Artigos e Entrevistas

Inspeção em dispositivos móveis: como realizar este procedimento sem ultrapassar os limites da lei?

Diversas pesquisas[1] apontam que a mobilidade da força de trabalho gera riscos legais e desafios à segurança da informação nas empresas, ainda mais quando os colaboradores podem utilizar dispositivos móveis particulares (BYOD) para o exercício de suas atividades profissionais.

A utilização de dispositivo móvel particular é uma faculdade conferida ao empregado, desde que a empresa não tenha estabelecido o uso do dispositivo móvel particular como requisito para sua contratação (de cargo ou função), dando como indispensável o uso do BYOD pelo colaborador.

Por se tratar de faculdade, o colaborador somente poderá utilizar seu equipamento pessoal para exercer atividades laborais, caso assine e concorde com o termo de autorização de uso específico, ou seja, o empregado estará sujeito a cumprir as condições previstas em contrato/termo, caso contrário, deverá se ater somente ao uso dos dispositivos fornecidos pela empresa para armazenagem ou manipulação das informações desta.

As regras estabelecidas de forma clara, formal e escrita durante toda a relação de trabalho, devem prever a proibição do terceiro cenário mencionado, coibindo o uso de dispositivos particulares para o tráfego de informações corporativas sem a prévia e expressa autorização do empregador.

Entretanto, antes de adentrarmos especificamente nos procedimentos necessários à inspeção, é preciso relembrar que as relações de trabalho são formadas por dois sujeitos, o empregador, que tem o poder de dirigir, organizar e fiscalizar a prestação de serviço do empregado, e o empregado, subordinado juridicamente ao primeiro por meio do contrato de trabalho, termos e normativos internos da própria empresa.

O exercício do poder diretivo[2] do empregador não é absoluto e está sujeito aos limites estabelecidos pelos direitos fundamentais previstos na Constituição Federal, aplicados de forma horizontal, assegurados aos empregados enquanto sujeitos da relação de emprego.

Os limites do poder diretivo são igualmente delineados na Constituição pela existência de princípios impositivos, como o princípio geral da igualdade de todos perante a lei e da “inviolabilidade do direito à vida, à liberdade, à igualdade, à segurança e à propriedade” (art. 5º, caput), a regra geral de que “ninguém será submetido a tratamento desumano ou degradante” (art. 5º, inc. III), e, ainda, o princípio geral que declara “invioláveis a intimidade, a vida privada, a honra e a imagem das pessoas, assegurado o direito à indenização pelo dano material e moral decorrente de sua violação” (art. 5º, inc. X).

A Constituição Federal resguarda direitos aos empregados e igualmente tutela a autonomia diretiva do empregador. Por isso, há diversas situações de colisão entre esses bens protegidos constitucionalmente – direito à propriedade, à livre iniciativa do empregador e direitos fundamentais dos empregados.

Frise-se, que a Constituição Federal tem força normativa em todo o ordenamento jurídico, e que o direito do trabalho faz parte desse ordenamento, ou seja, os direitos fundamentais devem ser respeitados no âmbito do contrato de trabalho.

Vale dizer, oportunamente, que os direitos do empregador são igualmente fundamentais, sendo garantido principalmente o direito de propriedade e à livre iniciativa para criação e gestão de seu empreendimento.

Considerando que o poder diretivo e de fiscalização do empregador não é absoluto, mas limitado, o princípio da razoabilidade[3] deve ser aplicado para dirimir o conflito e, no caso concreto, a fim de determinar qual dos direitos ou bens protegidos constitucionalmente deverá prevalecer, se os do empregado ou do empregador.

Para verificar a proporção da incidência dos direitos fundamentais de ambas as partes que integram a relação de trabalho e quais medidas serão aplicadas em cada caso concreto, deve-se aplicar o princípio da proporcionalidade.

Em razão da jurisprudência ainda não ter tratado de casos relacionados à inspeção de equipamentos particulares utilizados para finalidade corporativa (BYOD), é possível, diante das definições de revista pessoal, fazer analogia desta com a inspeção de dispositivos pessoais que manuseiam informações corporativas, porquanto ambas possuem a mesma finalidade de fiscalizar as atividades e garantir a segurança do negócio da empresa, sendo que a última é menos intrusiva por ocorrer em um equipamento (dispositivo) e não em um ser humano.

Assim sendo, pode-se dizer que as inspeções e auditorias em dispositivos particulares são toleráveis e devem atender aos princípios da proporcionalidade e razoabilidade insertos na Constituição Federal.

Passadas as considerações acerca dos princípios e limites constitucionais ao poder diretivo do empregador, vejamos o passo-a-passo ideal para realização de inspeções corporativas em dispositivos móveis.

Quais são os procedimentos necessários para a execução das inspeções e auditorias?

  1. Ciência prévia, pelo empregado, com os termos e condições impostas pelo empregador;
  2. Previsibilidade da rotina: sua ocorrência periódica para criação e cultura (ex: sempre na saída, a cada três meses);
  • Transparência no procedimento: que esteja claro como ele deve ocorrer e não ser surpresa para o empregado;
  1. Justificativas plausíveis: sejam preventivas, que envolvem aleatoriedade, ou pontuais, quando há uma suspeita ou incidente com evidência comprovável ou quando consegue ser demonstrada a necessidade específica (ex: sempre no desligamento do colaborador);
  2. Cumprimento aos requisitos de proporcionalidade e razoabilidade: Que delimitam até onde pode ir a verificação no equipamento de forma administrativa, ainda não judicial (a ordem judicial é essencial se houver algum tipo de intercepção de comunicação, mas não para verificar dados no dispositivo se isso já foi avisado previamente).

A empresa deve auditar e inspecionar os equipamentos tecnológicos particulares que interagem com seus ambientes físicos e lógicos, em situações pontuais que justificam a sua realização dentro de um procedimento padrão, como o de desligamento do colaborador. Ou seja, todo colaborador sabe que será feita a inspeção, não é uma surpresa.

Excepcionalmente, pode haver o cenário em que o dispositivo deveria ser apenas de uso particular, mas o empregador suspeita que o empregado esteja portando dados da empresa no equipamento. Esse é o caso mais delicado do ponto de vista jurídico, e será importante ter indícios que justifiquem uma verificação pontual (não aleatória), de modo a evitar qualquer entendimento relacionado a perseguição e/ou discriminação por parte do empregado.

Passaremos, então, a detalhar quais são os cuidados que devem ser observados nos procedimentos para a execução, sem riscos legais, da atividade de inspeção de equipamentos particulares no ambiente de trabalho (que estejam no perímetro físico da empresa).

Primeiramente, é preciso notificar previamente aos colaboradores, por meio de cláusulas contratuais, normas internas, termos de ciência e avisos nos ambientes internos, a respeito da inspeção e auditoria, para que não se caracterize a violação de privacidade ou interceptação ilegal de dados, em conformidade com os preceitos legais vigentes no país constantes no art. 5º, incs. IV, X, XII, XXVIII, XIX e XXXV, da Constituição Federal, arts. 7 e demais da Lei 12.965/2014, arts. 21 a 23 do Código Civil e artigo 10 da Lei nº 9.296/1996.

Nesse sentido, temos precedentes jurisprudenciais favoráveis a esse posicionamento[4], bem como a vigência da norma ABNT NBR ISO/IEC 27002:2013, que no item 7.1.2 trata dos Termos e Condições de Contratação e recomenda que os contratos com os colaboradores declarem as responsabilidades destes e as da empresa para com a segurança da informação, concordando especificamente com os termos e condições estipulados no contrato.

O modo como se dará o procedimento deve ser comunicado a todos os colaboradores, para que seja criada a cultura da inspeção na empresa, bem como para evitar a insubordinação.

Para que seja elaborado o procedimento de inspeção, tendo em vista o cenário complexo e híbrido de tipos de dispositivos distintos, bem como as inúmeras vulnerabilidades tecnológicas, é imprescindível a análise de riscos para diagnosticar a situação da segurança da informação na empresa e recomendar ações para as vulnerabilidades já existentes na empresa com dispositivos móveis particulares.

A inspeção independe da suspeita ou de incidentes específicos de vazamento de informações, mas deve ocorrer como medida preventiva de segurança. Recomenda-se, inclusive, que o procedimento seja rotineiro para que possa ser verificado se as configurações de segurança mínimas permanecem ativas e atualizadas, bem como se as autorizações de uso estão ocorrendo de forma ética e segura pelo colaborador.

Dentre algumas medidas técnicas aplicáveis para implementação do procedimento de forma correta, é sugerido à empresa:

  • Realizar uma avaliação para classificar os riscos e localizar onde residem todas as informações confidenciais corporativas;
  • Definir as “palavras-chave” que identificam informações críticas (para realização de varredura por meio de software no dispositivo);
  • Revisar os perfis de acesso remoto de cada usuário;
  • Analisar e mapear quais informações estão sendo acessadas por equipamentos particulares e por meio de aplicativos de comunicação (e-mail, WhatsApp, Dropbox e outros), permitindo com este mapeamento que a empresa defina claramente como executar a atividade de inspeção, ou seja, identificar onde elas estarão dentro do dispositivo, qual local padrão de armazenagem, evitando ter que acessar outras partições ou pastas. Por isso que, quando o empregador fornece o pacote de segurança, é mais fácil já estabelecer onde as informações corporativas ficarão armazenadas no dispositivo particular e proceder à inspeção sem acesso direto às informações pessoais (como pastas de fotos, por exemplo);
  • Sempre realizar a inspeção com a presença do colaborador, bem como cabe a ele o desbloqueio do seu equipamento particular (digitação da senha, se necessário);
  • Estabelecer requisitos padronizados de segurança que devem conter os dispositivos particulares, como exemplo:
    • softwares de segurança, antivírus, firewall, entre outros;
    • senhas de bloqueio automático;
    • funcionalidade de apagamento remoto das informações corporativas no equipamento pessoal.
  • Aplicar medidas técnicas-comportamentais, como uso de ferramenta (DLP, criptografia e outras) e realização de campanhas de conscientização.

Em razão da inspeção rotineira e/ou incidental, os colaboradores devem ser orientados a portar sempre a menor quantidade possível de dados pelo menor tempo em seus dispositivos móveis, tendo em vista os riscos de vazamento.

Além de instruir os colaboradores da ponta, é preciso exigir que gestores e líderes orientem suas equipes quanto ao uso ético, seguro e legal dos recursos tecnológicos particulares e que verifiquem se as medidas de segurança e políticas internas implementadas estão sendo devidamente aplicadas pelos colaboradores.

Na hipótese de, durante o procedimento, aquele que o realiza vir a acessar alguma informação íntima do colaborador, a mesma deve ser desconsiderada ou descartada de modo seguro (processo de clonagem ou cópia), já que foge da motivação de busca de informações corporativas (prevenção ao risco de vazamento).

Além disso, se possível, é importante que haja a instalação do pacote de segurança fornecido pela empresa, visto que este conjunto de softwares permite preestabelecer o que e onde será feita a busca de informações no dispositivo (como ocorre com a solução IBM de comunicador instantâneo corporativo, cujas mensagens ficam em pasta própria local).

Cabe ainda mencionar a existência de softwares no mercado tecnológico que possibilitam a inspeção remota de recursos específicos de equipamentos particulares, soluções de tecnologia MDM (Mobile Device Management), que são oferecidas até mesmo de forma gratuita, a exemplo da McAfee Mobile Security, Microsoft Azure e Symantec Enterprise Mobility. Deste modo, a inspeção física, mesmo que rotineira, não precisaria ser realizada com frequência, em razão da verificação remota, opção prática e segura para a equipe de Tecnologia da Informação.

Entretanto, caso a empresa não adote a utilização de softwares de inspeção e monitoria remota, ou mesmo que os utilize e eventualmente necessite averiguar o dispositivo manualmente, a inspeção física deve ser feita com a maior cautela possível para que os dados pessoais do colaborador não sejam expostos.

Recomendações específicas de conduta ética que devem ser observadas pela equipe que realizar o procedimento de inspeção:

  • A inspeção física deve ser acompanhada pelo próprio colaborador e, se possível, na presença de duas testemunhas, para assegurar a confiabilidade da execução e preservar a prova da realização idônea do procedimento;
  • A senha do dispositivo deve ser de conhecimento apenas do colaborador e em hipótese alguma poderá ser de conhecimento do inspetor, ou seja, para verificação do equipamento, é preciso que o próprio usuário digite a senha;
  • Os aplicativos de comunicação social, como WhatsApp, Facebook, Instagram e outros de uso particular do colaborador, não podem ser verificados em nenhuma hipótese;
  • O conteúdo de e-mails e mensagens particulares não podem ser verificados, sob pena de violação da intimidade e privacidade do colaborador;
  • Fotos e arquivos pessoais não poderão ser acessados pelo inspetor, é preciso ter o máximo zelo neste momento, pois há risco do colaborador deixar foto íntima propositalmente para que o técnico visualize e seja gerado incidente vexatório de autoexposição, ensejando futura causa trabalhista contra a empresa;
  • Ao final da inspeção, deverá ser gerado relatório detalhado acerca de todos os recursos que foram acessados e verificados no dispositivo particular. O relatório deverá ser assinado pelo colaborador, inspetor e testemunhas que acompanharam a inspeção física.

Todos os meios legais, bem como os moralmente legítimos, ainda que não especificados, são hábeis para provar a verdade dos fatos, em que se funda a ação ou a defesa[5]. Assim sendo, qualquer dado em meio digital que possa colaborar no sentido de provar que uma fraude ou irregularidade foi cometida e que possa estabelecer vínculo entre o incidente e a vítima, e entre a vítima e o agente.

Quando evidenciado algum incidente por parte do colaborador, ao inspetor caberá coletar prova de maneira cautelosa, tendo em vista que toda evidência digital pode ser adulterada, alterada ou destruída por manuseio ou exame impróprio.

A coleta deve ser feita no momento da inspeção, devendo ser realizada a cópia da evidência digital no processo de aquisição. Além disso, a cadeia de custódia dessa evidência é fundamental para preservação da prova.

O registro da cadeia de custódia deve ser feito por meio de um documento descrevendo, em ordem cronológica, todo o processo de identificação, coleta e aquisição da evidência digital, até o momento da localidade atual, além dos responsáveis. Em conformidade com a ABNT, na ISO 27037:2013, no item 6.1, que recomenda expressamente que o responsável descreva todas as aquisições de dados e informações que estiverem sob custódia da empresa.

Além disso, recomendamos o registro de ata notarial, sempre que cabível, porquanto sua força probatória substitui eventuais testemunhas, e dá maior segurança na apreciação da ocorrência ou existência do fato narrado.

Como as provas digitais são muito voláteis, a ata notarial faz-se imprescindível em casos de incidentes digitais. Esta modalidade de prova traz a boa-fé de um terceiro (que no caso é dotado de fé pública) e é de extrema importância, visto que o empregador é parte interessada na inspeção e precisa afastar qualquer acusação de que a prova possa ter sido “plantada”. Ademais, faz com que o evento perpetue-se (durabilidade da prova) e garanta que o fato existiu, caso venha a desaparecer.

Durante a vigência do contrato de trabalho, o empregador possui a faculdade de aplicar penalidades trabalhistas aos colaboradores que não cumprirem com as obrigações previstas no documento. A adoção de medidas punitivas, portanto, tem a finalidade de corrigir a conduta inadequada do trabalhador, bem como evitar que se repita, tornando inviável a manutenção do próprio contrato de trabalho.

Importante frisar que o poder de disciplina que cabe ao empregador deve ser exercido com moderação e compatibilidade em relação ao incidente ocasionado, dentro dos limites da proporcionalidade e razoabilidade.

O excesso de rigor de uma pena ou advertência que impeça a retratação e a retificação da conduta pode ensejar a rescisão indireta do contrato de trabalho, pois implica falta grave do empregador. Por isso existe a prática de documentar advertências para então embasar a justa causa (ou pela gravidade ou pela reiteração da conduta que demonstra má-fé).

Logo, as medidas punitivas devem ser aplicadas de forma gradual, sendo agravadas conforme houver repetição da falta, pois tem por fim proporcionar ao empregado a oportunidade de corrigir seu comportamento.

Oportuno recomendar que a empresa estabeleça claramente aos colaboradores que a recusa de inspeção determina a proibição e/ou restrição de uso do dispositivo móvel particular no ambiente da empresa (perímetro físico e não apenas durante o horário de trabalho), ou seja, para concessão e continuidade da autorização de uso, a ciência prévia e colaboração por parte do empregado, quando necessária, para ocorrência do procedimento de inspeção é condição inerente e dela não deve se abster o colaborador em qualquer hipótese.

Por fim, esclarecemos que, na legislação trabalhista vigente, não há previsão legal que discipline a concessão de advertência, sendo esta, portanto, originada do poder de direção do empregador e utilizada em dois sentidos na linguagem jurídica: de aviso e admoestação.

A advertência em casos de uso indevido ou de incidentes de segurança da informação deve ser feita por escrito e sempre registrada na ficha do empregado (prontuário do trabalhador seja ele físico ou digital), sendo vedada, entretanto, anotações desabonadoras à conduta deste empregado em sua Carteira de Trabalho e Previdência Social, nos termos do § 4º do art. 29 da Consolidação das Leis do Trabalho.

Neste cenário, recomendamos que, além da advertência, seja suspensa (provisoriamente) ou cancelada (definitivamente) a autorização de uso do recurso particular do colaborador no ambiente de trabalho, para afastar a ocorrência de novos incidentes.

Caso o funcionário se recuse a assinar a advertência, é aconselhável que o empregador colete a assinatura de duas testemunhas que presenciaram o fato e que viram a recusa do empregado em assinar a advertência. Dessa maneira, o empregador se resguarda para comprovar que houve a advertência, se necessário em sede judicial. A validade da advertência assinada por testemunhas é confirmada pelo Judiciário brasileiro[6].

A reiteração do uso indevido (não conforme as regras estabelecidas), ou não autorizado (quando houve recusa da inspeção anteriormente) do dispositivo móvel particular, no ambiente de trabalho relacionado às informações da empresa, pode acarretar rescisão por justa causa do contrato de trabalho.

Aplicada a advertência e reiterada a prática indevida pelo colaborador, poderá ser aplicada a suspensão das atividades laborais, como medida educativa para o empregado que, de alguma forma, violou as regras da empresa ou não cumpriu com o dever que lhe é imposto, inclusive com relação ao que foi pactuado no contrato de trabalho e no termo de autorização de uso.

Assim sendo, é lícito ao empregador suspender o empregado que cometeu algum ato impróprio de média gravidade. Porém, tal suspensão não poderá se prolongar por mais de 30 dias, sob pena de o empregador recair em uma falta grave, possibilitando ao empregado o ingresso de uma ação trabalhista pleiteando uma rescisão indireta do contrato de trabalho, como preceitua o art. 483 da CLT, além da incidência de multa administrativa por infringência ao art. 474 do mesmo Diploma Legal, o qual determina o mencionado prazo de 30 dias.

Aplicada advertência e suspensão, a demissão por justa causa será aplicada como punição máxima que se pode impor ao colaborador, conforme dispõe o art. 482 da CLT.

Insta ressaltar que a pena de rompimento da relação de emprego é reservada às faltas que implicam em violação séria e irreparável das obrigações contratuais assumidas (abrange inclusive hipóteses de quebra de confiança), concluindo-se, portanto, que não é qualquer descumprimento de contrato que dá direito ao empregador de rescindi-lo, porém, ao seguir a ordem cronológica de aplicação de penalidades neste parecer sugerida, a dispensa se torna legal e motivada.

Robert Siciliano, consultor da McAfee e especialista em roubo de identidades, afirmou que maioria dos dispositivos móveis permanece com informações mesmo após o procedimento de exclusão de arquivos pelo usuário. Além disso, os relatórios também apontam que os técnicos em tecnologia da informação conseguem realizar o apagamento integral de um dispositivo em menos de três minutos.

Portanto, é imprescindível que, no ato do desligamento, a equipe de Tecnologia da Informação consiga fazer o apagamento de informações corporativas por meio da inspeção adequada, preservando a intimidade e os limites de privacidade dos colaboradores, já apontados.

Entretanto, é vedada a coação ao funcionário, obrigando-o forçosamente a disponibilizar seu dispositivo, mesmo em razão do descumprimento da cláusula contratual. Ou seja, em razão das garantias constitucionais que lhe são previstas, o colaborador pode se recusar a entregar o dispositivo pessoal para análise do inspetor.

A empresa pode então, seguir dois caminhos:

  1. Amigável: documentar a recusa e coletar a assinatura do funcionário (caso se possa demonstrar posteriormente que a recusa em colaborar foi intencional e constatar o dano causado);
  2. Não amigável: já exige a necessidade de envolver autoridade (policial e/ou judicial com pedido de ordem de busca e apreensão). Em síntese, a apreensão de bens, neste caso, destina-se à preservação dos meios de prova e na tentativa de manutenção para utilização na instrução criminal. Sendo assim, durante a permanência do conjunto apreendido no distrito policial, a responsabilidade pela guarda segura eficiente análise e pronta destinação das coisas retidas é da polícia judiciária.

O intuito da inspeção é apenas garantir que o uso de dispositivos móveis particulares deve ser feito de maneira ética e segura, para que os colaboradores saibam suas responsabilidades ao portar informações corporativas e do dever de proteção destas no curso das atividades laborais.

Pretende-se igualmente evitar o desvio de finalidade da autorização de uso do dispositivo móvel particular, que deve ser estritamente profissional, tendo em vista as inúmeras vulnerabilidades tecnológicas existentes no mundo cibernético que podem afetar diretamente as atividades da empresa.

Portanto, a previsão da inspeção no contrato de trabalho, em Políticas e Normas internas protege ainda o empregador contra situações de vazamento ou subtração de informações, inclusive para casos em que o empregado se negue a ceder informação importante ou até mesmo decisiva ao negócio da empresa, mas que está em poder de seu dispositivo móvel particular. Por meio da comunicação prévia da possibilidade de inspeção, o colaborador fica sujeito a fornecer o dispositivo, caso haja algum caso excepcional que precise do devido tratamento, mitigando ou, ao menos, minimizando riscos que podem impactar a empresa de forma negativa.

[1] Autor: Trend Micro. Fonte: Bring Your Own Risk. Disponível em: Http://www.trendmicro.com/us/enterprise/challenges/it-consumerization/infographic/index.html. Acessado em 28.04.2015 às 14h58min.

[2] NASCIMENTO, Amauri Mascaro. Curso de Direito do Trabalho. 19ª edição. São Paulo: Editora Saraiva, 2004, p. 620/621.

[3] JUNIOR, Nelson Nery. Código Civil Comentado; Editora RT;2006; São Paulo, SP.

[4] TST; AIRR – 58941-85.2007.5.01.0052; Primeira Turma; Rel. Ministro Lelio Bentes Corrêa; DEJT 02/04/2012; e TRT-9 3058200513905 PR 3058-2005-13-9-0-5, Relator: LUIZ CELSO NAPP, 4A. TURMA, Data de Publicação: 16/10/2007.

[5] Art. 332 – Código de Processo Civil

[6] TST – AGRAVO DE INSTRUMENTO EM RECURSO DE REVISTA AIRR 913000620095030071 91300-06.2009.5.03.0071 (TST)

Luiz_Nov2015

Sobre o autor: Luiz Philippe Moura é advogado especialista em Direito Digital, formado pela Universidade Presbiteriana Mackenzie. Iniciou sua carreira como técnico em Tecnologia da Informação. Tem experiência em análise de dados empresariais no segmento econômico.