Prazos de retenção de dados de candidatos: guia RGPD para escolas superiores

Quanto tempo pode uma escola superior conservar dados de candidatos?

O artigo 5.º, n.º 1, alínea e) do RGPD — o princípio da limitação da conservação — estabelece que os dados pessoais devem ser conservados de forma que permita a identificação dos titulares durante não mais tempo do que o necessário para as finalidades para as quais são tratados. Para dados de prospeção e marketing educativo, a CNPD (Comissão Nacional de Proteção de Dados) estabelece 3 anos a contar do último contacto ativo como prazo máximo para registos de candidatos em universidades e institutos politécnicos. Além desse prazo, nenhuma finalidade legítima de recrutamento pode justificar a conservação continuada.

Esta não é uma preocupação abstrata de conformidade. Universidades privadas, institutos politécnicos, escolas de gestão e outros estabelecimentos de ensino superior em Portugal acumulam dados de candidatos em larga escala em CRM, chatbots de IA, plataformas de email e formulários de candidatura — e a maioria não tem sistemas de purga automatizada implementados. Saber exatamente o que se pode conservar, durante quanto tempo e em que formato é o ponto de partida de um programa de conformidade RGPD defensável na sua equipa de admissões.

Para o quadro completo que rege os dados de candidatos em Portugal, consulte o nosso guia RGPD para dados estudantis.

O quadro legal: RGPD, Lei 58/2019 e a CNPD

O RGPD é o instrumento europeu diretamente aplicável em Portugal desde 25 de maio de 2018. A Lei n.º 58/2019, de 8 de agosto, que assegura a execução na ordem jurídica nacional do RGPD, complementa e adapta o regulamento ao ordenamento jurídico português. Ambos os instrumentos aplicam-se a todos os estabelecimentos de ensino superior portugueses — universidades públicas e privadas, institutos politécnicos, escolas de gestão acreditadas pela A3ES e estabelecimentos cujos cursos constam na DGES.

A CNPD é a autoridade de controlo responsável pela fiscalização do cumprimento em Portugal. Publicou orientações específicas sobre prospeção comercial, consentimento e conservação de dados que se aplicam diretamente ao recrutamento de estudantes.

Três artigos do RGPD regem diretamente a conservação:

Artigo 5.º, n.º 1, alínea e) — limitação da conservação: os dados conservam-se "de uma forma que permite a identificação dos titulares dos dados apenas durante o período necessário".
Artigo 5.º, n.º 2 — responsabilidade: o responsável pelo tratamento deve poder demonstrar o cumprimento do princípio de limitação da conservação.
Artigo 30.º — Registo das Atividades de Tratamento (RAT): os prazos de conservação devem ser documentados para cada atividade de tratamento, incluindo o marketing a candidatos.

Adicionalmente, a legislação portuguesa estabelece obrigações específicas: o artigo 13.º da Lei 58/2019 reforça as condições para o tratamento de categorias especiais de dados; o Código Comercial e o Código do IRC impõem prazos mínimos de conservação para documentos contabilísticos e financeiros que coexistem com os limites do RGPD.

Prazos de conservação por categoria de dado: a tabela de referência

Os prazos seguintes refletem as orientações da CNPD e a prática estabelecida para escolas superiores e politécnicos em Portugal. Representam o período máximo defensável, não um objetivo. Quando a instituição tiver uma finalidade legítima específica que justifique um prazo mais curto, esse prazo menor deve ser adotado.

Categoria de dado	Prazo de conservação	Momento de início	Base legal / fonte
Dados de contacto do candidato (email, telefone — não convertido)	3 anos	Último contacto ativo	Orientação CNPD sobre prospeção comercial
Registos de conversação do chatbot (candidato identificado)	3 anos	Último contacto ativo	Parte do período de conservação do candidato
Cookies de análise do website	13 meses	Colocação do cookie	Orientação CNPD / RGPD
Dados de inscrição em Dias Abertos	3 anos (se não converte)	Último contacto ativo	Orientação CNPD sobre prospeção comercial
Dados de candidatura — candidato não admitido	2 anos	Data da decisão de rejeição	RGPD art. 5.º n.º 1 e) / prática CNPD
Dados de candidatura — candidato que desiste	2 anos	Data de desistência	RGPD art. 5.º n.º 1 e) / prática CNPD
Processo administrativo do aluno matriculado	5 anos	Fim dos estudos	Regulamentação do ensino superior português
Registos financeiros e contabilísticos	10 anos	Fim do exercício contabilístico	Código Comercial / Código do IRC
Dados de pagamento por cartão	13–18 meses	Data da transação	PCI DSS / período de contestação de pagamentos
Registos de consentimento de marketing	3 anos	Evento de consentimento ou revogação	Princípio de responsabilidade CNPD

Dois aspectos merecem atenção especial. Primeiro, o prazo de 3 anos para dados de contacto de candidatos começa no último contacto ativo — não na data de recolha. Uma resposta a um email, a presença num Dia Aberto, ou uma interação com o chatbot reinicia a contagem. Segundo, os registos de conversação do chatbot vinculados a um candidato identificado fazem parte do registo global do candidato e seguem o mesmo prazo de 3 anos; dados de conversação anonimizados ou agregados ficam fora do regime de dados pessoais.

O ciclo de vida da conservação em três fases

As orientações da CNPD e as boas práticas em matéria de RGPD descrevem uma abordagem em três fases para gerir dados pessoais ao longo do seu ciclo de vida.

Fase 1 — Conservação ativa

Durante a conservação ativa, os dados são operacionalmente acessíveis às equipas de admissões e marketing. Um candidato que preencheu um formulário de pedido de informação está em conservação ativa desde a data de recolha. A contagem do prazo parte do último contacto significativo: um email respondido, uma interação com o chatbot, o envio de um formulário, a presença num Dia Aberto, o download de um guia de licenciatura ou mestrado.

Para candidatos interessados em licenciaturas, mestrados ou programas de escolas de gestão que nunca apresentam candidatura formal, a fase ativa deve limitar-se a 12–18 meses desde o último contacto — para além desse horizonte, a eficácia das campanhas de reativação cai de forma assinalável.

Fase 2 — Arquivo intermédio

O arquivo intermédio cobre o período entre o fim do uso operacional e a eliminação definitiva ou anonimização. Nesta fase, os dados já não são acessíveis para a atividade quotidiana de admissões, mas são conservados para finalidades específicas justificadas: eventuais reclamações legais, auditorias da CNPD ou reclamações administrativas em curso. O acesso é restrito e os dados mantêm-se num ambiente controlado e separado.

Para dados de candidatura rejeitada, esta fase cobre o período de 2 anos após a decisão de não admissão durante o qual poderia ser apresentada uma reclamação à instituição ou à A3ES. Para dados de candidatos puros que nunca chegaram à fase de candidatura, o arquivo intermédio raramente é necessário — o prazo máximo de 3 anos engloba ambas as fases.

Fase 3 — Eliminação ou anonimização

No termo do prazo de conservação, os dados devem ser eliminados de forma segura ou anonimizados até um nível que torne impossível a reidentificação. A anonimização é uma alternativa válida à eliminação ao abrigo do RGPD, desde que o resultado seja genuinamente irreversível. Os dados pseudonimizados — onde a reidentificação é possível com uma chave — continuam a ser dados pessoais e permanecem sujeitos ao RGPD.

A purga automatizada configurada no CRM e na plataforma de email é a abordagem operacionalmente mais simples. Os processos de eliminação manual em múltiplos sistemas geram erros e lacunas de responsabilidade.

Obrigações do RAT: documentar os prazos

O artigo 30.º do RGPD exige que os responsáveis pelo tratamento mantenham um Registo das Atividades de Tratamento. Para escolas superiores e politécnicos, o RAT deve documentar cada atividade de tratamento que envolva dados pessoais — incluindo o marketing a candidatos — e deve especificar o prazo de conservação ou, quando tal não for possível, os critérios utilizados para o determinar.

Um prazo de conservação não documentado é um risco de auditoria pela CNPD. Quando um inspetor ou um titular de dados pergunta durante quanto tempo a instituição conserva dados de candidatos, "ainda não decidimos" não é uma resposta conforme. O RAT não é mera formalidade burocrática — é o mecanismo através do qual se materializa o princípio de responsabilidade do artigo 5.º, n.º 2.

O RAT deve contemplar, para dados de candidatos:

As categorias de titulares de dados (candidatos, solicitantes de informação, participantes em Dias Abertos)
As categorias de dados pessoais (nome, email, telefone, curso de interesse, registos do chatbot)
As finalidades do tratamento (marketing, recrutamento, seguimento de eventos)
O prazo de conservação para cada atividade de tratamento
As medidas técnicas e organizativas de segurança aplicadas

A dimensão do chatbot e da IA no recrutamento estudantil

72% das perguntas de candidatos ao chatbot da escola são simples FAQ automatizáveis; apenas 7% requerem escalamento para um agente humano (Fonte: análise Skolbot de 12.000 conversações de chatbot de IA, 2025). Isto significa que a esmagadora maioria das interações com o chatbot gera registos de conversação que não contêm revelações pessoais complexas que exijam tratamento especial — mas esses registos continuam a constituir dados pessoais quando estão ligados a um indivíduo identificado ou identificável.

Três regras aplicam-se aos dados de candidatos gerados por chatbot:

Identificar o utilizador no início da sessão. Se a conversa envolver um visitante não identificado, os dados são menos sensíveis mas podem ainda ser pessoais se a reidentificação for possível a partir do conteúdo. Um candidato que fornece o seu nome e email na primeira troca torna-se identificável — e a contagem dos 3 anos começa nesse momento.

Aplicar redação automática a dados sensíveis. Os candidatos revelam espontaneamente deficiências, dificuldades financeiras ou condições de saúde nas conversações do chatbot. Estas categorias de dados exigem proteção reforçada e o tratamento específico previsto no artigo 9.º do RGPD. A redação ou anonimização automática de dados sensíveis aos 30 dias é a prática recomendada.

Incluir os dados do chatbot no mapeamento de dados para pedidos de apagamento. Quando um candidato solicita o apagamento ao abrigo do artigo 17.º do RGPD, os registos de conversação na plataforma do chatbot devem ser eliminados juntamente com os registos do CRM, os perfis da plataforma de email e os dados de presença em Dias Abertos. Para um processo detalhado, consulte o nosso guia sobre gestão de pedidos de apagamento RGPD para candidatos em escolas superiores.

Falhas frequentes de conservação em escolas superiores portuguesas

Falha 1 — O CRM legado. Registos de candidatos de 2020, 2021 e 2022 ainda ativos na base de dados, a receber emails de marketing ocasionais. Estes registos estão muito provavelmente além do prazo de 3 anos e representam tanto um risco regulatório perante a CNPD como um peso para a entregabilidade do email.

Falha 2 — A folha de cálculo da feira educativa. Listas de contactos descarregadas de feiras universitárias como ficheiros Excel, armazenadas nos portáteis do pessoal, nunca importadas para o CRM nem purgadas. Estes registos paralelos são invisíveis para qualquer política de conservação.

Falha 3 — O arquivo "por precaução". Dados de candidatura de alunos não admitidos conservados indefinidamente sob o argumento de que "poderão candidatar-se novamente no próximo ano letivo". O prazo de 2 anos após a decisão de rejeição é claro; o interesse futuro especulativo não o supera.

Falha 4 — O RAT desatualizado. A política de conservação existe em papel mas não se reflete no RAT, não está configurada no CRM e não é comunicada ao pessoal de admissões. O princípio de responsabilidade exige que política e prática estejam alinhadas.

Falha 5 — Cookies de análise além dos 13 meses. Cookies de análise e píxeis de publicidade conservados além do prazo máximo de 13 meses recomendado pela CNPD — frequentemente porque a plataforma de gestão de consentimento foi configurada no lançamento e nunca foi revista. Para um tratamento detalhado desta área, consulte o nosso guia sobre consentimento de cookies RGPD para escolas superiores.

Checklist de eliminação: o que a sua instituição deve fazer

Para um quadro completo de ponta a ponta, consulte o nosso guia sobre proteção de dados de candidatos ao abrigo do RGPD.

Descubra como as escolas melhoram o seu recrutamento

Perguntas frequentes

Qual é o prazo padrão de conservação para dados de candidatos em escolas superiores portuguesas?

As orientações da CNPD sobre prospeção comercial estabelecem 3 anos a contar do último contacto ativo como prazo máximo para dados de candidatos e marketing. Este é um teto, não um objetivo — se um candidato claramente não tem interesse ativo, uma conservação mais curta é mais defensável. A contagem reinicia cada vez que o candidato se envolve ativamente.

Pode uma escola superior conservar dados de um candidato indefinidamente se este nunca cancelar a subscrição?

Não. O princípio de limitação da conservação do artigo 5.º, n.º 1, alínea e) do RGPD aplica-se independentemente de o candidato ter exercido algum direito. A ausência de oposição não cria uma base legítima para a conservação indefinida. A instituição deve aplicar a sua própria política de conservação de forma proativa.

Os prazos de conservação devem constar do aviso de privacidade?

Sim. O artigo 13.º do RGPD exige que aquando da recolha de dados pessoais, o responsável pelo tratamento informe o titular sobre o prazo de conservação ou, quando não for possível determiná-lo, os critérios utilizados. Um aviso de privacidade que diga apenas "conservaremos os seus dados pelo tempo necessário" sem especificar esses critérios não cumpre este requisito.

A Lei 58/2019 acrescenta obrigações específicas além do RGPD para as escolas superiores portuguesas?

Sim. A Lei 58/2019 contém disposições específicas sobre tratamento de dados no contexto laboral, tratamento de categorias especiais e condições de licitude que complementam o RGPD no ordenamento jurídico português. As escolas superiores que tratam dados de candidatos com deficiência ou necessidades especiais devem ter particular atenção ao regime de dados de saúde e às condições adicionais de licitude previstas nos artigos 28.º a 30.º da Lei 58/2019.

Quais são os poderes de fiscalização da CNPD em caso de incumprimento dos prazos de conservação?

A CNPD pode aplicar coimas até 20 milhões de euros ou 4% do volume de negócios anual global (o montante mais elevado) por infrações graves ao RGPD, incluindo violações do princípio de limitação da conservação. Pode igualmente emitir advertências, repreensões e ordens de limitação do tratamento. O setor da educação privada tem sido objeto de investigações regulatórias; a conservação excessiva de dados de candidatos tem figurado em deliberações da CNPD.