Guide • Compliance • 16 min read
GDPR for HR: handling employee data correctly
Como tratar licitamente os dados pessoais dos colaboradores ao abrigo do GDPR — bases legais, retenção, direitos, segurança e transferências internacionais.
Dados de RH são dados de alto risco
As funções de RH tratam alguns dos dados pessoais mais sensíveis em qualquer organização: dados de contacto, salário, informação bancária, registos de desempenho, informação de saúde e, por vezes, verificações de registo criminal. Ao abrigo do General Data Protection Regulation (GDPR) e das suas implementações nacionais — a Irish Data Protection Act 2018 e o UK GDPR / Data Protection Act 2018 — estes dados devem ser tratados de forma lícita, leal e transparente.
Getting this right is both a legal duty and a trust issue. Employees are data subjects with enforceable rights, and the Data Protection Commission in Ireland (or the ICO in the UK) can investigate complaints and impose significant fines. Treat employee data with the same rigour you would customer data.
Escolher uma base legal
Every processing activity needs a lawful basis. A common mistake is to rely on consent for the employment relationship. Because of the power imbalance between employer and employee, consent is rarely freely given and is therefore usually the wrong basis for core HR processing. More appropriate bases are typically the performance of the employment contract, compliance with a legal obligation (for example tax and revenue reporting), and legitimate interests.
Os dados de categoria especial — incluindo informação de saúde utilizada para licença médica ou fins de saúde ocupacional — necessitam de uma condição adicional ao abrigo de Article 9, frequentemente relacionada com o direito do trabalho, a segurança social e a proteção social. Mapeie cada tipo de tratamento de dados de RH para a sua base e condição, e registe a fundamentação.
Transparency and data-subject rights
Employees must be told, in clear language, what data you hold, why, how long you keep it and who you share it with. This is usually delivered through an employee privacy notice, distinct from your customer-facing privacy policy. Provide it at the point of hiring and keep it current.
Data subjects can exercise rights including access (the subject access request), rectification, erasure in some circumstances, restriction and objection. Have a documented process for responding within the statutory timescale (generally one month). HR is a frequent recipient of access requests, so plan for how you will locate and redact information held across systems.
Conservação, minimização e segurança
Não conserve os dados por mais tempo do que o necessário. Crie um plano de conservação que reflita tanto os requisitos legais (registos de processamento salarial e fiscais, registos de tempo de trabalho, documentação de saúde e segurança) como a necessidade empresarial real, e elimine ou anonimize os dados para além desses períodos. Recolha apenas o que realmente utiliza — a minimização de dados é um princípio, não um pormenor.
Security is a legal requirement, not just good practice. Apply role-based access so that managers see only what they need, encrypt data in transit and at rest, and keep an audit trail of who accessed what. A reputable HRIS gives you granular permissions and access logging out of the box, which is far safer than scattering employee data across spreadsheets and shared drives.
Transferências internacionais e fornecedores
Se o seu software de RH ou fornecedor de processamento salarial armazenar dados fora do Espaço Económico Europeu, tem de garantir um mecanismo de transferência adequado — uma decisão de adequação, cláusulas contratuais-tipo ou salvaguardas equivalentes. Desde o Brexit, as transferências entre a UE e o Reino Unido são abrangidas pelo estatuto de adequação do Reino Unido, mas isso deve ser monitorizado, uma vez que está sujeito a revisão.
Whenever you use a third party to process employee data, you need a written data-processing agreement setting out their obligations, and you should carry out due diligence on their security posture. Keep a record of your processors and where data is hosted so you can answer questions and respond to incidents quickly.
