Pedido de acesso RGPD após rejeição de emprego

Porquê um pedido de acesso RGPD após uma rejeição de emprego

A maioria das rejeições chega sem explicação, e cada vez mais passam primeiro por um software. Em outubro de 2026, a AFP noticiou que três antigos funcionários da Plus que pro, uma startup francesa, a acusam de ter criado um software de recrutamento cujas instruções de IA rejeitavam mulheres, candidatos com mais de 55 ou menos de 27 anos e pessoas com apelidos africanos; um deles diz ter apresentado queixa à CNIL e ao Défenseur des droits. A empresa afirma que um antigo funcionário desenvolveu essa versão contra as suas orientações e que ela nunca entrou em funcionamento. Na mesma semana, meios de comunicação turcos noticiaram um relatório de uma comissão parlamentar britânica que alertava que a triagem automatizada no recrutamento pode prejudicar candidatos de minorias étnicas.

Não consegues ver por dentro o software de triagem de um empregador. Mas, na UE, podes pedir os dados que ele produziu sobre ti. É para isso que serve um pedido de acesso RGPD — também chamado pedido de acesso do titular dos dados, ou DSAR. Não te vai dar o emprego, mas pode dizer-te o que ficou registado, que ferramentas foram usadas e se houve intervenção de uma pessoa, e é o ponto de partida para corrigir erros ou contestar uma decisão.

A que tens direito

Nos termos do artigo 15.º do RGPD, podes pedir ao empregador — e, separadamente, a qualquer agência de recrutamento — que confirme se trata os teus dados pessoais e, em caso afirmativo, que te forneça:

• Uma cópia dos próprios dados. O Tribunal de Justiça da UE decidiu que isto significa uma reprodução fiel e inteligível de todos os teus dados, incluindo excertos de documentos ou bases de dados quando forem necessários para os compreender (processo C-487/21).
• As finalidades do tratamento e as categorias de dados em causa.
• Os destinatários — por exemplo, o sistema de gestão de candidaturas, o fornecedor de avaliações ou de entrevistas em vídeo, ou outra empresa do grupo.
• Durante quanto tempo os teus dados serão conservados, ou os critérios usados para o decidir.
• A origem dos dados, se não foste tu a fornecê-los — útil se um recrutador encontrou o teu perfil noutro sítio.
• Se foram usadas decisões automatizadas e, nesse caso, informações úteis sobre a lógica subjacente e as suas consequências para ti.

Num processo de recrutamento, os teus dados pessoais podem incluir o teu CV e o formulário de candidatura, pontuações de triagem ou de classificação, resultados de testes online, gravações e transcrições de entrevistas com IA ou em vídeo, notas e grelhas de avaliação dos entrevistadores sobre ti e e-mails internos que discutem a tua candidatura.

Rejeições automatizadas e o artigo 22.º

O artigo 22.º do RGPD dá-te o direito de não ficar sujeito a uma decisão tomada exclusivamente com base em tratamento automatizado que te afete significativamente — e uma rejeição pode ser uma decisão desse tipo. Quando um empregador se apoia numa das exceções (por exemplo, que a decisão é necessária para celebrar um contrato, ou o teu consentimento explícito), tem mesmo assim de te permitir obter intervenção humana, manifestar o teu ponto de vista e contestar a decisão.

Dois acórdãos de tribunais da UE tornam este direito mais útil:

• No processo SCHUFA (C-634/21, dezembro de 2023), o Tribunal decidiu que uma pontuação gerada automaticamente conta como decisão automatizada quando a empresa que a recebe se baseia fortemente nela para decidir. Um recrutador que, na prática, rejeita todos os que ficam abaixo de uma pontuação de IA definida pode estar numa situação semelhante.
• No processo Dun & Bradstreet Austria (C-203/22, fevereiro de 2025), o Tribunal decidiu que “informações úteis sobre a lógica subjacente” significa uma explicação concisa e inteligível do procedimento e dos princípios efetivamente aplicados aos teus dados — não uma fórmula complexa. Se a empresa invocar segredos comerciais, tem de dar a informação à autoridade de proteção de dados ou ao tribunal, que decide quanta recebes.

O Regulamento da IA da UE acrescenta o direito a uma explicação clara do papel da IA nas decisões baseadas em sistemas de risco elevado, que incluem as ferramentas de recrutamento (artigo 86.º) — mas apenas quando o direito da UE ainda não preveja esse direito, por isso o RGPD continua a ser a tua principal ferramenta. As obrigações de risco elevado do Regulamento para as ferramentas de recrutamento aplicam-se a partir de 2 de dezembro de 2027, nos termos do Omnibus da IA.

Como enviar o pedido

Não existe nenhum formulário obrigatório. Um e-mail serve, e a política de privacidade da empresa indica normalmente um contacto ou um encarregado da proteção de dados. Basta um pedido curto:

“Assunto: Pedido de acesso a dados (artigo 15.º do RGPD). Candidatei-me à função de [função, referência] em [data]. Ao abrigo do artigo 15.º do RGPD, solicito que confirmem se tratam os meus dados pessoais e que me enviem uma cópia de todos os dados pessoais relativos à minha candidatura, incluindo pontuações ou classificações de triagem, resultados de testes e avaliações, e gravações, transcrições e notas das entrevistas. Solicito ainda que me indiquem as finalidades, os destinatários (incluindo fornecedores de software), o prazo de conservação e, caso tenham sido usadas decisões automatizadas, informações úteis sobre a lógica subjacente. Agradeço uma resposta no prazo de um mês, conforme exigido pelo artigo 12.º, n.º 3. [Nome, endereço de e-mail usado na candidatura]”

• Envia-o a partir do endereço de e-mail com que te candidataste; assim é fácil identificarem-te. A empresa só pode pedir mais informações se tiver dúvidas razoáveis sobre a tua identidade.
• Guarda uma cópia e anota a data: o prazo de um mês começa a contar quando a empresa recebe o teu pedido.
• Se te candidataste através de uma agência ou de uma plataforma de emprego, envia um pedido separado a cada uma — cada uma é responsável pelos seus próprios dados.

O que vais receber — e o que pode ser retido

• Prazo: uma resposta sem demora injustificada e no prazo de um mês. A empresa pode prorrogá-lo por mais dois meses em caso de pedidos complexos ou numerosos, mas tem de te informar dentro do primeiro mês e explicar porquê.
• Custo: a primeira cópia é gratuita. O Tribunal de Justiça confirmou que não tens de dar qualquer motivo para o teu pedido (C-307/22). Só pode ser cobrada uma taxa razoável por cópias adicionais.
• Direitos de terceiros: a cópia não pode prejudicar outras pessoas, por isso os dados de outros candidatos são retirados e alguns pormenores, como partes de comentários internos de colegas, podem ser ocultados. A ocultação deve ser seletiva, e não um motivo para recusar tudo.
• Abuso: uma empresa só pode recusar ou cobrar em caso de pedidos manifestamente infundados ou excessivos, por exemplo repetidos — e tem de o conseguir demonstrar.
• Exceções nacionais: os países da UE podem limitar o acesso em casos específicos, por isso os pormenores variam ligeiramente de país para país.

Quando tiveres os teus dados, podes pedir a correção de erros, pedir o apagamento quando já não forem necessários ou opor-te a que o teu CV seja guardado para futuras vagas.

Se não responderem: queixas e próximos passos

Se uma empresa recusar, tem de te dizer porquê no prazo de um mês e informar-te do teu direito de apresentar queixa. Se te ignorar ou der uma resposta incompleta, envia um lembrete e depois apresenta queixa à autoridade de proteção de dados do teu país — a CNIL em França, por exemplo — ou do país onde o empregador está sediado. O Comité Europeu para a Proteção de Dados (CEPD) tem a lista de todas as autoridades nacionais, e as queixas são gratuitas.

Se os dados sugerirem discriminação — por exemplo, filtros com base na idade, no sexo ou na origem —, também podes contactar o organismo para a igualdade do teu país e, em muitos países, um advogado de direito do trabalho ou um sindicato podem aconselhar-te. No Reino Unido, aplica-se o mesmo direito de acesso ao abrigo do UK GDPR, e as queixas são apresentadas à ICO.