A Autoridade de Proteção de Dados da Áustria (Datenschutzbehörde, DSB) multou um restaurante em €20.000 por fazer uso ilegal de câmeras que gravavam seus funcionários no trabalho e por falhar em manter um registro de suas atividades de processamento conforme exigido pelo Artigo 30 do GDPR. A decisão, emitida em 26 de setembro de 2022, foi baseada na reclamação de dois ex-funcionários que notaram as gravações e a possibilidade de acesso pelo empregador a qualquer momento.
Inicialmente, o controlador justificou o uso das câmeras como uma medida para proteger sua propriedade e os trabalhadores, baseando o processamento no consentimento dos funcionários, conforme o Artigo 6(1)(a) do GDPR, e afirmou que as gravações seriam salvas por um período de 14 dias antes de serem automaticamente excluídas. No entanto, a DSB concluiu que a instalação das câmeras, que gravavam áreas internas do restaurante, como a cozinha e o bar, violava o direito à privacidade dos funcionários. Além disso, o controlador não conseguiu manter um registro de suas atividades de processamento, violando o Artigo 30 do GDPR.
Durante os procedimentos de sanção, o controlador tentou alterar a base legal do processamento do Artigo 6(1)(a) para o Artigo 6(1)(f) do GDPR. Contudo, a DSB considerou essa mudança ilegal, referenciando a jurisprudência austríaca e as diretrizes do Comitê Europeu de Proteção de Dados (EDPB), indicando que a alteração da base legal de consentimento para interesse legítimo, por não poder se basear no primeiro, é considerada ilegal. A DSB concluiu que o processamento era ilegal por não se basear em uma base legal válida sob o Artigo 6 do GDPR e considerou o período de armazenamento das gravações excessivamente longo, violando os Artigos 5(1)(c) e (e) do GDPR.
Levando em conta o volume de negócios estimado do controlador e os critérios estabelecidos no Artigo 83 do GDPR e nas diretrizes 04/2022 do EDPB, a DSB considerou a violação de alto nível de gravidade e decidiu impor a multa de €20.000 ao controlador, reafirmando o compromisso com a proteção da privacidade dos trabalhadores e a conformidade com as obrigações do GDPR.
Apesar de ocorrido na Áustria, diante da similaridade das legislações de proteção de dados, o caso deve servir de insipiração para o Brasil. A proteção de dados nas questões de monitoramento por câmeras são comumente negligenciadas pelas empresas, atraindo o risco de sanções ou processos judiciais diante das eventuais ilicitudes destes tratamentos. É necessário realizar o registro de operação de tratamento de dados pessoais para estas atividades, indicando a hipótese de tratamento adequada, as medidas de informação para os atingidos, a possibilidade do exercício dos direitos dos titulares, entre outras medidas.
Com informações GDPR Hub.
