RGPD e dados de candidatos: a conformidade começa também nos vossos exports PDF

O que o RGPD diz de verdade sobre os CVs que partilham

Enviar um CV a um cliente não é só transmitir um documento. No sentido do RGPD, é uma transferência de dados pessoais a um terceiro. E essa transferência exige uma base legal sólida.

Para as ESN, duas bases voltam na prática:

• O interesse legítimo (artigo 6.1.f): estimam que o envio é necessário à atividade comercial. Mas atenção: têm de poder demonstrar que a transferência era proporcional. Uma auditoria interna ou um controlo da CNIL pedirá que justifiquem cada envio.
• O consentimento explícito (artigo 6.1.a): o candidato deu o acordo. Só que este consentimento tem de ser específico. Um formulário genérico "aceito que os meus dados sejam usados para fins comerciais" não chega. Se o candidato contestar o envio a um cliente concreto, este tipo de consentimento desmorona-se.

O matiz que muitos esquecem

O RGPD não distingue entre "enviar um CV por e-mail" e "partilhar uma ligação para um dossier em linha". Os dois são tratamentos de dados. A diferença é o nível de controlo que mantêm depois do envio.

Um PDF anexado num e-mail, uma vez enviado, escapa a qualquer controlo. O cliente pode transferi-lo, armazená-lo, partilhá-lo internamente sem limite. Uma ligação para um perfil em linha, essa, pode ser desativada, atualizada ou restringida a qualquer momento.

O que a CNIL espera na prática

A CNIL não procura a perfeição. Procura a prova de uma abordagem. Eis o que um inspetor verificará em prioridade:

---

A duração de conservação: o ponto cego das ESN

A regra é simples no papel: não conservar os dados mais tempo do que o necessário à finalidade. Na prática, é o estaleiro mais negligenciado.

As recomendações da CNIL

Para os CVs em base de sourcing, a CNIL fixa uma duração máxima de dois anos após o último contacto com o candidato. Passado este prazo:

• Ou apagam o dossier
• Ou recontactam o candidato para renovar o consentimento
• Ou anonimizam os dados (estatísticas apenas)

A realidade do terreno

Na maior parte das ESN, perfis de 2019 ou 2020 convivem nas bases com candidatos ativos. Ninguém pôs em marcha um expurgo automático. As razões são sempre as mesmas:

• "Podemos precisar um dia"
• "O comercial não quer perder a base"
• "Não temos tempo de triar"

O problema não é só jurídico. Um perfil com quatro anos é um perfil com competências obsoletas, um posto que mudou, um TJM que já não tem nada a ver. Enviá-lo a um cliente é perder credibilidade ainda antes de perder conformidade.

Pôr em marcha um expurgo realista

Não precisam de um projeto de seis meses. Um processo simples funciona:

• Etiquetar automaticamente cada perfil com a data do último contacto (e-mail, chamada, atualização)
• Enviar um e-mail de renovação em D+22 meses com uma ligação para confirmar a continuação do tratamento
• Arquivar ou apagar em D+24 meses sem resposta
• Registar cada ação para poder provar a abordagem em caso de controlo

O ganho é duplo: uma base limpa para o comercial, e uma conformidade demonstrável para o jurídico.

---

O direito ao apagamento: quando um candidato diz stop

O artigo 17 do RGPD dá a qualquer candidato o direito de pedir o apagamento dos dados. Este direito aplica-se inclusive depois de o perfil ter sido enviado a um ou vários clientes.

O cenário clássico

Um programador sénior trabalha convosco há dois anos como freelancer. Decide mudar de direção, entra numa software house em contrato sem termo, e manda-vos um e-mail: "Quero que o conjunto dos meus dados seja apagado dos vossos sistemas."

Nesse momento, têm de:

• Identificar todas as versões do perfil nos vossos sistemas (CRM, ATS, pastas partilhadas, e-mails)
• Listar todos os clientes a quem o perfil foi enviado
• Notificar cada cliente do pedido de apagamento
• Apagar efetivamente os dados dos vossos próprios sistemas
• Documentar o conjunto do procedimento
• Responder ao candidato no prazo de um mês no máximo

Porque isto é um pesadelo sem rastreabilidade

Se os dossiers existem sob a forma de PDFs espalhados por caixas de correio, pastas OneDrive, canais Slack e fios Teams, a rastreabilidade é impossível na prática.

Perguntas concretas que terão de se fazer:

• O perfil foi enviado em V1 ao cliente A, depois em V3 ao cliente B após atualização?
• O comercial transmitiu o PDF a um subcontratante sem o documentar?
• O cliente armazenou o dossier no próprio ATS?

Sem um sistema centralizado de acompanhamento dos envios, responder a estas perguntas é uma investigação arqueológica.

As exceções ao direito ao apagamento

O direito ao apagamento não é absoluto. Podem recusar se:

• Os dados são necessários à execução de um contrato em curso
• Têm uma obrigação legal de conservação (faturas, contratos assinados)
• Os dados são necessários à constatação ou defesa de direitos em tribunal

Mas estas exceções são estreitas. "Podemos precisar para um litígio hipotético" não se aguenta. É preciso um litígio real ou razoavelmente previsível.

---

As fugas silenciosas: o verdadeiro risco no dia a dia

Os incidentes RGPD em ESN quase nunca vêm de um ataque ou de uma falha técnica. Vêm de práticas quotidianas que ninguém questiona.

As fugas mais comuns

• O endereço de e-mail pessoal que fica num campo do PDF enviado ao cliente. O candidato tinha dado o Gmail para o contacto inicial: fica exposto a um recrutador interno do cliente.
• O número de telemóvel nos metadados de um ficheiro Word convertido em PDF. O campo "Autor" ou "Comentários" do documento de origem contém por vezes informações que ninguém pensou em limpar.
• O perfil LinkedIn privado cujo URL é copiado para o dossier. O candidato tem um perfil restrito, mas o URL permite na mesma aceder a certas informações que não destinava a este cliente.
• A fotografia de identidade incluída por defeito no modelo. Nenhuma obrigação legal de a transmitir ao cliente, e é até um risco de discriminação documentado.
• As informações da vida pessoal: situação familiar, nacionalidade, data de nascimento completa. Nenhuma pertinência para uma missão técnica, mas muitas vezes presentes por hábito.

O custo real de uma fuga

Uma notificação da CNIL, mesmo sem coima, gera:

• Tempo perdido: responder aos pedidos de informação, constituir o dossier, mobilizar o DPO e a direção
• Um risco reputacional: as notificações públicas da CNIL são indexadas pelo Google
• Uma perda de confiança: o candidato em causa já não trabalhará convosco, e vai falar disso
• Um efeito dominó: um controlo sobre um ponto desencadeia muitas vezes outros

A checklist antes do envio

Antes de cada envio de dossier a um cliente, cinco verificações levam menos de dois minutos:

• Sem endereço de e-mail pessoal visível
• Sem número de telemóvel pessoal
• Sem data de nascimento completa (ano apenas se necessário)
• Sem fotografia salvo pedido explícito e consentimento do candidato
• Metadados do ficheiro limpos

---

O registo de tratamentos: o que devem documentar

O artigo 30 do RGPD impõe a qualquer organização com mais de 250 trabalhadores, e na prática a qualquer ESN que trate dados de candidatos de forma regular, que mantenha um registo de tratamentos.

O que o registo deve conter para a atividade de staffing

Os erros frequentes

• Registo teórico: um documento Word redigido uma vez e nunca atualizado. A CNIL verifica a data da última alteração.
• Registo incompleto: a atividade de sourcing está documentada, mas não o envio de dossiers aos clientes. Ora isto é um tratamento distinto, com os seus próprios destinatários.
• Sem menção do subcontratante: se usam uma ferramenta SaaS para gerar dossiers ou armazenar perfis, essa ferramenta é um subcontratante no sentido do RGPD. Tem de figurar no registo.

---

O consentimento do candidato: recolhê-lo bem, geri-lo bem

O consentimento é a base legal mais segura para o envio de perfis, mas também a mais exigente de manter.

Os critérios de um consentimento válido

O RGPD fixa quatro condições cumulativas:

• Livre: o candidato não deve sofrer consequência negativa se recusar. "Se não consentir, não poderemos propor-lhe missões" é uma forma de pressão que invalida o consentimento.
• Específico: o consentimento recai sobre um tratamento preciso. "Aceito que o meu perfil seja apresentado ao cliente X para a missão Y" é específico. "Aceito a utilização dos meus dados" não o é.
• Informado: o candidato deve saber o que aceita. Que dados, a quem, para quê, durante quanto tempo.
• Inequívoco: uma ação positiva clara. Sem caixa pré-selecionada, sem silêncio a valer como aceitação.

Gestão operacional do consentimento

Na prática, duas abordagens funcionam:

Abordagem por missão: pedem o consentimento em cada envio. Mais pesada, mas juridicamente blindada. Adequada a perfis seniores ou a missões sensíveis.

Abordagem por perímetro: o candidato consente em ser apresentado a uma categoria de clientes (ex.: "ESN e clientes finais do setor bancário na Île-de-France") durante um prazo definido. Mais flexível, mas o perímetro tem de permanecer preciso.

Nos dois casos, devem:

• Conservar a prova do consentimento (data, canal, conteúdo exato)
• Permitir a retirada a qualquer momento, com a mesma facilidade com que o consentimento foi dado
• Não condicionar a relação comercial ao consentimento

---

Subcontratação e ferramentas SaaS: as vossas obrigações contratuais

Cada ferramenta que usam para armazenar ou tratar dados de candidatos é um subcontratante no sentido do artigo 28 do RGPD. CRM, ATS, ferramenta de geração de dossiers, armazenamento cloud, todos estão abrangidos.

O que o contrato de subcontratação deve prever

• O objeto e a duração do tratamento
• A natureza e a finalidade do tratamento
• As categorias de dados abrangidas
• As obrigações do subcontratante em matéria de segurança
• As condições de recurso a um subcontratante ulterior
• A assistência em caso de exercício dos direitos por um candidato
• A restituição ou apagamento dos dados no fim do contrato

A armadilha do "está na cloud"

Muitas ESN usam Google Drive, SharePoint ou Dropbox para armazenar e partilhar dossiers de candidatos. Estas ferramentas são subcontratantes. E quando o servidor está nos Estados Unidos, é uma transferência para fora da UE que exige garantias adicionais (cláusulas contratuais-tipo, ou verificação da adequação do país).

Desde o acórdão Schrems II e o Data Privacy Framework, a situação com os alojadores americanos estabilizou-se, mas continua a ter de ser documentada no vosso registo.

O Betterfolio e a conformidade do subcontratante

Para as ESN que usam ferramentas de geração de dossiers como o Betterfolio, a estrutura está pensada desde a conceção para limitar a exposição: só os campos pertinentes à missão aparecem no export, os metadados são limpos automaticamente, e o histórico dos envios é rastreado para responder aos pedidos de apagamento.

---

Plano de ação: passar de "já se vê" a conforme em 30 dias

A conformidade RGPD não é um projeto de 18 meses. Para uma ESN de 20 a 200 consultores, as fundações põem-se num mês.

Semana 1: estado dos sítios

• Listar todos os sítios onde dados de candidatos estão armazenados (CRM, ATS, e-mail, Drive, ferramentas internas)
• Identificar quem tem acesso a quê
• Contar os perfis com mais de 24 meses sem contacto

Semana 2: limpeza

• Expurgar os perfis obsoletos (ou lançar a campanha de renovação de consentimento)
• Limpar os modelos de dossiers: retirar os campos desnecessários (fotografia, data de nascimento, morada completa)
• Verificar os metadados dos exports PDF existentes

Semana 3: processos

• Redigir ou atualizar o registo de tratamentos
• Definir o procedimento de resposta aos pedidos de apagamento (quem faz o quê, em que prazo)
• Pôr em marcha a checklist antes do envio de dossier

Semana 4: documentação e formação

• Formar os comerciais e os recrutadores nos gestos de base (sem reencaminhar CVs por e-mail, sem dados inúteis)
• Documentar os procedimentos num documento acessível
• Planear uma revisão trimestral

O que não pode esperar

Três ações são prioritárias, mesmo que o resto atrase:

• Deixar de enviar dados de contacto pessoais nos dossiers de clientes
• Pôr em marcha um acompanhamento dos envios (quem recebeu que perfil, quando)
• Responder aos pedidos de apagamento no prazo legal de um mês

---

As sanções: o que as ESN arriscam na prática

As coimas RGPD teóricas (até 4% do volume de negócios mundial) fazem as primeiras páginas. Na prática, para uma ESN, o percurso é mais progressivo, mas não é indolor.

A escala das sanções da CNIL

O que desencadeia um controlo

• Uma queixa de um candidato através do formulário da CNIL. É o gatilho mais frequente.
• Uma denúncia de um antigo trabalhador (comercial, recrutador) que conhece as práticas internas.
• Um controlo setorial: a CNIL anuncia todos os anos os temas prioritários. O recrutamento e os RH figuram com regularidade.
• Um incidente de segurança declarado (fuga de dados, acesso não autorizado).

O verdadeiro custo para além da coima

Para uma ESN de dimensão média, um processo da CNIL mobiliza:

• O DPO ou o responsável jurídico durante várias semanas
• A direção para as respostas oficiais
• As equipas técnicas para as auditorias e correções
• Um advogado especializado se o processo se agravar

Tudo isto enquanto a atividade comercial continua. É um custo de oportunidade raramente antecipado, mas sistematicamente sofrido.

---

Os pontos a reter

A conformidade RGPD no staffing IT não é um tema puramente jurídico, nem um projeto técnico desmesurado. É uma higiene operacional que se joga a três níveis:

• Os dados: recolher e partilhar só o necessário à missão
• Os processos: rastrear os envios, gerir os consentimentos, expurgar as bases
• As ferramentas: usar soluções que integram a conformidade por conceção em vez de a improvisar depois

O RGPD não exige a perfeição. Exige a prova de uma abordagem séria. Para uma ESN, começa por limpar os exports e saber exatamente quem recebeu o quê.