Para dados de candidatos que não foram contratados, não existe prazo fixo no RGPD em si. O regulamento apenas estabelece o princípio da limitação do armazenamento: não pode manter os dados durante mais tempo do que o necessário para a finalidade para a qual os recolheu. A Autoridade Nacional de Proteção de Dados complementa isto para a prática de recrutamento e seleção com uma diretriz de quatro semanas após a conclusão do procedimento, com a possibilidade de prolongar até um máximo de um ano se o candidato der consentimento para tal.
Na prática, isto significa que deve eliminar o currículo, a carta de motivação, os relatórios de entrevista e eventuais resultados de testes de um candidato rejeitado dentro desse prazo de quatro semanas, a menos que tenha pedido explicitamente e em separado consentimento para manter os dados durante mais tempo, por exemplo para uma vaga futura.
Por que este prazo não consta da lei em si
O RGPD não especifica um número concreto de semanas ou meses para a maioria dos tipos de dados. O legislador optou por uma norma aberta: não mantenha os dados durante mais tempo do que o necessário, e se não conseguir justificar a finalidade, os dados devem ser eliminados ou anonimizados. Para situações específicas, como procedimentos de candidatura, as autoridades de supervisão publicaram por isso diretrizes práticas que recomendam um prazo concreto. Isto não é uma obrigação legal no sentido de um artigo com um número, mas é o critério que a Autoridade Nacional de Proteção de Dados aplica ao avaliar se um prazo de retenção é razoável.
Esta distinção é importante para como o documenta internamente: não pode fazer referência a "o prazo legal de quatro semanas", pois não consta assim no RGPD. Pode fazer referência à diretriz da autoridade de supervisão e explicar porque utiliza esse prazo como base.
Consentimento para um prazo mais longo
Se pretende guardar o CV de um candidato por mais tempo, por exemplo porque os perfis se complementam bem e em breve pode surgir uma vaga semelhante, o consentimento explícito do candidato é o caminho comum. Este consentimento deve ser solicitado separadamente, independentemente do próprio processo de candidatura, e o candidato deve poder revogá-lo com a mesma facilidade com que o concede. Sem esse consentimento, não existe base legal para manter os dados de um candidato rejeitado por mais tempo, e isto aplica-se também quando apenas deixa os dados "para depois" numa pasta ou armazenamento digital.
É aconselhável vincular a solicitação de consentimento a um prazo concreto, por exemplo um ano, em vez de deixar em aberto. Um candidato que dá consentimento sabe então também quando os seus dados desaparecem automaticamente.
O que deve registar sobre isto
Este prazo de retenção não deve existir apenas na sua cabeça, mas também no seu registo de atividades de tratamento: que dados de candidatura trata, com que fim, durante quanto tempo os mantém e com base em que fundamento jurídico ocorre uma possível extensão. Isto torna também mais fácil para si próprio proceder a eliminações estruturadas em vez de deixar dados acumulados "porque ainda não havia motivo para os remover". Em a base de conhecimentos sobre prazos de retenção por tipo de dado encontra além dos dados de candidatura também os prazos que se aplicam a outros dossiês de pessoal e a dados administrativos.
É sensato não separar este acordo do resto dos seus processos de RH. Quem coordena o procedimento de candidatura é normalmente também quem deve garantir que os CVs de candidatos rejeitados realmente desaparecem das caixas de correio, pastas partilhadas e do sistema ATS, não apenas do primeiro sistema em que alguém pensa.
Outros dados de pessoal seguem outros prazos de retenção
O prazo para dados de candidaturas de candidatos rejeitados é independente dos períodos de retenção que se aplicam quando alguém é efetivamente contratado. Dados salariais, contratos e documentos fiscais de colaboradores estão sujeitos a outras regras, frequentemente com obrigação legal de retenção decorrente de legislação fiscal em vez do RGPD. Quem quiser ver isto lado a lado, encontra em perguntas frequentes sobre dados de pessoal uma visão geral das situações mais comuns.
Se um prazo de retenção concreto se aplica na sua situação, qual texto de consentimento utilizar e como garantir isto internamente, é em última análise algo que fará melhor coordenando com um jurista ou, em caso de dúvida sobre a aplicação da lei, com a Autoridade Nacional de Proteção de Dados. O que oferecemos é estrutura: um local onde este prazo corre automaticamente no seu registo, em vez de ter de o ter constantemente em mente. Mais sobre como funciona a ligação entre registo e prazo, pode ler através de a explicação sobre o funcionamento do sistema.
Se pretende saber se a sua forma atual de retenção de dados de candidaturas está alinhada com a forma como outras empresas PME o fazem, faça a verificação rápida gratuita ou navegue pelos tópicos na base de conhecimento. Ambas podem ser consultadas sem conta e dão-lhe em poucos minutos uma primeira visão de onde está.