Segunda-feira, processo seletivo aberto: 340 currículos na caixa de entrada, teste psicológico marcado pra sexta e alguém do RH já deu uma olhada no Instagram dos três finalistas. Isso é rotina em qualquer empresa do Vale do Itajaí que contrata mais do que um estagiário por ano. E é exatamente aí que a LGPD entra, sem avisar, sem multa na hora, mas deixando um rastro de dado pessoal que ninguém sabe explicar depois.
Currículo é dado pessoal. Teste psicológico é dado sensível. Print de rede social, se pesa na decisão de contratar, também é dado tratado com finalidade. O problema não é coletar. O problema é guardar sem prazo, sem base legal e sem conseguir justificar o motivo se o candidato perguntar, e ele pode perguntar: o art. 19 dá 15 dias pra empresa responder qualquer titular que exigir saber o que foi feito com o dado dele.
Currículo recebido: até quando dá pra guardar?
Não existe número mágico na lei. Existe o princípio da necessidade (art. 6º, III): o dado só pode ficar armazenado enquanto servir à finalidade que justificou a coleta. Se o candidato não foi aprovado e não deu consentimento pra banco de talentos, a finalidade daquela vaga se esgota no dia em que a vaga é fechada.
Nossa leitura: currículo de candidato não aproveitado, sem consentimento adicional, deveria ser eliminado em até 90 dias depois do encerramento do processo. Passou disso, a empresa está guardando dado pessoal sem base legal ativa, só porque "pode ser útil depois". É justamente esse tipo de justificativa que não resiste a uma fiscalização.
Candidato contratado é outra história. O vínculo empregatício gera guarda documental que passa longe da LGPD: ficha, contrato, exame admissional entram na obrigação trabalhista, e o prazo sobe pra 5 anos depois do fim do contrato, por conta da prescrição.
Banco de talentos não é gaveta: precisa de consentimento e prazo
Guardar currículo bom, mas não aprovado, pra chamar depois é prática saudável de RH. O erro é fazer isso sem pedir nada ao candidato. Banco de talentos exige consentimento específico (art. 7º, I): frase clara dizendo que o currículo vai ficar guardado, por quanto tempo e pra qual finalidade, com opção de recusa que não penalize quem recusar.
- Consentimento por escrito, em campo separado do formulário (nunca marcado por padrão)
- Prazo definido: recomendamos revalidar a cada 12 meses
- Canal simples pro candidato pedir exclusão a qualquer momento
- Registro de quando e como o consentimento foi coletado, pra provar depois
Sem isso, o banco de talentos é só um estoque de dado pessoal sem base legal esperando alguém perguntar.
Score de candidato: se o algoritmo decide, alguém precisa explicar
ATS com pontuação automática, triagem por palavra-chave, teste de fit cultural com nota: tudo isso é decisão automatizada sobre pessoa, e o art. 20 garante ao candidato o direito de pedir revisão humana.
Na prática: se a empresa usa software que corta currículo por critério fechado, alguém do RH precisa saber explicar esse critério se o candidato reprovado perguntar por quê. "O sistema decidiu" não é resposta que sobrevive a uma reclamação na ANPD, e sinceramente, também não sobrevive a uma ação por discriminação na Justiça do Trabalho.
Rede social do candidato: até onde o RH pode olhar
Checar LinkedIn pra confirmar experiência profissional é uma coisa. Vasculhar Instagram pessoal, ver com quem o candidato posta foto, tirar conclusão sobre religião, opinião política ou orientação sexual a partir disso é outra, e bem mais arriscada.
Falando sério: o princípio da necessidade não abre espaço pra "olhar tudo que aparecer". Informação de rede social sem relação direta com a função não deveria nem virar anotação interna, porque isso cria prova escrita de que a contratação levou em conta algo que não devia.
Teste psicológico é dado sensível, mesmo quando parece rotina
Teste de perfil, avaliação psicológica, dinâmica com laudo: se o resultado toca em saúde mental, traço clínico de personalidade ou histórico emocional, isso é dado sensível pelo art. 5º, II. Precisa de base legal específica e de acesso restrito, não de uma pasta compartilhada com todo o RH.
Laudo psicológico guardado no mesmo Google Drive que qualquer analista de recrutamento acessa, sem controle de quem viu o quê, é exatamente o tipo de falha que vira incidente reportável se esse arquivo vazar ou for acessado por quem não devia.
Perguntas de entrevista que geram dado sensível sem necessidade
Perguntar sobre planos de ter filho, religião, orientação sexual ou situação de saúde durante a entrevista não é só falta de tato. É coleta de dado sensível (art. 5º, II) sem nenhuma base legal que sustente, porque essa informação não é necessária pra avaliar competência técnica pra a vaga.
Se a pergunta aparecer, mesmo informalmente, numa anotação de entrevista ou ficha de avaliação, ela se torna prova documentada de tratamento irregular de dado sensível, e some junto com risco de ação por discriminação. Dois problemas no mesmo parágrafo do formulário.
O que ajustar nas próximas duas semanas
Isso não exige projeto de seis meses. A gente vê muita empresa travar por achar que precisa reestruturar tudo, mas dá pra sanear rápido:
- Levantar todo currículo armazenado hoje e separar quem tem consentimento pra banco de talentos e quem não tem
- Definir por escrito o prazo de retenção (nossa recomendação: 90 dias pra candidato não aprovado sem consentimento adicional)
- Revisar o roteiro de entrevista e cortar qualquer pergunta que não seja sobre a função
- Restringir acesso a laudo de teste psicológico só a quem realmente decide a contratação
- Checar se o encarregado (art. 41) sabe que o RH trata dado sensível e está incluído no mapeamento de dados da empresa
Empresa pequena e média pode usar o regime simplificado da Resolução CD/ANPD 02/2022, mas simplificado não é isento. A obrigação de eliminar dado sem finalidade vale pra ME, EPP e autônomo do mesmo jeito que vale pra multinacional. A diferença está no processo, não na regra, e a multa continua sendo a mesma conta: até 2% do faturamento, limitada a R$ 50 milhões por infração.
Fale com um advogado da RSA.
Diagnóstico objetivo em até 24h úteis.
