Pode um empregador ganhar um processo com uma prova que não devia ter? A questão da prova ilícita no processo laboral à luz do RGPD acaba de receber uma resposta do Tribunal de Justiça da União Europeia, no Ac. TJUE de 18.06.2026, proc. C-484/24 (NTH Haustechnik). A resposta surpreenderá muitos: o tribunal nacional pode utilizar essa prova. Mas a leitura apressada do acórdão pode custar caro a quem gere pessoas e dados.
O caso NTH Haustechnik: dados pessoais do trabalhador conservados sem prazo
Os factos são quase caricaturais. Numa empresa alemã de climatização, a trabalhadora era casada com o gerente. O contrato de trabalho cessou em outubro de 2019, mas ela manteve acesso às instalações e aos computadores da empresa até à separação do casal, em junho de 2022. Logo após a separação, a empresa, atuando através de um trabalhador que era filho de ambos, acedeu à conta privada de eBay da antiga trabalhadora e concluiu que esta teria vendido bens da empresa no valor de 13.217,09 euros, reclamando um prejuízo total de 46.567,91 euros.
Como foram obtidas as credenciais de acesso? Segundo a versão da empresa, através do histórico de navegação de um computador utilizado pela trabalhadora e de um ficheiro guardado no servidor, onde a palavra-passe permanecia registada anos depois da cessação do contrato. A trabalhadora contesta e alega que o acesso foi conseguido através da substituição do cartão SIM do telemóvel que utilizava, registado em nome da empresa. Em qualquer das versões, o tribunal de reenvio não excluiu que a recolha dos dados tenha sido ilícita.
A empresa levou essa prova a tribunal, num pedido de indemnização contra a antiga trabalhadora. O Landesarbeitsgericht da Baixa Saxónia perguntou ao TJUE se o próprio tribunal, ao utilizar prova recolhida em violação do RGPD, estaria a realizar um tratamento de dados ilícito.
A pergunta tinha um alcance enorme: se a resposta fosse afirmativa, a violação do RGPD na recolha contaminaria irremediavelmente o processo judicial.
Pode um tribunal usar provas obtidas em violação do RGPD?
Sim. Segundo o TJUE, o RGPD e a Carta dos Direitos Fundamentais não impedem que um tribunal nacional utilize provas com dados pessoais obtidos ilicitamente. O tratamento realizado pelo tribunal é necessário ao cumprimento de uma obrigação legal que serve o direito a um processo equitativo, o qual deve ser ponderado com o direito à proteção de dados, que não é absoluto.
Dito isto, o acórdão não é um cheque em branco. O TJUE acrescentou três precisões que merecem atenção.
Primeira: antes de divulgar esses dados às outras partes ou a terceiros, o tribunal deve verificar o princípio da minimização e adotar medidas de proteção adequadas. A prova entra, mas entra filtrada.
Segunda: o art. 17.º, n.º 3, al. e), do RGPD (a exceção ao direito ao apagamento quando os dados são necessários à defesa de direitos em juízo) não constitui fundamento autónomo de licitude do tratamento. Quem conserva dados para «um dia poder precisar» continua sem base legal.
Terceira: uma parte não pode invocar em seu benefício a violação dos direitos RGPD de terceiros. Cada um defende os seus dados, não os dos outros.
O acórdão acompanhou, no essencial, as conclusões do Advogado-Geral Spielmann, de 16.10.2025, apresentadas a pedido do Tribunal e centradas no princípio da limitação da conservação (art. 5.º, n.º 1, al. e), do RGPD). Para o Advogado-Geral, a violação desse princípio na recolha ou na conservação originárias não impede o tratamento judicial posterior dos dados, cabendo ao direito nacional, no quadro da autonomia processual dos Estados-Membros, definir a admissibilidade da prova, com respeito pelos princípios da equivalência e da efetividade, por um objetivo de interesse público e pela proporcionalidade. O Tribunal citou expressamente as conclusões ao afirmar que o RGPD não contém uma proibição geral e absoluta de o tribunal considerar dados que foram objeto de tratamento ilícito anterior. Foi, porém, mais longe na arrumação dogmática: ancorou o tratamento judicial no cumprimento de uma obrigação jurídica do próprio tribunal (art. 6.º, n.º 1, al. c)), em vez do exercício de funções de interesse público (al. e)), e acrescentou o filtro da minimização antes da divulgação dos dados.
Há, porém, algo que o acórdão não decidiu: em momento algum o TJUE validou a conduta da empresa. A conservação das credenciais sem prazo nem finalidade continua a ser uma violação autónoma, sancionável com coimas pela autoridade de controlo e fonte de responsabilidade civil perante a titular dos dados (art. 82.º do RGPD). A prova pode salvar o processo; não salva o empregador da infração cometida para a obter.
Em Portugal: videovigilância como meio de prova e dados pessoais do trabalhador
O debate não é novo entre nós. A jurisprudência portuguesa construiu, ao longo de duas décadas, um equilíbrio próprio sobre a prova obtida através de meios tecnológicos.
O Ac. STJ de 22.05.2007, proc. n.º 07S054 (Pinto Hespanhol) fixou a leitura do art. 20.º do Código do Trabalho: os meios de vigilância à distância não podem ter por finalidade controlar o desempenho profissional do trabalhador, e a prova assim obtida é ilícita. Já o Ac. STJ de 13.11.2013, proc. n.º 73/12.3TTVNF.P1.S1 (Mário Belo Morgado) admitiu os registos de GPS de viatura de serviço como meio de prova em despedimento por justa causa, por concluir que o GPS, naquele contexto, não constituía meio de vigilância à distância nem invadia a reserva da vida privada.
A Lei n.º 58/2019, que assegura a execução do RGPD, veio depois delimitar a utilização das imagens de videovigilância, admitindo-a no âmbito do processo penal e, por essa via, no apuramento de responsabilidade disciplinar. O Tribunal Europeu dos Direitos Humanos, por seu lado, no caso López Ribalda e outras c. Espanha (Grande Câmara, 17.10.2019), aceitou que imagens de videovigilância encoberta, dirigida a furtos em curso, fossem utilizadas sem violação da Convenção, mediante um juízo de proporcionalidade.
O acórdão NTH Haustechnik reforça esta linha de ponderação casuística: a ilicitude na recolha não determina, automaticamente, a inadmissibilidade da prova. O tribunal pondera, caso a caso, o direito à prova e o direito à proteção de dados.
O acórdão traz ainda um recado para os sistemas processuais nacionais. Quando a lei nada diz sobre as condições de utilização de prova com dados pessoais, é necessário que exista jurisprudência clara, precisa e previsível a definir as circunstâncias e condições dessa utilização, que prossiga um objetivo de interesse público e seja proporcionada. A observação interessa diretamente a Portugal, onde o regime da prova ilícita no processo civil e laboral assenta, em larga medida, em construção jurisprudencial e doutrinária. A previsibilidade das decisões dos nossos tribunais passa a ser, também, uma exigência de conformidade com o RGPD.
O que deve o empregador fazer (antes de precisar da prova)
A lição prática do acórdão está menos na admissibilidade da prova e mais no erro de origem da empresa. Quatro medidas reduzem drasticamente o risco:
- definir e cumprir prazos de conservação dos dados de trabalhadores, com eliminação efetiva após a cessação do contrato, salvo fundamento concreto de conservação;
- revogar acessos, credenciais e contas partilhadas no momento da saída do trabalhador, com registo documentado dessa operação;
- adotar um protocolo interno de recolha de prova em caso de suspeita de infração, com avaliação prévia de licitude, proporcionalidade e minimização, envolvendo o encarregado de proteção de dados;
- preferir sempre os meios de prova lícitos disponíveis antes de recorrer a dados pessoais, porque a prova ilícita, mesmo quando admitida, pode transportar consigo sanções e pedidos de indemnização.
A prova ilícita pode vencer o litígio laboral e, ao mesmo tempo, abrir um segundo litígio contra o empregador.
A questão que fica em aberto é esta: perante um quadro em que o TJUE admite a prova mas mantém intacta a sanção pela recolha, quantas empresas continuarão a tratar a retenção indiscriminada de dados como um seguro barato? A sua organização sabe, hoje, que dados conserva de antigos trabalhadores e porquê?
David Carvalho Martins
