Dados sensíveis RGPD: onde se escondem no papel do escritório

Os dados sensíveis, RGPD artigo 9.º, são nove categorias: origem racial ou étnica, opiniões políticas, convicções religiosas ou filosóficas, filiação sindical, dados genéticos, dados biométricos que identificam, saúde, vida sexual e orientação sexual. A regra é a proibição, com dez exceções.

Num escritório português quase nunca aparecem com esse nome. Aparecem como uma linha de desconto no recibo, um pedido de dispensa às sextas ao fim da tarde, um atestado anexado a um email sobre o IRS. E é assim, dentro de um texto que alguém quer resumir, corrigir ou transformar numa resposta, que chegam a uma ferramenta de inteligência artificial.

Esta guia trata desse caminho. Onde estão os dados sensíveis no papel que um gabinete de contabilidade, um escritório de advogados ou os recursos humanos de uma PME tocam todos os dias, o que o artigo 9.º muda quando esse papel é colado num assistente, e o que se tira antes para que a IA receba o texto sem saber de quem é.

A saúde é uma das nove, e tem guia própria, pensada para clínicas e consultórios. Aqui o peso está nas outras oito, e no papel que as mistura.

Dados sensíveis, RGPD e inteligência artificial: a exceção que falta

Qualquer tratamento de dados pessoais precisa de uma base do artigo 6.º do RGPD: um contrato, uma obrigação legal, um interesse legítimo, o consentimento. Para os dados do artigo 9.º isso não basta. O n.º 1 começa por proibir, e o tratamento só é lícito se, além da base do artigo 6.º, couber numa das dez alíneas do n.º 2.

9categorias no artigo 9.º, n.º 1

10exceções à proibição, alíneas a) a j)

2fundamentos a verificar em vez de um

Para um escritório, três dessas alíneas fazem quase todo o trabalho. A alínea b) cobre o que a legislação laboral e de segurança social obriga ou permite: é a que legitima a quota sindical no processamento de salários. A alínea f) cobre a declaração, o exercício ou a defesa de um direito num processo judicial: é a do advogado. A alínea e) cobre o que o próprio titular tornou manifestamente público.

A exceção vale para uma finalidade, não para um documento

O que as três têm em comum é que autorizam um tratamento para um fim. A alínea b) autoriza tratar a filiação sindical para cumprir a lei laboral, não para tudo o que se faça depois com o ficheiro onde ela está. Quando alguém cola o mapa de salários numa IA para lhe pedir um resumo de custos, a pergunta é se esse novo uso ainda cabe na exceção que justificou o primeiro.

Muitas vezes cabe mal. E um assistente de IA acrescenta um destinatário: o fornecedor da ferramenta passa a receber o texto como subcontratante, com o contrato do artigo 28.º que isso exige. Os critérios para escolher esse fornecedor têm guia própria. Aqui interessa o conteúdo do que se cola.

O verbo que alarga tudo: revelar

O artigo 9.º não fala de dados que digam a religião de alguém. Fala de dados pessoais que revelem a origem racial ou étnica, as opiniões políticas, as convicções religiosas ou a filiação sindical. A diferença parece de estilo e é de alcance: um dado que permite deduzir a categoria entra nela, mesmo que ninguém a tenha escrito.

Para a saúde, o considerando 35 diz o mesmo por outras palavras: conta qualquer informação sobre uma doença ou deficiência, independentemente da sua fonte. Por isso o recibo com dois dias de baixa é um dado de saúde sem ter uma palavra de diagnóstico, e o pedido de dispensa ao pôr do sol de sexta é um dado religioso sem nomear igreja nenhuma.

As nove categorias no papel de um escritório português

A lista do RGPD é abstrata. O papel não é. Esta tabela junta cada categoria ao documento português onde ela costuma aparecer sem que ninguém a veja como sensível.

categoria	onde aparece	porque passa despercebida
Filiação sindical	recibo de vencimento, mapa de quotizações, faltas por crédito de horas	é uma linha de desconto entre outras
Convicções religiosas	pedido de dispensa por motivo religioso, consignação do IRS, educação religiosa num acordo de responsabilidades parentais	vem dentro de um horário ou de uma declaração fiscal
Opiniões políticas	pedido de proteção internacional, correspondência sobre filiação partidária	está no motivo, não no formulário
Origem racial ou étnica	processos de asilo e de discriminação	confunde-se com nacionalidade, que não é categoria especial
Vida ou orientação sexual	processos de família, declaração conjunta de IRS	deduz-se do nome do cônjuge ou de uma alegação
Dados biométricos	registo de assiduidade por impressão digital	parece um relógio de ponto
Saúde	baixa no recibo, atestado multiuso para o IRS	entra pelo fiscal, não pelo clínico

Critério próprio, a partir do artigo 9.º do RGPD e dos diplomas citados em cada secção. Os dados genéticos ficam fora da tabela: fora da saúde e dos seguros, quase nunca chegam a um gabinete.

A linha da saúde fica numa frase porque tem dona. O atestado médico de incapacidade multiuso traz o grau de incapacidade da pessoa, o gabinete recebe-o para o IRS, e uma deficiência é dado de saúde, diz o considerando 35; o que se faz com relatórios clínicos está na guia do RGPD na saúde. As secções seguintes tratam as outras linhas, pela ordem em que aparecem num escritório.

A quota sindical no recibo de vencimento

O Código do Trabalho manda o empregador entregar ao trabalhador, até ao pagamento, um documento com o nome completo, o número de segurança social, a categoria, a retribuição, os descontos ou deduções e o líquido a receber. É o artigo 276.º, n.º 3, e é por isso que o recibo português traz sempre o NISS ao lado do nome.

Se o trabalhador pediu que a quota sindical lhe seja descontada, ela aparece nesse mesmo documento, como mais um desconto. O artigo 458.º explica porquê: o empregador cobra e entrega a quota quando o trabalhador o autoriza ou opta por isso, por declaração escrita e assinada, que indica o valor e o sindicato a que se destina. A entrega faz-se até ao dia 15 do mês seguinte.

O Código do Trabalho já limitou a finalidade

A mesma subsecção do Código tem uma frase que quase ninguém cita quando se fala de IA. O artigo 457.º, n.º 3, permite ao empregador o tratamento informático dos dados dos trabalhadores referentes a filiação sindical, desde que sejam exclusivamente utilizados para cobrança e entrega de quotas sindicais.

Exclusivamente. Um resumo da folha de salários, uma comparação de custos entre meses, um email ao cliente redigido a partir do mapa de descontos: nada disto é cobrar nem entregar quotas. Se o texto que se cola numa IA leva a filiação agarrada a um nome, o uso já está fora do que o Código autoriza, antes de se discutir o que o fornecedor faz com ele.

O gabinete que processa os salários está na lei

A lei que executa o RGPD em Portugal, a Lei n.º 58/2019, tem uma norma que nomeia a profissão. O artigo 28.º, n.º 2, estende o tratamento que o empregador faz dos dados dos trabalhadores ao subcontratante ou contabilista certificado que o faça em nome dele, para gerir as relações laborais, havendo contrato de serviços e o mesmo sigilo.

É uma porta, mas é a mesma porta. O gabinete herda a finalidade do empregador e os seus limites, incluindo o do artigo 457.º. Para um contabilista certificado, os campos a tirar de um recibo antes de o colar estão na guia escrita para o contabilista certificado, e o que a ferramenta muda num gabinete está na página para contabilistas certificados.

O crédito de horas também conta

Há uma forma de revelar a filiação sem linha de quota. O artigo 468.º dá aos membros da direção de uma associação sindical um crédito de horas equivalente a quatro dias de trabalho por mês, e faltas justificadas, para exercer essas funções; e a direção do sindicato comunica ao empregador quem são, até 15 de janeiro de cada ano.

4

Quando essas faltas passam para o processamento, a linha «faltas justificadas, crédito de horas de dirigente sindical» diz mais do que a quota: diz que a pessoa dirige o sindicato. É um dado que o recibo carrega sem destaque, e que segue inteiro para qualquer ferramenta a que se cole o documento.

A religião entra pelo horário e pela declaração de IRS

A Lei da Liberdade Religiosa, de 22 de junho de 2001, dá aos trabalhadores o direito de suspender o trabalho no dia de descanso semanal, nas festividades e nos períodos prescritos pela confissão que professam. O artigo 14.º põe três condições: horário flexível, pertença a uma igreja ou comunidade inscrita que comunicou esses dias ao Governo no ano anterior, e compensação integral do tempo.

Quer dizer que o pedido de dispensa não se faz sem dizer a confissão, porque é ela que dá o direito. Chega aos recursos humanos por email, passa ao gabinete que processa os salários por email, e é esse email que alguém cola numa IA para perguntar como se compensa o horário. A convicção religiosa vai no mesmo parágrafo que o nome.

Para essa pergunta, a IA não precisa de saber qual é a confissão nem quem a professa. Precisa de saber que há um pedido de dispensa ao abrigo da lei, que o horário é flexível e quantas horas há a compensar. Reescrito assim, o pedido deixa de ser um dado religioso sobre uma trabalhadora e passa a ser uma questão de horário, que é o que ele é para o processamento.

O email como chega

O nome de quem pede, a confissão que dá o direito, o pedido de dispensa e o horário.

O que a IA precisa

Que há um pedido de dispensa ao abrigo da lei, que o horário é flexível e quantas horas há a compensar.

A consignação que ninguém lê como religiosa

O artigo 32.º da mesma lei permite ao contribuinte destinar uma quota do IRS liquidado a uma igreja ou comunidade religiosa radicada no país, indicando-a na declaração de rendimentos. Os donativos a pessoas coletivas religiosas inscritas também são dedutíveis à coleta, nos termos do Estatuto dos Benefícios Fiscais.

Para um gabinete que prepara declarações, isto significa que a escolha da entidade beneficiária pode revelar a religião do cliente. Não sempre: a mesma lei permite consignar a instituições de solidariedade social sem nada de religioso. Mas quando a entidade é uma igreja, a declaração que se cola numa IA para conferir valores leva uma convicção religiosa dentro, com o NIF do titular ao lado. Que campos de uma declaração saem antes é trabalho de gabinete, e tem método.

Na família, a educação religiosa dos filhos

O Código Civil, no artigo 1886.º, diz que pertence aos pais decidir sobre a educação religiosa dos filhos menores de dezasseis anos. Quando os pais se separam e essa decisão entra no acordo ou na discussão, o processo passa a trazer a religião de pelo menos um deles, e muitas vezes a da criança.

O que revela sem dizer: a fotografia, a dedução e o registo criminal

Três casos confundem nos dois sentidos: um parece categoria especial e não é, outro não parece e pode ser, e o terceiro fica fora do artigo 9.º mas não fica livre.

A fotografia não é biométrica por ser uma cara

O considerando 51 do RGPD é claro: o tratamento de fotografias não deve ser considerado sistematicamente tratamento de categorias especiais, porque as fotografias só entram na definição de dados biométricos quando são processadas por meios técnicos específicos que permitam identificar ou autenticar alguém de forma inequívoca. A fotocópia do cartão de cidadão no dossiê de um cliente é um dado pessoal comum.

O biométrico a sério, num escritório, é o relógio de ponto com impressão digital. A Lei n.º 58/2019, no artigo 28.º, n.º 6, só considera legítimo o tratamento de dados biométricos dos trabalhadores para controlar a assiduidade e o acesso às instalações. Uma exportação desse sistema colada numa IA para analisar atrasos sai dessas duas finalidades.

A dedução: o nome do cônjuge, a baixa sem diagnóstico

Como o artigo 9.º fala de dados que revelem, um nome pode bastar. Numa declaração conjunta de IRS, o nome do cônjuge e o respetivo NIF são dados pessoais correntes; mas, em certos casos, o nome do cônjuge deixa deduzir a orientação sexual do titular. O mesmo vale para uma alegação num processo de família sobre a vida afetiva de um dos pais.

Ninguém escreve «dado sensível» nestes papéis, e é por isso que escapam a uma regra do tipo «não colar documentos com dados sensíveis». A regra que funciona olha para o que o texto deixa concluir, não só para o que diz.

1. O texto nomeia a religião, a saúde, a filiação sindical ou outra das nove categorias?

   SimÉ dado do artigo 9.º.

   NãoPasse à pergunta seguinte.

2. Deixa deduzir uma delas, como o nome do cônjuge ou uma baixa sem diagnóstico?

   SimEntra também, porque o artigo 9.º fala de dados que revelem.

   NãoPasse à pergunta seguinte.

3. É uma fotografia?

   SimSó é biométrica se for tratada por meios técnicos que identifiquem a pessoa de forma inequívoca. Uma fotocópia do cartão, sozinha, não é.

   NãoPasse à pergunta seguinte.

4. É um registo criminal?

   SimFica fora do artigo 9.º, mas o artigo 10.º pede o mesmo cuidado.

Nenhuma das quatro: é um dado pessoal comum, e a licitude joga-se só no artigo 6.º.

O registo criminal fica fora do 9.º, mas tem o 10.º

O certificado de registo criminal que acompanha uma candidatura não é categoria especial.

É tratado à parte pelo artigo 10.º do RGPD, que só permite tratar dados sobre condenações penais e infrações sob controlo de uma autoridade pública ou com base em lei que preveja garantias adequadas. Na prática, pede o mesmo cuidado. A lei portuguesa agrava as penas quando os dados desviados são dos artigos 9.º e 10.º, como explica a guia sobre violações de dados numa IA.

Advocacia: asilo, família e o processo que junta várias categorias

No escritório de advogados, as categorias especiais não vêm em linhas soltas. Vêm juntas, no mesmo processo, e muitas vezes são o próprio fundamento do pedido. É aí que a alínea f) do artigo 9.º, n.º 2, trabalha: o tratamento é lícito porque serve a defesa de um direito num processo judicial.

O pedido de proteção internacional

A Lei n.º 27/2008, no artigo 3.º, n.º 2, garante o direito de asilo a quem receie com fundamento ser perseguido em virtude da sua raça, religião, nacionalidade, opiniões políticas ou integração em certo grupo social. Das cinco causas, três são categorias do artigo 9.º, e a quinta, o grupo social, pode sê-lo conforme o caso. A nacionalidade, sozinha, não é.

Um relato de perseguição para um pedido de asilo é, assim, um texto que reúne várias categorias especiais sobre uma pessoa em situação de risco. Pedir a uma IA que o organize por datas ou que o traduza é o uso mais tentador e o mais delicado de todos, porque o nome, a data de nascimento e o local de origem transformam o relato num retrato.

Para ordenar um relato por datas, a ferramenta precisa das datas e dos acontecimentos. Não precisa do nome do requerente, dos nomes dos familiares que ficaram no país de origem, nem da aldeia exata onde tudo aconteceu, que numa região pequena identifica tanto como um nome. Esses campos saem antes, e voltam ao texto depois, pela mão de quem conhece o processo.

Regulação das responsabilidades parentais

Os processos de família juntam saúde mental, vida afetiva, educação religiosa e, por vezes, consumos. Quase tudo o que se escreve numa alegação sobre a capacidade de um progenitor cai numa categoria do artigo 9.º. O advogado precisa desses factos; a ferramenta que o ajuda a redigir precisa deles muito menos do que parece, e não precisa de saber de quem são.

O segredo profissional corre por cima do RGPD, seja o dado sensível ou não. Os campos que saem de uma peça processual, com o Estatuto da Ordem à mão, estão na guia de IA para advogados, e o que a ferramenta faz num escritório está na página para advogados.

Dados sensíveis, RGPD e minimização: o que sai do texto e o que fica

A pergunta útil não é se o documento tem dados sensíveis. É se a IA precisa da categoria especial para fazer o que se lhe pede, e, se precisa, se precisa de saber a quem pertence.

Na maior parte dos pedidos que se fazem a uma IA num escritório, a categoria especial é ruído. Para calcular o líquido de um recibo, a quota é um valor a subtrair e o nome do sindicato não acrescenta nada. Para redigir a resposta a um pedido de horário, basta saber que há um direito de dispensa e que o tempo se compensa.

Uma ordem que se aplica em trinta segundos

1. Tire a linha que não faz falta. Se a tarefa não precisa da quota, da dispensa ou do crédito de horas, a linha sai inteira. É o passo que mais protege, e não precisa de ferramenta nenhuma.
2. Tire o que diz de quem é. Nome, NIF, NISS, número de utente, data de nascimento, morada, telemóvel. Com a categoria especial no texto, estes são os campos que a transformam num facto sobre uma pessoa.
3. Olhe para o contexto. Uma categoria profissional num armazém de três pessoas, um cargo único, uma data de admissão. Sem nome, isto ainda pode apontar para alguém.
4. Confirme a conta. Uma conta de empresa com contrato de subcontratação não é a conta pessoal do telemóvel. O que o ChatGPT guarda não é o que guarda o Copilot, e cada um tem a sua guia.
5. Reveja antes de enviar. Nenhuma regra acerta sempre; quem cola é quem vê o texto por último.

Tirar o nome não tira o texto do RGPD

O passo 2 é pseudonimizar, não anonimizar. Enquanto o escritório conseguir voltar a ligar o texto à pessoa, o que seguiu para a IA continua a ser, para ele, um dado pessoal, e a categoria especial continua a sê-lo. Muda aquilo que o fornecedor recebe: uma quota sindical de alguém sem nome, em vez da filiação de um trabalhador identificado. A diferença entre as duas palavras está explicada na guia sobre pseudonimização.

E há um efeito que se esquece: o artigo 30.º, n.º 5, dispensa do registo de atividades as empresas com menos de 250 trabalhadores, mas não quando o tratamento abrange as categorias do artigo 9.º. Uma PME que desconta quotas sindicais no recibo tem, por isso, de ter registo, e o uso de uma IA sobre esses dados deve lá aparecer.

O que o Nonimo tira de um recibo, e o que deixa ficar

Passámos pelo Nonimo 0.2.8, com as etiquetas em português, um recibo de vencimento inventado de agosto de 2026. Nem o nome nem os dois números pertencem a alguém, e o NIF falha o dígito de controlo de propósito.

antes   Trabalhador: Rui Manuel Tavares Quintela
        NIF: 245998763
        N.º de segurança social: 11234567890
        Categoria: operador de armazém
        Quota sindical (1%): 10,20 €
        Faltas justificadas: 2 dias, crédito de horas de dirigente sindical

depois  Trabalhador: [PESSOA_1]
        NIF: [REFERENCIA_1]
        N.º de segurança social: [REFERENCIA_2]
        Categoria: operador de armazém
        Quota sindical (1%): 10,20 €
        Faltas justificadas: 2 dias, crédito de horas de dirigente sindical

O Nonimo trabalha no computador de quem escreve. Carrega-se na tecla antes de colar e os identificadores dão lugar a etiquetas. Quando a resposta da IA volta, as etiquetas voltam a ser os valores verdadeiros.

A correspondência entre cada etiqueta e o valor fica guardada, cifrada, nesse computador. Para os servidores da Nonimo não segue texto: sai uma contagem de utilização, uma vez por dia. O pormenor do que fica e do que sai está na página de segurança.

O Nonimo tira quem é, não o quê: a quota e o crédito de horas ficaram no texto, como lá ficaria uma baixa, e do seu lado o documento continua a ser de categoria especial. Se a IA não precisa dessas linhas, tirá-las é o passo 1, e é de quem cola; para o organizar numa equipa, está a página para organizações.

Fontes

• RGPD, Regulamento (UE) 2016/679 (EUR-Lex, versão portuguesa): artigo 4.º, pontos 5, 13, 14 e 15 (definições); artigo 9.º, n.ºs 1 e 2, alíneas b), e) e f) (as nove categorias e as dez exceções); artigo 10.º (condenações penais); artigo 30.º, n.º 5 (registo mesmo abaixo de 250 trabalhadores quando há dados do artigo 9.º); artigo 35.º, n.º 3, alínea b) (avaliação de impacto em grande escala); considerando 35 (saúde, qualquer que seja a fonte) e considerando 51 (fotografias).
• Código do Trabalho, Lei n.º 7/2009 (artigo 457.º, PGD Lisboa): artigo 276.º, n.º 3 (conteúdo do recibo); artigo 457.º, n.º 3 (filiação sindical só para cobrar e entregar quotas); artigo 458.º (declaração escrita, valor e sindicato, entrega até ao dia 15); artigo 468.º, n.ºs 1 e 6 (crédito de quatro dias por mês e comunicação até 15 de janeiro).
• Lei n.º 58/2019, de 8 de agosto (artigo 28.º, PGD Lisboa): n.º 2 (contabilista certificado e subcontratante) e n.º 6 (biometria só para assiduidade e acessos).
• Lei da Liberdade Religiosa, Lei n.º 16/2001, de 22 de junho (artigo 14.º, PGD Lisboa): artigo 14.º, n.º 1 (dispensa e as três condições); artigo 32.º, n.ºs 3 e 4 (donativos e quota do IRS a igreja ou comunidade radicada).
• Lei n.º 27/2008, de 30 de junho (artigo 3.º, PGD Lisboa): n.º 2 (raça, religião, nacionalidade, opiniões políticas, grupo social).
• Código Civil (artigo 1886.º, PGD Lisboa): educação religiosa dos filhos menores de dezasseis anos.
• Nonimo 0.2.8, etiquetas em português, 25 de setembro de 2026: saída real do motor sobre o recibo inventado descrito acima. O recibo completo, com a saída, fica guardado connosco.