O que a LGPD exige de quem guarda currículo de candidato

Currículo, formulário de inscrição e mensagens de candidatura contêm dados pessoais e precisam de regras claras de acesso, uso e descarte. Este guia mostra como estruturar o processo sem transformar a rotina de recrutamento em um projeto jurídico complexo.

Currículo é dado pessoal e a LGPD se aplica ao recrutamento

A Lei 13.709/2018, a LGPD, aplica-se ao tratamento de dados pessoais feito por empresas, inclusive durante processos seletivos. Tratamento não é só armazenar: inclui receber, consultar, classificar, compartilhar, atualizar, excluir e encaminhar um currículo.

Nome, telefone, e-mail, endereço, CPF, experiência profissional, disponibilidade de horário e pretensão salarial são exemplos de dados pessoais. Portanto, toda operação com dados de candidato exige uma finalidade legítima, controles de acesso e uma justificativa para o prazo de guarda.

Para aprofundar: mutirão de contratação de fim de ano.

Em operações de logística, varejo, facilities e transporte, é comum receber candidaturas por múltiplos canais. O problema começa quando o mesmo currículo entra por formulário, WhatsApp, e-mail, indicação e planilha, sem saber quem acessa cada cópia ou por quanto tempo ela ficará guardada.

Alguns dados exigem atenção reforçada porque são classificados pela LGPD como dados pessoais sensíveis:

• origem racial ou étnica;
• convicção religiosa;
• opinião política;
• filiação sindical;
• informações sobre saúde;
• vida sexual;
• dado genético;
• dado biométrico vinculado a uma pessoa.

Informações sobre deficiência, laudos, afastamentos médicos e adaptações necessárias para o trabalho também podem envolver dados de saúde. Elas não devem circular livremente entre gestores, recrutadores e líderes de operação.

Antecedentes criminais, por sua vez, são dados pessoais, mas não aparecem na lista legal de dados sensíveis. Isso não autoriza a coleta automática. A empresa deve avaliar se a exigência é necessária para aquela função e se há fundamento legal para solicitar a informação.

Qual base legal usar para dados de candidato recrutamento

A LGPD não exige consentimento para todo currículo recebido. No recrutamento, a base legal depende da finalidade e do momento da relação com a pessoa candidata.

Para analisar uma candidatura a uma vaga aberta, a base mais comum é a execução de procedimentos preliminares relacionados a contrato, a pedido do titular. Em termos práticos, a pessoa enviou os dados para participar daquele processo seletivo.

A empresa também pode precisar tratar determinados dados para cumprir obrigação legal ou regulatória, por exemplo em procedimentos trabalhistas aplicáveis após a contratação. Mas essa hipótese não deve ser usada como justificativa genérica para guardar qualquer currículo indefinidamente.

O legítimo interesse pode ser considerado em situações específicas, desde que a empresa faça uma análise real de necessidade, impacto e expectativa da pessoa candidata. Não basta escrever “legítimo interesse” em uma política e manter todos os currículos recebidos.

E o consentimento no banco de talentos LGPD?

O consentimento costuma fazer mais sentido quando o processo seletivo terminou e a empresa quer manter aquele currículo para oportunidades futuras. Ele deve ser livre, informado e vinculado a uma finalidade clara.

Não condicione a participação na vaga atual à autorização para entrar no banco de talentos. A pessoa precisa poder concorrer à vaga mesmo se não quiser receber contatos futuros.

Um aviso simples pode informar:

Usaremos seus dados para esta seleção. Se você autorizar, poderemos manter seu cadastro em nosso banco de talentos pelo prazo informado para contato sobre vagas compatíveis.

Para dados sensíveis, a cautela deve ser maior. Quando não houver outra hipótese legal aplicável, o consentimento precisa ser específico e em destaque. Também é recomendável limitar a coleta ao que é indispensável para a atividade e para obrigações de inclusão ou adaptação, quando existentes.

Como definir finalidade e por quanto tempo guardar currículo

A LGPD não fixa um prazo único para responder à pergunta “por quanto tempo guardar currículo”. O período deve ser definido pela finalidade, pela necessidade operacional e por eventuais obrigações legais de retenção.

Guardar currículo antigo sem regra, porque “pode servir um dia”, é uma prática fraca. Quanto mais tempo a empresa mantém dados sem uso definido, maior a chance de acesso indevido, informação desatualizada e dificuldade para atender pedidos de exclusão.

Uma política prática pode separar os dados em grupos:

O prazo interno precisa ser documentado, comunicado e executado. Se a empresa definir que o banco de talentos será revisado periodicamente, deve excluir ou renovar a autorização ao final do período adotado.

A comunicação pode aparecer no formulário de candidatura, na página de carreiras ou em uma mensagem enviada após o cadastro. O texto deve dizer quais dados são coletados, para que são usados, com quem podem ser compartilhados, como solicitar direitos e por quanto tempo serão mantidos.

Para tratar dado de candidato com prazo e registro, veja o banco de talentos do Triagio.

Um roteiro para organizar a retenção

1. Liste todos os canais que recebem candidaturas.
2. Identifique quais dados entram em cada canal.
3. Defina a finalidade de cada grupo de dados.
4. Estabeleça um prazo de guarda para processo ativo e outro para banco de talentos.
5. Configure uma rotina de revisão, anonimização ou exclusão.
6. Registre quem pode acessar os dados e em que situação.
7. Publique um aviso de privacidade compreensível para candidatos.

Esse trabalho inicial pode ser feito pelo RH com apoio de jurídico, TI ou encarregado de dados, conforme a estrutura da empresa. O esforço maior costuma estar em localizar planilhas, caixas de e-mail e grupos informais onde os currículos já se acumulam.

Direito de exclusão: como responder sem perder o controle

A pessoa candidata pode pedir confirmação sobre o tratamento de seus dados, acesso, correção e eliminação em determinadas situações. A empresa precisa ter um canal para receber esse tipo de solicitação e identificar o pedido com segurança.

O direito de exclusão não significa que todo dado deve desaparecer imediatamente em qualquer contexto. A própria LGPD prevê hipóteses de conservação, como cumprimento de obrigação legal ou regulatória e uso exclusivo do controlador, desde que o acesso por terceiros seja vedado e os dados sejam anonimizados quando possível.

Na prática, ao receber um pedido de eliminação, siga esta ordem:

1. Confirme a identidade da pessoa solicitante.
2. Localize os registros no sistema, planilhas, e-mails e banco de talentos.
3. Verifique se existe razão legal para manter alguma informação.
4. Exclua os dados que não precisam mais ser tratados.
5. Registre internamente o atendimento realizado.
6. Responda de forma objetiva, explicando o que foi eliminado e o que precisou ser conservado, se houver.

O erro comum é apagar apenas o cadastro principal e esquecer cópias exportadas, anexos no e-mail ou mensagens em celulares. Outro erro é negar o pedido com texto genérico, sem checar a situação real do cadastro.

WhatsApp pessoal e planilha aberta: onde a operação mais se expõe

O WhatsApp pessoal do analista é um risco porque mistura informações corporativas e privadas, dificulta controle de acesso e torna a exclusão incompleta. Se o profissional sair da empresa, trocar de aparelho ou encaminhar um currículo para outro contato, o RH pode perder a rastreabilidade.

Planilhas compartilhadas por link aberto criam problema semelhante. Um link pode ser encaminhado, copiado ou acessado por pessoas que não participam da seleção. Também é frequente haver edição sem histórico claro, exportações locais e filtros que expõem dados desnecessários.

A correção não exige, necessariamente, abandonar toda ferramenta atual de uma vez. O ponto é reduzir canais dispersos e definir um local oficial para os dados de candidato recrutamento.

Controles mínimos incluem:

Leitura complementar: checklist do anúncio de vaga operacional.

• contas corporativas, não pessoais;
• acesso por função, com permissão limitada;
• links restritos a pessoas identificadas;
• revisão de acessos quando alguém muda de área ou sai;
• registro de origem, status e prazo do cadastro;
• orientação para não enviar currículo em grupos informais;
• descarte de exportações e arquivos locais sem necessidade.

Também vale treinar gestores de unidade. O líder que recebe um currículo por mensagem e repassa para um grupo pode criar uma cópia fora do fluxo, mesmo sem intenção de descumprir regras.

O que registrar sobre reprovação sem expor a pessoa

O registro de reprovação deve ser funcional e ligado aos critérios da vaga. A finalidade é demonstrar a etapa concluída e apoiar uma decisão consistente, não produzir comentários permanentes sobre a pessoa.

Prefira registros objetivos, como “não possuía disponibilidade para o turno informado”, “não concluiu a etapa documental” ou “experiência apresentada não atendia ao requisito definido para a função”. Use critérios que já estavam previstos no processo.

Evite anotações como “pareceu problemática”, “tem jeito de faltar”, “mora longe demais”, “não serve para lidar com público” ou comentários sobre aparência, saúde, família, religião e comportamento presumido. Além de exporem o candidato, essas observações podem reforçar vieses e criar risco trabalhista.

Se houver necessidade de registrar uma ocorrência relevante, limite o conteúdo ao fato verificável, restrinja o acesso e defina prazo de descarte. O recrutador não deve usar campos de observação como arquivo pessoal de impressões.

Conclusão

A gestão de LGPD currículo de candidato começa com medidas simples: saber onde os dados entram, definir por que são usados, limitar acessos, informar prazos e executar a exclusão quando ela for devida. Não existe resposta universal para por quanto tempo guardar currículo, mas existe a obrigação de ter um critério documentado e proporcional.

O Triagio pode ajudar a concentrar a triagem e organizar a fila de candidatos elegíveis, reduzindo a circulação de currículos em canais dispersos. Para avaliar como isso se encaixa no processo da sua operação, peça uma demonstração.

Este conteúdo é assinado por Jimenez Julien, editor do Triagio.