Apresente orientação prática voltada para negócios e módulos de treinamento sobre como reconhecer e responder solicitações individuais de proteção de dados;
Trabalhe com equipes de TI/Tecnologia para realizar testes de sistemas e garanta a capacidade de responder adequadamente ao exercício de cada direito individual nos níveis técnico e prático;
Implemente períodos de retenção formais para categorias específicas de dados de RH e conduza exercícios de limpeza de dados de acordo com esses limites.
O RH também precisará ter uma documentação de consentimento do uso dos dados do colaborador ou candidato, onde explique a finalidade da utilização e o período de armazenamento previsto. Dentre as rotinas que irão exigir atenção redobrada, destacam-se os pontos:
O processamento de dados pessoais para cada finalidade de RH identificada deve ser justificado em pelo menos um item de uma série de fundamentos legais prescritos. Os dias em que se confiava no consentimento do funcionário, que serão mais difíceis de justificar e pouco atraentes, pois os direitos de revogar o consentimento devem ser honrados, no contexto de uma relação de trabalho, acabaram. Em vez disso, serão necessários fundamentos jurídicos alternativos, como confiança nos interesses legítimos de uma organização ou necessidade contratual. As empresas devem, no mínimo:
Auditar e alocar fundamentos legais específicos em conformidade com a LGPD para todas as atividades e finalidades de processamento de dados de RH identificados, incluindo aqueles que envolvem categorias especiais de dados pessoais (ou seja, confidenciais);
Documente os fundamentos legais válidos em avisos de privacidade e, quando possível, o registro de atividades de processamento de uma organização;
Atualizar a política e a documentação contratual, incluindo contatos de emprego para remover a referência ao consentimento do funcionário como base legal aplicável ao processamento.
As empresas devem ser capazes de demonstrar “proteção de dados” nos sistemas internos, de forma que o conceito de minimização de dados (em que a quantidade mínima de dados é retida pelo menor período possível) seja objeto central nas funções de RH. Isso pode ser alcançado através de uma combinação de medidas técnicas, organizacionais e práticas, como:
Introdução de diretrizes claras e estruturas de relatórios para avaliar e aprovar a necessidade e o escopo de todas as iniciativas de processamento de dados de RH novas ou alteradas;
Formalização de limites claros de retenção de dados de RH (internamente e junto a fornecedores) e coordenação com a TI para garantir a implementação interna em um nível técnico;
Orientação voltada à empresa para garantir que as atividades de processamento de risco planejadas e/ou atuais sejam identificadas através de uma avaliação de impacto de proteção de dados (DPIA) em conformidade com a LGPD;
Quando os dados de RH são compartilhados dentro de um grupo corporativo (plataforma de TI de RH, investigações específicas ou exercícios de redundância) ou com prestadores de serviços externos (que oferecem plataformas de hospedagem, produtos de gerenciamento de banco de dados ou facilitação organizações de benefícios/folha de pagamento), precisarão implementar novos arranjos práticos e contratuais com cada destinatário para garantir o contato de maneira adequada com os dados. Ressaltamos: