LGPD no banco de candidatos: as quatro decisões que a sua agência precisa tomar

A sua agência tem um banco com alguns milhares de currículos. Boa parte chegou por WhatsApp, e-mail e indicação, ao longo dos últimos anos. Ninguém sabe dizer quando cada um entrou, por que continua ali, nem quem já abriu.

Isso não é bagunça de arquivo. É exposição legal.

A Lei Geral de Proteção de Dados, a LGPD (Lei 13.709/2018), trata currículo como dado pessoal. Quem guarda responde por ele. E a agência de recrutamento não é mera intermediária: ela decide o que coletar e por quanto tempo manter, então ela responde como controladora.

A multa administrativa prevista chega a 2% do faturamento no Brasil no último exercício, limitada a R$ 50 milhões por infração (Lei 13.709/2018, artigo 52).

Nada disso exige advogado para começar. São quatro decisões. Cada uma leva menos de uma hora.

Decisão 1: escreva por que você guarda

A LGPD não proíbe guardar currículo. Ela exige que exista uma base legal e uma finalidade declarada (artigo 6º, inciso I).

Quase toda agência assume que a base é o consentimento do candidato. Na prática, o consentimento é a base mais frágil que existe. Ele pode ser revogado a qualquer momento, e aí você fica obrigado a apagar tudo.

Para recrutamento, duas bases costumam sustentar melhor a operação: os procedimentos preliminares de contrato, a pedido do próprio titular (artigo 7º, inciso V), e o legítimo interesse (artigo 7º, inciso IX). Quem se candidata a uma vaga sua está pedindo para entrar num processo, e isso já é uma base.

O que fazer: escreva uma frase dizendo por que a sua agência guarda currículo e para qual finalidade. Uma frase. Se você não consegue escrever, o problema não é jurídico, é de operação.

Decisão 2: defina por quanto tempo

Aqui está a parte que a maioria dos textos sobre o assunto erra. A LGPD não fixa prazo de guarda de currículo. Não existe o prazo de seis meses nem o prazo de dois anos que circulam por aí.

O que a lei diz é outra coisa. O tratamento termina quando a finalidade é alcançada ou quando os dados deixam de ser necessários (artigo 15). Terminado o tratamento, os dados devem ser eliminados, com exceções previstas em lei (artigo 16).

Ou seja, o prazo é seu. Você define, documenta e cumpre. O que não pode é não ter prazo nenhum. Sem prazo, você não consegue justificar por que o currículo de 2021 ainda está no banco.

O que fazer: escolha um prazo, escreva ele e coloque uma data de entrada em todo currículo que chega. Sem data de entrada, nenhum prazo é executável.

Decisão 3: pare de perguntar o que você não pode

Existe uma categoria chamada dado pessoal sensível: origem racial ou étnica, convicção religiosa, opinião política, filiação sindical, dado de saúde ou de vida sexual, dado genético ou biométrico (artigo 5º, inciso II). Esses dados têm regra mais rígida que os demais.

E existe uma segunda camada, mais antiga e mais dura. A Lei 9.029/1995 proíbe prática discriminatória no acesso ao emprego por sexo, origem, raça, cor, estado civil, situação familiar, deficiência e idade. O artigo 2º trata como crime exigir exame, atestado ou declaração sobre gravidez ou esterilização. A pena é de detenção de um a dois anos, além de multa.

Na operação real, isso aparece em lugares banais. A ficha de cadastro que pergunta estado civil e número de filhos. O campo de foto no formulário. A anotação no WhatsApp dizendo que a candidata está grávida. O cliente que pede alguém até 35 anos e o hunter que repassa isso na descrição da vaga.

O que fazer: abra o seu formulário de cadastro agora e apague todo campo que não é usado para decidir sobre a vaga. Se um campo existe só porque sempre existiu, ele é risco sem contrapartida.

Decisão 4: decida quem responde ao candidato

O candidato tem direito de pedir confirmação, acesso, correção, portabilidade e eliminação dos dados dele (artigo 18). Ele não precisa explicar por quê.

Em agência pequena, esse pedido chega pelo WhatsApp de quem estiver com o celular na mão. Se ninguém tem esse pedido como tarefa, ele vira mensagem lida e não respondida, que é exatamente o cenário que gera reclamação.

Vale dizer que isso não é só obrigação. Devolver ao candidato o controle sobre o que é dele constrói relação. No c·hunt, por exemplo, o resultado do teste comportamental fica sob titularidade do candidato, com acesso gratuito e permanente. O dado é dele, não da agência que aplicou.

O que fazer: defina uma pessoa responsável por pedidos de dados e um prazo interno de resposta. Uma pessoa, não a equipe.

O detalhe de 2026: a inteligência artificial que você usa na triagem

Este é o ponto que quase nenhuma agência pequena parou para pensar.

Colar um lote de currículos numa ferramenta de inteligência artificial genérica para pedir um resumo é compartilhar dado pessoal de terceiro com um serviço externo. Isso não é proibido por si só, mas exige base legal, informação ao titular e cuidado com segurança (artigos 6º, inciso VII, e 46).

Tem mais. Uma decisão tomada unicamente com base em tratamento automatizado tem regra própria. Se ela afeta o interesse da pessoa, o titular pode pedir revisão (artigo 20). Se a triagem que descarta candidato roda sozinha, você precisa ter como responder a esse pedido.

A saída prática não é abandonar a inteligência artificial. É usar ferramenta que trate o dado dentro do seu ambiente, com a mesma permissão que a pessoa já tem. E manter gente decidindo o descarte.

O que fazer hoje

Reserve quarenta minutos e execute nesta ordem:

• Escreva a finalidade do seu banco de candidatos em uma frase
• Defina o prazo de guarda e anote onde a equipe consegue ver
• Apague do formulário todo campo que não decide vaga
• Nomeie a pessoa responsável por pedidos de dados do candidato
• Liste quais ferramentas externas já receberam currículo da sua base

O quinto item costuma ser o mais desconfortável, e é o mais importante.

Nada disso depende de comprar sistema. Depende de decidir. Depois que as quatro decisões existem no papel, colocar isso para rodar dentro de um sistema como o c·hunt vira execução, não projeto.

Este texto é informativo e não substitui parecer jurídico. Antes de fechar sua política de dados, valide com o advogado da sua agência.

Fontes: Lei 13.709/2018 (LGPD), Brasil, 2018; Lei 9.029/1995, Brasil, 1995.