Em seleção, processamos dados pessoais todos os dias. O marco legal é simples se simplificarmos. Na Mainder, vemos três pilares: escolher a base legal adequada, informar e respeitar direitos, e monitorar transferências e contratos com fornecedores.
Bases legais
- Pré-contratação: se a pessoa se candidatou a uma vaga específica, podemos usar dados para "medidas pré-contratuais", apenas para esse processo e pelo tempo necessário — não armazenar "por precaução".
- Consentimento: válido quando livre, informado e fácil de retirar; não deve ser condição para candidatar-se; útil para talent pools e retenção de CVs após o processo.
- Interesse legítimo: para buscas proativas e networking, com teste interno (LIA) e informação no prazo máximo de um mês após obter os dados e, se forem usados para contatar a pessoa, o mais tardar no primeiro contato (art. 14.3 RGPD), indicando categorias e fonte dos dados (art. 11.3 LOPDGDD). O direito de oposição deve ser apresentado de forma explícita e separada (art. 21.4 RGPD).
- Obrigação legal: verificações exigidas por uma norma da UE ou por uma lei (art. 8.1 LOPDGDD), limitadas ao estritamente necessário, como a certidão de delitos de natureza sexual em funções com contato habitual com menores (art. 57 da Lei Orgânica 8/2021, LOPIVI).
Transparência e direitos do candidato
O aviso de privacidade deve explicar quem somos, finalidades e bases, compartilhamentos, transferências fora do EEE, prazos de retenção, direitos (acesso, retificação, exclusão, limitação, oposição e, quando aplicável, portabilidade) e como exercê-los, incluindo o direito de retirar o consentimento e de reclamar à AEPD, e a fonte dos dados quando não foram fornecidos pelo candidato. Se houver decisões baseadas unicamente em tratamento automatizado com efeitos significativos, explicar a lógica aplicada e o impacto e, quando se baseiem na necessidade contratual ou no consentimento explícito, garantir o direito de obter intervenção humana, manifestar o seu ponto de vista e contestar a decisão (art. 22.3 RGPD). Responder às solicitações em até um mês desde o recebimento, prorrogável por mais dois meses em casos complexos ou numerosos, avisando o titular dentro do primeiro mês com os motivos (art. 12.3 RGPD), e documentar o processo.
Transferências internacionais
Verificar adequação (país reconhecido pela UE). Se não, usar Cláusulas Contratuais Padrão (SCC) com avaliação de impacto (TIA) e medidas complementares. Com fornecedores nos EUA, usar EU-US Data Privacy Framework se certificado; caso contrário, SCCs e TIAs.
Acordos de processamento (DPA)
Todo fornecedor que processa dados em nosso nome deve contratar objeto, duração, natureza e propósito, tipos de dados e categorias de titulares, tratamento apenas mediante instruções documentadas (inclusive para transferências), confidencialidade do pessoal, segurança, subprocessadores, assistência em direitos, incidentes e DPIAs, aviso quando uma instrução violar a lei, auditorias, incluindo inspeções, e destino dos dados ao término (art. 28.3 RGPD).
Retenção e minimização
Coletar só o necessário e definir prazos claros. Sem contratação, consentimento ou interesse legítimo documentado, eliminar o CV; o que for guardado para eventuais reclamações fica bloqueado, acessível apenas a tribunais, Ministério Público e autoridades durante o prazo de prescrição, e depois é destruído (art. 32 LOPDGDD). Para talent pools, consentimento renovável; para vídeos de entrevista, prazos mais curtos e anonimização quando análise agregada bastar.
Ordem prática: base legal documentada → aviso claro → direitos atendidos → transferências com garantias → DPAs sem brechas. Na Mainder, ajudamos a revisar seu workflow de seleção com abordagem prática e compliance by default.
