RH e Multas da LGPD: Onde Está o Risco no Tratamento de Dados dos Candidatos?
O departamento de Recursos Humanos trabalha diariamente com uma quantidade de informações que, em outros contextos, poderiam parecer apenas parte da rotina administrativa. Currículos, documentos de identificação, contatos, histórico profissional, pretensão salarial, avaliações, resultados de testes, registros de entrevistas e informações relacionadas à contratação circulam entre pessoas, sistemas e fornecedores.
Quando o processo seletivo termina, parte desses dados continua armazenada. Alguns permanecem em bancos de talentos, outros ficam em e-mails, planilhas, sistemas de recrutamento ou pastas compartilhadas. Em determinadas situações, informações são encaminhadas para gestores, consultorias, plataformas de testes ou empresas responsáveis por etapas específicas da seleção.
É nesse fluxo que a relação entre RH e LGPD começa a ganhar uma dimensão que vai muito além da segurança de um banco de dados.
A Lei Geral de Proteção de Dados Pessoais estabelece regras para o tratamento de dados pessoais e prevê sanções administrativas para o descumprimento de suas disposições. Entre elas está a multa simples de até 2% do faturamento da pessoa jurídica de direito privado no Brasil, limitada a R$ 50 milhões por infração. A legislação também prevê outras medidas, como bloqueio ou eliminação dos dados relacionados à infração.
Para o RH, portanto, a discussão não começa quando ocorre um vazamento.
Ela começa muito antes, na forma como os dados entram, circulam, são utilizados, armazenados e deixam de ser necessários.
O recrutamento começa a tratar dados antes mesmo da contratação
Um dos pontos que tornam a proteção de dados particularmente relevante para Recursos Humanos é que o tratamento começa antes de existir qualquer vínculo empregatício.
O candidato pode fornecer seus dados ao preencher uma vaga, cadastrar um currículo espontaneamente, participar de um processo seletivo ou responder a uma avaliação. A empresa passa a lidar com essas informações mesmo que aquela pessoa nunca seja contratada.
Isso cria uma situação que merece atenção: o candidato pode desaparecer do processo seletivo, mas seus dados podem permanecer dentro da organização.
Um currículo recebido há dois anos ainda está armazenado? Quem pode acessá-lo? Para qual finalidade ele continua sendo mantido? O candidato foi informado sobre esse tratamento? A empresa consegue identificar onde aquela informação está? Existe algum critério para retenção e descarte?
Essas perguntas fazem parte da gestão do ciclo de vida dos dados.
A LGPD estabelece princípios como finalidade, adequação, necessidade, segurança, prevenção e responsabilização. Na prática, isso significa que o RH precisa conseguir explicar por que determinada informação é coletada, como ela é utilizada e quais medidas existem para protegê-la.
Não se trata apenas de armazenar menos informações. Trata-se de compreender o motivo pelo qual cada informação existe dentro do processo.
O risco aumenta quando o dado começa a circular
Um currículo armazenado em um sistema controlado apresenta determinados riscos. O mesmo currículo enviado por e-mail para diferentes gestores, baixado em computadores pessoais, encaminhado para uma consultoria e copiado para uma planilha cria um cenário completamente diferente.
Quanto mais caminhos uma informação percorre, mais difícil fica manter controle sobre ela.
Isso pode acontecer de maneira absolutamente comum. Um recrutador encaminha o currículo para o gestor da área. O gestor repassa para outro profissional. Uma consultoria solicita os documentos dos candidatos finalistas. Uma planilha é criada para comparar os participantes. Depois, uma versão antiga continua salva em uma pasta.
Nenhuma dessas ações, isoladamente, parece extraordinária.
O problema está na dificuldade de responder, posteriormente, quem teve acesso, por qual motivo, durante quanto tempo e onde aquela informação permanece.
A própria ANPD destaca que as obrigações da LGPD não se restringem a situações de vazamento de dados. O descumprimento de outras obrigações previstas na legislação também pode resultar em atuação sancionadora.
Isso é particularmente importante para o RH porque amplia a discussão. Segurança da informação é uma parte da proteção de dados, mas não esgota o assunto.
A multa chama atenção, mas não é o único impacto
Quando se fala em LGPD, a multa costuma ser o elemento mais lembrado.
Ela realmente existe e pode alcançar valores expressivos. Porém, a própria LGPD estabelece um conjunto mais amplo de sanções. Além da multa simples e da multa diária, podem existir publicização da infração, bloqueio ou eliminação de dados e outras medidas relacionadas ao tratamento.
Para uma área de RH, algumas dessas consequências podem ser operacionalmente mais relevantes do que o valor financeiro.
Imagine uma organização que dependa de determinado conjunto de informações para conduzir seus processos seletivos e descubra que precisa interromper ou regularizar uma determinada forma de tratamento. A consequência pode alcançar procedimentos, sistemas, fornecedores, documentos e rotinas que estavam apoiados naquele fluxo.
Além disso, existe uma dimensão de confiança.
O candidato entrega informações pessoais esperando que elas sejam utilizadas dentro de determinado contexto. Quando a organização demonstra incapacidade de explicar o que faz com esses dados, o problema deixa de ser exclusivamente jurídico ou tecnológico. Passa a atingir a relação estabelecida entre empresa e candidato.
A proteção de dados começa, portanto, a fazer parte da própria experiência de recrutamento.
Nem todo dado disponível deveria continuar disponível
Uma das dificuldades mais comuns no RH é o acúmulo.
Currículos antigos são mantidos porque “podem ser úteis”. Documentos permanecem arquivados porque ninguém sabe se ainda serão necessários. Bases de candidatos crescem sem que exista uma revisão periódica. Informações coletadas para uma determinada etapa acabam sendo reutilizadas em outras situações.
Esse comportamento é compreensível do ponto de vista operacional. Ter informação disponível parece oferecer mais possibilidades.
Mas a lógica muda quando se considera o princípio da necessidade.
A pergunta deixa de ser apenas “podemos guardar?” e passa a envolver “por que ainda precisamos guardar?”.
Essa mudança exige que o RH conheça o ciclo de vida das informações que administra. É preciso identificar o momento da coleta, as finalidades do tratamento, os acessos necessários, os compartilhamentos realizados e os critérios que determinam a retenção ou eliminação.
A dificuldade está justamente em transformar essas decisões em parte do processo, e não em uma tarefa extraordinária realizada apenas quando surge uma dúvida jurídica.
O problema pode estar no processo seletivo, não apenas no sistema
É tentador acreditar que contratar uma ferramenta adequada resolve a questão da LGPD no RH.
A tecnologia pode contribuir muito. Um sistema de recrutamento pode centralizar informações, controlar acessos, organizar etapas e reduzir a circulação desnecessária de arquivos. Mas nenhum sistema consegue compensar completamente um processo mal definido.
Se o recrutador baixa todos os currículos para uma pasta pessoal, a existência de um ATS não elimina esse comportamento.
Se gestores recebem informações que não precisam para tomar uma decisão, o controle tecnológico não substitui a revisão da responsabilidade de cada participante.
Se a empresa não possui critérios claros para retenção, um banco de talentos pode simplesmente transformar a ausência de organização física em acúmulo digital.
É por isso que a adequação à LGPD precisa envolver processo, pessoas, tecnologia e governança.
O eTalentos pode participar dessa estrutura como ferramenta de apoio à gestão do recrutamento, mas a responsabilidade sobre o tratamento adequado dos dados continua sendo uma questão organizacional.
O que o RH precisa controlar antes de pensar em multa
A discussão sobre LGPD costuma começar pelo valor da penalidade. Para o RH, uma abordagem mais útil começa pela operação.
Quais dados são coletados? Quem acessa? Onde ficam armazenados? Com quem são compartilhados? Durante quanto tempo permanecem disponíveis? O que acontece quando o processo seletivo termina?
Essas perguntas ajudam a transformar uma obrigação jurídica em uma análise concreta do processo de recrutamento.
A ANPD mantém materiais específicos sobre segurança da informação e proteção de dados e recomenda medidas administrativas e técnicas para proteger os dados pessoais tratados pelas organizações. O Guia Orientativo sobre Segurança da Informação também relaciona proteção de dados a confidencialidade, integridade, disponibilidade e gerenciamento de riscos.
Para o RH, isso significa olhar para a segurança desde a origem da informação.
Um currículo não deveria circular livremente apenas porque a equipe está acostumada a trabalhar dessa maneira. O acesso precisa guardar relação com a atividade desempenhada, e os procedimentos precisam permitir identificar onde estão as informações e como elas são utilizadas.
Dados sensíveis exigem um nível diferente de atenção
Os processos seletivos podem envolver informações que ultrapassam os dados profissionais básicos de um candidato.
Dependendo da vaga e das etapas utilizadas, podem aparecer informações relacionadas à saúde, deficiência, biometria, origem racial ou étnica, convicção religiosa ou outros dados classificados pela LGPD como sensíveis.
A legislação estabelece regras específicas para o tratamento dessa categoria de informação. Além disso, a própria ANPD considera o tratamento de dados sensíveis um fator relevante na classificação de determinadas infrações como graves dentro de seu Regulamento de Dosimetria e Aplicação de Sanções Administrativas.
Isso cria uma responsabilidade adicional para o RH.
Uma informação sensível não deveria ser coletada simplesmente porque “pode ser útil algum dia”. É necessário compreender a finalidade daquele tratamento, sua necessidade dentro do processo e os controles aplicáveis.
Essa análise também precisa alcançar fornecedores.
Testes comportamentais, avaliações técnicas, plataformas de recrutamento, consultorias e empresas responsáveis por exames podem participar do processo seletivo. Cada novo participante amplia a necessidade de compreender como os dados são tratados e quais responsabilidades existem nessa relação.
O fornecedor também faz parte do mapa de risco
É comum que o RH conheça muito bem o processo interno e conheça pouco o caminho percorrido pelos dados depois que uma informação é enviada a um terceiro.
Uma empresa pode contratar uma plataforma para aplicar testes, encaminhar candidatos para avaliação ou armazenar currículos. A partir desse momento, surgem novas perguntas.
Que dados são enviados? Qual é a finalidade? Quais informações são realmente necessárias? Como o fornecedor protege esses dados? Existem regras contratuais sobre o tratamento? O acesso é limitado? O que acontece quando a relação comercial termina?
A LGPD define as figuras do controlador e do operador e estabelece responsabilidades relacionadas ao tratamento de dados pessoais. A compreensão desses papéis é importante para que o RH não trate toda a cadeia como se estivesse sob seu controle direto, nem presuma que a contratação de um fornecedor transfere automaticamente suas responsabilidades.
Essa é uma das razões pelas quais o processo de seleção precisa ser analisado como uma cadeia.
O dado não deixa de ser relevante porque saiu da tela do recrutador.
O banco de talentos merece uma análise própria
O banco de talentos é um dos pontos mais interessantes dessa discussão porque prolonga o ciclo de vida dos dados.
O candidato pode não ter sido selecionado para determinada vaga, mas a empresa pode desejar manter seu currículo para futuras oportunidades.
Essa prática pode fazer sentido operacionalmente. O desafio está em estabelecer critérios claros para esse armazenamento e sua finalidade.
Quanto tempo aquele currículo permanece? A informação continua atualizada? O candidato sabe que seus dados continuam sendo utilizados para essa finalidade? A organização consegue localizar e excluir as informações quando necessário? Existem diferentes bases mantidas por áreas distintas?
Sem essas definições, o banco de talentos pode se transformar em um arquivo permanente de pessoas que participaram de processos seletivos antigos.
A questão não é apenas tecnológica. É uma decisão de governança sobre retenção, finalidade e ciclo de vida.
O próprio aviso de privacidade da ANPD, por exemplo, estrutura a comunicação sobre dados pessoais em torno de coleta, uso, armazenamento, compartilhamento, eliminação, proteção e direitos dos titulares. Essa estrutura ajuda a visualizar que a proteção acompanha o dado durante diferentes etapas, e não apenas no momento da coleta.
O candidato também possui direitos
Outro ponto que o RH precisa considerar é que o titular dos dados não desaparece depois de enviar o currículo.
A LGPD estabelece direitos relacionados aos dados pessoais tratados pelas organizações. A capacidade de atender esses direitos depende, em boa medida, de a empresa saber quais dados possui, onde estão armazenados e como estão relacionados às operações realizadas.
Esse é um dos motivos pelos quais a organização das informações é tão importante.
Se um candidato solicita informações sobre o tratamento de seus dados, uma empresa que mantém currículos em dezenas de planilhas, caixas de e-mail e pastas individuais terá muito mais dificuldade para responder de maneira consistente.
A situação muda quando existe uma estrutura capaz de localizar as informações e identificar os responsáveis pelo tratamento.
Nesse ponto, gestão de dados e experiência do candidato começam a se encontrar.
Uma empresa que organiza seus processos consegue responder melhor não apenas às suas próprias necessidades, mas também às solicitações das pessoas cujos dados administra.
Segurança depende de rotina, não apenas de tecnologia
Outro erro recorrente é tratar segurança como uma característica exclusiva do sistema utilizado.
Um sistema pode possuir mecanismos adequados de proteção e, ainda assim, a operação criar vulnerabilidades ao redor dele.
Senhas compartilhadas, arquivos baixados sem necessidade, acesso concedido a pessoas que não participam mais do processo, documentos enviados para destinatários incorretos e informações mantidas indefinidamente são exemplos de situações que dependem de comportamento e procedimento.
A ANPD recomenda uma combinação de medidas administrativas e técnicas de segurança e destaca a importância do gerenciamento de riscos de segurança da informação.
Para o RH, isso significa estabelecer regras que façam sentido para a rotina.
Quem precisa visualizar currículos? Quem pode acessar documentos? Em que momento o acesso deve ser removido? Quais informações podem ser compartilhadas com gestores? O que deve ser registrado? Como os incidentes são comunicados?
Quanto mais claras forem essas respostas, menor a dependência de decisões improvisadas.
Multa é consequência, governança é prevenção
A ANPD possui hoje um regulamento específico para dosimetria e aplicação de sanções administrativas. As penalidades previstas na LGPD incluem advertência, multas, publicização da infração, bloqueio ou eliminação de dados e outras medidas restritivas relacionadas ao tratamento.
Isso ajuda a colocar a discussão em perspectiva.
A multa é uma consequência possível de uma infração. A governança de dados existe para reduzir a probabilidade de que a organização chegue a esse ponto e, principalmente, para estabelecer uma forma consistente de tratar informações pessoais.
Para o RH, essa governança precisa aparecer no cotidiano. Está na configuração do processo seletivo, na escolha das ferramentas, no relacionamento com fornecedores, nos critérios de acesso, na retenção dos currículos e na forma como a equipe é orientada.
O eTalentos pode contribuir para centralizar e organizar parte desse fluxo, mas a conformidade depende da forma como a organização estrutura o processo e utiliza a tecnologia.
No fim, a pergunta mais importante para o RH talvez seja menos “quanto podemos pagar se houver uma multa?” e mais “conseguimos explicar o caminho que os dados de um candidato percorrem dentro da nossa empresa?”.
Quando a resposta é clara, existe uma base concreta para segurança, governança e conformidade. Quando ninguém consegue reconstruir esse caminho, o risco já está presente, mesmo antes de qualquer incidente.