Envio de e-mails corporativos para a conta pessoal: justa causa e LGPD

O encaminhamento de e-mails de trabalho para a caixa pessoal é uma prática silenciosa e comum. Costuma ser justificada como conveniência, para adiantar tarefas fora do escritório. Um julgado recente mostra em que ponto essa conduta deixa de ser hábito e passa a romper o contrato, e o que separa a dispensa que se sustenta daquela que cai.

O caso

Um vendedor de autopeças encaminhou cerca de sessenta e-mails corporativos, com informações sigilosas da empresa, para a sua conta de e-mail pessoal. No curso do processo, admitiu a conduta.

A 3ª Turma do Tribunal Regional do Trabalho da 4ª Região manteve a justa causa aplicada pela empresa, confirmando a sentença da 25ª Vara do Trabalho de Porto Alegre. O enquadramento se deu no art. 482 da CLT, nas alíneas "b" (mau procedimento), "g" (violação de segredo da empresa) e "h" (ato de indisciplina).

O relator, desembargador Marcos Fagundes Salomão, registrou que a conduta vulnerabilizou os negócios da reclamada e violou a Lei Geral de Proteção de Dados.

Trata-se de decisão de segundo grau, ainda sujeita a recurso ao Tribunal Superior do Trabalho.

O que efetivamente sustentou a dispensa

O ponto mais útil ao empregador não está no desfecho, mas no que existia antes do fato.

O empregado havia assinado termo de ciência, comprometimento e responsabilidade, com cláusula de confidencialidade, e tinha conhecimento das normas de acesso e de segurança da informação da empresa. Havia, portanto, regra escrita, previamente comunicada e formalmente aceita.

Esse lastro documental é o que transforma uma conduta reprovável em falta grave demonstrável. A mesma conduta, em uma empresa sem termo assinado e sem política de segurança previamente divulgada, dificilmente sustentaria a pena máxima do contrato. Faltaria o elemento que permite afirmar que o empregado sabia, de antemão, que aquilo era proibido.

As defesas que não prosperaram

O empregado sustentou três teses, todas afastadas:

• Que a punição seria desproporcional e discriminatória. O volume e a reiteração dos envios afastaram a leitura de deslize isolado.
• Que os documentos não seriam sigilosos. A prova documental produzida nos autos indicava o contrário.
• Que o envio teria decorrido de falha do sistema. A quantidade e a constância dos encaminhamentos não se conciliavam com a hipótese de falha técnica, e a própria confissão do empregado retirou sustentação da tese.

A lição processual é direta: em casos de vazamento, a prova documental costuma decidir, porque o próprio sistema corporativo registra a conduta.

A camada de proteção de dados

Aqui está o ponto que passa despercebido na rotina de gestão, e que amplia consideravelmente a exposição da empresa.

Quando um dado corporativo sai pela porta do e-mail pessoal, não se trata apenas de quebra de confiança contratual. Se aquele conteúdo contém dados pessoais de clientes, fornecedores ou de outros empregados, a empresa figura como controladora desses dados, na definição do art. 5º, VI, da LGPD, e é ela quem responde perante os titulares e perante a Autoridade Nacional de Proteção de Dados.

A LGPD impõe ao controlador o dever de adotar medidas de segurança aptas a proteger os dados de acessos não autorizados e de situações de vazamento (art. 46). Configurado o incidente de segurança com risco relevante, surge ainda o dever de comunicação à autoridade e aos titulares (art. 48). O agente responde pelos danos decorrentes do tratamento em desconformidade com a lei (art. 42).

Note-se a assimetria: o empregado responde no plano do contrato de trabalho, com a rescisão por justa causa. A empresa, no plano regulatório, responde pelo dado que deixou sair. É por isso que controlar a saída de informação não é apenas gestão disciplinar, é também compliance.

O que a empresa deve ter antes do incidente

O que decide esses casos é construído muito antes do vazamento:

• Política de segurança da informação escrita, com regras claras sobre uso do e-mail corporativo, dispositivos pessoais e destinação de arquivos.
• Termo de ciência e confidencialidade assinado, com prova de que o empregado recebeu, leu e aceitou as regras.
• Comunicação e treinamento periódicos, documentados. Regra que existe apenas no papel, e que nunca foi divulgada, enfraquece a punição posterior.
• Controles técnicos proporcionais, como restrição de encaminhamento externo, classificação da informação e registro de logs, sempre com transparência quanto ao monitoramento do ambiente corporativo.
• Plano de resposta a incidentes, definindo quem apura, em que prazo e como se decide sobre a comunicação exigida pela LGPD.
• Proporcionalidade na resposta. A justa causa é a medida extrema. O volume, a natureza do dado e a existência de advertências anteriores integram a análise.

A atuação do escritório

A elaboração de políticas de segurança da informação e de termos de confidencialidade, a apuração de incidentes envolvendo dados e a defesa de empresas em reclamações que discutem justa causa por violação de sigilo integram a atuação trabalhista empresarial do escritório, em interface com a área de proteção de dados. Cada caso, porém, depende das suas circunstâncias próprias, dos fatos e dos documentos.

Conclusão

A decisão confirma algo que a prática já sugeria: o encaminhamento de conteúdo corporativo sigiloso para a conta pessoal pode configurar justa causa, e a confissão somada à prova documental torna essa conclusão difícil de reverter.

Para a empresa, porém, a mensagem relevante é outra. A dispensa se sustentou porque existia uma política previamente comunicada e um termo assinado. Sem esse lastro, o mesmo fato produziria uma dispensa frágil e, ainda assim, um incidente de proteção de dados pelo qual a empresa continuaria respondendo.

Política de segurança da informação governa também o contrato de trabalho. É ela que dá base à punição depois e que ajuda a resguardar a empresa diante da lei que a responsabiliza pelo dado.

Referências

• CLT, art. 482, alíneas "b", "g" e "h" (mau procedimento, violação de segredo da empresa e ato de indisciplina).
• Lei 13.709/2018 (LGPD), art. 5º, VI (definição de controlador).
• LGPD, art. 42 (responsabilidade pelos danos decorrentes do tratamento em desconformidade).
• LGPD, art. 46 (dever de adotar medidas de segurança contra acessos não autorizados e vazamentos).
• LGPD, art. 48 (comunicação de incidente de segurança à autoridade nacional e aos titulares).
• Acórdão da 3ª Turma do TRT da 4ª Região, processo 0020205-62.2025.5.04.0123, relator desembargador Marcos Fagundes Salomão, decisão de segundo grau sujeita a recurso.
• Provimento OAB nº 205/2021, para manter o caráter informativo do conteúdo.

Conteúdo de caráter meramente informativo. Não constitui consulta jurídica, oferta de serviços nem promessa de resultado. A análise concreta depende dos fatos, dos documentos e do contexto de cada caso.