Com o início da vigência da Lei Geral de Proteção de Dados (LGPD), o que se tem observado está distante de um cenário de calmaria. Além da lacuna deixada pela demora na operacionalização da Autoridade Nacional de Proteção de Dados (ANPD), assuntos relacionados à interpretação e aplicação da lei seguem preenchendo a pauta jurídica.
Se por um lado a LGPD apresenta uma porção de termos dúbios, rasos e superficiais, também busca, de outro, estabelecer parâmetros fechados para alguns artigos, sem, contudo, oferecer um norte para sua interpretação.
Quanto às bases legais a lei é taxativa e apresenta um rol fechado, e por mais que não conste vedação expressa quanto à possibilidade de utilização de bases legais múltiplas, impera o entendimento de que a boa-fé, como um ato inserido na adoção de boas práticas, determina a escolha de uma única base legal para cada processo de tratamento.
A existência de (somente) dez bases legais (consideradas aquelas do art. 7º da lei) não significa unanimidade na designação correta das hipóteses para cada processo de tratamento de dados, e este ato, fundamental das trilhas de adequação, tem se tornado fator de risco aos controladores.
A título de experiência, tomemos um exemplo europeu. Uma das maiores empresas de auditoria e consultoria do mundo, integrante do “Big Four”, a Pwc foi vítima de um descuido ao apontar uma base legal não apropriada para justificar o tratamento de dados pessoais de seus funcionários. A sucursal grega foi multada em 150 mil euros pela Hellenic Data Protection Authority (HDPA), fazendo valer a máxima do “santo de casa não faz milagres”.
O RH é sem dúvida uma das áreas das empresas que possui a maior quantidade de fluxos de dados pessoais, e, consequentemente, um dos pontos de preocupação para a adequação à LGPD. Nesse contexto, o tratamento de dados pessoais para fins de participação em processos seletivos é fator de atenção quanto à adoção de uma base legal apropriada.
Na Europa, impera o entendimento de que a base legal para o tratamento de dados pessoais em processos seletivos seria o legítimo interesse (art. 6 (f) do GDPR), algo que, inclusive, pode ser constatado nas orientações do ICO (Information Commissioner’s Office), autoridade britânica para a proteção de dados.
Contudo, ainda muito ligados ao modelo europeu, muitos no Brasil têm defendido a adoção indiscutível do legítimo interesse (inciso IX do art. 7 da LGPD) como base legal adequada para justificar o tratamento de dados de candidatos participantes de processos seletivos.
Contudo, é importante tratar o tema com cautela.
Devemos compreender e aceitar que a LGPD centraliza na discussão do tratamento de dados pessoais a figura do titular, tanto que a eles garante direitos hierarquicamente superiores (Capítulo III da LGPD) dos demais estabelecidos na norma.
Porém, se considerássemos o consentimento como (em situação equiparada) fez a Pwc grega, tentaríamos embasar o tratamento ao bel prazer do titular, em base legal ainda frágil e passível de revogação a qualquer momento (§ 5º do Art. 8º da LGPD).
Por outro lado, se nos posicionarmos do outro lado do espectro da relação de tratamento de dados pessoais, onde se encontram as empresas (em grande parte) controladoras, aceitar como base legal o legítimo interesse é, em primeira análise, tentar desconsiderar a figura do titular neste tratamento. E essa tentativa é falha, pois a mencionada base legal é (depois do consentimento) uma das mais complexas e instáveis da LGPD.
Julgamos, assim, a possibilidade de considerarmos a execução de contratos (inciso V do art. 7 da LGPD) como base apropriada para o tratamento de dados pessoais quando da participação em processos seletivos, consagrando a boa-fé, as boas práticas e o melhor enquadramento.
De acordo com a LGPD, o tratamento de dados pessoais pode ser realizado “quando necessário para a execução de contrato ou de procedimentos preliminares relacionados a contrato do qual seja parte o titular, a pedido do titular dos dados”. O candidato, assim, ao ingressar no processo seletivo, ou mesmo ao disponibilizar seu currículo para que seja direcionado a ofertas de emprego, deseja por óbvio conseguir uma colocação profissional.
A finalidade do tratamento na hipótese aqui ventilada é o desejo do titular em oferecer seus dados para que, tratados, resultem na sua contratação. Do contrário, não permitiria que seus dados fossem acessados pelas empresas que, também por óbvio, buscam candidatos para ocupar as vagas que veiculam.
O tratamento neste caso (ainda) não é contratual na acepção do termo, mas visa o contrato, busca a relação final, e pode ser considerado como um procedimento preliminar, como permite a lei.
Desse modo, buscando a aplicação justa da norma o raciocínio pela adoção da base legal da execução de contratos é o único capaz (para o caso em questão) de resguardar o interesse do titular, sem que isso macule a intenção do controlador.
Para mais informações sobre este e outros assuntos, a equipe do Assis e Mendes Advogados segue – em home office – à disposição para esclarecimentos.
Genival Souza Filho
LGPD2021@assisemendes.com.br