LGPD e currículos de candidatos: o que o RH pode fazer

A vaga de supervisora de atendimento recebeu 300 candidaturas em nove dias. Umas chegaram pelo formulário do site, outras por e-mail, umas dez pelo WhatsApp comercial, três entregues em papel na recepção. A analista guardou o que deu: uma pasta “Currículos 2026” no drive compartilhado, uma caixa de entrada estourada e um grupo de WhatsApp com dois gestores. Passado um ano, ninguém sabe o que existe, onde, nem para quê. Se essa cena parece a da sua empresa, vale saber o nome dela: tratamento de dados pessoais sem regra. A LGPD (Lei 13.709/2018) vale para currículo de candidato desde 2020, e currículo é dos dados mais sensíveis que um RH toca: nome, telefone, endereço, filhos, histórico de emprego, às vezes plano de saúde e laudo. Cada uma dessas candidaturas, guardada sem critério, é um dado pessoal sob responsabilidade da empresa.

O que está em jogo quando o currículo vira dado

A lei dá ao candidato direitos diretos sobre o currículo dele: pedir acesso, corrigir, saber com quem foi compartilhado, pedir exclusão. A empresa precisa responder com brevidade; a orientação da Autoridade Nacional de Proteção de Dados é responder em até 15 dias. Repassar currículo para um grupo de WhatsApp, sem controle de quem vê, é tratamento de dados sem base e sem rastro. A conta do descaso tem teto legal: multa de até 2% do faturamento da empresa no Brasil, limitada a R$ 50 milhões por infração, além de indenizações individuais. Nenhuma empresa de pequeno porte foi multada por organizar currículo; o histórico de fiscalização pune vazamento, excesso e descaso com pedido do titular. O alvo da regra é a bagunça, e a bagunça é o que a cena do primeiro parágrafo descreve.

A virada: quatro decisões resolvem quase tudo

O que gera passivo é a ausência de regra: sem canal único, prazo e controle de acesso, cada currículo vira um dado órfão, espalhado em pastas que ninguém herda. Quatro decisões cobrem a maior parte do risco: por onde o currículo entra, onde fica, por quanto tempo, quem pode ver.

Checklist de LGPD para currículos de candidatos

1. Defina um canal de entrada. Formulário ou plataforma de vagas, um só. Candidatura que chega por WhatsApp comercial vira exceção: peça para o candidato se cadastrar pelo canal oficial. Por quê: dado espalhado em canal pessoal é dado que a empresa não controla, nem consegue apagar depois.
2. Avise para que serve o dado no momento da coleta. Duas linhas na candidatura: “seus dados serão usados para este processo seletivo e mantidos por até X meses”. Por quê: finalidade declarada é a base da transparência, e a lei exige informar desde a coleta.
3. Estabeleça prazo de guarda. Candidato não aprovado: um prazo definido, e depois, exclusão. Quer manter para vagas futuras: banco de talentos com consentimento em separado. Por quê: guardar para sempre “por se der” é tratar dado sem finalidade, o erro mais comum.
4. Restrinja o acesso. Currículo sai da área de seleção somente com aval, e nunca para grupo de WhatsApp. Por quê: compartilhamento informal destrói o controle de quem viu o quê, e é a porta do vazamento.
5. Apague de verdade. Ao fim do prazo, exclua o arquivo das pastas, das cópias locais e da lixeira do drive. Por quê: dado “apagado” que vive em backup de pasta compartilhada segue sendo responsabilidade da empresa.
6. Tenha um jeito de responder o candidato. Quem pediu acesso ou exclusão precisa de resposta rápida e registrada. Por quê: prazo ignorado vira reclamação na ANPD, e reclamação se resolve mal sem histórico.

Onde a ferramenta ajuda, e onde continua sendo a empresa

Candidatos que entram por um sistema único de vagas, com data, vaga de origem e finalidade registradas, são muito mais fáceis de governar do que uma pasta de drive. Um ATS mantém esse histórico organizado por vaga, etapa e banco de talentos, o que já cobre a parte de registro e organização. A política de privacidade, os prazos e a decisão de compartilhar continuam sendo da empresa, e é bom que sejam: a lei responsabiliza quem decide, e não a ferramenta. Para ver essa organização na prática, acesse empresas.tunni.com.br. Comece pelo inventário: liste hoje onde há currículo guardado na sua empresa, quem acessa e há quanto tempo. Essa lista sozinha já mostra o tamanho do trabalho, que quase sempre cabe em uma tarde.

Nota: este post tem caráter informativo e não constitui orientação jurídica. Para decisões sobre LGPD na sua empresa, consulte um advogado ou especialista em proteção de dados.

Perguntas frequentes

A LGPD vale para empresa pequena?

Vale, independentemente de porte, sempre que a empresa trata dados pessoais, e toda empresa que recebe currículo trata. O que muda com o porte é o tamanho da operação de proteção, e não a existência das regras básicas: canal de coleta, finalidade, prazo e controle de acesso.

Posso guardar currículo de candidato reprovado para vagas futuras?

Pode, com duas condições: avisar o candidato no momento da candidatura ou pedir consentimento específico depois, e definir prazo também para esse armazenamento. Banco de talentos sem consentimento e sem prazo é a mesma pasta sem regra, com outro nome.

O que faço com currículo que chega por WhatsApp?

Encaminhe o candidato para o canal oficial de candidatura e não use a conversa como arquivo. Se o número com currículo ficar em grupo, apague quando a vaga fechar. O canal comercial é de atendimento, e não um depósito de dados pessoais.

Quem responde pela LGPD no recrutamento?

A empresa, como controladora dos dados. Nas pequenas e médias, não precisa ser um encargo formal de DPO: precisa existir alguém que saiba onde o dado está, para que serve e por quanto tempo fica. Se ninguém sabe, a resposta já saiu.