Indagações sobre a responsabilidade pelos riscos de utilização de plataformas de teletrabalho

No contexto da situação de pandemia da Covid-19, o teletrabalho, tanto no setor público como no privado, generalizou-se.

A prestação laboral passou a ser prestada pelo trabalhador fora da empresa e através do recurso a tecnologias de informação e de comunicação.

Neste circunstancialismo, as plataformas de videocomunicação (“streaming”) como o Webex, o Zoom ou o Teams, têm sido amplamente utilizadas para a realização da atividade profissional.

Reconhece-se que estas ferramentas de comunicação têm desempenhado um papel essencial no âmbito da situação excecional que vivemos, sendo certo, ainda, que a sua utilização é perfeitamente lícita, designadamente para fins profissionais.

Sucede que instituições internacionais e nacionais têm vindo a alertar para os problemas de segurança e privacidade nos serviços prestados por estas plataformas, em concreto o facto de a sua utilização comportar riscos de violação do direito à proteção de dados pessoais.

Atento o aumento exponencial do tráfego destas ferramentas de videoconferência — o que, por inerência, faz despertar o interesse de hackers — e sendo recolhidos, tratados e até gerados pelas plataformas de streaming uma grande quantidade de dados pessoais dos utilizadores, vêm sendo denunciados riscos de violação de dados pessoais como, entre outros, os riscos de utilização indevida, de desvio, de perda de confidencialidade e mesmo de controlo do desempenho do trabalhador à distância.

A este propósito e ocorrendo efetivamente uma violação de dados dos trabalhadores na utilização destas plataformas, – a qual, em tese, pode resultar de ato (ou omissão) da entidade gestora da plataforma ou de terceiro (“hacker”) -, o principal problema que se coloca é o de determinar quem é o responsável pelos danos sofridos pelos trabalhadores.

Por um lado, pode ser imputada responsabilidade civil à entidade gestora da plataforma, enquanto responsável pelo tratamento dos dados dos trabalhadores necessários para a utilização da plataforma, nos termos do artigo 82.º, do Regulamento Geral de Proteção de Dados (RGPD), e do art. 33.º, da Lei nº58/2019, de 8 de agosto (LPD).

Por outro lado, se o ato de violação de dados tratados pela plataforma tiver sido praticado por um terceiro/hacker, este pode ser responsabilizado civilmente, nos termos gerais de direito civil, em conformidade com o disposto no art. 483.º, do Código Civil, mas não nos termos do RGPD ou da LPD, porque não é responsável pelo tratamento nem subcontratante da plataforma para o tratamento dos dados.

Não obstante, mesmo sendo o terceiro/hacker o autor material do ato de violação de dados, a entidade gestora da plataforma pode responder solidariamente, juntamente com o terceiro/hacker, pelos danos sofridos pelo utilizador, uma vez que o ato lesivo ocorreu no âmbito do tratamento de dados efetuado pela plataforma.

Finalmente, coloca-se a questão de saber se a entidade empregadora que ordenou que os trabalhadores utilizassem a plataforma de teletrabalho deve responder pelos danos decorrentes de uma violação de dados ocorrida no quadro dessa utilização.

Se a plataforma é própria do empregador, ou seja, se a mesma foi criada especialmente para os seus trabalhadores prestarem trabalho à distância, ele é o responsável pelo tratamento dos dados dos trabalhadores necessários ao uso da plataforma, pelo que, se houver violação no tratamento, responde nos termos do disposto no art. 82.º do RGPD e no art. 33.º, da LPD.

Se o empregador se limitou a celebrar um contrato com a entidade gestora de uma plataforma de streaming para que os seus trabalhadores usassem os seus serviços na prestação do teletrabalho, é a entidade gestora quem define os meios e as finalidades do tratamento dos dados, devendo, por isso, concluir-se que esta entidade é a responsável pelo tratamento dos dados dos trabalhadores.

Nesta hipótese, cumpre indagar se, ainda assim, o empregador pode ser responsabilizado.

Desde logo, parece-nos que não pode haver responsabilidade do empregador ao abrigo do RGPD/LPD, porquanto não é o responsável pelo tratamento nem subcontratante da plataforma.

Depois, não pode haver responsabilidade do empregador baseada no contrato celebrado com a plataforma, pois só esta é que assume obrigações perante os utilizadores.

Salientamos, contudo, que alguma Doutrina começou já a configurar a possibilidade de uma responsabilidade contratual do empregador por violação do contrato de trabalho, baseada no art. 800.º do Código Civil, se ocorrer uma violação de dados no tratamento efetuado pela plataforma, porquanto esta seria um auxiliar que o empregador usaria no cumprimento das suas obrigações decorrentes do contrato de trabalho, designadamente os deveres acessórios. Com base em tal dispositivo legal, o empregador poderia responder pelos danos causados pelo auxiliar (a plataforma) utilizado para o cumprimento das suas obrigações, como se o ato de violação de dados tivesse sido por si praticado.