europeu aprovou o Regulamento Geral de Proteção de Dados (RGPD) que veio substituir a diretiva 95/46/EC, associada à Lei 67/98 de 26 de outubro, ainda em vigor, que entrará em aplicação a partir de 25 de maio de 2018.
Até agora as empresas tinham de pedir um parecer à Comissão Nacional de Proteção de Dados (CNPD), que autorizava ou não a recolha, tratamento e armazenamento da informação. Agora passar-se-á para um modelo de autorregulação, recaindo sobre as empresas a responsabilidade de interpretar e cumprir o novo regulamento; aliás, têm de conseguir provar que o cumprem.
Este procedimento pretende criar uma nova consciência relativa ao tratamento dos dados pessoais da parte das empresas, sobretudo sem o consentimento ou conhecimento do próprio, providenciando penalizações de 2 a 4% da faturação anual ou de 10 a 20 milhões de euros, se mais elevado que o anterior (consoante a maior ou menor gravidade da infração).
Surgem duas figuras neste contexto: o controlador e o processador. O primeiro será uma pessoa singular ou coletiva que decide como e porquê os dados são processados, para além de determinar os fins e meios de processamento; será o responsável por provar o cumprimento do tratamento dos dados pessoais. O processador será uma pessoa singular ou coletiva que trata os dados em nome do controlador e com responsabilidade partilhada.
No início do processo tem de ser clarificada qual a informação que será colhida, a sua finalidade e tem de haver consentimento claro e específico para esse fim, da parte do indivíduo.
Os sujeitos terão de ter acesso aos seus dados pessoais e respetiva possibilidade de os editar e retificar; aliás o controlador deve fornecer uma cópia da informação armazenada e enviar ao titular gratuitamente.
Deverá também se assegurar o direito à portabilidade, ou seja, ao acesso e gestão dos dados pelo próprio, com a possibilidade de transportar a informação para outra entidade, gerida por outro controlador.
É necessário que também haja direito ao esquecimento, ou seja, à eliminação dos dados a pedido do sujeito se a finalidade da informação se alterar, se se tratar de uma criança ou de qualquer outra violação a este regulamento. O controlador pode negar-se à eliminação ou alteração dos dados se a informação estiver a ser usada para fins de evidência (mas não se dão mais detalhes) ou quando a titularidade não pode ser determinada ou provada com exatidão. Contudo, o controlador deve comunicar por escrito ao titular (ou suposto titular) dos dados a recusa e deve-o informar que este poderá apresentar queixa a uma autoridade de controlo ou interpor recurso judicial.
Os dados pseudonomizados, ainda que recomendados pelo RGPD, são na mesma abarcados por este regulamento; o objetivo deste processo é que não se consiga atribuir um sujeito aos dados, de forma direta. Com a anomização tal não é possível, mesmo que de forma indireta.
O indivíduo também poderá se opor à tomada de decisões automatizadas e à criação de “profiling” (perfil). O RGPD proíbe certos tipos de decisão automatizada (computadorizada), ou seja, sem intervenção humana. As duas exceções são o titular dos dados o autorizar ou que tal esteja previsto na lei. Contudo, deve haver transparência, ou seja, o sujeito deve ser informado das consequências das decisões automatizadas e da possibilidade de pedir uma revisão desse processo.
Os programas informáticos devem estar desenhados de forma a favorecer a “privacidade por design”, ou seja, a proteção dos dados desde a sua inserção. Estes devem ser tratados de acordo com a finalidade inicial autorizada e o acesso deve ser facultado ao menor número de profissionais envolvidos necessário.
Os dados não podem ser coletados ou processados sem que haja um fundamento legal que o justifique ou sem o consentimento do indivíduo, esclarecido e claro (não generalista).
As violações dos dados pessoais podem ser de três tipos: confidencialidade (acesso não autorizado ou acidental), disponibilidade (perda de acesso ou destruição dos dados) e integridade (alteração não autorizada ou acidental).
O controlador tem a obrigação de evitar as violações, verificar a gravidade das mesmas e notificar até 72 horas a autoridade supervisora, exceto se tal não resultar em qualquer risco para os direitos e liberdades do indivíduo, descriminação ou perda financeira.
Haverá uma entidade pública responsável pelo acompanhamento da aplicação do RGPD em cada estado da União Europeia.
Contextualização à Saúde Ocupacional
Os dados colhidos a nível administrativo resumem-se a nome completo, data de nascimento, posto de trabalho, data de início de funções, eventuais datas de períodos de incapacidade (atribuídos pelo Sistema Nacional de Saúde e/ou pelas Seguradoras, a nível de acidentes de trabalho) e respetivas percentagens, se aplicável.
Durante o exame médico em si são registadas informações relativas a fatores de risco laborais, equipamentos de proteção individual disponíveis e utilizados, antecedentes patológicos/ farmacológicos e cirúrgicos, historial a nível de sinistros e eventuais limitações atuais, bem como exame físico (auscultações cardíaca e pulmonar, tensão arterial, peso, altura, entre outros parâmetros considerados relevantes no caso em específico) e eventual consumo de substâncias psicoativas.
Toda esta informação é mantida (segundo a legislação em vigor) por várias décadas, mesmo após a saída do trabalhador e/ou encerramento da empresa empregadora, sendo os dados nela inseridos considerados com sigilo médico e por si só de acesso muito restrito, facultados a profissionais habilitados e quando seja pertinente ter acesso aos mesmos, no próprio interesse no indivíduo e da qualidade do serviço prestado.
Os autores consideram que o novo Regulamento não alterará de forma significativa este setor profissional, até porque a saúde sempre apresentou regras muito rígidas em relação ao acesso a dados pessoais.
Contudo, também não nos parecer ter ficado mais clarificada com o RGPD a posição irregular relativa aos administrativos que em algumas empresas possam manusear os processos clínicos (introdução e retirada das pastas de armários), nas situações em que estes não estão todos armazenados no gabinete médico e sob a alçada única e direta do médico e/ou enfermeiro do trabalho.
Há alguns anos atrás foram elaborados documentos relativos à saúde ocupacional, nomeadamente as deliberações 41/2006, aplicável ao tratamento de dados no âmbito da gestão da informação nos serviços de Saúde e Segurança no Trabalho e a 890/2010, aplicável aos tratamentos de dados pessoais com a finalidade de medicina preventiva e curativa, com destaque para o consumo laboral de substâncias psicoativas.
Na primeira delas menciona-se que os dados pessoais tratados devem ser adequados, pertinentes e não excessivos em relação à finalidade, nomeadamente identificação, anamnese, resultados de exames, certificados de incapacidade e ausências por acidente de trabalho, dados associados à atividade profissional e respetivos riscos, bem como relativos a doenças profissionais. Informação associada a hábitos pessoais não pode ser tratada exceto tabaco e café (por tal se poder relacionar com alguns sintomas ou outros dados). Só se podem questionar informações relativas à sexualidade se tal se associar eventualmente a alguma patologia ou a outros dados. O registo do consumo do álcool ou outras substâncias psicoativas é considerado como injustificado e discriminatório, exceto se em algumas profissões tal for de interesse para prevenir perigos para a própria integridade física ou de terceiros. Registar raça/ etnia é excessivo, inadequado e não pertinente. Não são autorizadas decisões individuais automatizadas, nomeadamente para fazer um perfil de personalidade ou de capacidades profissionais. O sistema informático deve separar dados administrativos dos de saúde e cada utilizador terá um nível de acesso diferente, através de palavras-passe; quando alguém deixar de reunir condições para ser utilizador, o seu perfil informativo deverá ser bloqueado. O empregador, por exemplo, só deverá ter acesso apenas à ficha de aptidão. A informação de saúde deverá ser de acesso restrito ao médico do trabalho ou a outros profissionais sob a sua direção e controlo, desde que seja um profissional de saúde obrigado a sigilo profissional. Devem ser feitas cópias de segurança (back-ups) da informação, acessível apenas ao administrador do sistema. A ficha clínica só poderá ser facultada às autoridades de saúde e aos médicos da Inspeção Geral de Saúde. Os dados pessoais só devem ser conservados até o máximo de um ano após cessação do vínculo laboral (?!), exceto se relevantes para alguma obrigação legal, nomeadamente associada a acidente de trabalho ou doença profissional. O titular dos dados tem direito à informação tratada e à sua eventual retificação, diretamente ou através de um médico assistente.
No segundo documento atrás mencionado acrescenta-se que o empregador não pode para efeitos de admissão ou permanência no trabalho exigir quaisquer testes, exceto se tal tiver a finalidade de proteger a segurança do trabalhador e/ou de terceiros, devendo ser fornecida por escrito previamente a informação que fundamente o processo e em que moldes. Os regulamentos internos podem ter regras sobre o controlo da alcoolémia, desde que compatíveis com os direitos de personalidade e da não descriminação. Os testes deverão ser executados pelos profissionais do serviço de Saúde e Segurança no Trabalho, desde que sujeitos a sigilo profissional. É exigida confidencialidade na deteção, tratamento e reabilitação. Testar apenas para verificar a aptidão do trabalhador e encaminhar clinicamente, se o próprio assim o desejar. Haverá condenação de sanções como despedimento por justa causa pelo mero consumo em si (só a consequência do consumo é que poderá ser punida). O tratamento destes dados só pode iniciar-se após autorização pelo Centro Nacional de Proteção de Dados. O responsável pelo tratamento dos dados é o empregador, mesmo que contrate profissionais habilitados. Poder-se-á admitir a utilização destes dados para efeito de prova no âmbito de procedimentos disciplinares descritos no código do trabalho.
Contudo, alguns dos pontos aqui referidos não são passíveis de aplicação prática; por exemplo, como se pode iniciar um procedimento disciplinar se o empregador não tem direito a saber o resultado do teste do álcool ou sequer que o teste foi realizado?! Então não deveria este apenas ter acesso à ficha de aptidão com a classificação?! Como vai iniciar um processo disciplinar sem saber o porquê do condicionamento?! Como se apresentam provas cujo conteúdo é alvo de sigilo médico?! Deverá o médico do trabalho sugerir iniciar um procedimento disciplinar sem explicar o motivo?! Apenas os trabalhadores com riscos mais importantes é que podem ser alvo destes testes?! Então os administrativos que manuseiam uma máquina como um carro nas viagens diretas casa- local de trabalho, não podem ter um acidente de trabalho relevante?!- para aprofundar um pouco a questão do consumo de substâncias psicoativas poderá consultar outro artigo publicado nesta revista a 14 de abril de 2016. Para além disso, quando o dono de uma empresa prestadora de serviços de saúde ocupacional contratualizar a utilização de um programa informático, não ficará ele com o papel de administrador e com acesso a todos os dados, mesmo que não seja profissional de saúde? Existirá da parte de todos os profissionais a exercer em empresas que têm programas de registo de dados de saúde a honestidade de exigir que o administrador seja um profissional de saúde?
Seria interessante e pertinente que as normas fossem mais coerentes e permitissem uma aplicação direta simples, sem constrangimentos contraditórios e às vezes intransponíveis…
Bibliografia
Regulamento EU 2016/ 679 do Parlamento europeu e do conselho de 27 de abril de 2016 relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados, 1-88.
Deliberação 41/ 2006 aplicável aos tratamentos de dados no âmbito da gestão da informação nos serviços de Segurança e Saúde no Trabalho. Comissão Nacional de Proteção de Dados, 1-8.
Deliberação 890/2010 aplicável aos tratamentos de dados pessoais com a finalidade de medicina preventiva e curativa no âmbito dos consumos de substâncias psicoativas efetuados ao trabalhador. Comissão Nacional de Proteção de Dados, 1-16.
(1)Mónica Santos
Licenciada em Medicina; Especialista em Medicina Geral e Familiar; Mestre em Ciências do Desporto; Especialista em Medicina do Trabalho; Presentemente a exercer nas empresas Medicisforma, Servinecra, Serviço Intermédico, Securilabor, Gliese, CSW e SBE; Diretora Clínica da empresa Quercia; Diretora da Revista Portuguesa de Saúde Ocupacional on line. Endereços para correspondência: Rua Agostinho Fernando Oliveira Guedes, 42, 4420-009 Gondomar. E-mail: s_monica_santos@hotmail.com.
(2)Armando Almeida
Doutorado em Enfermagem; Mestre em Enfermagem Avançada; Especialista em Enfermagem Comunitária; Pós-graduado em Supervisão Clínica e em Sistemas de Informação em Enfermagem; Docente na Escola de Enfermagem (Porto), Instituto da Ciências da Saúde da Universidade Católica Portuguesa; Diretor Adjunto da Revista Portuguesa de Saúde Ocupacional on line. 4420-009 Gondomar. E-mail: aalmeida@porto.ucp.pt.
(3)Tiago Oliveira
Licenciado em Enfermagem pela Universidade Católica Portuguesa. Frequenta o curso de Técnico Superior de Segurança no Trabalho. Atualmente exerce a tempo inteiro como Enfermeiro do Trabalho. No âmbito desportivo desenvolveu competências no exercício de funções de Coordenador Comercial na empresa Academia Fitness Center, assim como de Enfermeiro pelo clube de futebol União Desportiva Valonguense. 4435-718 Baguim do Monte. E-mail: tiago_sc16@hotmail.com.
Santos M, Almeida A, Oliveira, T. Novo Regulamento de Proteção de Dados- o que muda no contexto da Saúde Ocupacional? Revista Portuguesa de Saúde Ocupacional on line. 2018, volume 5, S18-S22. DOI: 10.31252/RPSO.21.05.2018
Artigos Relacionados
