Geolocalização de trabalhadores: a regra que multou a Amadeus

Imagina a cena. Uma carrinha de assistência técnica sai do armazém às sete da manhã, faz seis intervenções espalhadas pelo distrito e regressa ao final do dia. Dentro dela, um aparelho de geolocalização que ninguém explicou bem ao motorista regista cada metro, cada paragem, cada desvio para almoçar. No papel parece gestão de frota. Na prática, é alguém a saber onde o trabalhador esteve ao minuto, inclusive depois de carimbar a saída. E quando esse alguém abre a folha de presenças e a cruza com o mapa, deixou de gerir uma carrinha e passou a vigiar uma pessoa. É aqui que a lei portuguesa começa a franzir o sobrolho.

A Comissão Nacional de Proteção de Dados nunca foi ambígua sobre isto. A Deliberação 7680/2014 admite a geolocalização para gestão de frota em serviço externo, na assistência técnica, na distribuição de mercadorias, no transporte, na segurança privada. Admite, mas com uma coleira curta. O Código do Trabalho, no artigo 20.º, proíbe o empregador de usar meios de vigilância à distância no local de trabalho para controlar o desempenho profissional do trabalhador, e quem ignora essa regra comete uma contraordenação muito grave. A exceção existe, sim, para proteção de pessoas e bens ou quando a própria natureza da atividade o exige. O que não existe é uma autorização em branco para seguir uma pessoa o dia inteiro porque o equipamento, coitado, já estava lá montado.

E em 2026 o cerco apertou. Não porque tenha nascido uma lei nova e brilhante, mas porque o princípio de sempre passou a ser aplicado com mão pesada. Chama-se finalidade. Recolhes dados de localização para uma finalidade concreta e delimitada, e ponto final. Não os guardas porque um dia podem dar jeito. Não os reaproveitas para uma coisa diferente daquela que justificou a recolha. A localização ao serviço serve para coordenar o serviço, não para reconstruir a vida de quem conduz a carrinha. Quando começas a esticar a finalidade, é quando começas a tropeçar.

Quatro palavras que decidem tudo

Quando lês as orientações da CNPD com atenção, percebes que toda a doutrina assenta em quatro pilares que se repetem como um refrão. Finalidade delimitada, para que saibas exatamente porque recolhes. Minimização, para que recolhas o mínimo indispensável e nem um dado a mais. Transparência, porque o trabalhador tem de saber o que está a ser tratado, como e para quê, antes e não depois. E base legal verdadeira, que é o pilar que mais gente parte sem dar por isso. Muita empresa acha que basta pedir o consentimento ao trabalhador e está safa. Não está. Numa relação onde uma parte assina o ordenado da outra, o consentimento dificilmente é livre, logo dificilmente é uma base sólida. Precisas de um fundamento real, proporcional e necessário, não de uma assinatura arrancada com a ameaça implícita de quem manda.

Há ainda um quinto elemento que a doutrina chama identificação indireta, e este apanha quase toda a gente de surpresa. Tu podes jurar que não estás a tratar dados pessoais porque guardaste apenas a matrícula da viatura, ou a hora, ou o trajeto. Só que se com esses pedaços alguém consegue chegar à pessoa que ia ao volante, então estás a tratar dados pessoais dessa pessoa, com matrícula ou sem ela. O nome não precisa de aparecer em lado nenhum para que a privacidade de alguém esteja em jogo. Esta é a parte que separa quem cumpre de quem acha que cumpre.

A mesma régua mede o gigante e a carrinha

Se achas que estas regras só assustam a pequena empresa de assistência técnica, olha para o que aconteceu do outro lado da fronteira. A autoridade espanhola de proteção de dados, a AEPD, fechou um processo contra a Amadeus IT Group com uma coima de catorze milhões e quatrocentos mil euros, depois de uma base de partida de dezoito milhões reduzida pelo pagamento voluntário. O motivo? A gigante das reservas de viagens reaproveitou dados de passageiros de 2019 num projeto-piloto de perfilagem montado em 2021 e 2022, sem uma base legal que o sustentasse, ao abrigo do artigo 6.º do RGPD, e sem informar as pessoas da nova finalidade, como exige o artigo 14.º. Repara que não é geolocalização, mas é exatamente o mesmo pecado original. Recolheu para uma finalidade, usou para outra, e esqueceu-se de avisar. Muda a escala, não muda a substância. A régua que mede a multinacional é a mesma que mede a tua carrinha; só que à multinacional custou-lhe um número com sete zeros.

É a pensar exatamente nesta régua que a GeoTapp foi desenhada do avesso. A aplicação captura a posição apenas em dois instantes, quando o trabalhador inicia e quando termina. Um toque para começar, um toque para terminar. Entre esses dois toques não há rasto, não há seguimento contínuo, não há um ponto azul a deslizar pelo mapa enquanto a pessoa almoça. A ferramenta foi construída para recusar a vigilância permanente, não para a tornar mais cómoda. A finalidade é delimitada porque a recolha confirma onde o serviço começou e onde acabou, nada mais. A minimização está no próprio funcionamento, porque não se guardam coordenadas a engordar uma base de dados que um dia ninguém saberá explicar. E a transparência vem de série, porque o trabalhador sabe e vê quando aquilo está a registar. O design faz o trabalho que, noutras soluções, fica entregue à boa vontade de quem configura.

No fundo, a pergunta que tens de te fazer não é se podes geolocalizar a tua equipa. Podes, dentro das regras. A pergunta é se a forma como o fazes hoje resistiria a alguém da CNPD a folhear os teus registos com calma. Resistiria?