A gestão de recursos humanos é uma das áreas de maior risco no RGPD, porque concentra dados de trabalhadores tratados de forma contínua e, frequentemente, sensível. Em Portugal, além do RGPD, aplica-se um regime específico: o artigo 28.º da Lei n.º 58/2019 limita expressamente a videovigilância e a biometria no contexto laboral. Uma empresa cumpre o RGPD nos RH quando mapeia todos os tratamentos — recrutamento, contrato, salários, assiduidade, monitorização — no registo do artigo 30.º, escolhe a base de licitude correta para cada um e respeita os limites nacionais. Este guia percorre esses tratamentos e os erros mais comuns.
Pontos-chave
- O consentimento não é base válida para a generalidade dos tratamentos de trabalhadores (relação de desequilíbrio).
- A videovigilância laboral não pode servir para avaliar o desempenho (art. 20.º do Código do Trabalho).
- A biometria só é admitida para controlo de assiduidade e de acessos.
- Cada tratamento de RH deve constar do registo do art. 30.º com a sua base de licitude.
Porque o consentimento raramente funciona nos RH
O primeiro erro nos recursos humanos é pedir consentimento ao trabalhador. O RGPD exige que o consentimento seja livre (art. 4.º, n.º 11), e o Comité Europeu para a Proteção de Dados tem sido claro: na relação laboral existe um desequilíbrio de poder que compromete a liberdade do consentimento. O trabalhador dificilmente recusa sem receio de consequências. Por isso, a maioria dos tratamentos de RH assenta noutras bases:
- Execução do contrato (art. 6.º, n.º 1, al. b): processamento salarial, gestão da relação laboral.
- Obrigação legal (art. 6.º, n.º 1, al. c): retenções fiscais, Segurança Social, medicina no trabalho.
- Interesse legítimo (art. 6.º, n.º 1, al. f): certas medidas de segurança, com teste de ponderação documentado.
Recrutamento
No recrutamento, a base é normalmente a diligência pré-contratual (art. 6.º, n.º 1, al. b) ou o interesse legítimo. As regras principais:
- Recolher apenas os dados relevantes para a função (minimização).
- Não pedir dados sensíveis (saúde, filiação sindical) salvo exceção legal.
- Informar os candidatos nos termos dos artigos 13.º-14.º.
- Eliminar as candidaturas não selecionadas dentro de um prazo curto após o fim do processo — conservá-las «para futuras oportunidades» exige base própria e informação.
Se a triagem de candidaturas for feita por um sistema de inteligência artificial, acresce um segundo regime: o emprego é uma das áreas de alto risco do Anexo III do AI Act, e a ferramenta terá de constar de um inventário de sistemas de IA com classificação de risco documentada — os critérios de escolha estão no guia de software de conformidade AI Act.
A classificação no AI Act não substitui a análise de decisões automatizadas no artigo 22.º do RGPD: verifique o efeito da decisão e se a intervenção humana tem autoridade e condições reais para a alterar.
Contrato, salários e obrigações legais
A gestão do contrato e o processamento salarial assentam na execução do contrato e em obrigações legais. Estes tratamentos geram os prazos de conservação mais longos dos RH — documentos de suporte salarial e fiscais conservam-se pelo período legal aplicável, que deve constar da política de prazos de conservação. Quando um prestador externo processa salários apenas por conta da empresa e segundo as suas instruções, atua como subcontratante e exige contrato do artigo 28.º.
Videovigilância e biometria: os limites nacionais
As regras nacionais conjugam o Código do Trabalho com a Lei n.º 58/2019. O artigo 20.º do Código limita a finalidade da vigilância à distância, enquanto o artigo 28.º da Lei n.º 58/2019 regula o uso dos dados recolhidos e as finalidades da biometria laboral:
| Tecnologia | Regra em Portugal |
|---|---|
| Videovigilância | O art. 20.º do Código do Trabalho admite proteção de pessoas e bens ou particulares exigências inerentes à atividade; proíbe o controlo do desempenho |
| Biometria | Admitida apenas para controlo de assiduidade e de acessos às instalações |
| Dados biométricos | Categoria especial (art. 9.º); exige garantias reforçadas |
A videovigilância laboral deve respeitar a sinalização e os locais excluídos pelo artigo 19.º da Lei n.º 58/2019. Quanto à conservação, o artigo 31.º, n.º 2, da Lei n.º 34/2013 prevê 30 dias desde a captação e destruição até 48 horas depois. A CNPD apresenta essa regra ressalvando legislação específica e a preservação necessária em processo criminal. Vigiar o ritmo de trabalho contraria o artigo 20.º do Código do Trabalho; usar biometria laboral fora da assiduidade e do acesso contraria o artigo 28.º, n.º 6, da Lei n.º 58/2019. As condições técnicas e de necessidade continuam a exigir verificação mesmo para uma finalidade admitida.
Se o projeto envolve uma frota, faça uma decisão separada sobre a geolocalização de viaturas no trabalho, incluindo acesso, horário e eventual utilização privada.
Monitorização e teletrabalho
A monitorização de email, navegação ou uso de equipamentos está fortemente limitada pelo princípio da proporcionalidade e pelo Código do Trabalho. A CNPD emitiu orientações sobre o trabalho à distância que reforçam que a monitorização do teletrabalhador não pode ser contínua nem intrusiva, e que o empregador deve informar previamente sobre quaisquer meios de controlo. O artigo 169.º-A, n.º 5, proíbe a conexão permanente por imagem ou som durante a jornada. O artigo 170.º, n.º 5, proíbe a captura e utilização de imagem, som, escrita, histórico ou outros meios de controlo que possam afetar a privacidade do trabalhador; não basta invocar proporcionalidade para legitimar funcionalidades abrangidas por estas proibições.
Documente a análise do controlo à distância no teletrabalho, distinguindo administração de segurança, registo de tempo e funcionalidades proibidas de vigilância.
Explique ainda os usos permitidos e os canais de apoio numa política de utilização dos recursos informáticos, sem transformar a aceitação das regras numa autorização geral de monitorização.
Informação e transparência aos trabalhadores
Um dever frequentemente esquecido nos recursos humanos é a informação ao trabalhador nos termos dos artigos 13.º e 14.º do RGPD. O trabalhador tem direito a saber que dados a empresa trata, para que finalidades, com que base, com quem os partilha (contabilista, Segurança Social, seguradora) e durante quanto tempo os conserva. Esta informação deve ser prestada no momento da recolha — tipicamente na admissão — e atualizada quando surgem novos tratamentos, como a introdução de videovigilância ou de um sistema de controlo de acessos.
Muitas empresas cumprem este dever com uma política de privacidade dos trabalhadores separada da política dirigida a clientes, adaptada às finalidades laborais. O trabalhador conserva, ainda, os direitos de acesso, retificação e oposição, que a empresa tem de conseguir satisfazer no prazo de um mês. Preparar a organização para responder a estes pedidos — saber onde estão os dados de cada colaborador e conseguir reuni-los — é parte integrante da conformidade, e não apenas uma formalidade documental. A transparência interna é, muitas vezes, o que evita que uma insatisfação laboral se transforme numa queixa à autoridade.
Perguntas frequentes
Posso pedir consentimento aos meus trabalhadores?
Em regra, não é a base adequada. O desequilíbrio de poder na relação laboral compromete a liberdade do consentimento. Os tratamentos de RH assentam na execução do contrato, na obrigação legal ou no interesse legítimo, conforme o caso.
Posso usar as câmaras de videovigilância para avaliar o desempenho?
Não. O artigo 20.º, n.º 1, do Código do Trabalho proíbe usar meios de vigilância à distância para controlar o desempenho profissional. O n.º 2 admite a proteção de pessoas e bens ou particulares exigências inerentes à natureza da atividade, dentro dos limites aplicáveis. Os n.os 4 e 5 do artigo 28.º da Lei n.º 58/2019 regulam a utilização das imagens e dos dados, incluindo o uso em processo penal e a responsabilidade disciplinar conexa.
Posso impor reconhecimento facial ou impressão digital para picar o ponto?
A biometria só é admitida para controlo de assiduidade e de acessos (art. 28.º, n.º 6, da Lei n.º 58/2019), e mesmo assim com garantias reforçadas por ser categoria especial. Fora destes fins, não é lícita no contexto laboral.
Quanto tempo posso guardar candidaturas de recrutamento?
As candidaturas não selecionadas devem ser eliminadas dentro de um prazo curto após o fim do processo. Conservá-las para futuras oportunidades exige uma base própria e informar o candidato, idealmente com o seu acordo.
Conclusão
Os recursos humanos são um campo minado do RGPD porque juntam grande volume de dados, tratamento contínuo e um regime nacional exigente. A regra estruturante é escolher a base certa — quase nunca o consentimento — e respeitar os limites do Código do Trabalho e da Lei n.º 58/2019: videovigilância sem controlo de desempenho e biometria laboral limitada à assiduidade e aos acessos, com as garantias exigidas. Tudo assenta num registo de tratamentos de RH completo, com bases, prazos e subcontratantes. Uma empresa que domina este mapa evita as falhas mais comuns; uma que trata os dados de trabalhadores como um assunto informal está exposta a queixas e a coimas.
Outros guias setoriais de RGPD: RGPD para imobiliárias, RGPD para advogados e RGPD nos municípios e setor público.