A saída de um trabalhador raramente termina com a entrega do computador e do cartão de acesso. Ficam contratos em curso, processos pendentes, negociações, projetos por concluir e correspondência com clientes. Mas pode o trabalhador conservar a informação a que teve acesso? E até onde pode a empresa ir para a recuperar, incluindo o acesso ao email profissional?

A resposta não é simples e, como tantas vezes acontece no Direito, depende. De um lado, está a privacidade do trabalhador; do outro, a proteção da informação empresarial, incluindo segredos comerciais e propriedade intelectual. A solução exige considerar não apenas as regras de proteção de dados, mas também os deveres laborais, os direitos da empresa e a finalidade concreta do acesso.

Imagine-se um trabalhador que, antes de sair, copia para um dispositivo pessoal contratos, apresentações e correspondência profissional, alegando que os produziu e que sempre teve acesso legítimo. Contudo, o acesso à informação no exercício das funções não confere, por si só, o direito de a conservar. A questão exige ponderar os bens jurídicos tutelados, incluindo a proteção da informação empresarial, os segredos comerciais e os eventuais direitos de autor, sem desconsiderar as regras de privacidade e proteção de dados pessoais aplicáveis.

O Código do Trabalho estabelece deveres de lealdade e de utilização adequada dos bens confiados pelo empregador, bem como a obrigação de os devolver no termo da relação laboral. Embora esta última obrigação esteja sobretudo associada a bens materiais, seria difícil justificar que a devolução de um computador não fosse acompanhada da restituição da informação empresarial nele armazenada, cujo valor pode ser muito superior ao do próprio equipamento.

Esta proteção encontra também fundamento no Código da Propriedade Industrial, nomeadamente no regime dos segredos comerciais, que salvaguarda informação empresarial cujo valor comercial decorre do seu carácter reservado, desde que tenham sido adotadas medidas razoáveis para preservar a sua confidencialidade. Nestas circunstâncias, a cópia ou conservação não autorizada dessa informação pode constituir uma atuação ilícita.

A questão torna-se mais complexa quando estão em causa documentos ou projetos produzidos pelo próprio trabalhador. O Código do Direito de Autor e dos Direitos Conexos admite que, na ausência de convenção em contrário, os direitos sobre obras realizadas por conta de outrem pertençam ao respetivo criador intelectual. Contudo, nem todos os trabalhos desenvolvidos no contexto profissional, como minutas contratuais, apresentações ou outros documentos, reúnem os requisitos de originalidade necessários à proteção autoral. E, mesmo quando exista um direito de autor, a sua titularidade não confere, por si só, o direito de conservar ou utilizar livremente a documentação empresarial.

Sob a perspetiva da proteção de dados pessoais, importa ainda considerar que contratos com nomes e assinaturas, pareceres jurídicos que identificam pessoas ou apresentações comerciais com contactos de clientes podem conter dados pessoais na aceção do Regulamento Geral sobre a Proteção de Dados (RGPD). Essa circunstância não determina, por si só, a titularidade dos documentos, mas sujeita o tratamento da informação às regras previstas no Regulamento.

A qualificação de determinada informação como dado pessoal determina as regras aplicáveis ao seu tratamento; não resolve, por si só, a titularidade ou o direito de conservação da documentação empresarial.Aliás, o RGPD pode tornar juridicamente mais sensível a conduta de quem retira essa informação da empresa. A cópia de documentos para uma conta privada ou um dispositivo não autorizado, sobretudo quando contenham dados de clientes, fornecedores ou trabalhadores, pode configurar uma violação de dados pessoais.

Nas Orientações 01/2021, o Comité Europeu para a Proteção de Dados analisa precisamente o caso de um trabalhador que, durante o período de pré-aviso, copia dados de clientes para posteriormente os contactar. O exemplo é tratado como uma violação de confidencialidade sujeita a notificação à autoridade de controlo, embora sem necessidade de comunicação aos titulares afetados nas circunstâncias descritas.

Isto não significa que toda a cópia não autorizada implique automaticamente uma notificação à CNPD. O artigo 33.º, n.º 1, do RGPD exige uma avaliação do risco para os direitos e liberdades dos titulares, dispensando a notificação quando seja improvável que a violação resulte nesse risco.

Há, portanto, duas questões que importa distinguir: saber se o trabalhador podia retirar a informação e determinar em que condições a empresa pode recuperá-la. A segunda torna-se especialmente delicada quando envolve o acesso a uma conta de correio eletrónico individualizada, pois  artigo 22.º do Código do Trabalho protege a confidencialidade das mensagens de natureza pessoal e o acesso a informação de carácter não profissional, mesmo quando sejam utilizados meios disponibilizados pelo empregador.

A jurisprudência do Tribunal Europeu dos Direitos Humanos, designadamente nos casos Bărbulescu c. Roménia (2017) e Libert c. França (2018), reforça a necessidade de assegurar transparência, finalidade legítima, necessidade e proporcionalidade nas medidas adotadas pelo empregador.

Importa, contudo, distinguir as comunicações de natureza pessoal das profissionais, uma vez que a utilização de uma conta de email individualizada não determina, por si só, o carácter privado de todas as mensagens. Assim, uma comunicação relativa à negociação de um contrato não se torna pessoal apenas por estar na caixa de email do trabalhador, tal como uma mensagem dirigida à família não perde a sua natureza privada por ter sido recebida através do endereço eletrónico da empresa.

Em Portugal, o Tribunal da Relação do Porto, no acórdão de 9 de setembro de 2024, reafirmou que, quando o empregador disponibiliza uma conta profissional sem estabelecer regras que proíbam a utilização pessoal, não pode aceder ao conteúdo das mensagens e respetivos anexos, ainda que não estejam identificados como pessoais.

Esta orientação encontra também referência na Deliberação n.º 1638/2013 da Comissão Nacional de Proteção de Dados, que adotou uma posição restritiva quanto ao acesso às comunicações eletrónicas e previu a possibilidade de o trabalhador retirar os conteúdos pessoais antes da eliminação da conta.

Embora continue a constituir um parâmetro interpretativo relevante, a deliberação foi aprovada ao abrigo da anterior legislação de proteção de dados e centrava-se sobretudo na vigilância e monitorização dos trabalhadores. A sua aplicação deve, por isso, ser ponderada à luz do RGPD, que introduziu um modelo assente na responsabilidade pelo tratamento, na demonstração da conformidade e na avaliação dos riscos.

Isso não significa que a recuperação de informação empresarial esteja automaticamente excluída dos limites decorrentes da confidencialidade das comunicações. O princípio da limitação das finalidades, previsto no artigo 5.º, n.º 1, alínea b), do RGPD, exige precisamente que se identifique o propósito concreto do tratamento, considerando a sua necessidade e proporcionalidade.

Nesse enquadramento, o interesse legítimo previsto no artigo 6.º, n.º 1, alínea f), do RGPD poderá, em determinadas circunstâncias, constituir fundamento para o tratamento necessário à recuperação de informação empresarial, desde que seja efetuada a ponderação exigida pelo Regulamento e respeitados os limites decorrentes do artigo 22.º do Código do Trabalho.

Não se trata de transformar o interesse legítimo numa autorização genérica para consultar a correspondência de antigos trabalhadores. Uma empresa não pode justificar uma pesquisa indiscriminada de mensagens invocando simplesmente necessidades operacionais. Mas também não parece adequado concluir que qualquer informação empresarial armazenada numa conta individualizada se torna, por esse motivo, inacessível.

A Deliberação de 2013 continua, assim, a contribuir para a interpretação destas questões. Não constitui, porém, uma resposta completa para todas as situações, nem dispensa a consideração dos restantes direitos e interesses juridicamente protegidos.

E quando quem sai é advogado in-house?

No caso de um advogado in-house, acresce a proteção conferida pelo sigilo profissional, previsto no artigo 92.º do Estatuto da Ordem dos Advogados.

O dever de sigilo vincula também os advogados que exercem a sua atividade no âmbito de uma relação laboral. Não deve, porém, ser confundido com um direito de apropriação da documentação relativa aos assuntos jurídicos do cliente, que, neste caso, é a própria empresa.

O sigilo profissional destina-se a proteger a confidencialidade da informação obtida no exercício da profissão. Não constitui, por si só, fundamento para impedir o cliente de continuar a acompanhar os seus processos ou de aceder aos documentos necessários à defesa dos seus interesses.

O próprio Estatuto da Ordem dos Advogados, no artigo 101.º, prevê a restituição dos documentos do cliente quando cessa a representação, sem prejuízo do direito de retenção nas condições específicas legalmente previstas. Seria contraditório interpretar uma obrigação criada para proteger o cliente como um mecanismo que permitisse privá-lo da documentação dos seus próprios processos.

Isso não afasta a necessidade de cautelas acrescidas. A natureza da informação jurídica poderá justificar a intervenção de outro advogado, a limitação das pessoas autorizadas a participar na recuperação e uma triagem prévia dos documentos, assegurando que apenas a informação necessária seja consultada.

Prevenir é mais simples do que recuperar

Grande parte destes conflitos poderia ser evitada com políticas internas claras sobre a utilização dos sistemas de informação, a separação entre conteúdos pessoais e profissionais e os procedimentos a adotar no termo da relação laboral.

Quando seja necessário recuperar documentação, a empresa deve atuar com uma finalidade legítima e determinada, privilegiando meios menos intrusivos e assegurando a proporcionalidade do acesso.

Em última análise, a solução exige uma ponderação dos bens jurídicos tutelados. O trabalhador não pode copiar ou conservar indiscriminadamente informação empresarial, tal como a empresa não pode aceder sem restrições às suas comunicações. Nem a privacidade legitima a apropriação de documentos, nem o direito à proteção da informação empresarial autoriza a violação da confidencialidade. É na avaliação concreta de cada situação, e não em proibições ou autorizações absolutas, que deve encontrar-se a resposta.