A contratação se globalizou. Uma empresa em Dubai recruta um engenheiro baseado na Alemanha, uma empresa dos EUA integra um consultor da Irlanda e uma empresa indiana abre um centro de entregas na Polônia. Cada uma dessas contratações envolve verificar a identidade, a formação e o histórico profissional de uma pessoa, e cada uma delas pode acionar o Regulamento Geral sobre a Proteção de Dados (GDPR) da União Europeia.
O GDPR está em vigor desde maio de 2018, mas a verificação de antecedentes (BGV) continua sendo um dos pontos em que as organizações mais tropeçam. Este artigo explica por que o GDPR importa para a triagem, como ele muda a forma de conduzir as verificações e como é uma abordagem sensata de conformidade.
Por que o GDPR vai além da Europa
O GDPR não se limita a empresas sediadas na UE. Ele se aplica a organizações estabelecidas na UE e também a organizações de outros lugares que tratam dados pessoais de pessoas na UE em conexão com a oferta de bens ou serviços ou com o monitoramento de comportamento. Em uma solicitação de verificação sobre um candidato localizado na Europa, as regras podem acompanhar os dados por onde quer que eles viajem.
É por isso que tanto o provedor de triagem quanto o empregador que o contrata precisam entender o regulamento, mesmo quando nenhum dos dois tem escritório na Europa.
As ideias centrais, em linguagem simples
O GDPR se baseia em um conjunto de princípios que se aplicam a todas as etapas de um dossiê de verificação:
- Licitude, lealdade e transparência. Deve haver uma base legal válida para o tratamento, e os candidatos devem ser informados do que acontece com seus dados.
- Limitação de finalidade. Os dados coletados para uma verificação específica não devem ser reutilizados para fins não relacionados.
- Minimização de dados. Colete apenas o que for relevante e necessário para o cargo.
- Exatidão. Os registros devem estar corretos e atualizados.
- Limitação de armazenamento. Os dados não devem ser mantidos por mais tempo do que o necessário.
- Integridade e confidencialidade. Uma segurança adequada deve proteger os dados.
- Responsabilização. As organizações devem ser capazes de demonstrar que estão em conformidade, e não apenas afirmar isso.
Como escolher a base legal certa
Uma das primeiras perguntas em qualquer programa de triagem europeu é: por que temos permissão para tratar essas informações? O GDPR oferece várias bases legais, e as mais consideradas na contratação são a obrigação legal, o legítimo interesse e, em casos limitados, o consentimento.
O consentimento exige cuidado especial no contexto do emprego. Os órgãos reguladores há muito tempo manifestam preocupação de que o consentimento dado por um candidato a uma vaga talvez não seja realmente voluntário, devido ao evidente desequilíbrio de poder entre candidato e empregador. Por isso, muitas organizações recorrem a uma avaliação documentada de legítimo interesse ou a uma exigência legal, sem deixar de dar aos candidatos um aviso claro. A resposta certa depende do país e do tipo de verificação, então vale buscar orientação jurídica local.
Onde a verificação de antecedentes se torna sensível
Verificação de antecedentes criminais
As informações sobre condenações e infrações penais recebem proteção especial no GDPR. Em geral, o tratamento deve ser realizado sob autoridade oficial ou autorizado pela legislação da UE ou de um Estado-Membro, com salvaguardas adequadas. As regras diferem bastante entre os países e, em alguns lugares, os empregadores só podem solicitar um certificado quando o cargo o justifica legalmente. Uma política global única de "verificação criminal para todos" é arriscada.
Dados de categorias especiais
Saúde, etnia, religião, filiação sindical e categorias semelhantes estão sujeitas a condições mais rigorosas. Os processos de triagem devem evitar coletar esses dados, a menos que haja uma necessidade clara e lícita, e devem garantir que campos de texto livre, respostas de referências e documentos enviados não tragam esses dados discretamente para o dossiê.
Decisões automatizadas
Se o resultado de uma triagem for produzido inteiramente por um processo automatizado e tiver efeito significativo sobre um candidato, o GDPR garante proteções a essa pessoa, incluindo a possibilidade de solicitar revisão humana. A verificação assistida por IA ainda pode ser bem utilizada, desde que uma pessoa continue efetivamente envolvida nas decisões que afetam as perspectivas profissionais de alguém.
O que os candidatos podem pedir a você
O GDPR dá às pessoas um conjunto de direitos que se aplicam diretamente aos registros de triagem:
- Acesso aos dados pessoais mantidos sobre elas e a informações sobre como são usados.
- Retificação de dados inexatos.
- Apagamento em determinadas circunstâncias.
- Limitação e oposição em situações específicas.
- Portabilidade quando aplicável.
Os empregadores e seus parceiros de verificação devem ser capazes de responder a essas solicitações dentro do prazo de um mês estabelecido pelo regulamento, o que significa saber onde está cada cópia do dossiê de um candidato.
Responsabilidades compartilhadas entre empregador e provedor
Na maioria dos arranjos, o empregador é o controlador, que decide por que e como os dados são usados, enquanto a empresa de verificação é o operador, que age conforme as instruções do empregador. O GDPR exige um contrato escrito entre os dois que cubra o objeto, as medidas de segurança, os suboperadores, a assistência quanto aos direitos dos titulares e a exclusão ou devolução dos dados ao fim da relação.
Dois outros pontos merecem atenção:
- Notificação de violações. Uma violação de dados pessoais que represente risco para as pessoas geralmente deve ser comunicada à autoridade de supervisão sem demora injustificada e, quando viável, em até 72 horas. Os operadores devem alertar prontamente os controladores, por isso os contratos devem especificar em quanto tempo.
- Transferências internacionais. Enviar dados de verificação da UE para um país sem decisão de adequação exige uma salvaguarda aprovada, como as Cláusulas Contratuais Padrão, junto com uma avaliação dos riscos. A verificação de diplomas estrangeiros ou de empregadores anteriores no exterior costuma envolver exatamente esse tipo de movimentação.
O custo de errar
Os órgãos reguladores podem impor multas de até 20 milhões de euros ou 4% do faturamento anual mundial, o que for maior, para as infrações mais graves. Além das multas, os danos práticos podem incluir programas de contratação suspensos, perda da confiança dos candidatos e conversas difíceis com clientes que contam com você para proteger os dados de seus funcionários.
Um checklist prático para a triagem na Europa
- Mapeie todos os fluxos de dados do seu processo de verificação, incluindo onde os dados são armazenados e quem pode vê-los.
- Documente sua base legal para cada tipo de verificação e para cada país.
- Dê aos candidatos um aviso de privacidade claro e conciso antes de coletar qualquer dado.
- Ajuste as verificações ao cargo e elimine as que não forem justificadas.
- Faça uma avaliação de impacto sobre a proteção de dados quando a triagem for em larga escala ou envolver dados de maior risco.
- Firme contratos de operador em conformidade e revise os suboperadores.
- Defina prazos de retenção e confirme que a exclusão realmente acontece.
- Prepare um processo simples para solicitações de acesso, correção e apagamento.
- Treine recrutadores e equipes de RH, já que o erro humano causa muitos incidentes.
- Teste seu plano de resposta a violações para que a janela de 72 horas seja realista.
Privacidade e velocidade podem coexistir
Alguns empregadores temem que as regras de privacidade atrasem a contratação. Em nossa experiência, costuma ocorrer o contrário. Um processo com consentimento claro, verificações direcionadas e registros organizados gera menos disputas, menos reverificações e uma integração mais rápida. Os candidatos também percebem quando uma organização trata suas informações com cuidado, e isso influencia a imagem que têm do empregador.
Como a Quinfy apoia a triagem global em conformidade
A Quinfy oferece verificação de antecedentes em mais de 45 países, com respaldo das certificações ISO 27001, ISO 9001 e SOC 2 Type II. Nossa plataforma foi projetada para que o consentimento do candidato, os controles de acesso e o tratamento de dados façam parte da jornada de verificação. Se você está estruturando ou revisando um programa de triagem que envolve a Europa, teremos prazer em conversar sobre suas necessidades.
Este artigo tem caráter informativo geral e não constitui aconselhamento jurídico. Os requisitos variam conforme o país e a situação, portanto consulte um assessor jurídico qualificado antes de finalizar suas políticas de triagem.
Sobre o autor: Prathap P é Senior Sales Manager da Quinfy, empresa de verificação de antecedentes nativa em IA que ajuda empregadores a verificar talentos em todo o mundo.
