Guide • Compliance • 16 min de leitura
RGPD para RH: tratamento correcto dos dados dos trabalhadores
Como tratar os dados pessoais dos trabalhadores de forma lícita ao abrigo do RGPD — bases legais, conservação, direitos, segurança e transferências internacionais.
Os dados de RH são dados de elevado risco
As funções de RH tratam alguns dos dados pessoais mais sensíveis em qualquer organização: contactos, salário, informações bancárias, registos de desempenho, informações de saúde e, por vezes, verificações de registo criminal. Ao abrigo do Regulamento Geral sobre a Proteção de Dados (RGPD) e das respectivas implementações nacionais — a Irish Data Protection Act 2018 e o UK GDPR / Data Protection Act 2018 — estes dados devem ser tratados de forma lícita, leal e transparente.
Fazer isto correctamente é simultaneamente um dever legal e uma questão de confiança. Os trabalhadores são titulares de dados com direitos exigíveis, e a Data Protection Commission na Irlanda (ou o ICO no Reino Unido) pode investigar queixas e impor coimas significativas. Trate os dados dos trabalhadores com o mesmo rigor que aplicaria aos dados dos clientes.
Escolher uma base legal
Cada actividade de tratamento necessita de uma base jurídica. Um erro comum é confiar no consentimento no contexto da relação laboral. Devido ao desequilíbrio de poder entre empregador e trabalhador, o consentimento raramente é livremente prestado e, por isso, costuma ser a base errada para o tratamento central de RH. As bases mais adequadas são, tipicamente, a execução do contrato de trabalho, o cumprimento de uma obrigação legal (por exemplo, reporting fiscal e às autoridades tributárias) e interesses legítimos.
Os dados de categoria especial — incluindo informações de saúde utilizadas para efeitos de licença por doença ou de saúde ocupacional — necessitam de uma condição adicional ao abrigo de Article 9, frequentemente relacionada com o direito do trabalho, a segurança social e a protecção social. Mapeie cada tipo de tratamento de RH para a sua base e condição, e registe a fundamentação.
Transparência e direitos dos titulares dos dados
Os trabalhadores devem ser informados, em linguagem clara, de que dados detém, por que motivo, durante quanto tempo os conserva e com quem os partilha. Isto é normalmente comunicado através de um aviso de privacidade para trabalhadores, distinto da sua política de privacidade dirigida a clientes. Forneça-o no momento da contratação e mantenha-o actualizado.
Os titulares dos dados podem exercer direitos incluindo acesso (o pedido de acesso do titular), rectificação, apagamento em algumas circunstâncias, limitação e oposição. Tenha um processo documentado para responder dentro do prazo legal (regra geral, um mês). O RH é um destinatário frequente de pedidos de acesso, pelo que deve planear como localizar e anonimizar/redigir informação guardada em vários sistemas.
Conservação, minimização e segurança
Não conserve dados por mais tempo do que o necessário. Elabore um calendário de conservação que reflicta tanto os requisitos legais (registos de processamento salarial e fiscais, registos de tempo de trabalho, documentação de saúde e segurança) como a necessidade real do negócio, e elimine ou anonimize os dados para além desses períodos. Recolha apenas o que efectivamente utiliza — a minimização de dados é um princípio, não um capricho.
A segurança é um requisito legal, e não apenas uma boa prática. Aplique acesso baseado em funções para que os gestores vejam apenas o que precisam, encripte os dados em trânsito e em rest, e mantenha um registo de auditoria de quem acedeu a quê. Um HRIS reputado oferece-lhe permissões granulares e registo de acessos de base, o que é muito mais seguro do que dispersar dados de trabalhadores por folhas de cálculo e unidades partilhadas.
Transferências internacionais e fornecedores
Se o seu software de RH ou fornecedor de processamento salarial armazenar dados fora do Espaço Económico Europeu, tem de assegurar um mecanismo de transferência adequado — uma decisão de adequação, cláusulas contratuais-tipo ou salvaguardas equivalentes. Desde o Brexit, as transferências entre a UE e o Reino Unido são abrangidas pelo estatuto de adequação do Reino Unido, mas este deve ser monitorizado por estar sujeito a revisão.
Sempre que utilize terceiros para tratar dados de trabalhadores, precisa de um acordo escrito de tratamento de dados que estabeleça as suas obrigações, e deve realizar diligência devida sobre a sua postura de segurança. Mantenha um registo dos seus subcontratantes e de onde os dados estão alojados para poder responder a perguntas e reagir rapidamente a incidentes.
