LGPD no recrutamento: guia prático para o RH

A LGPD chama de tratamento toda operação com dados pessoais, da coleta ao armazenamento, à avaliação e à eliminação (art. 5º, X). Receber um currículo, manter uma planilha de candidatos, encaminhar uma shortlist ao gestor e anotar impressões de uma entrevista são, todos, tratamento. Três papéis aparecem em quase todo processo seletivo:

• Controlador (art. 5º, VI): quem toma as decisões sobre o tratamento. Em geral, a empresa que está contratando.
• Operador (art. 5º, VII): quem trata os dados em nome do controlador, como o software de recrutamento ou uma consultoria contratada para conduzir a seleção. O operador segue as instruções do controlador (art. 39).
• Encarregado (art. 5º, VIII, e art. 41): o canal de comunicação com os titulares e com a Autoridade Nacional de Proteção de Dados (ANPD), com identidade e contato divulgados publicamente.

Quando uma consultoria de RH conduz o processo, os papéis dependem de quem decide o quê; deixe isso no contrato.

O art. 6º lista dez princípios. No recrutamento, alguns aparecem o tempo todo:

• Finalidade e adequação (incisos I e II): dados coletados para uma vaga servem àquela vaga. Usá-los para outra coisa exige base legal e informação ao candidato.
• Necessidade (inciso III): peça só o que é preciso para avaliar. RG, CPF, comprovante de residência e dados bancários ficam para a admissão, e o anúncio não deve pedi-los (veja como escrever uma descrição de vaga).
• Transparência (inciso VI): o candidato precisa saber quem trata os dados, para quê, por quanto tempo e com quem são compartilhados.
• Segurança (inciso VII): currículos em e-mails pessoais, pastas compartilhadas abertas e planilhas enviadas por mensagem são riscos.
• Não discriminação (inciso IX): o tratamento não pode ter fins discriminatórios ilícitos ou abusivos.

Todo tratamento precisa de uma base legal do art. 7º, ou do art. 11 quando envolve dados sensíveis. No recrutamento, as situações mais comuns costumam se apoiar nestas bases:

A escolha depende do contexto e deve ser registrada: vale a base que descreve o que você faz e que você consegue sustentar.

Consentimento é a manifestação livre, informada e inequívoca pela qual o titular concorda com o tratamento de seus dados para uma finalidade determinada (art. 5º, XII). Na prática:

• Uma finalidade por autorização. O art. 8º, § 4º, considera nulas as autorizações genéricas. “Aceito o tratamento dos meus dados” não basta; “Autorizo que meu currículo fique no banco de talentos por 12 meses para outras vagas” é específico.
• Opcional de verdade. Se o candidato não autoriza o banco de talentos ou a análise por IA, ele continua participando da vaga.
• Fácil de revogar. O consentimento pode ser revogado a qualquer momento, por procedimento gratuito e facilitado (art. 8º, § 5º).
• Registrado. Cabe ao controlador provar que o consentimento foi obtido conforme a lei (art. 8º, § 2º). Guarde data, hora e o texto exibido.

Dado pessoal sensível é o que se refere a origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, saúde ou vida sexual e dado genético ou biométrico (art. 5º, II). O tratamento só pode ocorrer nas hipóteses do art. 11: com consentimento específico e destacado, para finalidades específicas, ou, sem consentimento, quando indispensável, por exemplo, para cumprir obrigação legal ou regulatória ou exercer direitos em contrato e em processo. No recrutamento, isso significa:

• Não pergunte religião, opinião política, filiação sindical ou orientação sexual. Não há motivo ligado à vaga.
• Informações sobre deficiência podem ser necessárias em vagas afirmativas ou para a reserva de vagas do art. 93 da Lei 8.213/1991. Peça só o necessário, explique o motivo e restrinja o acesso.
• Autodeclaração racial em programas de diversidade deve ser opcional, com finalidade clara e, de preferência, separada do que é avaliado na triagem.
• Exames de saúde pertencem à admissão (exame admissional), não à triagem.

A LGPD não fixa um prazo em dias para currículos. Ela determina o término do tratamento quando a finalidade é alcançada ou os dados deixam de ser necessários, quando acaba o período de tratamento, quando o titular revoga o consentimento ou por determinação da ANPD (art. 15). Depois disso, os dados devem ser eliminados, com as exceções do art. 16, como o cumprimento de obrigação legal ou regulatória e o uso exclusivo do controlador com os dados anonimizados.

Na prática, defina um prazo para cada finalidade e informe-o no aviso da candidatura e na política de privacidade: a candidatura, até o fim do processo mais um período para questionamentos; o banco de talentos, pelo prazo autorizado no consentimento. Vencido o prazo, apague ou anonimize, também nas cópias: e-mails, planilhas e pastas compartilhadas.

Feito à mão, isso costuma ser esquecido. Um expurgo automático no prazo configurado resolve.

O art. 18 lista os direitos do titular, que o candidato pode exercer mediante requisição. Entre eles:

• Confirmação de que os dados são tratados e acesso a eles (incisos I e II).
• Correção de dados incompletos, inexatos ou desatualizados (inciso III).
• Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei (inciso IV).
• Portabilidade dos dados (inciso V).
• Eliminação dos dados tratados com consentimento, ressalvadas as hipóteses do art. 16 (inciso VI).
• Informação sobre com quem os dados foram compartilhados (inciso VII) e sobre a possibilidade de não consentir e suas consequências (inciso VIII).
• Revogação do consentimento (inciso IX).

Quando o candidato pede a declaração completa sobre os seus dados, a resposta deve vir em até 15 dias, contados do requerimento (art. 19, II). Tenha um canal simples, como um e-mail ou um link, e alguém responsável por responder.

Revisão de decisões automatizadas (art. 20)

O art. 20 garante ao titular o direito de solicitar a revisão de decisões tomadas unicamente com base em tratamento automatizado de dados pessoais que afetem seus interesses, incluídas as que definem seu perfil pessoal, profissional, de consumo e de crédito ou aspectos de sua personalidade. O § 1º obriga o controlador a fornecer, sempre que solicitado, informações claras e adequadas sobre os critérios e procedimentos usados, observados os segredos comercial e industrial.

Uma triagem que reprova sem intervenção humana, por nota de IA ou regra automática, está no centro desse artigo. O texto em vigor não exige expressamente que a revisão seja feita por uma pessoa, mas a revisão humana é o caminho mais seguro e o mais coerente com a regra. Explique os critérios, mostre a avaliação a quem pedir e tenha alguém da equipe para revisar. O guia de triagem de currículos mostra como montar critérios explicáveis.

• Medidas de segurança técnicas e administrativas para proteger os dados (art. 46): acesso por perfil, verificação em duas etapas e registro de quem acessou o quê.
• Fornecedores são operadores. Software, consultoria e plataformas de teste tratam dados em seu nome; o contrato deve dizer o que podem fazer com eles e como devolvê-los ou eliminá-los no fim.
• Registro das operações de tratamento (art. 37): saiba quais dados você coleta, para quê, com qual base legal, onde ficam e por quanto tempo.
• Incidentes: se um incidente de segurança puder acarretar risco ou dano relevante aos titulares, o controlador deve comunicá-lo à ANPD e aos titulares (art. 48).

• Aviso de privacidade na candidatura: quem trata, para quê, por quanto tempo, com quem compartilha e como exercer direitos.
• Base legal definida e registrada para cada finalidade: vaga, banco de talentos, análise por IA.
• Consentimentos separados, opcionais e registrados, com revogação simples.
• Formulário só com o necessário e nenhum dado sensível sem base no art. 11.
• Prazo de guarda por finalidade e eliminação no vencimento, também nas cópias.
• Canal para o candidato pedir acesso, correção, eliminação e revisão, com resposta à declaração completa em até 15 dias.
• Critérios de avaliação explicáveis e revisão humana disponível para decisões automatizadas.
• Acesso aos currículos restrito a quem participa da seleção e contratos com operadores definindo papéis.
• Encarregado indicado, com contato público, observadas as regras simplificadas da ANPD para agentes de pequeno porte.
• Plano para responder a incidentes de segurança.