Um guia prático sobre o tratamento lícito de dados, registos sensíveis dos colaboradores, pedidos de acesso aos dados, retenção de dados e seleção de prestadores de serviços de RH.
Os registos dos colaboradores requerem regras claras: o que recolhe, quem pode aceder aos mesmos e quando devem ser eliminados. Comece por definir a finalidade de cada registo, em vez de elaborar uma lista de informações que possam vir a ser úteis algum dia.
Informação verificada em 21 de setembro de 2026. As regras nacionais em matéria de emprego e as circunstâncias do tratamento de dados também são relevantes.
Os dados de contacto, as informações relativas à folha de pagamentos, o horário de trabalho e os registos de desempenho têm finalidades diferentes. Registe a finalidade, as pessoas que necessitam de acesso e a regra de retenção aplicável a cada categoria. Um sistema de RH deve ajudá-lo a manter estas distinções claras.
O RGPD exige a minimização de dados. O facto de ser empregador não constitui uma autorização geral para recolher informações privadas de um colaborador. Os dados relativos a condenações penais e infrações são regidos pelo artigo 10.º, separadamente das categorias especiais previstas no artigo 9.º. RGPD, artigos 5.º, 9.º e 10.º
As informações de saúde, a filiação sindical e os dados biométricos utilizados para identificação única requerem um cuidado especial. No que diz respeito ao tratamento de categorias especiais de dados, identifique tanto uma base ao abrigo do artigo 6.º como uma condição aplicável ao abrigo do artigo 9.º. A necessidade prevista na legislação laboral, nos termos do artigo 9.º, n.º 2, alínea b), depende da autorização prevista na legislação da UE ou nacional, ou de um acordo coletivo elegível, com salvaguardas. EDPB: tratamento lícito e dados sensíveis
A necessidade contratual, a obrigação legal e os interesses legítimos são comuns no âmbito laboral, mas a base adequada depende da atividade. Uma cláusula num contrato não torna necessário todo o tratamento de dados a ela associado. Os interesses legítimos exigem uma avaliação da necessidade e do equilíbrio; podem aplicar-se regras nacionais adicionais à monitorização.
O consentimento é frequentemente inadequado quando a relação laboral impede uma escolha livre. Nos casos em que for utilizado, deve ser possível recusá-lo ou retirá-lo sem prejuízo. Documente a base jurídica antes do início do tratamento. EDPB: bases jurídicas
No que diz respeito às informações recolhidas diretamente junto do colaborador, o artigo 13.º exige, normalmente, que as informações sobre privacidade sejam fornecidas no momento da obtenção dos dados. Os dados obtidos por outras vias são abrangidos pelo artigo 14.º, com os seus próprios prazos e exceções. Aborde as finalidades, as bases jurídicas, os destinatários, a conservação, as transferências, quando relevante, e os direitos aplicáveis. O facto de se ter tomado conhecimento de um aviso não constitui consentimento para todas as atividades nele descritas. RGPD, artigos 13.º e 14.º
Certifique-se de que o aviso seja fácil de encontrar após a integração. Se o colaborador questionar sobre uma utilização específica dos seus dados, alguém deverá estar apto a explicar o processo concreto subjacente à formulação utilizada.
Os colaboradores podem solicitar o acesso e a retificação dos seus dados e podem ter direito ao apagamento, à limitação do tratamento, à portabilidade ou à oposição, consoante as circunstâncias. O apagamento não é incondicional: as obrigações legais de conservação e as ações judiciais podem justificar a manutenção de alguns registos. A limitação do tratamento também não constitui uma proibição absoluta de qualquer utilização das informações conservadas.
A portabilidade diz respeito aos dados fornecidos pelo indivíduo, tratados por meios automatizados com base no consentimento ou num contrato. Não abrange todos os registos de RH. Os pedidos exigem normalmente uma resposta no prazo de um mês; qualquer prorrogação autorizada deve ser justificada no decurso desse primeiro mês. As correções, o apagamento e as restrições poderão ter de ser comunicadas aos destinatários, sem prejuízo das exceções previstas no artigo 19.º. EDPB: direitos dos titulares de dados
Um fluxo de trabalho interno útil consiste em:
Não existe uma tabela de retenção única da UE para todos os dados dos colaboradores. Os registos de folha de pagamento, os processos de candidatos e os registos de saúde no trabalho podem estar sujeitos a requisitos diferentes. Registe o motivo de cada período, a data de início do prazo, qualquer fase de arquivo restrito e o que acontece quando o período termina.
A CNIL francesa publica orientações sobre a conservação de dados de RH, mas os períodos específicos de cada país não devem ser apresentados como regras aplicáveis em toda a UE. As retenções legais e os prazos de conservação previstos na lei podem variar quando a eliminação for adequada. CNIL: prazos de conservação
Uma configuração predefinida do software é um parâmetro a ser avaliado, não uma prova de que o período escolhido é legal. Inclua as exportações, os serviços associados e o tratamento de cópias de segurança no seu processo.
Um registo das atividades de tratamento descreve operações como a folha de pagamentos ou o recrutamento. Não se trata de uma linha separada para cada novo colaborador. Não presuma que o facto de ter menos de 250 colaboradores isenta-o desta obrigação: a isenção é limitada e o tratamento contínuo de dados de RH não é ocasional. EDPB: registos e responsabilização
Caso um fornecedor trate dados em seu nome, é necessário um contrato de subcontratante ao abrigo do artigo 28.º. Outros destinatários podem atuar como responsáveis pelo tratamento independentes ou conjuntos e requerem uma avaliação diferente; nem todas as divulgações constituem uma relação de subcontratação. RGPD, artigos 26.º e 28.º
No que diz respeito às transferências para fora do EEE, verifique a decisão de adequação ou as salvaguardas aplicáveis, bem como o contrato de prestação de serviços. A constituição da empresa na UE e a localização do servidor não determinam por si só o fluxo completo de dados. EDPB: transferências internacionais
A PersoHR disponibiliza exportações de dados, fluxos de trabalho de apagamento e registos de auditoria para apoiar estes processos. A sua organização continua a ter de decidir quais as regras aplicáveis, configurar o serviço em conformidade e analisar os pedidos antes de lhes dar seguimento.
Experimente o PersoHR gratuitamente durante 30 dias. Sem cartão de crédito.
Comece o seu período experimental gratuito de 30 dias