O rastreamento de trabalhadores conectados pode reduzir o tempo de resposta a emergências, alertar as pessoas antes que entrem em áreas perigosas e ajudar as equipes de resgate a localizar alguém após uma queda. Também pode criar um registro detalhado de onde cada funcionário esteve e por quanto tempo permaneceu em cada local, e é aí que os problemas começam.

Já vimos projetos de rastreamento gerarem entusiasmo genuíno entre as equipes de segurança e operações, apenas para perderem força quando os departamentos de RH, jurídico ou representantes dos trabalhadores se envolvem. A preocupação deles raramente é com a tecnologia de rastreamento em si, mas sim com a possibilidade de um sistema de segurança se transformar, discretamente, em um sistema de vigilância.

A privacidade deve, portanto, ser um requisito de implementação desde o início, e não uma tarefa de conformidade adicionada após o projeto piloto. O objetivo é simples: coletar informações suficientes para proteger as pessoas sem criar um registro desnecessário de seu dia de trabalho.

Rastreamento de trabalhadores versus vigilância de funcionários: qual a diferença?

Um trabalhador aciona um botão de pânico dentro de uma fábrica de produtos químicos. A equipe de resposta precisa da localização exata imediatamente. Esse é um objetivo claro de segurança.

Mais tarde, um gerente abre o mesmo sistema para comparar quanto tempo cada funcionário passa em diferentes áreas de trabalho. Os dados não mudaram, mas a finalidade sim. O que começou como um rastreamento emergencial agora serve para monitorar o desempenho. É aqui que muitos projetos se complicam.

De acordo com o Regulamento Geral de Proteção de Dados (RGPD) da UE, as organizações devem definir o motivo pelo qual processam dados pessoais, coletar apenas o necessário para essa finalidade e evitar armazená-los por mais tempo do que o necessário. O Artigo 25 do RGPD também exige a proteção de dados desde a concepção e por padrão. Em contrapartida, o Artigo 35 pode exigir uma Avaliação de Impacto sobre a Proteção de Dados (AIPD) quando o processamento for suscetível de representar um alto risco para os direitos e liberdades das pessoas. ⁽¹⁾

Um identificador de dispositivo também pode ser considerado dado pessoal, mesmo que o banco de dados não exiba o nome do funcionário. Se outra tabela associar o ID do capacete A0372 a um funcionário específico, o registro de localização permanece identificável.

A privacidade desde a concepção deve, portanto, abranger todo o sistema:

• O dispositivo vestível e sua configuração
• Portais, servidores de rede e mecanismos de posicionamento
• Mapas, painéis de controle, bancos de dados e exportações.
• As pessoas e os processos que podem acessar a informação.

A criptografia é importante, mas é apenas uma camada. Por exemplo, a Lansitec Sensor de capacete LoRaWAN usa AES128 para o seu LoRaWAN comunicação. Isso protege a transmissão de dados, mas não decide se um supervisor deve ter acesso ao histórico de movimentação dos últimos seis meses. Essa decisão cabe ao responsável pela implantação, conforme definido no aplicativo e em suas políticas operacionais.

Como definir um propósito claro para o rastreamento de funcionários

“O termo ”rastreamento de trabalhadores” é muito amplo para orientar uma implementação que respeite a privacidade. Em vez disso, defina os resultados de segurança exatos. Uma declaração de propósito adequada poderia ser:

O sistema detecta alarmes acionados pelos trabalhadores, quedas, entrada em zonas de risco definidas e permanência prolongada em áreas controladas. Ele fornece informações de localização para equipes de resposta autorizadas durante um evento de segurança ativo ou evacuação.

Essa declaração estabelece limites úteis. Ela não autoriza a avaliação da produtividade, a análise contínua de frequência, a otimização de rotas por indivíduo ou o monitoramento disciplinar.

A limitação de finalidade também impede a expansão silenciosa após a implementação. Se a gestão posteriormente desejar usar o histórico de localização por outro motivo, a organização deverá realizar uma avaliação separada de necessidade, proporcionalidade e fundamento legal. Os dados de segurança não devem se tornar automaticamente dados de desempenho simplesmente porque o painel de controle permite isso.

Como o rastreamento de funcionários baseado em eventos protege a privacidade

Nem todos precisam de um mapa em tempo real de todos os seus funcionários. Um sistema que respeita a privacidade pode manter uma visibilidade geral das atividades rotineiras, revelando mais detalhes apenas durante eventos específicos. Em condições normais, o painel pode mostrar apenas:

• O número de pessoas presentes em cada zona de segurança.
• Se os dispositivos vestíveis atribuídos estão online
• Alertas não resolvidos de queda, pânico, permanência excessiva ou zona.
• O estado de evacuação de uma área de trabalho.

Quando um trabalhador aciona o botão de pânico, o sistema pode expor a localização atual ou a última localização conhecida dessa pessoa à equipe de resposta autorizada. A mesma regra pode ser aplicada após um alarme de queda, durante uma evacuação ou quando alguém permanece por tempo excessivo em um espaço confinado.

Esta é uma visibilidade exclusiva para emergências. Ela fornece aos socorristas o que eles precisam sem transformar operações de rotina em observação contínua.

O Sensor de capacete Lansitec Oferece uma base prática para essa abordagem. Suporta posicionamento GNSS em ambientes externos, posicionamento Bluetooth em ambientes internos, intervalos de relatório configuráveis, detecção de desgaste e queda, alarmes de pânico, alertas de zona e alarmes de permanência excessiva. No entanto, a plataforma escolhida pelo cliente deve definir quem pode visualizar os dados resultantes e sob quais condições.

Acesso baseado em funções para dados de localização do trabalhador

Um erro comum de implementação é dar aos gerentes o mesmo acesso que aos socorristas. É fácil de configurar, mas difícil de justificar.

Atribua permissões de acordo com a necessidade operacional:

Papel	Acesso adequado	Acesso a ser evitado por padrão
socorrista	Localização precisa durante um alarme ativo, evacuação ou resgate.	Movimento histórico rotineiro
Gerente de EHS (Saúde, Segurança e Meio Ambiente)	Alertas de segurança, registros de incidentes, tendências de risco por zona	Rastreamento não relacionado a incidentes
Supervisor de linha	Número de funcionários, status do dispositivo, alertas não resolvidos	Histórico contínuo de localização individual
RH	Políticas, reclamações e documentação de incidentes aprovada	Mapas de trabalhadores vivos
administrador de TI	Saúde do dispositivo, configuração, IDs de dispositivo pseudônimos	Mapeamento da identidade do trabalhador onde for desnecessário

Separe os dados de identidade dos dados de localização sempre que possível. Um administrador de TI pode precisar solucionar problemas em um sensor de capacete sem saber quem o está usando. Um socorrista pode precisar da conexão entre identidade e localização durante uma emergência. Nenhum desses requisitos justifica conceder a todos os administradores acesso irrestrito a ambos os conjuntos de dados.

O acesso privilegiado também deve exigir contas individuais. Credenciais compartilhadas na "sala de controle" impossibilitam determinar quem visualizou ou exportou o histórico de um funcionário.

Por quanto tempo os dados de localização dos funcionários devem ser armazenados?

O rastreamento contínuo pode gerar um volume enorme de dados de localização. Manter todos esses dados "por precaução" aumenta os riscos legais, de segurança cibernética e de relações trabalhistas, sem necessariamente melhorar a segurança.

Crie um cronograma de retenção para cada categoria de dados, em vez de um período único e abrangente:

Categoria de dados	abordagem prática de retenção
Localização em tempo real	Utilizar para operações em andamento; evitar manter um rastro contínuo, a menos que seja necessário.
presença de rotina na zona	Excluir ou agregar após o término da necessidade operacional.
Evento de pânico, queda ou permanência excessiva	Manter sob a política de investigação de incidentes aprovada.
Diagnóstico de dispositivos	Manter separado da identificação do trabalhador, sempre que possível.
tendências de segurança agregadas	Reter por mais tempo somente após a desidentificação efetiva.
Atribuição de crachá de visitante	Expira após a visita e um breve período de reconciliação.

Não existe um período de retenção universal que se aplique a todas as situações. As normas de segurança do trabalho, os requisitos de investigação de incidentes, as obrigações de seguros e as leis laborais nacionais variam. O artigo 88.º do RGPD permite especificamente que os Estados-Membros da UE introduzam regras mais detalhadas relativas ao tratamento de dados pessoais. ⁽¹⁾

O importante é escolher e documentar cada período antes do início da coleta. A exclusão deve ocorrer automaticamente. Uma política que diz "excluir após 30 dias" tem pouca utilidade se nenhum processo remover efetivamente os registros do banco de dados principal, das exportações e dos backups.

Como usar dados de rastreamento de trabalhadores sem identificar os funcionários

Sistemas de trabalhadores conectados podem revelar padrões úteis sem expor nomes de indivíduos. As equipes de segurança podem querer saber:

• Quais zonas de risco geram o maior número de alertas?
• Quando ocorrem eventos de superlotação ou permanência prolongada
• Quanto tempo leva a contagem das pessoas evacuadas?
• Se determinadas áreas apresentam cobertura de posicionamento deficiente.

Essas questões geralmente exigem tendências, não registros de movimentos individuais. A agregação reduz o risco à privacidade, mas não o elimina automaticamente. Um relatório mostrando que "um trabalhador" passou 47 minutos em uma sala restrita ainda pode identificar essa pessoa. Defina tamanhos mínimos de grupo, suprima grupos muito pequenos, remova registros de data e hora desnecessários e verifique se combinações de turno, função e localização podem revelar um indivíduo.

Pseudonimização e anonimização também são diferentes. Substituir o nome de um funcionário por um número de dispositivo é pseudonimização se a organização puder associar o número à pessoa. Os dados ainda se enquadram nas normas de proteção de dados.

Como gerenciar o rastreamento de visitantes e crachás temporários

Os crachás de visitante criam um problema de privacidade menor, mas facilmente ignorado. Os visitantes podem não participar da reunião informativa com os funcionários, não entender a terminologia do local ou não esperar que seus movimentos sejam registrados.

Utilize um identificador de visitante temporário e mantenha o mapeamento de identidade na recepção ou no sistema de controle de acesso. Explique a função do crachá ao emiti-lo, especialmente se ele gerar alertas de entrada em zonas específicas. O acesso deve expirar automaticamente ao final da visita.

Não reutilize o registro de atribuição do visitante anterior ao entregar o crachá para um novo visitante. O dispositivo físico pode ser reutilizado, mas a associação de identidade e os dados da sessão devem ser encerrados primeiro.

Para muitos locais, o rastreamento de visitantes pode permanecer estritamente baseado em eventos: entrada confirmada, aviso de zona restrita, reunião de emergência, e devolução do crachá. Um roteiro histórico detalhado geralmente agrega pouco valor.

O que os trabalhadores devem saber sobre rastreamento de localização

Uma declaração vaga como "o rastreamento é usado para fins de segurança e operacionais" não gera confiança. Além disso, deixa muita margem para interpretação.

Os trabalhadores devem receber respostas em linguagem simples para quatro perguntas:

1. Que eventos e dados de localização o dispositivo coleta?
2. Quem pode ver informações em tempo real e históricas?
3. Por quanto tempo cada tipo de registro é mantido?
4. Os dados podem ser usados para decisões de desempenho ou disciplinares?

A comunicação deve ocorrer antes do projeto piloto, e não depois que os trabalhadores perceberem as novidades. sensores em seus capacetes.

A consulta também é importante. Representantes de segurança, sindicatos, comissões de trabalhadores, RH, segurança de TI e o Encarregado de Proteção de Dados podem identificar problemas que a equipe técnica não consegue detectar. Por exemplo, o envio contínuo de relatórios GNSS pode continuar durante o horário de almoço fora das instalações. A solução poderia, em vez disso, pausar o rastreamento vinculado à identidade fora do horário de trabalho, usar um processo de ancoragem no final do turno ou restringir o envio de relatórios ao local de trabalho.

Não assuma que o consentimento do trabalhador resolve o problema. As orientações da UE reconhecem o desequilíbrio entre empregadores e trabalhadores, o que muitas vezes torna o consentimento no local de trabalho inadequado como principal fundamento jurídico. (3)(4) A organização deve identificar um fundamento jurídico apropriado e demonstrar que o acompanhamento continua a ser necessário e proporcional.

Como auditar o acesso aos dados de localização dos funcionários

Se a plataforma registra os trabalhadores, também deve registrar como os administradores a utilizam.

Os registros de auditoria devem capturar:

• Quem visualizou os dados de localização precisos?
• Qual registro de funcionário ou dispositivo eles abriram?
• Quando eles exportaram, alteraram ou excluíram informações.
• Seja o acesso relacionado a um alarme, investigação ou tarefa de suporte aprovada.

Analise esses registros. Não os colete apenas para cumprir uma lista de verificação.

Ações sensíveis podem exigir um código de motivo, número de protocolo ou ID de incidente. Algumas operações também podem se beneficiar da aprovação de duas pessoas antes da exportação de um histórico de movimentação extenso.

Lembre-se de que os registros de auditoria contêm dados pessoais sobre os administradores. Restrinja e retenha esses dados de acordo com a finalidade documentada para a qual foram coletados.

Como testar a privacidade do rastreamento de funcionários antes da implementação

Um teste piloto técnico verifica se o sistema consegue localizar um trabalhador. Um teste de privacidade verifica se ele se comporta adequadamente quando ninguém está em perigo.

Antes de entrar em produção, teste cenários como:

• Um supervisor tenta observar um funcionário sem nenhum alarme ativado.
• Um administrador exporta mais histórico do que o permitido por sua função.
• O crachá de visitante permanece associado ao seu antigo portador.
• Um trabalhador deixa o local ainda usando o dispositivo.

Uma Avaliação de Impacto sobre a Proteção de Dados (AIPD) oferece uma forma estruturada de examinar esses riscos. O Conselho Europeu de Proteção de Dados recomenda a aplicação da proteção de dados desde a concepção, ao longo de todo o ciclo de processamento, desde a seleção da tecnologia e das configurações padrão até a exclusão e o descarte. ⁽²⁾

Faça esse trabalho enquanto as opções de configuração ainda estiverem em aberto. A privacidade se torna muito mais cara quando os painéis, as integrações e as expectativas de gerenciamento já estiverem definidos em torno de dados irrestritos.

O rastreamento de trabalhadores pode melhorar a segurança sem vigilância contínua?

O rastreamento de trabalhadores conectados pode proteger as pessoas sem a necessidade de documentar indefinidamente cada movimento.

Comece com um objetivo específico de segurança. Mantenha a visibilidade rotineira em níveis gerais. Revele a localização precisa apenas durante emergências definidas. Separe as funções operacionais, limite a retenção de dados, agregue análises, explique o sistema claramente e audite o acesso.

A tecnologia pode oferecer suporte tanto à segurança quanto à vigilância. A privacidade desde a concepção é o que determina qual sistema você realmente implantará.

Referências

1. Regulamento (UE) 2016/679, incluindo os artigos 5.º, 25.º, 35.º e 88.º
2. Conselho Europeu de Proteção de Dados: Diretrizes 4/2019 sobre Proteção de Dados desde a Conceção e por Padrão
3. Grupo de Trabalho do Artigo 29: Parecer 2/2017 sobre o Tratamento de Dados no Trabalho
4. Comissão Europeia: Quando o consentimento é válido?