Um pedido de acesso ao abrigo do RGPD é um pedido por escrito, ao abrigo do Artigo 15.º do Regulamento (UE) 2016/679, solicitando a uma organização que confirme se processa os teus dados pessoais e que te forneça uma cópia e as informações adjacentes. Se uma empresa te rejeitou, ou ficou em silêncio após a tua última entrevista, provavelmente ainda detém o teu CV, os teus dados de contacto e as suas notas internas sobre ti, e tens o direito de pedir para os ver. Se os tiver apagado, deve, ainda assim, confirmar se processa quaisquer dados sobre ti.
TL;DR:
- Acesso (Art. 15.º): recebes uma cópia dos teus dados, bem como as finalidades, categorias, destinatários, o período de conservação previsto, a origem dos dados e qualquer informação sobre decisões automatizadas.
- Eliminação (Art. 17.º): podes pedir à empresa para eliminar os teus dados quando, por exemplo, já não forem necessários para as finalidades para as quais foram recolhidos ou se tiverem sido processados de forma ilícita. Existem exceções, incluindo reivindicações legais.
- Prazo (Art. 12.º(3)): um mês a contar da receção, extensível por mais dois meses apenas se a empresa te informar o motivo dentro do primeiro mês.
- Custo (Art. 12.º(5)): gratuito, a menos que o pedido seja manifestamente infundado ou excessivo.
- Não é necessária uma razão, nem é exigido um formulário: o EDPB afirma-o explicitamente nas suas diretrizes sobre o direito de acesso.
Por que razão um programador se daria a este trabalho
Um e-mail de rejeição normalmente não te diz nada. O “ghosting” diz-te ainda menos. Um pedido de acesso é uma das poucas ferramentas que faz com que uma empresa produza algo concreto: o que registou sobre ti, de onde o obteve e com quem o partilhou.
Razões pelas quais as pessoas realmente enviam um:
- Queres saber o que a empresa guardou das tuas entrevistas, incluindo notas de avaliação interna e qualquer pontuação.
- Suspeitas que um filtro automatizado te rejeitou e queres saber se a empresa afirma ter tomado uma decisão automatizada (Art. 15(1)(h)).
- Enviaste um CV, um teste prático ou um portefólio e queres saber se este não está parado numa base de dados indefinidamente.
- Queres que a empresa apague tudo após um processo mau.
Nenhuma destas situações requer uma justificação. As Diretrizes 01/2022 do EDPB estabelecem que o titular dos dados não tem de apresentar motivos para um pedido de acesso, e que não cabe ao responsável pelo tratamento avaliar se o pedido te irá ajudar (EDPB, Guidelines 01/2022 on data subject rights, right of access, version 2.1, adopted 28 March 2023).
Passo 1: identifica quem é o responsável pelo tratamento
O direito é exercido contra o responsável pelo tratamento, a organização que decide porquê e como os teus dados são processados. Para uma candidatura direta, trata-se geralmente do empregador ao qual te candidataste. Se te candidataste através de um recrutador ou de uma plataforma de candidaturas, pode envolver mais do que uma parte, e um subcontratante pode responder em nome do responsável pelo tratamento sempre que o contrato entre eles o preveja (conforme a autoridade espanhola, a AEPD, explica na sua página sobre o exercício de direitos).
Procura o aviso de privacidade na página de carreiras da empresa. Ao abrigo dos Artigos 13 e 14, o aviso deve identificar o responsável pelo tratamento e, quando aplicável, fornecer os detalhes de contacto do encarregado de proteção de dados (DPO). O Art. 38(4) estabelece que os titulares dos dados podem contactar o DPO sobre todas as questões relacionadas com o processamento e o exercício dos seus direitos, pelo que o endereço do DPO, se existir, é um bom local para enviar o pedido.
As diretrizes do EDPB afirmam que não existe um formato obrigatório e que não estás obrigado a utilizar o próprio canal de pedidos da empresa: podes enviar o pedido para um ponto de contacto oficial do responsável pelo tratamento. Afirmam também que um responsável pelo tratamento não está obrigado a agir perante pedidos enviados para endereços completamente aleatórios ou obviamente errados. Utiliza o contacto de privacidade, o DPO ou o contacto de recrutamento indicado no aviso de privacidade, e não a caixa de entrada de um funcionário qualquer.
Passo 2: escreve o pedido
Mantém-no curto, com tudo o que a empresa necessita no primeiro ecrã:
- Quem tu és, com detalhe suficiente para te encontrarem: nome completo, o endereço de e-mail a partir do qual te candidataste, a função e as datas aproximadas.
- O que tu pedes: confirmação de se a empresa trata os teus dados pessoais, uma cópia dos mesmos e a informação listada no Art. 15(1)(a) a (h) e, se relevante, no Art. 15(2).
- A base legal: Art. 15 GDPR, com o prazo de um mês ao abrigo do Art. 12(3).
- Um formato preferencial: onde envias o pedido por meios eletrónicos e não pedes de outra forma, o Art. 15(3) diz que a cópia deve ser fornecida num formato eletrónico comummente utilizado.
- Uma data: escreve a data em que o envias e guarda prova do envio e, se puderes, da receção (um recibo de leitura, um número de ticket ou um aviso de receção), porque o prazo começa a contar a partir da receção pela empresa.
O que o Art. 15(1) diz que podes obter, como uma lista de verificação para colares no teu pedido:
| Item do Art. 15 | O que pedir |
|---|---|
| (a) | As finalidades do tratamento |
| (b) | As categorias de dados pessoais |
| (c) | Destinatários ou categorias de destinatários, incluindo em países terceiros |
| (d) | O período de conservação previsto, ou os critérios utilizados para o definir |
| (e) | Os teus direitos de retificação, apagamento, limitação e oposição |
| (f) | O teu direito de apresentar uma queixa a uma autoridade de controlo |
| (g) | A origem dos dados, quando não foram recolhidos junto de ti |
| (h) | A existência de decisões automatizadas, incluindo a elaboração de perfis, ao abrigo do Art. 22(1) e (4), e informações significativas sobre a lógica envolvida e a sua importância e consequências para ti |
O item (g) é importante se um recrutador te encontrou num perfil público ou se um terceiro transmitiu o teu CV. O item (h) é o que deves incluir se suspeitares de uma ferramenta de triagem.
A AEPD publica um formulário para o direito de acesso (ligado a partir da sua página sobre o derecho de acceso), que é útil como modelo mesmo que o teu pedido seja dirigido a uma empresa noutro Estado-Membro.
Passo 3: compreender o prazo de um mês
O Artigo 12(3) é a frase que importa. O responsável pelo tratamento deve fornecer informações sobre a ação tomada relativamente ao teu pedido sem atrasos indevidos e, em qualquer caso, no prazo de um mês após a receção. O período pode ser alargado por mais dois meses quando necessário, tendo em conta a complexidade e o número de pedidos, e o responsável pelo tratamento deve informar-te sobre o alargamento, com as respetivas razões, dentro do primeiro mês.
Duas consequências práticas:
- O prazo começa na receção, não no dia em que sentes que deverias ter recebido uma resposta. Guarda o e-mail enviado ou o recibo de entrega.
- O silêncio não é um alargamento. Um alargamento só conta se a empresa te informou sobre o mesmo, com as razões, dentro do primeiro mês. O Art. 12(4) acrescenta que, se o responsável pelo tratamento decidir não agir de todo, deve dizer-te o porquê dentro de um mês, bem como sobre o teu direito de apresentar uma queixa a uma autoridade de controlo e de procurar um recurso judicial.
O Art. 12(6) permite que a empresa peça informações adicionais se tiver dúvidas razoáveis sobre quem tu és. As diretrizes do EDPB afirmam que tal pedido deve ser proporcionado. Se receberes uma resposta a pedir identificação, fornece apenas o que for razoavelmente necessário e nada mais.
Passo 4: decide se deves solicitar a eliminação
O Artigo 17 dá-te o direito de ter os teus dados eliminados sem demora injustificada sempre que um dos fundamentos listados se aplique. Para um candidato rejeitado, os fundamentos com maior probabilidade de se aplicarem são que os dados já não são necessários para as finalidades para as quais foram recolhidos (Art. 17(1)(a)), ou que foram tratados de forma ilícita (Art. 17(1)(d)). Se a empresa se baseou no teu consentimento para te manter num grupo de talentos e tu o retirares, o Art. 17(1)(b) aplica-se quando não existe outro fundamento legal.
O direito não é absoluto. O Art. 17(3) lista exceções, incluindo quando o tratamento é necessário para a constituição, o exercício ou a defesa de reivindicações legais (Art. 17(3)(e)). Uma empresa pode apontar para isso quando detém registos de entrevistas, mas a exceção cobre apenas o que é efetivamente necessário para uma reivindicação, e apenas durante o tempo em que tal reivindicação ainda possa ser apresentada. A empresa deve, ainda assim, dizer-te o que está a fazer e porquê, sob os mesmos prazos do Art. 12, porque o Art. 12(3) aplica-se a pedidos ao abrigo dos Arts. 15 a 22.
A ordem importa. Se enviares um pedido de eliminação juntamente com um pedido de acesso, a empresa pode agir primeiro sobre a eliminação, e os dados que querias ver podem então ter desaparecido. (O EDPB afirma que um responsável pelo tratamento não deve eliminar dados para evitar responder a um pedido de acesso e, no seu próprio exemplo de candidatura a emprego, afirma que o acesso vem primeiro e a eliminação depois; Guidelines 01/2022, para. 39.) Para estares seguro, faz uma destas opções:
- Envia o pedido de acesso primeiro e o pedido de eliminação depois de teres a resposta, ou
- Pede ambos numa única mensagem e declara que a cópia ao abrigo do Art. 15 deve ser fornecida antes de a eliminação ser efetuada.
Isto é um conselho prático, não algo que o Regulamento exige: decorre do facto de a eliminação remover o material que um pedido de acesso te mostraria.
Passo 5: quando a empresa não responde, ou responde mal
Se o período de um mês (ou uma prorrogação que te tenham comunicado) já passou, um breve lembrete factual que cite a data de receção e o Art. 12(3) é o primeiro passo habitual.
Esse lembrete é uma sequência prática, não um pré-requisito legal. O Art. 77(1) dá-te o direito de apresentar uma queixa junto de uma autoridade de controlo, em particular no Estado-Membro da tua residência habitual, no teu local de trabalho ou no local da alegada infração. A autoridade deve informar-te sobre o progresso e o desfecho da queixa, incluindo a possibilidade de um recurso judicial (Art. 77(2)). Se a autoridade não tratar da queixa ou não te informar no prazo de três meses, o Art. 78(2) dá-te o direito a um recurso judicial efetivo contra a autoridade.
O EDPB lista as autoridades nacionais da UE e do EEE, com links, na sua página “Our members”. Em Espanha, essa autoridade é a AEPD.
Coisas a incluir numa queixa: as datas, uma cópia do teu pedido, prova de que foi recebido, qualquer resposta e os itens em falta que esperavas ao abrigo do Art. 15(1).
Artigos relacionados
- Como detetar um anúncio de emprego fantasma em 2026
- A tua candidatura ao emprego passou por um filtro de IA: o que os candidatos da UE podem fazer a respeito
- Tens o direito de saber que uma IA te está a entrevistar
FAQ
Quanto tempo tem uma empresa para responder a um pedido de acesso ao RGPD?
Um mês a contar da receção do pedido (Art. 12(3) RGPD). O responsável pelo tratamento pode prolongar esse prazo por mais dois meses, quando necessário, mas deve informar-te sobre o prolongamento e os respetivos motivos dentro do primeiro mês.
Tenho de explicar por que razão quero os meus dados?
Não. As Diretrizes 01/2022 do EDPB afirmam que o titular dos dados não tem de apresentar motivos e que o responsável pelo tratamento não deve avaliar se o pedido te irá ajudar.
Uma empresa pode cobrar-me por um pedido de acesso?
Normalmente não. O Art. 12(5) estabelece que as informações e as ações ao abrigo dos Arts. 15 a 22 são gratuitas. Uma taxa razoável ou uma recusa só são possíveis se o pedido for manifestamente infundado ou excessivo, e o responsável pelo tratamento tem o ónus de o demonstrar. O responsável pelo tratamento pode cobrar uma taxa razoável por cópias adicionais (Art. 15(3)).
Devo pedir o acesso e a eliminação no mesmo e-mail?
É mais seguro pedires primeiro o acesso. Se quiseres ambos ao mesmo tempo, diz explicitamente que a cópia deve ser fornecida antes de os dados serem eliminados.
E se a empresa ignorar o meu pedido?
Envia um breve lembrete citando a data de receção e o Art. 12(3). Podes apresentar uma queixa junto de uma autoridade de controlo a qualquer momento ao abrigo do Art. 77, na prática com o teu pedido original e a resposta em falta ou inadequada.
Fontes
- Regulamento (UE) 2016/679 (RGPD), Jornal Oficial, Arts. 12, 13, 14, 15, 17, 38(4), 77 e 78 — https://eur-lex.europa.eu/eli/reg/2016/679/oj
- European Data Protection Board, Diretrizes 01/2022 sobre os direitos dos titulares dos dados, direito de acesso, versão 2.1, adotada a 28 de março de 2023 — https://www.edpb.europa.eu/documents/guideline/guidelines-012022-on-data-subject-rights-right-of-access_en
- Mesmas diretrizes, PDF — https://www.edpb.europa.eu/system/files/documents/2023-04/edpb_guidelines_202201_data_subject_rights_access_v2_en.pdf
- European Data Protection Board, Os nossos membros (autoridades nacionais de controlo) — https://www.edpb.europa.eu/about-edpb/our-members_en
- Agencia Española de Protección de Datos, Ejerce tus derechos — https://www.aepd.es/derechos-y-deberes/ejerce-tus-derechos
- Agencia Española de Protección de Datos, Derecho de acceso — https://www.aepd.es/derechos-y-deberes/conoce-tus-derechos/derecho-de-acceso
- Agencia Española de Protección de Datos, Formulario para el ejercicio del derecho de acceso — https://www.aepd.es/documento/formulario-derecho-de-acceso.pdf
Este artigo descreve regras gerais de proteção de dados da UE para fins informativos. Não constitui aconselhamento jurídico. A forma como um pedido é processado depende do responsável pelo tratamento, do Estado-Membro e dos teus factos; se estiveres num litígio, fala com um advogado ou com a tua autoridade nacional de proteção de dados.
Um pedido de acesso é mais fácil quando consegues dizer qual a empresa, qual a função e quando. Se te candidatares a muitas empresas, o Xeito mantém um registo por cada candidatura com o nome da empresa, um de sete estados (interessado, candidatou-se, triagem telefónica, entrevista técnica, entrevista presencial, oferta, rejeitado) e notas de texto livre, e regista a data da candidatura quando marcas um emprego como candidatou-te através do Xeito. Não gera nem envia pedidos de acesso ou de apagamento; é um registo das tuas próprias candidaturas, não sendo uma ferramenta jurídica.