Picar o Ponto por Impressão Digital em Portugal14 minutos de leitura

Picar o ponto por impressão digital continua a ser a tecnologia biométrica mais vendida em Portugal para controlo de assiduidade, mas é também aquela que mais frequentemente levanta dúvidas junto da CNPD, dos trabalhadores e dos próprios juristas da empresa. Este guia explica, sem rodeios, o que o RGPD, o Código do Trabalho e a doutrina da CNPD exigem para que um terminal biométrico de impressão digital seja utilizado de forma lícita em território nacional — e quando faz mais sentido optar por uma alternativa não-biométrica.

Este artigo é dirigido a empresários estrangeiros, directores de operações e responsáveis de RH que operam em Portugal e precisam de decidir se instalam leitores de impressão digital para registo de ponto, ou se adoptam cartão RFID, PIN ou aplicação móvel. O foco é jurídico-operacional e evergreen: as regras aqui descritas assentam em diplomas de aplicação continuada.

O que é, exactamente, “picar o ponto por impressão digital”

Trata-se de registar entrada e saída através de um leitor que capta a impressão digital do colaborador, converte-a num template matemático (uma sequência de pontos característicos — minutiae) e compara com um template previamente registado. Quando há correspondência, o terminal grava o evento (data, hora, identificação).

O que fica armazenado no sistema não é a imagem da impressão digital. É uma representação matemática irreversível para a imagem original. Mesmo assim, o RGPD classifica este template como dado biométrico destinado a identificar unicamente uma pessoa, e por isso está sujeito ao regime reforçado do Artigo 9.º.

Sensores: óptico, capacitivo e ultrasónico

Nem todos os leitores de impressão digital são iguais. Compreender a tecnologia ajuda a decidir se é adequado ao ambiente de trabalho:

• Óptico: usa luz e uma câmara para capturar a imagem da polpa do dedo. Barato, resistente, mas sensível a dedos sujos, molhados ou gastos. Comum em terminais de entrada de fábrica.
• Capacitivo: mede diferenças de capacitância eléctrica entre cristas e vales da pele. Mais preciso e mais pequeno, difícil de enganar com fotografia. Padrão em smartphones e terminais de média/alta gama.
• Ultrasónico: envia ondas ultrasónicas que penetram a camada superficial da pele e lêem a estrutura 3D da impressão. Funciona com dedos ligeiramente sujos ou molhados. Mais caro e menos comum em terminais de ponto, mas é a tecnologia mais robusta anti-fraude.

A escolha do sensor tem implicações operacionais directas: num ambiente com pó cerâmico, cimento ou óleo (construção, metalurgia), o óptico falha com frequência; o capacitivo degrada; o ultrasónico aguenta melhor, mas custa mais do dobro.

RGPD: biometria é dado de categoria especial

O Artigo 9.º, n.º 1 do RGPD (Regulamento UE 2016/679) proíbe, em regra, o tratamento de dados biométricos destinados a identificar uma pessoa singular de forma inequívoca. Esta proibição genérica cede apenas quando se verifica uma das excepções do n.º 2 — na relação laboral, as mais invocadas são:

• Consentimento explícito do trabalhador (alínea a)) — mas a CNPD e o Comité Europeu de Protecção de Dados consideram que o consentimento no contexto laboral raramente é “livre”, pela assimetria de poder entre empregador e trabalhador. Em regra, não serve como base legal única.
• Necessidade em matéria de direito do trabalho (alínea b)) — mas tem de haver norma legal ou convenção colectiva que o preveja e que ofereça garantias adequadas. Em Portugal, não existe norma que imponha biometria.
• Interesse público importante (alínea g)) — não aplicável a controlo de ponto em empresas privadas comuns.

Daqui resulta uma consequência prática: a biometria de impressão digital para picar o ponto só é lícita quando o empregador consegue demonstrar necessidade objectiva e proporcionalidade — não basta ser conveniente, cómodo ou “a norma do sector”.

Posição histórica da CNPD: a Deliberação 7680/2014

A CNPD publicou em meados da década passada a Deliberação 7680/2014, que fixou os princípios aplicáveis ao tratamento de dados biométricos no contexto laboral. Os pontos essenciais permanecem como doutrina de referência:

• A biometria para controlo de assiduidade só é admissível em casos de comprovada necessidade, não como opção por omissão.
• O empregador deve privilegiar a utilização de templates matemáticos, nunca imagens ou características originais.
• O armazenamento deve ser local (no cartão do trabalhador ou no próprio terminal), evitando bases centralizadas desnecessárias.
• O trabalhador deve ser informado previamente e dispor de alternativa não-biométrica.
• Devem existir medidas técnicas e organizativas que garantam a segurança do template.

Com a entrada em vigor do RGPD e da Lei 58/2019 (lei nacional de execução), a autorização prévia da CNPD deixou de ser exigida. Mas a doutrina material da Deliberação 7680/2014 — necessidade, proporcionalidade, alternativa, template-only — manteve-se e foi reforçada em orientações subsequentes da CNPD.

Código do Trabalho: nenhuma norma exige biometria

O Artigo 202.º do Código do Trabalho (Lei 7/2009) obriga o empregador a manter o registo dos tempos de trabalho dos colaboradores, com indicação das horas de início e de termo, interrupções e pausas. A norma é tecnologicamente neutra: aceita folha de papel, software, cartão de ponto, aplicação móvel ou terminal biométrico. Não existe qualquer disposição legal portuguesa que imponha leitura de impressão digital.

Consequência prática: quando o empregador opta por biometria, está a escolher uma tecnologia mais intrusiva do que o estritamente necessário para cumprir a obrigação legal. Essa escolha tem de ser justificada perante a CNPD e perante o trabalhador — não é um dado adquirido.

DPIA: avaliação de impacto obrigatória

O Artigo 35.º do RGPD obriga o responsável pelo tratamento a realizar uma Avaliação de Impacto sobre a Protecção de Dados (DPIA) sempre que o tratamento seja susceptível de implicar um risco elevado para os direitos e liberdades das pessoas. O tratamento sistemático de dados biométricos de trabalhadores está expressamente na lista das operações sujeitas a DPIA publicada pela CNPD.

Uma DPIA bem feita documenta:

• Finalidade (controlo de assiduidade) e base jurídica invocada.
• Necessidade e proporcionalidade do uso de biometria face a alternativas.
• Riscos para o trabalhador (identificação indevida, uso secundário, fuga de dados).
• Medidas de mitigação (template-only, encriptação, retenção limitada, direito de recusa).
• Consulta aos trabalhadores ou aos seus representantes.

Sem DPIA documentada, o uso de biometria é, por si só, uma infracção ao RGPD — mesmo que o tratamento seja materialmente lícito. Em caso de inspecção ou queixa, a CNPD começa pela DPIA.

Obrigação de alternativa não-biométrica

Este é o ponto mais frequentemente ignorado pelos empregadores e o que mais rapidamente gera queixas junto da CNPD: a obrigatoriedade de disponibilizar uma alternativa não-biométrica para os trabalhadores que não desejem usar a impressão digital.

Alternativas válidas, aceites pela CNPD:

• Cartão RFID individual, com código de identificação do trabalhador.
• Código PIN pessoal, introduzido no mesmo terminal.
• Aplicação móvel com login autenticado, foto no momento da picagem e geolocalização.
• Registo manual supervisionado, para casos pontuais ou colaboradores sem smartphone.

A recusa de usar biometria não pode fundamentar sanção disciplinar, exclusão de prémios de assiduidade ou tratamento diferenciado. É um direito do trabalhador. O empregador que condicione benefícios ao uso da impressão digital incorre em prática ilícita.

Como se guarda o dado: template-only, nunca imagem

Tecnicamente, um terminal biométrico pode guardar:

• A imagem bruta da impressão digital (BMP, raw) — proibido em contexto laboral.
• O template matemático (vector de minutiae) — aceitável se cumpridas as demais condições.
• Um hash do template — ainda mais seguro.

Ao escolher terminal, confirme com o fornecedor por escrito que o equipamento não guarda nem transmite a imagem, apenas o template. Peça documentação técnica. Esta é uma das verificações centrais em qualquer DPIA e em qualquer auditoria da CNPD.

Adicionalmente, o template deve estar encriptado em repouso e em trânsito, e a chave deve estar sob controlo do responsável pelo tratamento, não do fornecedor.

Retenção: quanto tempo se mantém o template

O princípio da limitação da conservação (Artigo 5.º, n.º 1, alínea e) do RGPD) impõe que os dados biométricos sejam apagados assim que deixem de ser necessários para a finalidade. Boas práticas:

• Durante a vigência do contrato de trabalho, o template é conservado para efeitos de picagem.
• Na cessação do contrato, o template deve ser eliminado em prazo curto (recomendável até 30 dias), mesmo que os registos de ponto propriamente ditos (horas, dias) sejam retidos por 5 anos ao abrigo do Artigo 202.º.
• Registo de ponto (histórico de picagens) e template biométrico são dados diferentes com prazos diferentes de retenção. Não confunda.

Sectores onde faz (ou não) sentido

Pela experiência operacional e pelas orientações da CNPD, a impressão digital é mais defensável em:

• Fábricas e armazéns com turnos de alta densidade, telemóvel pessoal restrito por segurança e historial de buddy punching documentado.
• Segurança privada, onde a identificação precisa é parte do serviço prestado ao cliente final.
• Áreas farmacêuticas e laboratoriais onde o controlo de acesso a zonas específicas se articula com o ponto.

É menos defensável — e tipicamente é recusada ou mal recebida pela CNPD — em:

• Escritórios com equipas pequenas e sem risco demonstrado de fraude.
• Construção civil, onde a pó, o cimento e os ferimentos nas mãos tornam a leitura óptica/capacitiva pouco fiável e geram exclusão de facto.
• Saúde, onde o uso de luvas e desinfecção frequente limita a leitura; e onde o trabalhador já lida com dados sensíveis dos doentes — adicionar biometria própria é desproporcional.
• Comércio e restauração com turnover elevado, onde o custo administrativo de registar/apagar templates ultrapassa o benefício.

Considerações culturais no local de trabalho

Em Portugal, a aceitação social da impressão digital em contexto laboral é mista. Trabalhadores mais jovens tendem a aceitar sem resistência (habituados ao desbloqueio do telemóvel); trabalhadores mais velhos ou com formação sindical activa recusam frequentemente, invocando preocupações legítimas de dignidade e autonomia.

A comissão de trabalhadores e os sindicatos têm o direito de ser consultados antes da implementação de sistemas de controlo de assiduidade biométricos (Artigo 20.º do Código do Trabalho e Artigo 88.º do Regime Jurídico das Comissões de Trabalhadores). Avançar sem consulta é um erro processual que a CNPD valoriza negativamente.

Alternativas não-biométricas em detalhe

Antes de instalar biometria, avalie se uma destas resolve o problema:

• Cartão RFID: baixo custo (2-5€/cartão), identificação individual, fácil de gerir. Risco: empréstimo de cartão. Mitigação: política interna + verificação por amostragem.
• PIN pessoal: zero custo adicional, aceite pela CNPD, pode combinar-se com cartão (dois factores). Risco: partilha de PIN. Mitigação: rotação periódica.
• App móvel com foto + GPS: substitui biometria com dados menos sensíveis (fotografia pontual não é “dado biométrico” na acepção do Artigo 9.º quando não é usada para identificação unívoca por sistema). Elimina buddy punching com custo zero de hardware.
• QR code dinâmico no local: o trabalhador fotografa um QR renovado a cada minuto e autentica-se via app. Garante presença física sem biometria.

Para a PME portuguesa típica (5-50 colaboradores), a combinação app móvel + QR code no local ou cartão RFID + PIN cumpre o Artigo 202.º com risco RGPD muito inferior ao da biometria.

Erros frequentes dos empregadores

1. Instalar o terminal biométrico sem DPIA. É infracção, independentemente de ninguém reclamar.
2. Não oferecer alternativa real. “Dizer” que existe cartão mas na prática só o biométrico funcionar é não-conformidade.
3. Guardar a imagem da impressão digital para “poder voltar a enrolar sem reconfigurar”. Proibido.
4. Delegar no fornecedor sem contrato de subcontratante nos termos do Artigo 28.º RGPD.
5. Não apagar os templates à saída do colaborador.
6. Condicionar o pagamento de prémio de assiduidade ao uso do leitor biométrico.
7. Avançar sem consultar a comissão de trabalhadores ou os sindicatos representativos.

Fontes oficiais

• Código do Trabalho português (Lei 7/2009), Artigo 202.º — dre.pt
• Regulamento Geral sobre a Protecção de Dados (Regulamento UE 2016/679), Artigos 5.º, 9.º, 28.º e 35.º
• Comissão Nacional de Protecção de Dados — cnpd.pt (Deliberação 7680/2014 e orientações subsequentes sobre biometria em contexto laboral)
• Autoridade para as Condições do Trabalho — act.gov.pt

Conclusão

Picar o ponto por impressão digital em Portugal é tecnicamente simples, legalmente complexo e culturalmente sensível. O RGPD classifica o template biométrico como dado de categoria especial; a CNPD exige necessidade, proporcionalidade e alternativa; o Código do Trabalho não impõe biometria em lugar algum. Para a maioria das PME portuguesas, uma combinação de cartão RFID, PIN e aplicação móvel com foto cumpre o Artigo 202.º com fracção do risco RGPD. Quando a biometria for mesmo necessária — fábricas de alta densidade, segurança privada, laboratórios — avance apenas com DPIA, template-only, alternativa real e consulta prévia dos representantes dos trabalhadores. O investimento em compliance protege o empregador e respeita o trabalhador.

Este artigo não constitui aconselhamento jurídico. Para casos específicos, consulte um advogado laboralista português e um encarregado de protecção de dados.

Continue a leitura

• Artigo 202.º do Código do Trabalho
• A Melhor App para Picar o Ponto
• PicaPonto vs Factorial vs Sesame
• Fiscalização da ACT: Coimas