A LGPD afeta diretamente as relações de trabalho, inclusive sobre a necessidade da regulação contratual do tratamento de dados dos empregados pelo empregador, desde o processo de seleção até a guarda de dados após o encerramento do vínculo empregatício (passando pelo monitoramento do ambiente de trabalho por câmeras, monitoramento de e-mail corporativo, entre outras regras).

Outra preocupação que deve existir com a segurança da informação e a proteção dos dados pessoais nas relações de trabalho decorre da informatização das atividades e da regulação do trabalho remoto. Apesar de a LGPD não se limitar ao meio digital (porque protege os dados pessoais independentemente de seu meio ou forma), a ampliação progressiva da existência de dados pessoais na internet e em todos os meios digitais leva ao aumento da vulnerabilidade desses dados.

Situações como o ataque hacker sobre os sistemas do Superior Tribunal de Justiça em novembro de 2020 (com a paralisação dos serviços por uma semana) mostram a necessidade de boas práticas e de medidas de prevenção.

Qualquer pessoa (natural ou jurídica, de direito público ou privado) que contrata outras para o desempenho de suas atividades exerce o papel de controlador de dados, ao armazenar e ter acesso aos dados de toda a trajetória pessoal e profissional do trabalhador.

A quantidade de dependentes, os problemas de saúde, as faltas e afastamentos, os casamentos e divórcios, as pensões alimentícias, o comportamento e a produtividade no ambiente de trabalho, as relações com os colegas, são alguns dos dados pessoais que integram essa trajetória.

Por isso, há diversas mudanças que precisam ser incorporadas na cultura organizacional, desde a fase pré-contratual até o período pós-contratual.

Na fase pré-contratual, é preciso ter cuidado com a elaboração de currículos e a quantidade de dados pessoais inseridos.

A organização contratante deve definir quais são os dados que devem ser apresentados no currículo, necessários para o desempenho das atividades. O armazenamento de dados e o prazo de guarda do currículo deve ser esclarecido aos candidatos, que também podem requerer posteriormente a eliminação de seus dados pessoais (se houver consentimento ou, em outra base legal, quando for desnecessária a sua guarda após o término do processo seletivo).

Além disso, uma questão a ser revista com fundamento na LGPD diz respeito à verificação, pelo recrutador, dos dados existentes nas redes sociais do candidato.

Na extinta rede social Orkut, tornaram-se folclóricos os casos de não contratação de candidatos que participavam de comunidades intituladas “Eu odeio meu chefe”, “Eu adoro dormir no trabalho” e “Eu odeio acordar cedo”.

Isso leva a um problema atual: o selecionador pode verificar dados públicos existentes nas redes sociais dos candidatos à vaga? Ainda, pode enviar convites de amizade nas redes sociais aos candidatos às vagas de emprego, para ter acesso a todo o conteúdo dos seus perfis?

Como ainda não há contrato de trabalho, não é possível utilizar a base legal da execução de contrato. Além disso, a adoção de procedimentos preliminares relacionados ao futuro contrato só pode justificar o tratamento de dados a pedido do titular dos dados (art. 7º, V, da LGPD).

Por outro lado, o fato de o § 4º do art. 7º da LGPD prever que o consentimento é dispensado para o tratamento de dados tornados manifestamente públicos pelo titular não significa a dispensa de base legal, mas sim a possibilidade da indicação de outra base diferente do consentimento.

Contudo, como o acesso a esses dados com a finalidade de subsidiar a decisão na seleção de candidatos à vaga de trabalho não se enquadra nas outras hipóteses previstas no art. 7º da LGPD (e, caso haja dados pessoais sensíveis, do art. 11, II, da LGPD), deverá ser utilizado o consentimento do titular como base legal e, eventualmente, o legítimo interesse do controlador (art. 7º, IX, da LGPD).

Além disso, a exigência de exames de saúde e de certidão de antecedentes criminais na seleção de trabalho, o armazenamento e uso desses dados, também devem observar as normas de proteção de dados pessoais previstas na LGPD (especialmente com a observância dos princípios do art. 6º, da indicação de uma das bases legais previstas nos arts. 7º e 11, além do registro das operações de tratamento).