Artigo 28.º - Relações laborais - Situações específicas de tratamento de dados pessoais - Lei n.º 58/2019 - RGPD

O Artigo 28.º da Lei n.º 58/2019 trata das relações laborais e situações específicas relacionadas ao tratamento de dados pessoais. Essa lei visa assegurar a execução, na ordem jurídica nacional, do Regulamento (UE) 2016/679, também conhecido como Regulamento Geral de Proteção de Dados (RGPD).

De acordo com o artigo, a lei se aplica aos tratamentos de dados pessoais realizados no território nacional, independentemente da natureza pública ou privada do responsável pelo tratamento ou do subcontratante, mesmo que o tratamento de dados pessoais seja efetuado em cumprimento de obrigações legais ou no âmbito da prossecução de missões de interesse público. Além disso, a lei também se estende aos tratamentos de dados pessoais realizados fora do território nacional quando:

1. Sejam efetuados no âmbito da atividade de um estabelecimento situado no território nacional.
2. Afetem titulares de dados que se encontrem no território nacional, quando as atividades de tratamento estejam subordinadas ao disposto no n.º 2 do artigo 3.º do RGPD.
3. Afetem dados que estejam inscritos nos postos consulares de que sejam titulares portugueses residentes no estrangeiro.

Vale ressaltar que a lei não se aplica aos ficheiros de dados pessoais do Sistema de Informações da República Portuguesa, que possui regras específicas. A Comissão Nacional de Proteção de Dados (CNPD) é a autoridade de controlo nacional para efeitos do RGPD e desta lei.

CAPÍTULO VI - Situações específicas de tratamento de dados pessoais

1. O empregador pode tratar os dados pessoais dos seus trabalhadores para as finalidades e com os limites definidos no Código do Trabalho e respetiva legislação complementar ou noutros regimes setoriais, com as especificidades estabelecidas no presente artigo.
2. O número anterior abrange igualmente o tratamento efetuado por subcontratante ou contabilista certificado em nome do empregador, para fins de gestão das relações laborais, desde que realizado ao abrigo de um contrato de prestação de serviços e sujeito a iguais garantias de sigilo.
3. Salvo norma legal em contrário, o consentimento do trabalhador não constitui requisito de legitimidade do tratamento dos seus dados pessoais:
   1. Se do tratamento resultar uma vantagem jurídica ou económica para o trabalhador; ou
   2. Se esse tratamento estiver abrangido pelo disposto na alínea b) do n.º 1 do artigo 6.º do RGPD.
4. As imagens gravadas e outros dados pessoais registados através da utilização de sistemas de vídeo ou outros meios tecnológicos de vigilância à distância, nos termos previstos no artigo 20.º do Código do Trabalho, só podem ser utilizados no âmbito do processo penal.
5. Nos casos previstos no número anterior, as imagens gravadas e outros dados pessoais podem também ser utilizados para efeitos de apuramento de responsabilidade disciplinar, na medida em que o sejam no âmbito do processo penal.
6. O tratamento de dados biométricos dos trabalhadores só é considerado legítimo para controlo de assiduidade e para controlo de acessos às instalações do empregador, devendo assegurar-se que apenas se utilizem representações dos dados biométricos e que o respetivo processo de recolha não permita a reversibilidade dos referidos dados.