Geolocalização no registo de ponto (fichaje): o que diz a AE

O controlo de horário é uma obrigação ineludível para qualquer PME com funcionários em Espanha. Desde a entrada em vigor do Real Decreto-ley 8/2019, registar a jornada de cada trabalhador é um requisito legal que não admite exceções. Neste contexto, a tecnologia oferece ferramentas avançadas, e uma das mais atrativas e, ao mesmo tempo, controversas, é a geolocalização. A possibilidade de saber se um funcionário regista o ponto (fichar) dentro do seu centro de trabalho designado através de um "geofence" (uma cerca virtual no mapa) pode parecer uma solução ideal para garantir a veracidade do registo. No entanto, o que diz exatamente a AEPD (Spanish Data Protection Agency / Agência Espanhola de Proteção de Dados) a este respeito? É legal geolocalizar os seus trabalhadores? A resposta, como quase sempre no âmbito legal, não é um simples sim ou não, mas enquadra-se num delicado equilíbrio entre o interesse legítimo da empresa e os direitos fundamentais do trabalhador.

O que é a geolocalização no controlo de horário e por que lhe interessa?

A geolocalização, aplicada ao controlo de horário, permite determinar a localização de um dispositivo (normalmente um smartphone ou tablet) no momento exato em que se realiza um registo de ponto. Na prática, isto traduz-se em sistemas que registam não só a hora de entrada e saída, mas também o local de onde foi efetuado o registo. Uma das suas aplicações mais comuns é o denominado "geofencing" ou "geocercado" (geofencing).

O geofencing consiste em definir uma área geográfica virtual em torno de um ponto específico, como o seu escritório, a sua loja ou o seu restaurante. Quando um funcionário tenta registar o ponto através da aplicação de controlo de horário, o sistema verifica se o seu dispositivo se encontra dentro desse perímetro virtual. Se estiver dentro, o registo de ponto é considerado válido e é registado normalmente. Se estiver fora, o sistema pode, dependendo da sua configuração, bloquear o registo de ponto, marcá-lo como "suspeito" ou simplesmente registar a localização real.

Para si, como proprietário ou gestor de uma PME, esta funcionalidade pode parecer uma garantia de que o registo de ponto é realizado no local correto, especialmente se tiver funcionários que trabalham em diferentes localizações ou se quiser assegurar a presença física no centro de trabalho. Pode ajudá-lo a prevenir fraudes, otimizar a gestão de equipas e ter uma visão mais precisa do cumprimento da jornada laboral. No entanto, a implementação desta tecnologia deve ser feita com uma compreensão profunda da legislação de proteção de dados e laboral, para evitar incorrer em infrações graves.

O quadro normativo espanhol: um equilíbrio delicado

O uso de sistemas de geolocalização no âmbito laboral em Espanha está sujeito a uma dupla camada de regulamentação: a laboral e a de proteção de dados. Ambas devem ser escrupulosamente respeitadas.

Por um lado, a legislação laboral, principalmente o art. 34.9 do Estatuto de los Trabajadores (Spanish Workers' Statute / Estatuto dos Trabalhadores), estabelece a obrigação da empresa de garantir o registo diário da jornada de cada trabalhador, que deverá incluir o horário concreto de início e fim da jornada. Este registo deve ser fiável e acessível. A geolocalização pode ser uma ferramenta para isso, mas não a qualquer preço.

Por outro lado, e aqui reside a maior complexidade, temos a legislação de proteção de dados: o Regulamento Geral de Proteção de Dados (RGPD) (Regulamento (UE) 2016/679) e a Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD). Estas normativas protegem a privacidade do trabalhador e exigem que qualquer tratamento de dados pessoais, como a localização, cumpra com princípios fundamentais como a licitude, a lealdade, a transparência, a limitação da finalidade, a minimização de dados e a proporcionalidade.

A AEPD emitiu critérios claros a este respeito, sendo o mais relevante a Guia «A proteção de dados nas relações laborais» da AEPD (publicada em maio de 2021 e atualizada posteriormente), que dedica um capítulo específico à geolocalização. Este documento é o seu roteiro para entender como aplicar a geolocalização sem violar os direitos dos seus funcionários e sem se expor a sanções.

A AEPD e o princípio da proporcionalidade: a chave para o uso de geofencing

O princípio da proporcionalidade é o eixo central sobre o qual gira toda a doutrina da AEPD quanto à geolocalização no trabalho. Para que o uso da geolocalização seja lícito, deve ser uma medida:

Idónea: Capaz de conseguir o objetivo proposto (por exemplo, verificar o cumprimento do horário ou a presença no posto).
Necessária: Não existe outra medida menos intrusiva que consiga o mesmo objetivo com a mesma eficácia.
Proporcionada em sentido estrito: Os benefícios para a empresa superam o sacrifício dos direitos dos trabalhadores.

Aqui é onde a AEPD faz uma distinção crucial entre diferentes tipos de postos de trabalho. Não é o mesmo um empregado de mesa que um comercial.

Postos de trabalho fixos: Quando é justificável?

Para aqueles postos de trabalho que se desenvolvem de forma exclusiva ou predominante num centro de trabalho fixo e determinado, sem que exista uma mobilidade inerente às suas funções, a AEPD é muito estrita. Pense num empregado de mesa, um caixa de loja, um administrativo de escritório ou um operário de fábrica.

Nestes casos, a geolocalização pura (ou seja, o registo constante das coordenadas GPS do funcionário) é considerada, em geral, desproporcionada. Porquê? Porque existem meios menos intrusivos para verificar a presença no posto e o cumprimento horário, como os sistemas de registo de ponto biométricos, cartões de proximidade ou aplicações com registo manual em terminais fixos.

No entanto, a AEPD abre a porta ao uso de um geofence nestes contextos, mas com uma interpretação muito particular e restritiva. Não se trata de gravar as coordenadas do trabalhador, mas de registar um simples "flag" ou "bandeira" que indique se o registo de ponto foi realizado DENTRO ou FORA do perímetro estabelecido para o centro de trabalho. E mesmo assim, esta medida só se justifica se existir uma necessidade real e concreta por parte da empresa para verificar a presença no local de trabalho e não houver alternativas menos intrusivas igualmente eficazes. Por exemplo, num local com várias entradas ou se o registo de ponto for realizado a partir de um dispositivo móvel pessoal.

A chave está na minimização de dados: não se guardam coordenadas geográficas, apenas a validação de se a localização do registo de ponto está dentro ou fora da área definida. Este é o enfoque que Sincrio Fichaje recomenda e facilita com o seu modo "soft" de geofence.

Postos de trabalho móveis: Quando NÃO é justificável?

Para os postos de trabalho que, pela sua própria natureza, implicam uma mobilidade constante e fora de um centro de trabalho fixo, a situação é diferente. Referimo-nos a comerciais, técnicos de campo, estafetas, transportadores, pessoal de manutenção que se desloca entre diferentes clientes, etc.

Paradoxalmente, embora a lógica pudesse levá-lo a pensar que aqui a geolocalização é mais necessária, a AEPD é ainda mais cautelosa. A Guia AEPD 2021 estabelece que o uso de sistemas de geolocalização CONTÍNUA para controlar a produtividade ou o itinerário destes trabalhadores é, na maioria dos casos, desproporcionado e não lícito se a finalidade for o mero controlo de horário ou da atividade laboral. A razão é que a geolocalização nestes casos é percebida como uma ingerência excessiva na intimidade e na liberdade de movimentos do trabalhador.

A AEPD admite a geolocalização para estes postos apenas em casos muito específicos e com finalidades muito concretas, diferentes do controlo de horário ou da atividade geral, como pode ser:

Segurança e saúde laboral: Para localizar um trabalhador em caso de acidente ou emergência.
Controlo do uso de meios da empresa: Para verificar o uso adequado de veículos ou ferramentas da empresa, mas apenas durante a jornada laboral e com fins muito específicos.
Otimização de rotas: Para melhorar a eficiência da empresa, sempre que não implique um seguimento constante do trabalhador e se minimizem os dados.

Em qualquer caso, a geolocalização para estes fins deve ser sempre necessária, idónea e proporcionada, e sempre com os dados mínimos indispensáveis. Para o controlo de horário destes funcionários, costumam-se preferir outras soluções como o registo de ponto por tarefas, o registo de ponto no cliente ou o registo manual da jornada.

Interesse legítimo e minimização de dados: os pilares do RGPD

A base legal para o tratamento de dados de geolocalização no âmbito laboral costuma ser o interesse legítimo da empresa (Art. 6.1.f RGPD). Para isso, deve realizar uma ponderação de interesses, demonstrando que o seu interesse no controlo de horário ou na segurança supera o impacto na privacidade do trabalhador. E, fundamentalmente, este interesse legítimo deve ir de mãos dadas com o princípio de minimização de dados (Art. 5.1.c RGPD).

A minimização de dados implica que só deve recolher e armazenar os dados estritamente necessários para a finalidade perseguida. No contexto do geofencing para controlo de horário, isto significa:

Não guardar coordenadas geográficas: O sistema de Sincrio, por exemplo, não armazena a latitude e longitude exata do registo de ponto. Simplesmente regista um "SIM" ou "NÃO" à pergunta "O registo de ponto está dentro do perímetro estabelecido?".
Não realizar um seguimento contínuo: A geolocalização só é ativada no momento do registo de ponto, não durante toda a jornada.
Limitar o acesso à informação: Só o pessoal autorizado (gestores, RH) deve ter acesso a estes "flags" de localização e só quando for estritamente necessário para rever incidências.

Este enfoque de "geofence soft" é o que melhor se alinha com a doutrina da AEPD e permite-lhe aproveitar os benefícios do geofencing sem cruzar as linhas vermelhas da privacidade.

Requisitos para implementar a geolocalização de forma legal e segura

Se decidir implementar um sistema de controlo de horário com geofencing, como o que oferece Sincrio Fichaje, deve cumprir com uma série de requisitos ineludíveis para garantir a sua legalidade e proteger a sua PME de possíveis sanções.

Informação clara e contratual ao funcionário

Este é um ponto NÃO negociável. O artigo 5 do RGPD estabelece o princípio da transparência. Deve informar os seus funcionários de forma clara, prévia e explícita sobre o uso da geolocalização. Esta informação deve incluir:

Que dados serão recolhidos: (Ex. um flag de dentro/fora do geofence, não coordenadas exatas).
Com que finalidade: (Ex. verificar a presença no centro de trabalho para o controlo de horário).
Base legal do tratamento: (Ex. interesse legítimo do empregador).
Quem terá acesso a esses dados.
Durante quanto tempo os dados serão conservados.
Os direitos do trabalhador: acesso, retificação, supressão, limitação do tratamento, oposição e portabilidade.

Esta informação deve constar numa cláusula específica no contrato de trabalho ou num anexo ao mesmo, assim como na política de privacidade da empresa. Não basta um aviso geral. O trabalhador deve entender perfeitamente o que implica o sistema de geofencing. A AEPD é muito estrita com a falta de informação ou a informação ambígua.

Avaliação de Impacto na Proteção de Dados (EIPD)

O uso de tecnologias que implicam um tratamento de dados pessoais de alto risco, como a geolocalização, requer a realização de uma Avaliação de Impacto na Proteção de Dados (AIPD), tal como estabelece o artigo 35 do RGPD. Uma AIPD é uma análise exaustiva para identificar, avaliar e mitigar os riscos para os direitos e liberdades dos interessados (os seus funcionários) que o tratamento de dados acarreta.

Esta avaliação deve incluir:

Uma descrição sistemática das operações de tratamento e suas finalidades.
Uma avaliação da necessidade e proporcionalidade das operações de tratamento.
Uma avaliação dos riscos para os direitos e liberdades dos interessados.
As medidas previstas para abordar os riscos, incluindo garantias, medidas de segurança e mecanismos para garantir a proteção de dados pessoais.

Realizar uma AIPD não é um mero trâmite; é uma ferramenta essencial para assegurar que o seu sistema de geofencing cumpre com a legislação e para poder demonstrar a sua diligência perante a AEPD ou a Inspeção do Trabalho.

Minimização de dados: o 'geofence soft' de Sincrio

Como mencionamos, o princípio de minimização de dados é crítico. Sincrio Fichaje desenhou a sua funcionalidade de geofencing precisamente com este princípio em mente. O nosso sistema não regista nem armazena as coordenadas GPS exatas dos seus funcionários. Em vez disso, quando um trabalhador regista o ponto através da app móvel:

O sistema deteta a sua localização nesse instante.
Compara essa localização com o perímetro geofence que você definiu para o seu centro de trabalho.
Regista um simples "SIM" (dentro do perímetro) ou "NÃO" (fora do perímetro) junto ao registo de ponto.
Não guarda as coordenadas geográficas.

Este enfoque "soft" permite ao gestor ou proprietário da PME rever os registos de ponto marcados com um "NÃO" (fora do perímetro) como potenciais incidências, sem ter acesso à localização precisa do funcionário. A revisão destes casos "suspeitos" é realizada de forma manual pelo manager, que poderá requerer ao funcionário uma justificação se for necessário. Isto garante um controlo efetivo sem uma intromissão desproporcionada na privacidade.

Medidas de segurança técnicas e organizativas

Além do anterior, deve implementar medidas de segurança robustas para proteger os dados dos seus funcionários, tal como exige o artigo 32 do RGPD. Isto inclui:

Criptografia de dados.
Controlo de acesso para assegurar que só o pessoal autorizado possa ver a informação de registos de ponto e geofencing.
Cópias de segurança regulares.
Auditorias de segurança.
Formação do pessoal que gere estes dados.

Estas medidas são fundamentais para prevenir acessos não autorizados, perdas de dados ou qualquer outra falha de segurança que possa comprometer a privacidade dos seus funcionários.

Consequências de um uso indevido: as sanções da AEPD e a Inspeção do Trabalho

Ignorar a legislação em matéria de geolocalização ou proteção de dados pode acarretar graves consequências para a sua PME, tanto por parte da AEPD como da Inspeção do Trabalho.

Infrações em matéria de proteção de dados (RGPD/LOPDGDD)

A AEPD é o organismo encarregado de zelar pelo cumprimento do RGPD e da LOPDGDD. As sanções por incumprimento destas normativas são muito elevadas e classificam-se em:

Infrações leves (art. 74 LOPDGDD): defeitos formais menores. São graduadas segundo os critérios do art. 76 LOPDGDD.
Infrações graves (art. 73 LOPDGDD): por exemplo, não informar adequadamente o interessado ou realizar tratamentos sem base legal. Multas de até 10 milhões de euros ou 2 % do volume de negócios anual global, o valor que for maior (art. 83.4 RGPD).
Infrações muito graves (art. 72 LOPDGDD): por exemplo, tratar dados sem base lícita quando se requer consentimento expresso, ou não realizar uma AIPD obrigatória. Multas de até 20 milhões de euros ou 4 % do volume de negócios anual global, o valor que for maior (art. 83.5 RGPD).

O uso desproporcionado da geolocalização, a falta de informação aos funcionários ou a ausência de uma base legal adequada podem ser consideradas infrações graves ou muito graves, com o consequente impacto económico e reputacional para a sua empresa.

Infrações em matéria de controlo de horário (LISOS)

Além das sanções da AEPD, a Spanish Labour Inspectorate (Inspección de Trabajo) também pode impor multas se detetar irregularidades no sistema de controlo de horário, mesmo que estas irregularidades derivem de um uso inadequado da geolocalização.

O Real Decreto Legislativo 5/2000, de 4 de agosto, pelo qual se aprova o texto refundido da Lei sobre Infrações e Sanções na Ordem Social (LISOS (Spanish Statute of Labour Infractions and Sanctions)), estabelece:

Infrações leves (art. 6 LISOS): defeitos formais do registo que não impeçam verificar a jornada. Multas entre 70 e 750 euros.
Infrações graves (art. 7.5 LISOS): não registar a jornada, não conservar os registos durante quatro anos ou não entregar a informação aos representantes legais dos trabalhadores. É a qualificação habitual da não manutenção do registo de jornada. Multas entre 751 e 7.500 euros.

Se o seu sistema de geolocalização for tão restritivo que impeça ou dificulte o registo da jornada de forma efetiva ou se a informação obtida for considerada ilícita, poderá derivar numa infração grave em matéria de controlo de horário, além das possíveis sanções da AEPD.

Casos práticos e exemplos reais

Para clarificar a aplicação destes princípios, vejamos alguns cenários:

Exemplo 1: Hotelaria com geofence justificado

Situação: Um restaurante com 15 funcionários (empregados de mesa, cozinheiros, pessoal de limpeza) utiliza a app de Sincrio Fichaje nos seus smartphones pessoais para registar a jornada. O local tem várias entradas e os funcionários às vezes registam o ponto da rua ou de zonas próximas ao estabelecimento antes de entrar.

Solução Sincrio Fichaje: Configura-se um geofence de 50 metros em torno do restaurante. Na cláusula contratual e na política de privacidade, informa-se os funcionários que o sistema verificará se o registo de ponto é realizado dentro desse perímetro, registando um "SIM" ou "NÃO". Não se guardam coordenadas. Se um registo de ponto for marcado como "NÃO", o gestor do restaurante revê o caso. Se for recorrente ou injustificado, fala-se com o funcionário para entender a situação e tomar medidas. A AEPD consideraria isto proporcionado, já que o objetivo é assegurar a presença no local de trabalho fixo, a medida é mínima (apenas um flag) e informa-se adequadamente.

Exemplo 2: Empresa de serviços com geofence não justificado

Situação: Uma empresa de reformas com 10 técnicos que se deslocam a casa dos clientes para realizar trabalhos. A empresa quer que registem o ponto ao chegar a casa do cliente e ao sair, e considera usar geolocalização constante para verificar se cumprem as rotas e os tempos em cada serviço.

Problema: A geolocalização constante para o controlo da atividade e rotas dos técnicos é considerada desproporcionada pela AEPD para o controlo de horário. Os técnicos têm uma mobilidade inerente ao seu posto, e o seguimento contínuo é uma intromissão excessiva na sua privacidade. A finalidade da empresa pode ser legítima (otimizar rotas, controlar a produtividade), mas a medida não é necessária em sentido estrito, já que existem alternativas menos intrusivas (registo de ponto ao início/fim do serviço na app, registo de ponto por tarefa, registo manual de quilómetros ou folhas de trabalho).

Alternativa Sincrio Fichaje: Os técnicos registam o ponto ao início e fim da sua jornada laboral, e também ao início e fim de cada serviço em casa do cliente, a partir da própria app, mas sem geolocalização contínua. Se se quiser verificar a localização do início/fim do serviço, pode-se registar um "flag" de localização nesse momento pontual (tipo geofence soft), mas não um seguimento contínuo. A empresa deve justificar muito bem esta necessidade.

Exemplo 3: O enfoque "soft" de Sincrio em ação

Situação: Uma cadeia de lojas de roupa com vários pontos de venda numa cidade. Os encarregados de loja e dependentes utilizam os seus telemóveis para registar o ponto ao início e fim da sua jornada. O diretor de zona quer assegurar-se de que o registo de ponto é realizado efetivamente a partir da loja atribuída e não de casa ou de outra localização.

Solução Sincrio Fichaje: Define-se um geofence para cada loja. Quando um funcionário regista o ponto, o sistema de Sincrio Fichaje verifica a sua localização. Se o funcionário estiver dentro do geofence da sua loja, o registo é marcado como "Localização: Dentro". Se estiver fora, é marcado como "Localização: Fora". O sistema não guarda as coordenadas GPS exatas. O diretor de zona pode ver um relatório consolidado e, se detetar registos de ponto "Fora" de forma recorrente ou sem justificação (por exemplo, um funcionário que regista o ponto de sua casa), pode abrir uma investigação interna e solicitar explicações ao funcionário. Esta abordagem é proporcionada, respeita a privacidade e permite um controlo efetivo da presença no posto de trabalho fixo.

Perguntas Frequentes

É obrigatório informar o funcionário sobre a geolocalização?

Absolutamente sim. A transparência é um pilar fundamental do RGPD. Deve informar os seus funcionários de forma clara, prévia e por escrito (idealmente no contrato ou num anexo) sobre o uso da geolocalização, a sua finalidade, a base legal, os dados que são recolhidos (ou não), o período de conservação e os seus direitos.

Posso geolocalizar os meus funcionários fora do seu horário laboral?

Categoricamente não. A geolocalização só pode ser utilizada durante a jornada laboral e com fins estritamente laborais e justificados. Monitorizar a localização de um funcionário fora do seu horário de trabalho é uma intromissão gravíssima na sua privacidade e está proibido pela legislação de proteção de dados.

Que diferença há entre geolocalização e geofencing?

A geolocalização é a capacidade de determinar a localização de um dispositivo. O geofencing é uma aplicação específica da geolocalização que cria um perímetro virtual num mapa. Quando um dispositivo entra ou sai desse perímetro, é ativada uma ação ou é registado um evento. No controlo de horário, o geofencing é usado para verificar se o registo de ponto é realizado dentro de uma área definida, sem necessariamente registar coordenadas exatas.

O que acontece se um funcionário se recusar a usar o sistema de registo de ponto com geolocalização?

Se o sistema de geofencing estiver corretamente implementado, for proporcionado e tiver sido adequadamente informado ao funcionário, a sua recusa injustificada poderá ser considerada um incumprimento das suas obrigações laborais. No entanto, é crucial que a empresa tenha oferecido alternativas de registo de ponto se a geolocalização for desproporcionada para o seu posto ou se o funcionário tiver uma objeção razoável. A chave é a proporcionalidade e a justificação da necessidade dessa medida para esse posto concreto.

Que dados devo guardar se usar geolocalização?

Deve aplicar o princípio de minimização de dados. Se usar um sistema de geofencing "soft" como o de Sincrio, não precisa de guardar as coordenadas geográficas exatas. Basta armazenar um indicador (um "flag" ou "SIM/NÃO") que confirme se o registo de ponto foi realizado dentro ou fora do perímetro definido. Além disso, deve guardar a hora do registo de ponto, o identificador do funcionário e a data, como exige a legislação de controlo de horário.

Gerir o controlo de horário com geolocalização de forma legal e eficiente é possível, mas requer um conhecimento profundo da legislação e a escolha de um software que priorize a privacidade e a minimização de dados. Assegure o cumprimento na sua PME e evite multas com a calculadora de sanções de Sincrio: https://controlhorariopymes.es/calculadora-sanciones

Aviso legal: Este guia recolhe legislação pública e critérios de organismos oficiais. Não substitui o aconselhamento jurídico personalizado para o seu caso concreto. Recomendamos consultar um especialista em proteção de dados e direito do trabalho para uma implementação adequada.

Geolocalização no registo de ponto (fichaje): o que diz a AEPD