2020/11/17

Orientações da CNPD na medição de temperatura, testes à COVID-19 e rastreios epidemiológicos no novo Estado de Emergência

No âmbito da pronúncia da CNPD, através das suas Orientações sobre o tratamento de dados pessoais previsto Decreto n.º 8/2020, de 8 de novembro, a área de Propriedade Intelectual e Privacidade vem fazer uma análise sobre as mesmas.

Na sequência da entrada em vigor do Decreto n.º 8/2020, de 8 de novembro, a Comissão Nacional de Proteção de Dados (doravante, “CNPD”) veio pronunciar-se através das “Orientações sobre os tratamentos de dados pessoais de saúde regulados no Decreto n.º 8/2020, de 8 de novembro”, com o intuito de definir algumas linhas orientadoras de atuação no âmbito da execução de tal diploma, nomeadamente, em relação às disposições que implicam a realização de tratamento de dados pessoais (artigos 4.º, 5.º e 7.º, do mesmo diploma).

Tais Orientações acabam por ir ao encontro do já anteriormente mencionado na nota informativa “A medição de temperatura e testes à COVID-19” onde se fez uma análise sobre a questão da medição de temperatura e testes à COVID-19 em face da declaração do Novo Estado de Emergência.

Assim, nas orientações em análise, a CNPD vem a emitir as seguintes conclusões:

Quanto à temperatura Corporal:

Considerando que a medição de temperatura é realizada através de meios total ou parcialmente automatizados, uma vez que os meios comummente utilizados são termómetros eletrónicos, a CNPD conclui que esta é uma forma de tratamento de dados pessoais, o que implica que seja aplicável o Regulamento Geral sobre a Proteção de Dados (doravante, “RGPD”) neste contexto – questão que tem vindo a ser controversa, e que muitos achavam ultrapassada pelo facto de não se realizar o registo físico das temperaturas corporais.

A CNPD define esta operação de tratamento de dados como sendo “um tratamento que não é exclusivamente manual, exigindo um processamento informático da informação pessoal.”, determinando que a não realização de registo não só não afasta a aplicabilidade do RGPD, como também não afasta o facto de estarmos perante um tratamento de dados relativos a saúde.

Por sua vez, o tratamento de categorias especiais de dados (onde se enquadra o tratamento de dados relativos a saúde) encontra-se estatuído no artigo 9º do RGPD, e no caso concreto para efeitos da realização de tal medição, serve de fundamento de licitude o estipulado na alínea i) do n.º 2, do mesmo artigo, nos termos do qual “se o tratamento for necessário por motivos de interesse público no domínio da saúde pública, com base no direito da União ou dos Estados Membros que preveja medidas adequadas e específicas que salvaguardem os direitos e liberdades do titular dos dados, em particular o sigilo profissional” o mesmo poderá ser realizado.

Nesta senda, é importante perceber quais os critérios que se encontram definidos no artigo 4.º do Decreto n.º 8/2020 de molde a tornar lícita a medição de temperatura corporal:

  1. Não se realizarem registos, a menos que o titular dos dados pessoais o permita expressamente;
  2. Poder ser realizada por trabalhador que esteja ao serviço da entidade responsável pelo local ou estabelecimento;
  3. A temperatura de referência deve ser a de 38ºC;
  4. O meio a utilizar deverá ser, preferencialmente, um termómetro digital; e,
  5. Caso a pessoa se recuse a medir a temperatura, ou caso acuse 38ºC ou mais, poderá ser inibida de aceder ao local (no caso de um trabalhador, desta inibição resultará a falta justificada deste).

Entende a CNPD que pelo facto de a medição de temperatura poder ser realizada por trabalhador ao serviço da entidade responsável (que não profissional de saúde), é necessário que o processo de medição de temperatura esteja dotado de garantias de salvaguarda dos direitos dos titulares dos dados, nomeadamente, do dever de sigilo sobre os dados de saúde obtidos. Esta obrigação não necessitaria de ser imposta aos profissionais de saúde, uma vez que já é inerente às suas funções.

Por forma a colmatar esta falha legislativa, a CNPD determina que o artigo 4.º deve ser interpretado de acordo com o RGPD [nomeadamente, com a alínea i) do n.º 2 do artigo 9.º do RGPD], concluindo pela necessidade de vinculação do trabalhador que esteja incumbido de realizar a medição de temperatura a um dever de confidencialidade. Como medida adicional de salvaguarda dos direitos dos titulares dos dados, a entidade que proceda à realização da medição de temperatura corporal deverá definir quais os procedimentos aplicáveis após a deteção de uma medição de temperatura igual ou superior a 38ºC, por forma a assegurar a discrição e dignidade do titular dos dados objeto do tratamento.

Quanto à realização de testes da COVID-19:

O Decreto n.º 8/2020 vem permitir a imposição da realização de testes de diagnóstico de SARS-CoV-2 aos casos previstos no seu artigo 5.º, nomeadamente:

  1. «Os trabalhadores, utentes e visitantes de estabelecimentos de prestação de cuidados de saúde;
  2. Os trabalhadores, estudantes e visitantes dos estabelecimentos de educação e ensino e das instituições de ensino superior;
  3. Os trabalhadores, utentes e visitantes de estruturas residenciais para idosos, unidades de cuidados continuados integrados da Rede Nacional de Cuidados Continuados Integrados e de outras respostas dedicadas a pessoas idosas, bem como a crianças, jovens e pessoas com deficiência;
  4. No âmbito dos serviços prisionais e dos centros educativos:
  1. Os reclusos nos estabelecimentos prisionais e os jovens internados em centros educativos;
  2. As pessoas que pretendam visitar as referidas na alínea anterior;
  3. Os trabalhadores do Corpo da Guarda Prisional e os demais trabalhadores da Direção-Geral de Reinserção e Serviços Prisionais (DGRSP), no exercício das suas funções e por causa delas, para efeitos de acesso e permanência no local de trabalho;
  4. Os trabalhadores do Corpo da Guarda Prisional, sempre que, no exercício das funções e por causa delas, acedam ou permaneçam a outros locais a propósito do transporte e guarda de reclusos, designadamente unidades de saúde e tribunais;
  5. Os demais utentes dos serviços da DGRSP, sempre que pretendam entrar e permanecer nas respetivas instalações;
  6. e) Quem pretenda entrar ou sair do território nacional continental ou das Regiões Autónomas por via aérea ou marítima;
  7. f) Quem pretenda aceder a locais determinados para este efeito pela Direção-Geral de Saúde (DGS).»

Todavia, o mencionado artigo é omisso quanto à questão de se saber quais as circunstâncias que, em concreto, deverão ser consideradas para que seja aplicável tal imposição da realização dos testes, dando azo a uma grande amplitude de oportunidades nas quais os mesmos poderão ser impostos. De igual modo, o artigo 5.º, peca também por não determinar quem poderá proceder à recolha da amostra para realização do teste e quem irá analisar os resultados do mesmo.

Relativamente a esta última questão, conclui a CNPD que, implicando a realização dos testes um tratamento de categorias especiais de dados (dados relacionados com a saúde), o artigo em causa deverá ser interpretado de acordo com o RGPD [mais concretamente, com a al. i) do n.º 2, do artigo 9.º], sendo assim exigível que a realização dos testes de diagnóstico de SARS-CoV-2 seja feita mediante a intervenção de profissionais de saúde, salvaguardando-se a obrigação de sigilo profissional. A par disto, será também necessário que as entidades que recorram à imposição da realização dos testes determinem qual o procedimento a adotar mediante a hipótese de verificação de um resultado positivo, de modo a que sejam salvaguardadas as garantias de confidencialidade, discrição e dignidade do tratamento do titular dos dados visado.

Quanto aos rastreios epidemiológicos:

A CNPD alerta para o facto de estes relatórios, que contêm informações relativas à vida privada de pessoas singulares, poderem ser realizados não apenas por profissionais de saúde, mas também por “por quem não é profissional de saúde nem se encontra sujeito a uma obrigação de sigilo profissional na área da saúde” – semelhante ao que sucede com a previsão relativa à medição da temperatura corporal. A CNPD adverte, nesta sequência, para as informações de caráter sensível a que estas pessoas irão ter acesso, reiterando a “sensibilidade dos dados pessoais assim tratados e o impacto deste tratamento, em especial num contexto que é suscetível de gerar efeitos discriminatórios e estigmatizantes.”.

Neste sentido, e em estrita interpretação com o Direito da União [cfr. alínea i) do n.º 9 do artigo 9.º do RGPD], a CNPD vem recomendar que os trabalhadores mobilizados para o tratamento destes rastreios epidemiológicos, que venham a ter acesso a dados relativos a saúde neles contidos ou a outros dados pessoais, sejam formalmente sujeitos e expressamente vinculados a um específico dever de confidencialidade, no exercício destas funções, através do ato que determina a sua mobilização ou através de uma declaração jurídica autónoma.

Atento todo o exposto, uma vez que os artigo 4.º, 5.º e 7.º, do já mencionado Decreto, não mencionam as medidas necessárias, adequadas e específicas para a defesa dos direitos e interesses das pessoas singulares, devem os mesmos ser interpretados de acordo com artigo 9.º, número 2, alínea i) do RGPD. Assim, os Responsáveis pelo tratamento devem implementar as medidas anteriormente referidas em cada um dos pontos, por forma a evitar um juízo de desproporcionalidade e de violação com os princípios estruturantes do RGPD, bem deverão ter em atenção que as medidas atrás mencionadas são excecionais, vigorando, apenas, durante o presente estado de emergência.

Gonçalo Gil Barreiros | Associado Sénior | goncalo.barreiros@pra.pt

Augusto Almeida Correia | Associado Sénior | augusto.correia@pra.pt

Rita Ferreira Ramos | Associada | rita.ramos@pra.pt

Catarina Silva Caetano | Advogada Estagiária | catarina.caetano@pra.pt