Consentimento RGPD no formulário de candidatura: o que as escolas precisam mesmo

O erro mais comum no consentimento RGPD em formulários de candidatura

A maior parte das escolas privadas em Portugal pede demasiado consentimento — não demasiado pouco. A ideia de que o candidato tem de «aceitar o tratamento dos seus dados» para que o formulário de candidatura seja válido está errada do ponto de vista jurídico e cara do ponto de vista comercial.

O RGPD (Regulamento 2016/679) prevê seis bases jurídicas distintas para o tratamento de dados pessoais. O consentimento é apenas uma delas — e, para o tratamento de candidaturas, raramente é a mais adequada. O tratamento de uma candidatura de acesso ao ensino superior enquadra-se, na generalidade dos casos, em duas bases muito mais robustas:

• Artigo 6.º, n.º 1, al. b) do RGPD — execução de medidas pré-contratuais a pedido do titular: o candidato submeteu um pedido de acesso; a escola precisa de tratar os seus dados para responder a esse pedido.
• Artigo 6.º, n.º 1, al. f) do RGPD — interesse legítimo: a instituição tem um interesse legítimo em avaliar candidaturas e gerir o seu processo de admissão, desde que esse interesse não seja sobreposto pelos direitos e liberdades do titular.

A CNPD (Comissão Nacional de Proteção de Dados) é explícita quanto a este ponto: o consentimento só deve ser invocado quando as outras bases jurídicas não se aplicam. Utilizar o consentimento como base jurídica predefinida, quando o interesse legítimo ou a execução de um pré-contrato bastam, cria obrigações desnecessárias — nomeadamente a possibilidade de o candidato retirar o consentimento a qualquer momento e exigir a paragem imediata do tratamento, incluindo da análise da sua própria candidatura.

O resultado prático desta confusão são formulários com múltiplas caixas de verificação obrigatórias antes de o candidato poder sequer submeter o pedido. Cada caixa adicional é um ponto de fricção. E o custo dessa fricção é mensurável: 91% dos visitantes abandonam o site de uma escola sem realizar o primeiro contacto (Fonte: Skolbot, tracking interno, 2025-2026).

Para uma análise completa das bases jurídicas aplicáveis ao tratamento de dados no ensino superior, o guia RGPD completo para dados estudantis cobre o enquadramento global.

O que a CNPD exige realmente num formulário de candidatura

O artigo 13.º do RGPD define as informações que devem ser prestadas ao titular dos dados no momento da recolha. Estas obrigações de transparência não equivalem a obrigações de consentimento — são informações que a instituição deve fornecer, independentemente da base jurídica utilizada.

A distinção entre a penúltima e a última linha desta tabela é o ponto central de toda a conformidade em formulários de candidatura. O tratamento da candidatura em si não requer consentimento explícito — requer informação clara. O envio de comunicações de marketing requer consentimento explícito e separado, nunca pré-selecionado.

A DGES (Direção-Geral do Ensino Superior) não impõe qualquer modelo de formulário de candidatura às instituições privadas — a responsabilidade da conformidade é inteiramente da instituição. Para escolas com acreditação A3ES (Agência de Avaliação e Acreditação do Ensino Superior), uma decisão pública da CNPD em matéria de proteção de dados pode ter implicações nos processos de renovação de acreditação, tornando a conformidade RGPD um tema de governação institucional e não apenas de gestão técnica.

Três erros de consentimento que afastam os candidatos

1. Sobre-consentimento: pedir o que não é necessário

O sobre-consentimento manifesta-se tipicamente através de uma caixa de verificação obrigatória com texto do tipo «Aceito o tratamento dos meus dados para análise da candidatura». Esta caixa está errada por duas razões simultâneas: é juridicamente desnecessária (o interesse legítimo ou a execução de um pré-contrato dispensam-na) e cria uma barreira de conversão sem qualquer contrapartida em termos de conformidade.

Cada campo ou verificação adicional num formulário online reduz a taxa de submissão. Para formulários de candidatura a escolas privadas — onde o candidato está frequentemente a avaliar simultaneamente várias instituições — um formulário mais simples traduz-se diretamente em mais candidaturas recebidas.

2. Muros de texto legal no local errado

A segunda variante do problema é o formulário que inclui, antes do botão de submissão, três ou quatro parágrafos de texto jurídico denso sobre proteção de dados. A informação do artigo 13.º do RGPD deve ser prestada de forma concisa, transparente e inteligível — o regulamento é explícito neste ponto. Um texto que o candidato não lê não constitui informação adequada; é apenas fricção.

A solução é um aviso de privacidade de duas a quatro frases, imediatamente antes do botão de submissão, com uma ligação para a política de privacidade completa. O candidato acede à informação detalhada se a quiser ler; não é forçado a atravessar um documento jurídico para submeter o formulário.

3. Consentimento condicionado — a ilegalidade mais frequente

O terceiro erro é o mais grave do ponto de vista jurídico: subordinar a submissão do formulário à aceitação do envio de comunicações de marketing. Textos do tipo «Para submeter a sua candidatura, aceite receber informações sobre os nossos programas» violam diretamente o artigo 7.º, n.º 4 do RGPD, que proíbe condicionar a prestação de um serviço ao consentimento para tratamentos não necessários para esse serviço.

Um consentimento obtido desta forma não é juridicamente válido — a CNPD pode invalidar todo o tratamento baseado nele e aplicar coimas. A consequência prática é que a escola não tem base jurídica válida para qualquer comunicação de marketing enviada com base nesse consentimento condicionado.

Para uma análise detalhada dos direitos dos titulares, incluindo o direito ao apagamento aplicável a estes contextos, o artigo sobre o direito de apagamento RGPD para prospectos de escola desenvolve as implicações práticas.

A fórmula mínima conforme que preserva a sua taxa de conversão

A nota de privacidade de um formulário de candidatura conforme com o artigo 13.º do RGPD não precisa de ocupar mais do que três ou quatro linhas de texto. O modelo seguinte pode ser adaptado por qualquer escola privada portuguesa:

Proteção de dados

Os dados que nos fornece são tratados por [Nome da Instituição], com sede em [Morada], para efeitos de análise da sua candidatura e comunicação dos resultados, com base no nosso interesse legítimo (art. 6.º, n.º 1, al. f) do RGPD). Os dados são conservados durante 2 anos após a conclusão do processo de admissão. Tem direito de acesso, retificação, apagamento e oposição. Para mais informações: [ligação para política de privacidade] | EPD: epd@escola.pt

☐ Aceito receber informações sobre os cursos e atividades de [Nome da Instituição] por email. (Opcional — pode revogar este consentimento a qualquer momento.)

Este modelo cumpre todas as exigências do artigo 13.º do RGPD, mantém a caixa de marketing como opção genuinamente voluntária e não coloca qualquer barreira à submissão da candidatura. Não há caixas obrigatórias além dos campos necessários à candidatura em si.

Para formulários de candidatura ao Concurso Nacional de Acesso, onde a instituição recebe dados do candidato através da DGES e não diretamente, as obrigações de informação são da responsabilidade da DGES enquanto responsável pelo tratamento inicial — mas a escola deve garantir a sua própria nota de privacidade para os tratamentos subsequentes que realiza sobre esses dados.

Para instituições com um Encarregado de Proteção de Dados designado, o artigo sobre DPO externo para escola privada detalha como integrar esta função na gestão do formulário de candidatura.

Candidatura via chatbot vs. formulário clássico — lógicas de consentimento diferentes

O canal de candidatura e de recolha de dados tem implicações jurídicas e práticas distintas. 18,4% dos candidatos inscrevem-se numa jornada de portas abertas através do chatbot, contra 6,2% pelo formulário clássico (Fonte: tracking UTM Skolbot, 35 escolas, 2025-2026).

No formulário clássico, a nota de privacidade pode ser apresentada de forma estática, antes do botão de submissão. O candidato vê as informações obrigatórias numa leitura linear. A prova de que a informação foi disponibilizada está no registo da submissão do formulário.

No chatbot, a lógica é necessariamente diferente. As informações do artigo 13.º do RGPD devem ser transmitidas no início da interação, antes de o candidato fornecer qualquer dado pessoal. O chatbot deve incluir uma mensagem de abertura que identifique a instituição responsável pelo tratamento, a finalidade da recolha e uma ligação para a política de privacidade — sem que isso constitua um obstáculo à continuação da conversa.

A distinção crítica entre os dois canais situa-se na base jurídica do consentimento de marketing. Num formulário, a caixa de opt-in é visualmente separada e tecnicamente independente da submissão. Num chatbot, o opt-in de marketing deve ser solicitado através de uma pergunta explícita, num momento distinto do fluxo de candidatura — não embutido na sequência principal de perguntas de forma que o candidato possa confundir com um requisito da candidatura.

Para uma análise das obrigações RGPD específicas dos chatbots, incluindo as transferências internacionais de dados para os modelos de linguagem subjacentes, o artigo chatbot RGPD-conforme para escolas cobre o enquadramento completo.

A vantagem de conversão do chatbot — quase três vezes a taxa de inscrição em jornadas de portas abertas face ao formulário clássico — não implica menor rigor de conformidade. Implica uma conformidade adaptada ao meio conversacional, com a mesma substância jurídica transmitida de forma contextualizada.

FAQ — Consentimento RGPD formulário de candidatura

O consentimento é obrigatório para tratar uma candidatura?

Não. O interesse legítimo (art. 6.º, n.º 1, al. f) do RGPD) ou a execução de medidas pré-contratuais (art. 6.º, n.º 1, al. b)) são as bases jurídicas mais adequadas para o tratamento de candidaturas. O consentimento só é necessário para tratamentos específicos como o envio de comunicações de marketing. Invocar o consentimento como base jurídica para o tratamento da candidatura em si cria obrigações adicionais — nomeadamente a possibilidade de revogação — sem qualquer vantagem jurídica para a instituição.

Que texto de privacidade devo incluir no formulário?

O texto deve ser curto, claro e imediatamente anterior ao botão de submissão. Um modelo conforme inclui: identificação da instituição responsável pelo tratamento, finalidade do tratamento («análise da sua candidatura e comunicação dos resultados»), base jurídica («interesse legítimo, art. 6.º, n.º 1, al. f) RGPD»), prazo de conservação («2 anos após a conclusão do processo de admissão»), e uma ligação para a política de privacidade completa com menção aos direitos dos titulares. Se a instituição tiver um EPD designado, o contacto do EPD deve também constar. Todo este conteúdo cabe em três a quatro frases.

Posso enviar emails de acompanhamento sem consentimento explícito?

Sim, ao abrigo do regime de opt-out suave para utilizadores existentes, desde que seja oferecida uma forma simples de oposição e o envio se refira a serviços semelhantes. Esta exceção aplica-se quando existe uma relação prévia — por exemplo, o candidato submeteu um formulário de candidatura — e os emails enviados são relativos a programas da mesma instituição. A CNPD segue neste ponto as orientações do Grupo de Trabalho do Artigo 29.º sobre o regime de opt-out suave para comunicações comerciais eletrónicas. Devem ser cumpridos dois requisitos: cada email deve incluir uma forma simples de cancelar a subscrição (link de opt-out funcional), e o conteúdo deve ser razoavelmente relacionado com os serviços para que o candidato demonstrou interesse.

Durante quanto tempo posso conservar dados de candidatos não admitidos?

A CNPD recomenda um prazo máximo de 2 anos após a conclusão do processo de admissão. Este prazo é suficiente para cobrir uma eventual candidatura no ano letivo seguinte e para responder a queixas ou pedidos de exercício de direitos. Após este prazo, os dados devem ser eliminados ou anonimizados de forma irreversível em todos os sistemas — CRM, plataforma de email, base de dados do site, histórico do chatbot. Consulte o nosso artigo sobre prazos de retenção de dados de candidatos para uma análise detalhada por tipo de dado e sistema.

Quais as sanções por incumprimento?

A CNPD pode aplicar coimas até 20 milhões de euros ou 4% do volume de negócios anual mundial, consoante o que for mais elevado, ao abrigo do artigo 83.º do RGPD. Para violações específicas das obrigações de consentimento — como o consentimento condicionado previsto no artigo 7.º, n.º 4 — a CNPD pode ainda determinar a cessação do tratamento e a eliminação dos dados recolhidos sem base jurídica válida. Para instituições com acreditação A3ES, uma decisão pública da CNPD representa também um risco reputacional significativo, uma vez que os processos de renovação de acreditação incluem avaliação da governação institucional. A conformidade RGPD não é apenas uma obrigação legal — é um elemento da reputação institucional perante candidatos, famílias e parceiros académicos.