RGPD no recrutamento por mensagens: dados de candidatos, opt-in e conformidade
WhatsApp no recrutamento? Apenas com uma base legal sólida. Este guia explica os requisitos do RGPD para mensagens no processo de seleção: consentimento vs. interesse legítimo, regra de eliminação aos 6 meses, conformidade e acordo de processamento de dados.
TL;DR
Quem contacta candidatos por WhatsApp, SMS ou outros canais de mensagens precisa de uma base sólida ao abrigo do RGPD. Três bases legais são relevantes no contexto do recrutamento: Consentimento (Art. 6(1)(a)) para campanhas de banco de talentos e mensagens de outreach proativas, medidas pré-contratuais (Art. 6(1)(b)) para comunicação no processo de candidatura em curso e interesse legítimo (Art. 6(1)(f)) para casos estritamente delimitados. A isso acrescentam-se a regra dos 6 meses segundo as leis de igualdade de tratamento, a obrigação de comunicação não discriminatória e um acordo de processamento de dados com o seu fornecedor de mensagens. Este guia explica todos os requisitos de forma prática e sem jargão jurídico. Voltar ao cluster: Mensagens no recrutamento: o guia completo 2026.
Nota: Este guia oferece uma visão geral orientada para a prática e não substitui o aconselhamento jurídico. Para questões específicas de conformidade recomendamos consultar um encarregado de proteção de dados ou advogado especializado.
3 bases legais para mensagens no recrutamento
O RGPD apenas permite o processamento de dados pessoais se estiver presente uma das bases legais mencionadas no Art. 6. No recrutamento por mensagens são relevantes três bases:
| Base legal | Quando aplicável | Exemplo no recrutamento |
|---|---|---|
| Art. 6(1)(a): Consentimento | O candidato deu o seu consentimento expresso e voluntário. Revogação possível a qualquer momento. | Incorporação no banco de talentos, difusão de WhatsApp para novas vagas, campanha de outreach proativa |
| Art. 6(1)(b): Medidas pré-contratuais | O processamento de dados é necessário para a execução de medidas pré-contratuais realizadas a pedido do titular dos dados. | Atualizações de estado no processo de candidatura em curso, coordenação de entrevistas, lembretes de compromissos |
| Art. 6(1)(f): Interesse legítimo | Interesse legítimo do responsável que não prevalece sobre os interesses do titular dos dados. Requer uma avaliação de interesses (LIA). | Estritamente delimitado: por ex. contacto único para uma vaga claramente adequada quando já existe contacto em contexto profissional |
Qual base legal para qual caso de uso?
Processo de candidatura em curso (Art. 6(1)(b)): Uma vez que um candidato submeteu uma candidatura, a comunicação posterior no âmbito do processo está coberta por medidas pré-contratuais. Não é necessário opt-in adicional, mas: o consentimento para o canal (WhatsApp) deve existir separadamente.
Banco de talentos e campanhas (Art. 6(1)(a)): Para o contacto proativo após o fim do processo de candidatura, é sempre necessário consentimento expresso.
Sourcing proativo (Art. 6(1)(f), com precaução): Para o primeiro contacto direto através de canais de mensagens, o interesse legítimo apenas é aplicável em limites muito estreitos. Requer uma avaliação de interesses documentada.
Conservação de dados de candidatos: a regra dos 6 meses
Na prática estabeleceu-se um período de conservação de 6 meses após a conclusão do processo de candidatura como compromisso entre a proteção contra reclamações de igualdade de tratamento e a minimização de dados do RGPD.
| Estado do candidato | Período de conservação | Base legal |
|---|---|---|
| Processo de candidatura ativo | Até ao fim do processo + 6 meses | Art. 6(1)(b) + prazo de reclamação de igualdade |
| Candidato rejeitado sem opt-in | 6 meses após a rejeição, depois eliminar | Leis de igualdade de tratamento |
| Banco de talentos com opt-in ativo | Até à revogação do consentimento, máx. 2–3 anos (renovação periódica recomendada) | Art. 6(1)(a) RGPD |
| Documentos de contratação (contrato assinado) | Duração da relação laboral + 10 anos | Direito fiscal / comercial |
Implementação prática: configure no seu ATS regras de eliminação ou anonimização automatizadas. Na SendSeven pode etiquetar os candidatos com uma etiqueta como data-eliminacao:2026-10-01 e ativar lembretes automatizados através de webhooks, Zapier ou Make.com.
Duplo opt-in para banco de talentos e campanhas
Processo do duplo opt-in
- Primeiro pedido: o candidato preenche um formulário ou clica num link de opt-in num email.
- Mensagem de confirmação: o candidato recebe uma mensagem de WhatsApp: "Por favor confirme o seu consentimento respondendo a esta mensagem ou clicando em: [link]."
- Confirmação: o candidato responde ou clica. O consentimento é ativado e armazenado com marca de tempo, canal e texto de consentimento.
O que a documentação deve conter
Segundo o Art. 7(1) RGPD, o ónus da prova recai sobre o responsável. Os seguintes dados devem ser armazenados por opt-in:
- Data e hora do consentimento
- Canal (WhatsApp, SMS, email)
- Texto exato do consentimento ao qual o candidato deu o seu acordo
- Endereço IP ou outras características de identificação (em opt-in baseado na web)
- Indicação da possibilidade de revogação
A SendSeven armazena estes metadados automaticamente por contacto no perfil de contacto.
Revogação e opt-out
A revogação deve ser tão simples como o consentimento (Art. 7(3) RGPD). Para WhatsApp: adicione no final de cada mensagem de difusão uma indicação clara de opt-out: "Sem mais mensagens? Responda com STOP." A SendSeven processa automaticamente as mensagens de STOP.
Conformidade antidiscriminação em mensagens automatizadas
Critérios proibidos pelas leis de igualdade de tratamento
- Idade: sem exclusão de candidatos acima ou abaixo de certa idade em segmentos de campanha
- Género: sem formulações de vagas específicas de género em modelos
- Origem / nacionalidade: sem filtragem por país de origem ao fazer contacto
- Religião ou crença
- Deficiência
- Identidade sexual
Regras práticas para os modelos de mensagens
- Sem filtros de idade nas segmentações de campanha
- Tratamento de género neutro nos modelos de WhatsApp: "Olá [Nome]" em vez de formulações com género
- Versões de modelo uniformes para todos os grupos alvo
- Documentação da lógica de seleção: por que são contactados certos candidatos e outros não?
Quando a IA seleciona: direito a revisão humana
Se o seu sistema faz sugestões baseadas em IA para a seleção de candidatos, aplica-se o Art. 22 RGPD. Nesse caso uma pessoa deve tomar a decisão final.
Acordo de processamento de dados com o fornecedor de mensagens
O que um acordo de processamento de dados deve conter
- Objeto e duração do processamento
- Natureza e finalidade do processamento
- Tipo de dados pessoais (por exemplo, nome, número de telemóvel, histórico de conversa)
- Categorias de pessoas afetadas (por exemplo, candidatos, membros do banco de talentos)
- Obrigações e direitos do responsável
- Medidas técnicas e organizativas (MTO)
- Subcontratantes com obrigação de aprovação
- Obrigações de eliminação e devolução após o fim do contrato
A SendSeven como subcontratante
A SendSeven processa dados de candidatos exclusivamente em seu nome e segundo as suas instruções. O acordo de processamento de dados está incluído de forma padrão no contrato. Pontos centrais:
- Localização do servidor: UE (Google Cloud) · IA em Frankfurt (Vertex AI)
- Encriptação de dados: em repouso e em trânsito
- Subcontratantes: lista de todos os subcontratantes disponível mediante pedido
- Eliminação: eliminação completa de dados mediante pedido ou após o fim do contrato
Lista de verificação de 10 pontos: mensagens de recrutamento conformes ao RGPD
- Base legal documentada: para cada tipo de comunicação a base legal aplicável está estabelecida e documentada.
- Opt-in obtido na candidatura: o formulário de candidatura contém uma opção de consentimento voluntária e não pré-marcada para canais de mensagens.
- Opt-in oferecido ao rejeitar: o email de rejeição contém uma oferta opcional de incorporação no banco de talentos com escolha de canal.
- Duplo opt-in para WhatsApp e SMS: os consentimentos são verificados mediante uma mensagem de confirmação e armazenados com marca de tempo.
- Prazos de eliminação implementados: os candidatos rejeitados sem opt-in são eliminados ou anonimizados 6 meses após a rejeição.
- Opt-out em cada mensagem de campanha: cada mensagem de difusão contém uma indicação clara de STOP. As respostas de STOP são processadas automaticamente.
- Política de privacidade atualizada: a sua política de privacidade menciona os canais de mensagens, o propósito do processamento e o período de conservação para dados de candidatos.
- Modelos conformes com a igualdade de tratamento: todos os modelos de mensagens automatizadas foram verificados quanto a critérios discriminatórios.
- Acordo de processamento de dados assinado: com a SendSeven existe um acordo de processamento de dados completo e atualizado.
- Pedidos de acesso e eliminação processados: a sua equipa sabe como responder a pedidos de acesso segundo o Art. 15 RGPD e pedidos de eliminação segundo o Art. 17 RGPD.
Conclusão
As mensagens de recrutamento conformes ao RGPD não são um obstáculo burocrático: são a base de uma relação de confiança com os candidatos. A implementação técnica com a SendSeven é gerível: formulários de opt-in, confirmação dupla por mensagens, processamento automático de opt-out e históricos completos de conversa por contacto na caixa de entrada unificada estão integrados.
Artigos relacionados do cluster de recrutamento:
- Reativar o banco de candidatos: recuperar candidatos inativos
- Chatbot de IA no recrutamento: automatizar FAQ de candidatos
- Mensagens no recrutamento: o guia completo 2026
Perguntas frequentes
Preciso de um acordo de processamento de dados para cada contacto de WhatsApp no recrutamento?
Precisa de um acordo de processamento de dados com o fornecedor que envia as mensagens de WhatsApp, ou seja, com a SendSeven. Não com cada candidato individual. O acordo regula a relação entre você (responsável) e a SendSeven (subcontratante). Com os candidatos regula o processamento de dados através da política de privacidade e do consentimento.
Posso contactar diretamente candidatos do LinkedIn por WhatsApp?
Basicamente não sem consentimento. O contacto por WhatsApp pressupõe que tem o número de telemóvel do candidato e que ele deu o seu consentimento para o contacto através deste canal. Se tem o número de um contexto profissional, o interesse legítimo é concebível em limites muito estreitos, mas requer uma avaliação de interesses documentada.
O que acontece se um candidato revogar o seu consentimento?
Deve cessar imediatamente a comunicação posterior através do canal afetado. Um consentimento baseado no Art. 6(1)(a) fica completamente anulado. Os dados recolhidos até então com base neste artigo devem ser eliminados, salvo se existir outra base legal.
O prazo de 6 meses após a rejeição é obrigatório ou recomendado?
Não é uma obrigação legal no sentido literal, mas é o padrão recomendado pela maioria das autoridades europeias de proteção de dados e uma prática bem estabelecida para proteção contra reclamações de igualdade de tratamento. Prazos mais longos sem opt-in são legalmente problemáticos.
Preciso de um encarregado de proteção de dados para mensagens de recrutamento?
Depende do tamanho da empresa e do âmbito do processamento de dados. Se processar regularmente dados pessoais de mais de 20 pessoas, um encarregado de proteção de dados pode ser obrigatório ao abrigo do RGPD Art. 37. Para as agências de seleção que processam profissionalmente dados de candidatos, esse é geralmente o caso.
Recursos adicionais
- SendSeven para Recrutamento e Seleção de Pessoal
- Glossário: Ghosting de candidatos
- Guia: Configurar a API de WhatsApp Business