Tratamento de dados pessoais em processos seletivos: bases legais apropriadas

Passado o calvário do início da vigência da Lei Geral de Proteção de Dados (LGPD), o que se tem observado está distante de um cenário de calmaria. Pelo contrário, além da lacuna deixada pela não criação da Autoridade Nacional de Proteção de Dados (ANPD), assuntos relacionados à interpretação e aplicação da lei seguem preenchendo a pauta jurídica.

Se por um lado a LGPD apresenta uma porção de termos dúbios, rasos e superficiais, também busca, de outro, estabelecer parâmetros fechados para alguns artigos, sem, contudo, oferecer um norte para sua interpretação.

Quanto às bases legais a lei é taxativa e apresenta um rol fechado, e por mais que não conste vedação expressa quanto à possibilidade de utilização de bases legais múltiplas, impera o entendimento de que a boa-fé, como um ato inserido na adoção de boas práticas, determina a escolha de uma única base legal para cada processo de tratamento.

A existência de (somente) dez bases legais (consideradas aquelas do art. 7º da lei) não significa unanimidade na designação correta das hipóteses para cada processo de tratamento de dados, e este ato, fundamental das trilhas de adequação, tem se tornado fator de risco aos controladores.

Tomemos um exemplo europeu. Uma das grandes empresas de auditoria e consultoria do mundo, integrante do "Big Four", a Pwc foi vítima de um descuido ao apontar uma base legal não apropriada para justificar o tratamento de dados pessoais de seus funcionários. A sucursal grega foi multada em 150 mil euros pela Hellenic Data Protection Authority (HDPA), fazendo valer a máxima do santo que não resolve questões caseiras.

O RH é sem dúvida um dos maiores fluxos de dados pessoais das empresas, e consequentemente um dos pontos de preocupação para a LGPD. Neste mesmo ambiente a atividade que compreende o tratamento de dados pessoais para fins de participação em processos seletivos é outro fator de atenção quanto à adoção de uma base legal apropriada.

Na europa impera o entendimento de que a base legal para o tratamento de dados pessoais em processos seletivos seria o legítimo interesse (art. 6 (f) do GDPR), algo que, inclusive, pode ser constatado nas orientações do ICO (Information Commissioner's Office), autoridade britânica para a proteção de dados.

Ainda muito ligados ao modelo europeu, que obviamente guarda uma relação mais profunda com a cultura da proteção de dados se comparado à pouca experiência brasileira, muitos têm defendido a adoção indiscutível do legítimo interesse (inciso IX do art. 7 da LGPD) como base legal adequada para justificar o tratamento de dados de candidatos participantes de processos seletivos.

Ousamos discordar.

Devemos compreender e aceitar que a LGPD centraliza na discussão do tratamento de dados pessoais a figura do titular, tanto que a eles garante direitos hierarquicamente superiores (Capítulo III da LGPD) dos demais estabelecidos na norma.

Se contudo nos posicionarmos do outro lado do espectro da relação de tratamento, onde se encontram as empresas, aceitar como base legal o legítimo interesse é, em primeira análise, tentar desconsiderar a figura do titular neste tratamento. Essa tentativa é ainda falha na medida em a mencionada base legal é, junto ao consentimento, uma das hipóteses de tratamento de mais complexidade.

Ainda, equiparando-se ao que fez a Pwc grega, determinar como base legal o consentimento é ignorar a fragilidade desta hipótese, em especial por estar adstrita à intempestiva vontade do titular, posto ser passível de revogação a qualquer momento (§ 5º do Art. 8º da LGPD). 

Sugere-se assim que estariam consagradas a boa-fé, as boas práticas e o melhor enquadramento se considerarmos como base apropriada para o tratamento de dados pessoais quando da participação em processos seletivos, a execução de contratos (inciso V do art. 7 da LGPD).

O mencionado inciso V do art. 7º estabelece que o tratamento de dados pessoais poderá ser realizado "quando necessário para a execução de contrato ou de procedimentos preliminares relacionados a contrato do qual seja parte o titular, a pedido do titular dos dados". O candidato, titular dos dados pessoais, ao ingressar no processo seletivo, ou mesmo ao disponibilizar seu currículo para que seja direcionado a ofertas de emprego, deseja por óbvio conseguir uma colocação profissional. 

A finalidade do tratamento na hipótese aqui ventilada é o desejo do titular em oferecer seus dados para que, tratados, resultem na sua contratação. Do contrário, não permitiria que seus dados fossem acessados pelas empresas que, também por óbvio, buscam candidatos para ocupar as vagas que veiculam.

O tratamento neste caso (ainda) não é contratual na acepção do termo, mas visa o contrato, busca a relação final, e pode ser considerado como um procedimento preliminar, como permite o inciso mencionado.

Devemos buscar a aplicação justa da norma, e justiça não pode guardar relação alguma com privilégio (aquele adotado em detrimento de alguém). Assim, o raciocínio pela adoção da base legal da execução de contratos é o único capaz (para o caso em questão) de resguardar o interesse do titular, sem que isso macule a intenção do controlador.