Entendendo os direitos dos sujeitos de dados na lei irlandesa do emprego

Introdução

A proteção de dados é uma pedra angular das relações de trabalho modernas. Na Irlanda, os direitos dos trabalhadores como sujeitos de dados são claramente definidos nos termos do Regulamento Geral de Proteção de Dados (RGPD) e da Lei de Proteção de Dados 2018. Essas leis dão aos trabalhadores um controle significativo sobre suas informações pessoais, ao mesmo tempo que impõem obrigações rigorosas aos empregadores. Entender esses direitos não é apenas um requisito legal - promove confiança, reduz o risco de penalidades caras, e garante um local de trabalho justo e transparente. Este artigo fornece uma visão abrangente dos direitos dos sujeitos de dados na lei de emprego irlandesa, cobrindo o quadro legal, cada direito em detalhe, responsabilidades dos empregadores e desafios emergentes.

Quadro legal para os direitos de dados na Irlanda

A base dos direitos de titularidade de dados na Irlanda é o Regulamento Geral de Proteção de Dados (RGPD)], que entrou em vigor em 25 de maio de 2018. Como regulamento da UE, tem efeito direto em todos os Estados-Membros, incluindo a Irlanda. O GDPR é complementado pela Lei de Proteção de Dados 2018[, que adapta certas disposições à legislação irlandesa, tais como isenções para o tratamento no contexto do emprego, e designa a Comissão de Proteção de Dados (DPC)] como autoridade supervisora nacional.

Sob este quadro, os dados pessoais de um empregado só podem ser processados se houver uma base legal – tipicamente consentimento, necessidade de contrato, obrigação legal ou interesses legítimos. Em contextos de emprego, a confiança no consentimento é muitas vezes problemática devido ao desequilíbrio de poder, de modo que os empregadores geralmente dependem de necessidade contratual ou obrigações legais. O DPC[ fornece orientações detalhadas e impõe o cumprimento através de investigações, poderes corretivos e multas. Notável lei de caso irlandês, como Nowak v Data Protection Commissioner] (CJEU, 2017) e decisões do DPC sobre o monitoramento de funcionários, ter clarificado ainda mais o âmbito de direitos de assunto de dados.

Entender esse cenário legal é essencial antes de mergulhar nos direitos específicos disponíveis para os empregados.

Direitos-chave dos sujeitos de dados no emprego irlandês

Os funcionários na Irlanda têm oito direitos distintos sob o GDPR, cada um projetado para dar-lhes controle sobre seus dados pessoais.

O direito de acesso permite que um empregado obtenha confirmação de seu empregador sobre se seus dados pessoais estão sendo processados, e se assim for, para acessar esses dados. Isso inclui detalhes sobre os propósitos do processamento, categorias de dados, destinatários ou categorias de destinatários, o período de retenção, e o direito de apresentar uma reclamação. Os empregadores devem responder sem atraso indevido e dentro de um mês de receber um pedido válido, extensível por até dois meses para pedidos complexos ou múltiplos.

Em um contexto de emprego irlandês, pedidos de acesso típicos podem se relacionar com arquivos de RH, avaliações de desempenho, e-mails mencionando o empregado, imagens de CCTV, ou dados mantidos em sistemas de folha de pagamento, os empregadores devem fornecer uma cópia dos dados em um formato eletrônico comumente usado, há exceções limitadas, como onde o acesso afetaria negativamente os direitos de outros ou onde o privilégio profissional legal se aplica, o DPC emitiu várias decisões exigindo que os empregadores divulguem registros completos, incluindo metadados e notas internas, e os empregadores devem manter um processo claro para lidar com pedidos de acesso para evitar reclamações e ações de execução.

Direito à Retificação (artigo 16o do RGPD)

Os funcionários têm o direito de ter dados pessoais incorretos ou incompletos corrigidos sem atraso indevido, o que é particularmente relevante em ambientes de trabalho onde erros nos registros de pessoal podem afetar a promoção, salário ou resultados disciplinares, por exemplo, se a classificação de desempenho de um funcionário é incorretamente registrada, eles podem solicitar a retificação, os empregadores devem verificar a precisão dos dados e fazer correções prontamente, normalmente dentro de um mês, se o empregador se recusar a corrigir, eles devem fornecer uma resposta fundamentada e informar o funcionário do seu direito de reclamar ao DPC.

Em determinadas condições, um funcionário pode solicitar a supressão dos seus dados pessoais. Este direito não é absoluto e aplica-se principalmente quando: os dados já não são necessários para o propósito original; o empregado retira o consentimento e não existe outra base legal; os objetos do empregado e não há motivos legítimos imperiosos; os dados foram ilegalmente processados; ou obrigações legais exigem apagamento. No emprego, os cenários comuns incluem dados coletados sem base legal válida ou dados que tenham sido retidos para além do período necessário. No entanto, os empregadores podem recusar a eliminação se o processamento for necessário para o cumprimento de uma obrigação legal (por exemplo, retenção de registros fiscais), para o estabelecimento/exercício/defesa de reclamações legais, ou para fins de arquivo no interesse público. O PCD esclareceu que os registros de RH muitas vezes precisam ser mantidos por vários anos após o fim do emprego, complicando os pedidos de eliminação. Os empregadores devem avaliar cada pedido cuidadosamente e documentar a decisão.

Direito de restrição de processamento (artigo 18.o do RGPD)

Os funcionários podem pedir ao seu empregador que restrinja o tratamento dos seus dados em situações específicas: quando a exatidão dos dados é contestada (verificação pendente); quando o processamento é ilegal, mas o empregado se opõe ao apagamento e, em vez disso, solicita restrição; quando o empregador não precisa mais dos dados, mas o empregado exige-o para reclamações legais; ou quando o empregado se opôs ao processamento nos termos do artigo 21.o (ver abaixo) enquanto aguarda o resultado. Durante a restrição, os dados só podem ser armazenados, não mais processados, a menos que o funcionário consente ou seja necessário para reclamações legais ou direitos de proteção. Na prática, isso pode se aplicar aos dados em litígio em caso de demissão injusta. Os empregadores devem marcar dados restritos e ter procedimentos para levantar restrição apenas quando apropriado.

Direito à portabilidade dos dados (artigo 20.o do RGPD)

O direito à portabilidade de dados permite que um funcionário receba seus dados pessoais em formato estruturado, comumente utilizado e legível por máquina, e transmita esses dados para outro controlador sem impedimento. Este direito só se aplica aos dados processados por meios automatizados e baseados em consentimento ou contrato. No emprego, os dados portáteis típicos incluem registros salariais, histórico de trabalho e dados de contato. No entanto, portabilidade não se estende aos dados derivados ou inferidos pelo empregador, como análise de desempenho. O empregador deve fornecer os dados gratuitamente e garantir que pode ser usado pelo empregado ou terceiro. Este direito é menos frequentemente exercido no emprego, mas é valioso quando um empregado muda de emprego e quer transferir seu perfil para um novo sistema de empregador.

Os funcionários têm o direito de se opor ao processamento baseado em interesses legítimos ou interesses públicos, incluindo perfis. Em um contexto de emprego, isso normalmente se aplica ao marketing direto (por exemplo, empregador enviando emails promocionais) ou processamento baseado em interesses legítimos, como monitoramento do local de trabalho. Quando o processamento é para marketing direto, a objeção deve ser honrada sem exceção. Para outros processamentos de interesse legítimo, o empregador deve demonstrar motivos legítimos convincentes que sobreponham os interesses ou direitos do empregado, ou que o processamento é necessário para reclamações legais. O PCD tem tratado reclamações sobre objeções de funcionários ao monitoramento de CCTV ou rastreamento de uso da internet. Os empregadores devem cuidadosamente equilibrar suas necessidades de negócios contra as expectativas de privacidade dos funcionários.

Direitos em relação à tomada de decisão automatizada e análise (artigo 22o do RGPD)

O DPC espera que os empregadores realizem avaliações de impacto sobre a proteção de dados (DPIA) antes de implantar tais sistemas.

Responsabilidades dos empregadores e melhores práticas

Os empregadores na Irlanda devem adotar uma abordagem proativa dos direitos de titularidade de dados, não se trata apenas de responder a pedidos, mas sim implementar políticas e sistemas que respeitem a privacidade dos funcionários desde o início.

Transparência: Fornecendo avisos claros de privacidade aos funcionários no início do emprego e sempre que o processamento de dados mude, avisos devem especificar bases legais, períodos de retenção e direitos.
Proteção de dados por Design e Padrão Integrando medidas de proteção de dados em processos de RH, como limitar o acesso a dados pessoais em uma base de necessidade de conhecimento e criptografar arquivos confidenciais.
Solicitações de mão: Estabelecendo um processo interno claro para receber e responder aos pedidos de pessoa que solicita, incluindo verificar a identidade do solicitante, documentar ações e cumprir o prazo de resposta de um mês.
Muitas organizações são obrigadas a nomear um DPO (por exemplo, autoridades públicas, entidades que participam em monitoramento em larga escala ou processamento de categorias especiais de dados).
O treinamento regular reduz o risco de violações ou atrasos inadvertidas.
Retenção de dados e Erasure, implementando um esquema de retenção que cumpre com os requisitos legais (por exemplo, diretrizes de receitas sobre folha de pagamento, Equalidade de Emprego Atua sobre dados de recrutamento) e automaticamente apagando dados quando não mais necessário.
No caso de uma violação de dados pessoais que afete os funcionários, os empregadores devem notificar o DPC dentro de 72 horas e, quando de alto risco, informar os funcionários afetados sem demora injustificada.
Avaliação de Impacto de Proteção de Dados:

Execução e sanções em Irlanda

A Comissão de Proteção de Dados (DPC) é a autoridade independente responsável por monitorar e aplicar a lei de proteção de dados na Irlanda.

Realizar investigações e auditorias de empregadores.
Emitindo avisos, reprimendas e ordens para cumprir os direitos do titular de dados.
Imponha multas administrativas até o maior de 20 milhões de euros ou 4% do volume de negócios global anual.
Ordene a restrição ou proibição de processamento.
Consulte graves violações aos tribunais para acusação criminal.

Os funcionários que acreditam que seus direitos foram violados podem apresentar uma queixa ao DPC gratuitamente, o DPC investigou inúmeras queixas contra empregadores, particularmente no que diz respeito a pedidos de acesso, monitoramento excessivo e não apagar dados após a rescisão, por exemplo, em 2022, o DPC aplicou uma multa de 225.000 euros a uma grande empresa irlandesa para processar dados de empregados sem uma base legal válida, os empregadores irlandeses devem levar essas obrigações a sério, uma vez que o não cumprimento pode levar a danos financeiros e de reputação significativos.

Questões emergentes nos direitos de dados sobre o emprego na Irlanda

A transformação digital do local de trabalho está criando novos desafios para os direitos de dados, várias tendências são particularmente relevantes para os empregadores irlandeses:

Com o aumento do trabalho híbrido e remoto, os empregadores usam o software de monitoramento para rastrear a produtividade, captura de telas e teclas, tais práticas podem violar os direitos dos titulares de dados, a menos que transparentemente justificados e proporcionais, o DPC sinalizou que um amplo monitoramento será analisado de perto.
Muitas empresas usam ferramentas orientadas por IA para analisar CVs, avaliar candidatos ou prever desempenho, estes sistemas podem envolver tomada de decisão automatizada, desencadeando o direito à intervenção humana nos termos do artigo 22.
Dados biométricos, que requerem consentimento explícito ou motivos de interesse público, o PCD emitiu orientações informando que os dados biométricos só devem ser usados quando absolutamente necessário.
Os empregadores estão enfrentando crescentes números de SARs, gerenciando-os eficientemente sem sobrecarregar equipes de RH requer sistemas automatizados e modelos claros, recusando ou atrasando SARs sem razão válida convida reclamações do DPC.
Após a decisão do Schrems II, os empregadores irlandeses devem garantir garantias adequadas (como as Cláusulas Contratuais Padrão) e realizar avaliações de impacto de transferência antes dessas transferências.

Conclusão

Os direitos dos titulares de dados, ao abrigo da legislação irlandesa em matéria de emprego, são abrangentes e aplicados com um rigor crescente.Os funcionários beneficiam da capacidade de aceder, rectificar, eliminar, restringir, portar e objetar ao tratamento dos seus dados pessoais, enquanto a tomada de decisão automatizada está sujeita a salvaguardas.Para os empregadores, a compreensão destes direitos e a incorporação do cumprimento nas operações diárias é essencial.Uma abordagem proactiva — que vai desde avisos claros de privacidade até procedimentos robustos para tratar pedidos — não só evita sanções regulamentares, mas também cria confiança e resiliência organizacional dos trabalhadores. À medida que os padrões de tecnologia e de trabalho evoluem, a vigilância e adaptação contínuas às orientações do PCD serão fundamentais.Os funcionários e empregadores devem considerar os direitos dos titulares de dados não como um encargo administrativo, mas como um aspecto fundamental de um local de trabalho justo e moderno.

]Para mais informações, consulte o ] texto do GDPR , o Lei de Proteção de Dados 2018, e o site da Comissão de Proteção de Dados para orientação e decisões oficiais.