RGPD no recrutamento: o que precisa de saber sobre dados de candidatos

Cada processo de recrutamento é, na prática, um exercício de tratamento de dados pessoais. Recebe currículos, guarda contactos, avalia competências e, por vezes, retém candidaturas durante meses. O RGPD no recrutamento não é um detalhe burocrático que se resolve com uma checkbox no formulário de candidatura: é um conjunto de obrigações concretas que se aplicam a qualquer empresa que trate dados de candidatos, incluindo as pequenas e médias empresas portuguesas.

A boa notícia é que a conformidade não exige transformar a sua equipa de recursos humanos em juristas. Exige, sim, perceber quais são as bases legais que sustentam o tratamento, durante quanto tempo pode guardar os dados e como responder quando um candidato exerce os seus direitos. Neste artigo, explicamos o essencial de forma prática, com o vocabulário que os recrutadores usam no dia a dia.

Qual é a base legal para tratar dados de candidatos?

O primeiro reflexo de muitas empresas é pedir consentimento para tudo. Mas o consentimento nem sempre é a base legal mais adequada num contexto de recrutamento, e pode até ser problemático, uma vez que existe um desequilíbrio de poder entre quem procura emprego e quem oferece. Se o candidato sentir que recusar o consentimento prejudica a candidatura, esse consentimento deixa de ser verdadeiramente livre.

Na maioria dos casos, o tratamento de dados durante um processo de seleção assenta em duas bases mais sólidas previstas no artigo 6.º do RGPD:

• Diligências pré-contratuais: avaliar uma candidatura a pedido do próprio candidato é um passo necessário antes de uma eventual celebração de contrato de trabalho.
• Interesse legítimo da empresa: gerir candidaturas, comparar perfis e organizar entrevistas são atividades que servem um interesse legítimo, desde que equilibradas com os direitos do candidato.
• Consentimento: reservado sobretudo para situações específicas, como manter o CV em base de dados para futuras oportunidades depois de encerrado o processo atual.

Escolher a base legal correta não é um exercício teórico. Determina que informação tem de dar ao candidato, durante quanto tempo pode reter os dados e o que acontece se ele quiser opor-se ao tratamento.

Durante quanto tempo pode guardar as candidaturas?

Não existe um prazo único fixado por lei para conservar candidaturas. O princípio orientador é o da limitação da conservação: os dados só devem ser mantidos durante o tempo necessário para a finalidade que justificou a sua recolha. Terminado o processo e escolhido o candidato, deixa de haver justificação para manter indefinidamente os restantes currículos.

Na prática, muitas empresas em Portugal adotam prazos de retenção que rondam os seis meses a um ano para candidaturas não selecionadas, período que permite cobrir eventuais vagas semelhantes e responder a questões de igualdade no acesso ao emprego. O ponto crítico é que este prazo seja definido à partida, documentado e comunicado ao candidato, e não deixado ao acaso numa pasta partilhada que ninguém volta a limpar.

Guardar CVs para futuras oportunidades

Se pretende constituir uma reserva de recrutamento e contactar candidatos para vagas futuras, precisa de um fundamento próprio. Aqui o consentimento faz sentido: peça-o de forma clara, separada da candidatura em si, e informe o candidato de que pode retirar esse consentimento a qualquer momento. Guarde também prova de quando e como o consentimento foi obtido.

Anonimização de CVs: privacidade e decisões mais justas

A anonimização de CVs é uma das formas mais eficazes de reduzir o risco associado ao tratamento de dados e, ao mesmo tempo, melhorar a qualidade das decisões de contratação. Ao remover nome, fotografia, idade, morada, género e outros elementos identificativos antes de o CV chegar às mãos de quem avalia, limita a exposição de dados pessoais e reduz o peso de enviesamentos inconscientes na triagem inicial.

Menos dados identificativos a circular significa menos superfície de risco e uma avaliação mais centrada nas competências do que na pessoa.

A anonimização não elimina as obrigações do RGPD enquanto os dados originais existirem, mas é uma medida técnica e organizativa que demonstra uma preocupação real com a proteção de dados, um dos princípios de responsabilização exigidos pelo regulamento. Automatizar este passo evita erros humanos, garante consistência e liberta a equipa para o que interessa: encontrar a pessoa certa.

Que direitos têm os candidatos?

Um candidato não perde os seus direitos por estar a concorrer a uma vaga. Enquanto os seus dados estiverem na sua posse, pode exercer o conjunto de direitos que o RGPD lhe atribui, e a empresa tem de estar preparada para responder, em regra no prazo de um mês.

• Direito de acesso: saber que dados tem sobre ele e como estão a ser tratados.
• Direito de retificação: corrigir informação incorreta ou desatualizada.
• Direito ao apagamento: pedir a eliminação dos dados quando já não há fundamento para os manter.
• Direito de oposição: opor-se ao tratamento baseado em interesse legítimo.
• Direito à portabilidade: receber os seus dados num formato estruturado, quando aplicável.

Para responder a estes pedidos com rapidez, precisa de saber onde estão os dados e quem lhes acede. Currículos espalhados por caixas de correio individuais, folhas de cálculo e pastas locais tornam qualquer pedido de acesso ou apagamento num pesadelo operacional. Centralizar e organizar o tratamento não é apenas boa prática, é o que torna a conformidade sustentável.

Transformar a conformidade em vantagem

Encarar o RGPD apenas como um custo é perder metade da história. Um processo de recrutamento transparente, que trata os dados com cuidado e comunica claramente o que faz com eles, transmite profissionalismo e reforça a marca empregadora. Os candidatos notam a diferença entre uma empresa que respeita a sua privacidade e uma que trata os seus dados com displicência.

Conformidade com o RGPD no recrutamento resume-se a três hábitos: saber qual é a base legal de cada tratamento, definir e respeitar prazos de retenção claros, e adotar medidas como a anonimização que reduzem o risco desde a origem. Com as ferramentas certas, estes hábitos deixam de ser um esforço manual e passam a estar integrados no próprio fluxo de trabalho.