招聘与人才选拔平台中的数据保护

本页为葡萄牙语原文的译文，仅供参考，内容涉及巴西法律。如有出入，以葡萄牙语版本为准。 阅读葡萄牙语原文

招聘与人才选拔平台处理着数百万求职者的敏感个人数据，在这一场景下落实LGPD的合规要求，需要企业和人力资源从业者格外用心。

招聘流程中数据处理的现状

近年来，劳动力市场经历了深刻的数字化转型。无论是巴西本土还是国际上的招聘平台，都已成为企业与求职者之间最主要的对接渠道。在这一环境中，每天都有海量个人数据在流转：完整的简历、职业履历、期望薪资、残疾相关信息、工会会员身份，甚至包括在带有人脸识别功能的视频面试中采集的生物识别数据。

从《通用数据保护法》(Lei 13.709/2018，即LGPD) 的角度审视这一生态，我们可以看到一条由多个数据处理主体构成的复杂链条。用人企业是数据的控制者 (controlador)，而招聘平台可能是处理者 (operador)，在特定情形下也可能是共同控制者。这一区分并非纯粹的理论问题：一旦发生安全事件或信息被不当使用，两者所承担的法律责任各不相同。

在这一场景下，数据尽职调查 (due diligence) 需要核查链条中每个环节如何处理求职者的信息，从最初的收集一直到最终的销毁。我们注意到，许多机构仍然忽视这一环节，盲目信任平台的隐私政策，却不核实这些政策是否真正符合法律要求。这种做法蕴含着相当大的法律风险，因为处理不当的责任可能落到所有相关主体身上。

适用的法律依据与同意的局限

实践中最常见的误解之一，就是认为只要取得求职者的同意，合规问题便迎刃而解。同意固然是LGPD第7条规定的法律依据之一，但在招聘与选拔的场景中，它存在明显的脆弱性。求职者与企业之间的关系显然是不对等的：拒绝同意处理其数据的求职者，就只能无缘参与选拔流程。这种状况有损有效同意本应具备的自愿性。

因此，我们认为，其他法律依据可能更适合作为招聘流程中数据处理的基础。当处理行为是评估求职者是否适合该职位所必需时，为订立合同而采取的预备性程序 (LGPD第7条第V项) 是恰当的依据。控制者的正当利益 (第7条第IX项) 同样可以援引，但前提是事先进行比例性测试，在企业利益与求职者权利之间加以权衡。

当招聘流程涉及敏感数据 (如健康信息、种族出身或宗教信仰) 时，法律依据的限制就更为严格。LGPD第11条对处理此类信息规定了穷尽式的情形清单。可以看到，许多平台不加区分地收集敏感数据，缺乏恰当的法律依据，使企业和求职者都面临不必要的风险。

对招聘平台开展数据尽职调查，并不是监管层面的奢侈之举，而是企业依法稳妥用人、尊重求职者权利的战略需要。

数据收集必须严格遵守LGPD第6条第III项规定的必要性原则。这意味着，在流程的每个阶段，只应要求提供评估求职者所严格必需的信息。例如，询问婚姻状况、生育计划或政治倾向，与职业能力毫无关联，属于过度收集。

实务中的数据尽职调查：平台需要核查什么

在对招聘平台开展数据尽职调查时，我们将分析划分为若干基本维度，用以评估系统与现行法律的合规程度。第一个维度是透明度：平台是否以清晰易懂的方式告知其收集哪些数据、用于什么目的、存储多长时间，以及与谁共享？根据LGPD第9条的要求，隐私政策应当使用通俗易懂的语言撰写。

第二个维度涉及信息安全。需要分析平台是否采取了适当的技术和管理措施，防止数据遭到未经授权的访问、泄露和安全事件。这包括核查是否具备传输加密与存储加密、基于角色的访问控制、审计记录 (日志) 以及事件应对预案。缺少这些措施，可能构成平台的疏忽，进而牵连聘用该平台的企业。

第三个维度是数据主体的权利。LGPD赋予求职者多项权利，包括查阅、更正、删除及数据可携带。需要核查平台是否提供有效机制，使求职者能够行使这些权利。实践中，许多平台给删除个人档案设置障碍，或者在选拔流程结束后仍无限期保留数据，这有悖于必要性原则。

第四个维度涉及数据的跨境传输。不少招聘平台将信息存储在位于巴西境外的服务器上。在这种情况下，传输必须符合LGPD第33条规定的情形，包括目的地国家具备适当的法律制度，或者采用特定的合同条款。巴西国家数据保护局 (ANPD) 正在逐步对这一问题作出规范，企业应当关注这些指引。

最后，第五个维度是在选拔流程中使用人工智能和自动化决策。简历自动筛选、算法进行的行为画像分析，以及由情绪识别系统评估的面试，正变得越来越普遍。LGPD第20条保障数据主体有权要求对仅基于自动化处理作出的决定进行复核，包括那些影响其利益的决定，例如被淘汰出选拔流程。

用人企业的责任与良好实践

我们发现，许多企业将数据处理的责任完全交给招聘平台，却没有对这种关系作出妥善的书面约定。这种做法在法律上存在风险。LGPD规定，控制者须对数据处理造成的损害承担责任，聘用处理者并不会自动转移这一责任。

合同层面的规范至关重要。企业与招聘平台之间的合同应包含关于数据保护的专门条款，包括明确界定双方的角色 (控制者与处理者)、获准的处理目的、要求采取的安全措施、发生事件时的处理程序，以及转委托的条件。还建议加入审计条款，使企业能够定期核查平台的合规情况。

在聘用任何招聘平台之前，建议编制LGPD第38条规定的个人数据保护影响报告 (RIPD)。该文件描述可能对求职者的公民自由和基本权利造成风险的数据处理流程，以及所采取的缓解措施。尽管ANPD尚未对RIPD的强制适用情形作出详尽规定，但编制该报告能够体现企业的审慎与善意。

另一个值得关注的问题是选拔流程结束后的数据保留。我们认为，平台无限期保留未被录用求职者的简历和信息、建立人才库的情况相当普遍。只要求职者知情且具备适当的法律依据，这种做法可以是正当的。保留期限应当事先确定并告知，求职者也应当有权随时要求删除其数据。

对人力资源团队进行培训，同样属于良好实践的一部分。操作招聘平台的人员应当理解LGPD的各项原则，并能够识别风险情形。围绕招聘场景下的数据保护定期开展培训，有助于形成注重隐私的组织文化。

违规后果与监管趋势

LGPD对违反数据保护规则规定的处罚相当严厉。ANPD可以给予警告、处以最高达企业营业额2%的罚款 (每次违规以R$ 50 milhões为限)、封存或删除与违规行为相关的个人数据，并公布该违法行为。在劳动法领域，对求职者数据的不当处理可能引发以精神损害为由的诉讼，尤其是在敏感信息泄露或数据被用于歧视性目的的情况下。

我们注意到，ANPD正在加大监管执法力度，劳动关系已被列为该机构的优先议题之一。招聘流程中的数据处理预计将受到越来越多的关注，这与欧洲的监管动向一致：在欧洲，多个国家的数据保护机构已就这一主题发布了专门指引。

在巴西，与就业和招聘场景中滥用个人数据有关的诉讼数量也明显增加。劳动法院已在多起案件中认定求职者有权获得精神损害赔偿，涉及过度收集数据、未经授权共享求职者信息，以及在自动化选拔流程中采用歧视性标准。这一正在形成的司法实践，进一步凸显了采取预防性措施的重要性。

对招聘平台开展数据尽职调查的企业，不仅能降低法律风险，还能提升自身作为重视职业道德、尊重基本权利的雇主声誉。在人才竞争日益激烈的市场中，重视求职者个人数据的态度，可以成为吸引优秀人才的重要优势。

这一主题与教育领域的数据保护密切相关，我们已在专门的文章中进行了探讨。

这一主题与数据保护影响报告密切相关，我们已在专门的文章中进行了探讨。

As informações deste artigo são de caráter informativo e não substituem consulta jurídica individualizada. Cada caso possui particularidades que exigem análise específica.