(+351) 213 243 750https://www.cnpd.pt/umbraco/surface/cnpdDecision/download/121821
Diretriz n.º 1/2018
Disponibilização de dados pessoais dos estudantes, dos docentes e demais trabalhadores no sítio da Internet das instituições de ensino superior
A utilização generalizada da Internet pelas instituições de ensino superior, com destaque para a criação de sítios (websites) próprios veio contribuir para uma aproximação e interação com a sociedade, através de uma maior exposição das suas atividades, bem como agilizando a relação com os estudantes, docentes e demais trabalhadores das instituições de ensino superior.
O recurso a meios eletrónicos no desempenho da atividade de ensino e de gestão do ensino é hoje inegável, sendo desejável que tais meios sejam utilizados para dar a conhecer decisões e outros atos emanados nesse contexto. No entanto, a rápida adesão a estes meios tecnológicos não foi, em geral, acompanhada pelo estabelecimento de critérios rigorosos que enquadrassem a disponibilização de informação pessoal na Internet, de modo a acautelar a defesa dos direitos, designadamente do direito à proteção de dados pessoais e ao respeito pela vida privada.
Em face da prática alargada de disponibilização de dados pessoais nos sítios da Internet das instituições de ensino superior, em alguns casos em contradição com as obrigações legais e com compressão dos direitos, liberdades e garantias dos titulares dos dados, afigura-se pertinente a delimitação dos termos em que tal disponibilização deve ser feita. Focar-se-ão nesta sede as situações mais comuns de disponibilização deste tipo de informação, remetendo para o enquadramento de outro tipo de dados pessoais para as considerações tecidas na Deliberação n.º 1495/2016, de 6 de setembro, relativa à Disponibilização de dados pessoais de alunos no sítio da Internet dos estabelecimentos de educação e ensino, com as devidas adaptações1. Considerando a delimitação do objeto da presente diretriz, não serão aqui analisados outros tratamentos de dados pessoais que aquelas instituições realizam.
Além disso, recorda-se que há todo um manancial de informação útil sobre a atividade das instituições de ensino que é difundida nos respetivos sítios da Internet e que não envolvem dados pessoais, isto é, não envolvem informação relativa a uma pessoa singular, identificada ou identificável2, razão por que não será aqui considerada.
A este propósito a Comissão Nacional de Protecção de Dados (CNPD) sublinha a importância de que a prossecução de outros interesses e princípios que regem a atividade das instituições de ensino superior, como seja o princípio da transparência administrativa quando em causa estejam entidades de natureza pública, seja feita sempre no respeito pelo princípio da minimização dos dados pessoais e, nessa medida, se opte pela divulgação agregada ou anonimizada, apenas quando seja estritamente necessário se avançando para a solução de disponibilizar dados pessoais.
No procedimento de elaboração desta diretriz, a CNPD promoveu uma consulta pública, tendo procurado considerar os diferentes argumentos apresentados, tanto por instituições do ensino superior, como por cidadãos, num total de sete contributos, e encontrar soluções acauteladoras dos diversos interesses manifestados, por vezes de cariz antagónico. Apenas não foram considerados os contributos que não se prendem diretamente com o tipo de tratamento de dados aqui analisado.
Assim, a CNPD vem fixar orientações para as instituições de ensino superior relativas aos limites legais para o tratamento de dados pessoais, na vertente da sua difusão através da Internet.
As situações aqui consideradas são apresentadas em função da categoria de titulares dos dados, começando por se analisar a divulgação de dados dos estudantes, para em seguida se focar a divulgação dos dados pessoais dos docentes e demais trabalhadores.
Disponibilização de dados pessoais dos estudantes
1.1. Pautas de classificação
A divulgação dentro da instituição de ensino das pautas de classificação dos estudantes tem na sua base um princípio de publicidade concretizado em regulamentos administrativos, que visa garantir a transparência e o controlo da atividade de avaliação, bem como o respeito pelos princípios da imparcialidade, da justiça e da igualdade entre os estudantes.
De acordo com o princípio da minimização dos dados pessoais, consagrado na alínea
c) do n.º 1 do artigo 5.º do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados, doravante identificado por RGPD), das pautas apenas devem constar os dados pessoais estritamente necessários ao cumprimento da finalidade de publicitação da avaliação dos estudantes, ou seja, somente o nome e número de cada aluno com a correspondente avaliação (em princípio, quantitativa) por disciplina – para além do ano letivo e porventura a turma.
Para atingir a finalidade da publicitação das classificações, não há qualquer necessidade de introduzir nessa pauta informações adicionais, tais como as faltas do aluno, a existência de eventual apoio social escolar ou outra informação que, existindo na ficha individual do aluno ou noutros registos, será sempre excessiva em relação ao objetivo que a pauta visa cumprir. Na verdade, tal informação não se prende diretamente com o resultado da avaliação, essa sim carecedora de publicidade, antes
correspondendo, quando muito, a pressupostos prévios à concretização da avaliação, como sucede com a presença ou participação num número mínimo de aulas3.
De todo o modo, e por aplicação ainda do princípio da proporcionalidade, a publicação de pautas na Internet não deve ser feita em página aberta e acessível a qualquer um, não apenas por alargar substancialmente o leque de destinatários, extravasando o fim pretendido, como também pelo impacto que a sua disponibilização na Internet tem na esfera jurídica dos estudantes. Com efeito, atentas as possibilidades oferecidas pela Internet de reprodução e armazenamento da informação por tempo ilimitado, e o facto de as classificações constituírem informação sensível sobre os estudantes, sujeita à produção de juízos estigmatizantes e à mercê da utilização abusiva por terceiros não identificados, entende a CNPD constituir um risco para a privacidade dos estudantes a disponibilização genérica das pautas de avaliação na Internet, não havendo base legal que fundamente essa difusão generalizada4.
Por isso a CNPD estabeleceu como orientação para os estabelecimentos de ensino a não publicação de pautas de avaliação de alunos em sítios da Internet de acesso livre5. As pautas entretanto publicadas na Internet devem, pelas razões expostas e por força da alínea c) do n.º 1 do artigo 5.º do RGPD, ser retiradas da Internet, tendo o cuidado de forçar o apagamento dos dados em cache nos motores de busca.
Importa sublinhar que a finalidade de dar a conhecer o resultado da avaliação ao principal interessado (o estudante concretamente avaliado) se cumpre com o acesso
por parte deste à sua classificação, pelo que a CNPD considera que os sistemas de informação que limitem o acesso de cada estudante à respetiva classificação são os mais consentâneos com a imposição legal de adoção de soluções técnicas que assegurem, por defeito, os dados estritamente necessários para a finalidade do seu tratamento (cf. n.º 2 do artigo 25.º do RGPD). Uma solução tecnológica que garanta a cada estudante, em primeira linha e por defeito, o acesso restrito à respetiva classificação não prejudica a possibilidade de, num segundo momento, ser possível aceder à pauta de uma unidade curricular a todos os que nesta estejam inscritos, tendo em conta a necessidade de salvaguardar o objetivo de controlo da avaliação sobretudo na perspetiva do respeito pelos princípios da igualdade, justiça e da imparcialidade que a imposição de publicitação tem subjacente.
No que diz respeito à prática de afixação das pautas no interior dos estabelecimentos de ensino superior, reconhece-se que, ao contrário do que sucede noutros níveis de ensino, aqueles são de entrada livre ou não restrita, não havendo garantia de que apenas os membros da respetiva comunidade académica a ela têm acesso. Nessa medida, à luz dos princípios da proporcionalidade e da minimização dos dados consagrados no RGPD, afigura-se ser mais adequada a publicitação das pautas em formato digital, uma vez que permite a estratificação do acesso à informação e reduz o risco de acesso indevido ou desnecessário aos dados pessoais.
Importa ainda notar que, para além da instituição de ensino superior nas condições acima descritas, nenhum terceiro pode difundir pautas de classificação. Na verdade, essa difusão implica um tratamento de dados pessoais de outrem sem que se vislumbre um fundamento reconhecido no RGPD6.
1.2 Decisões de natureza disciplinar e outro tipo de informações pessoais
Ainda em relação a dados pessoais dos estudantes, importa assinalar que outra informação que revele a sua situação financeira ou patrimonial, os seus consumos ou outros comportamentos, deve ser especialmente protegida para que o direito ao respeito pela vida privada7 não seja afetado. Assim, deve haver um especial cuidado em não disponibilizar em plataformas on-line ou noutros contextos informação relativa a apoios sociais, salvo no âmbito de procedimentos de atribuição dos mesmos com perfis de acesso restrito aos diretamente interessados no apoio.
Deve também garantir-se que decisões tomadas no âmbito de processos disciplinares não sejam tornadas públicas ou dadas a conhecer a quaisquer terceiros dentro da comunidade académica.
Recorda-se que a publicação de atos administrativos só é obrigatória quanto imposta por lei (cf. 159.º do Código do Procedimento Administrativo), sendo certo que a Lei n.º 62/2007, de 10 de setembro, que define o regime jurídico das instituições de ensino superior, não prevê a publicidade de decisões de aplicação de sanções disciplinares aos estudantes. Embora a referida lei reconheça autonomia disciplinar às instituições de ensino superior, conforma a competência regulatória relativa ao poder disciplinar sobre estudantes, determinando a aplicação subsidiária do disposto na lei que define o estatuto disciplinar dos funcionários e agentes da Administração Pública e no Código do Trabalho e demais legislação laboral aplicável (cf. alínea c) do n.º 2 do artigo 75.º).
Ora, a definição regulamentar de tal regime não pode contrariar a lei, nem ir além das opções nela vertidas no que se prende com a restrição dos direitos, liberdades e garantias dos cidadãos (cf. alínea b) do n.º 1 do artigo 165.º e n.º 5 do artigo 112.º da Constituição da República Portuguesa).
Analisados aqueles diplomas legais, conclui-se pelo afastamento legal da publicitação das decisões sancionatórias, como regra, nos termos do artigo 223.º da Lei Geral do Trabalho em Funções Públicas, aprovada pela Lei n.º 35/2014, de 20 de junho, alterada por último pela Lei n.º 73/2017, de 16 de agosto – a publicação da decisão
sancionatória apenas é imposta para suprir a impossibilidade de notificar o infrator, não assentando, pois, numa intenção de dar conhecimento generalizado da sua aplicação. Mas ainda que a lei não o dissesse expressamente, ao mesmo resultado se chegaria pela ponderação dos direitos e interesses em presença e a sua harmonização à luz do princípio da proporcionalidade. E, desde logo, por consideração do princípio da tipicidade legal das sanções, que faz depender de expressa previsão legal a aplicação de uma medida que tenha um efeito sancionatório.
Na verdade, a publicação ou divulgação de uma decisão sancionatória significa dar a conhecer a terceiros informação relativa a condutas ilícitas e a sanção aplicada em concreto, correspondendo em termos práticos a uma segunda medida de caráter sancionatório (acessória) que afeta significativamente a vida do respetivo destinatário. Em especial, quando essa divulgação seja concretizada no ambiente on-line, ambiente propício à fácil reprodução e perpetuação da informação, promove-se a criação de perfis negativos sobre os estudantes e o respetivo impacto estigmatizante.
Com efeito, nem a função punitiva, nem a função pedagógica ou preventiva da sanção disciplinar, parecem exigir mais do que a aplicação da sanção e a sua notificação ao destinatário respetivo, sendo certo que a divulgação generalizada por terceiros de tal sanção implicaria uma restrição desnecessária e excessiva do direito à proteção de dados pessoais sujeitos a um especial regime de proteção, previsto no artigo 10.º do RGPD, em violação do princípio da proporcionalidade consagrado na alínea c) do n.º 1 do artigo 5.º do RGPD.
De todo o modo, nada obsta à publicitação de informação estatística ou anonimizada sobre as sanções aplicadas numa dada instituição de ensino.
2. Dados pessoais dos docentes e demais trabalhadores da instituição de ensino superior
2.1 Relatórios sobre inquéritos pedagógicos
Nos termos do artigo 105.º, alínea c), da Lei n.º 62/2007, de 10 de setembro, compete ao conselho pedagógico das instituições de ensino superior promover a realização da
avaliação de desempenho pedagógico dos docentes, por estes e pelos estudantes, e a sua análise e divulgação. A lei não regula a forma de divulgação da avaliação.
Em causa estão documentos que integram informação relativa a pessoas singulares identificadas ou identificáveis, pelo que a sua divulgação constituirá sempre um tratamento de dados pessoais para o efeito dos n.ºs 1 e 2 do artigo 4.º do RGPD. Para além da identificação dos docentes, e dos diferentes aspetos da sua atividade profissional, que é também manifestação da vida privada, a avaliação que é realizada pelos estudantes congrega outro tipo de dados pessoais. Na verdade, o relatório sobre os inquéritos pedagógicos integra a avaliação que foi realizada pelos estudantes sobre cada docente, portanto, informação relativa a qualidades e conhecimentos dos docentes identificados, cujo tratamento tem um impacto considerável na esfera jurídica destes.
Com efeito, no contexto profissional, no desempenho das funções que lhes são adstritas, as pessoas revelam características e qualidades, as quais constituem informação sobre si próprias, para além de serem objeto de avaliações subjetivas por terceiros sobre tais características e qualidades, que, no seu conjunto, permitem fazer um perfil reputacional e comportamental, criando ou promovendo uma específica perceção da identidade e da personalidade dos docentes.
Acresce que tais juízos de valor formulados por terceiros resultam de uma avaliação anónima, a qual, não sendo desaconselhável, deixa contudo espaço para avaliações menos rigorosas, pela natural desresponsabilização que acompanha tal apreciação anónima (agravada quando a representatividade na avaliação é reduzida); o que, evidentemente, pode ter um impacto particularmente intenso na vida daqueles sobre os quais tais juízos são formulados, atenta a eventual inexatidão do perfil que assim venha a ser criado.
Nessa medida, o tratamento desta informação afeta não apenas o direito fundamental à proteção de dados pessoais, como também o direito fundamental à identidade pessoal e, ainda em certa medida o direito fundamental à reserva da vida privada, consagrados nos artigos 26.º e 35.º da Constituição da República Portuguesa (CRP).
Finalmente, esclarece-se que a publicação de relatórios com avaliação dos docentes não tem o mesmo enquadramento jurídico do que a avaliação dos estudantes. Isto porque a afixação das pautas de classificação dos alunos tem na sua base um princípio de publicidade legalmente imposto e concretizado em regulamentos administrativos, que visa garantir a transparência e o controlo da atividade do ensino e a igualdade entre os estudantes. Para além de, neste último caso, estar em causa somente classificação quantitativa e a avaliação ocorrer num contexto que torna efetivável a responsabilização dos avaliadores, o que reduz substancialmente o risco de criação de perfis comportamentais ou reputacionais acima assinalados. Não existem pois condições equivalentes que permitam invocar um princípio de reciprocidade no conhecimento ou publicidade dos resultados da avaliação de estudantes e docentes.
Assim, considerando a função dos relatórios pedagógicos, afigura-se que a finalidade visada com a divulgação do referido relatório parece poder ser ainda alcançada através da anonimização dos dados, em conformidade com o princípio da proporcionalidade e o princípio da minimização dos dados pessoais, nos termos da alínea c) do n.º 1 do artigo 5.º do RGPD. Ou seja, assegurando-se que a informação é disponibilizada on-line, em acesso restrito, à comunidade docente, com informação agregada da avaliação do conjunto das disciplinas por ano curricular, ou do conjunto das disciplinas no curso, dando-se a conhecer a cada um dos docentes apenas a respetiva avaliação8.
Sublinha-se que isto não impede que o resultado da avaliação, com a informação completa e portanto integrando dados pessoais, dever ser do conhecimento de todos os que dentro da comunidade académica estão legitimamente em condições de tomar decisões a partir da análise da informação dele constante (v.g., órgão diretivo, responsável pela disciplina e os avaliadores em sede do procedimento de avaliação de desempenho).
2.2 Avaliação de desempenho
No que diz respeito à avaliação de desempenho dos docentes, importa acautelar os diferentes direitos e interesses em presença.
A avaliação de desempenho é imposta pelo artigo 74.º-A do Estatuto da Carreira Docente Universitária, aprovado pelo Decreto-Lei n.º 448/79, de 13 de novembro, alterado por último pela Lei n.º 8/2010, de 13 de maio, e releva, nos termos do artigo 74.º-B, para efeito de contratação, renovação de contratos e alteração de posicionamento remuneratório de docentes.
A lei remete para regulamento das instituições de ensino superior a definição do procedimento e dos critérios de avaliação, fixando um conjunto de princípios. De entre esses princípios não consta o da publicidade do procedimento e da decisão, apenas se destacando, com interesse para a presente diretriz, o respeito pelo princípio da diferenciação do desempenho, a impugnabilidade da decisão de homologação e a aplicabilidade das garantias de imparcialidade previstas no CPA9.
Não se desconhece que a avaliação desempenho de um docente pode ter consequências na carreira ou vida profissional de outro docente (por eventual limitação do número de professores auxiliares a contratar por tempo indeterminado ou do número de docentes não integrados na carreira cujo contrato pode ser renovado; ou ainda se estiverem previstas quotas para a atribuição da classificação de excelente ou uma percentagem delimitada de prémios de desempenho). Reconhece-se, por isso, poder haver interesse por parte de alguns docentes no conhecimento da decisão final de avaliação (i.e., homologação da decisão do júri): os docentes que sejam suscetíveis de ficar afetados pela decisão no procedimento de avaliação (no caso de haver quotas para a atribuição da classificação de excelente, serão os classificados com a classificação imediatamente inferior a excelente; no caso de haver uma percentagem delimitada de prémios de desempenho, apenas os que obtiveram classificação
suscetível de merecer tal prémio) ou até num procedimento de contratação futuro (caso em que o universo de interessados fica restringido aos docentes da mesma área científica de docência e investigação). Já a genérica disponibilização on-line dos resultados da avaliação do desempenho, com acesso por todo e qualquer docente de determinada unidade orgânica, afigura-se desnecessária e excessiva, em contradição com o disposto na alínea c) do n.º 1 do artigo 5.º do RGPD.
A CNPD admite, em abstrato, como adequado e razoável um sistema de permissões de acesso que garanta a disponibilização dos resultados da avaliação de desempenho somente aos docentes diretamente interessados no procedimento de avaliação ou no âmbito de um previsível procedimento de contratação. Todavia, reconhece, por um lado, que a implementação de um sistema nestes moldes assuma um tal grau de complexidade, dada a volatilidade dos perfis de acesso, que dificilmente seja exequível; por outro lado, é inegável que o direito de conhecer a avaliação pode ser exercido por via de um pedido de acesso por cada um dos interessados diretos, nos termos gerais, não sendo por isso imprescindível que o direito seja garantido através da publicitação da informação na Internet – ainda que, na sequência do pedido, o acesso possa ser assegurado por via da atribuição, em cada caso, da correspondente permissão para aceder à informação disponível na plataforma10.
Com efeito, no final do procedimento, se em causa estiver uma avaliação que não é feita apenas em termos absolutos mas também em termos relativos – como aliás decorre, para as entidades públicas no contexto do SIADAP 3, do artigo 75.º da Lei n.º 66-B/2007, de 28 de dezembro –, deve ser reconhecido a qualquer trabalhador o direito de conhecer dos fundamentos da avaliação dos outros trabalhadores, para efeito de defesa dos seus direitos e interesses no âmbito de tal procedimento. Na medida em que a consulta da informação pretendida sem identificação dos titulares da mesma é suscetível de prejudicar a comparação da avaliação realizada, para efeito de
aplicação do princípio da igualdade, frustrando o objetivo do acesso, afigura-se que o direito à proteção de dados tem de ser, neste âmbito, comprimido, uma vez que o conhecimento dos dados pessoais (i.e., da informação com identificação dos seus titulares) se apresenta como o meio adequado e necessário à prossecução da finalidade visada com o acesso, em conformidade com o disposto no n.º 1 do artigo 268.º da Constituição da República Portuguesa e nos artigos 82.º e 83.º do CPA. E, como se referiu, esse acesso pode ser assegurado por diferentes meios, desde a disponibilização da informação em suporte de papel, em formato digital ou ainda por via da atribuição da correspondente permissão de acesso (criada perante cada pedido de acesso) à informação pertinente disponível na plataforma.
Assim, não se apresentando como imprescindível esta disponibilização on-line para garantir o conhecimento da informação pelos interessados diretos, e não sendo a disponibilização por esta via facilmente concretizável sem expor a informação aos docentes que não integram o universo desses interessados diretos, a CNPD conclui não ser admissível a disponibilização dos resultados da avaliação de desempenho no sítio da Internet das instituições de ensino superior.
Com as devidas adaptações, são estas conclusões extensíveis à avaliação dos demais trabalhadores nas instituições de ensino superior.
2.3 Decisões de natureza disciplinar
Com os fundamentos expostos supra, em 1.2., também as decisões sancionatórias que tenham como destinatários docentes ou demais trabalhadores das instituições de ensino superior não devem ser tornadas públicas ou dadas a conhecer à comunidade académica.
Recorda-se que a publicação de atos administrativos só é obrigatória quanto imposta por lei (cf. 159.º do Código do Procedimento Administrativo), sendo certo que a Lei n.º 62/2007, de 10 de setembro, embora reconhecendo autonomia disciplinar às instituições do ensino superior, remete para o regime legal disciplinar dos trabalhadores e no Código do Trabalho e demais legislação laboral aplicável (cf. alínea
a) e b) do n.º 2 do artigo 75.º), onde se determina não estarem as decisões sancionatórias não estão, por regra, sujeitas a publicação. Mas ainda que a lei não o dissesse expressamente, ao mesmo resultado se chegaria pela ponderação dos direitos e interesses em presença e a sua harmonização à do princípio da proporcionalidade, e ainda por consideração do princípio da tipicidade legal das medidas sancionatórias.
Com efeito, nem a função punitiva, nem a função pedagógica ou preventiva da sanção disciplinar parecem exigir mais do que a aplicação da sanção e a sua notificação ao destinatário respetivo, sendo certo que a divulgação generalizada por terceiros de tal sanção implicaria uma restrição desnecessária e excessiva do direito à proteção de dados pessoais sujeitos a um especial regime de proteção, previsto no artigo 10.º do RGPD, em violação do princípio da proporcionalidade previsto na alínea c) do n.º 1 do artigo 5.º do RGPD.
2.4 Outro tipo de informação
Finalmente, importa ainda considerar a disponibilização on-line de outro tipo de informação relativa aos docentes e trabalhadores das instituições de ensino superior.
Essa informação vem muitas vezes associada à estrutura organizacional da instituição, com identificação dos titulares de órgãos, bem como dos trabalhadores que compõem cada departamento ou serviço. A este propósito, cumpre notar que o interesse em tornar acessível informação relativa à organização da instituição (seja numa lógica de concretização do princípio da transparência, seja numa lógica de facilitar ou agilizar o contacto com a instituição) deve ser compatibilizado com os direitos dos titulares dos dados – sejam eles docentes ou trabalhadores não docentes.
Nesta perspetiva, não pode deixar de se assinalar que o princípio da minimização dos dados pessoais e, mais genericamente, o princípio da proporcionalidade impõem que a disponibilização dessa informação seja concretizada na estrita medida do adequado e necessário a prosseguir aquele interesse. Donde, ser admissível que seja disponibilizada na internet, em acesso livre, não só a informação relativa à
identificação (nome) e contactos dos titulares dos principais órgãos dirigentes da organização (v.g., reitor ou presidente, titular ou titulares do órgão diretivo), como também a relativa aos que desempenham funções de atendimento em serviços abertos ao público em geral (v.g., secretaria, biblioteca).
Já a divulgação de informação respeitante aos restantes trabalhadores que integram os demais serviços não se afigura ter utilidade para pessoas externas à comunidade académica da instituição em causa, pelo que só se pode ter por adequada, necessária e não excessiva a disponibilização dos nomes desses trabalhadores bem como respetivos dados de contacto (v.g., endereço eletrónico, extensão telefónica, identificação do gabinete ou sala) em contexto on-line de acesso reservado aos estudantes e trabalhadores da instituição.
* Aprovada na sessão plenária da Comissão Nacional de Protecção de Dados de 2 de outubro de 2018.
