RH e LGPD: Por Quanto Tempo Guardar os Dados de Candidatos Não Contratados em um Processo Seletivo?

A LGPD não fixa prazo, mas fixa a lógica

Todo processo seletivo é, também, um processo de tratamento de dados pessoais. Nós observamos que o RH costuma dedicar muita atenção a quem entra na empresa e pouca a quem não entra, embora os dados dessas pessoas sejam a maior parte do que se acumula: currículos em caixas de e-mail, resultados de testes em plataformas de recrutamento, anotações de entrevista em planilhas compartilhadas. Quando alguém pergunta por quanto tempo esse material pode ficar guardado, a resposta costuma ser um silêncio desconfortável.

A primeira surpresa de quem procura a resposta na lei é que não existe um número. A LGPD não diz que o currículo pode ser guardado por seis meses, um ano ou dois. O que ela estabelece é uma lógica: o tratamento termina quando a finalidade é alcançada ou quando os dados deixam de ser necessários para ela (art. 15), e, depois do término, os dados devem ser eliminados, salvo nas hipóteses em que a conservação é autorizada, como o cumprimento de obrigação legal ou regulatória pelo controlador (art. 16).

Aplicada ao recrutamento, essa lógica leva a uma conclusão simples. A finalidade de um currículo é avaliar o candidato para uma vaga. Encerrada a seleção, a finalidade se esgota, e o dado do candidato não contratado perde a razão de existir no sistema da empresa. Apesar disso, é comum que o material siga guardado por inércia, sem que ninguém tenha decidido mantê-lo.

Retenção por precaução versus retenção por finalidade: onde está a diferença

A diferença é menos jurídica do que prática. Uma rede varejista que recebe quatro mil currículos por mês para vagas de loja acumula, em um ano, um acervo de quase cinquenta mil pessoas, a maioria desatualizada e sem qualquer registro de que alguém tenha autorizado a guarda. Se um desses candidatos pede a exclusão ou reclama de ter sido contatado por algo que nunca solicitou, a empresa não tem como demonstrar de onde veio o direito de manter aquele dado.

O que entra no pacote de dados de um candidato

Pensar apenas no currículo é um erro frequente. O processo seletivo gera um conjunto maior de informações, e cada uma exige a mesma pergunta sobre o que fazer ao final. A tabela abaixo organiza os principais tipos de dado e o tratamento adequado:

Esse quadro mostra que o banco de talentos é uma exceção, e não o padrão. O ponto de partida do RH deveria ser a eliminação, e a manutenção deveria depender de uma escolha consciente.

Testes, entrevistas e dados sensíveis

Os testes comportamentais e as anotações de entrevista merecem atenção especial porque costumam ser mais reveladores do que o currículo. Um resultado de teste de perfil, uma observação sobre o tom de voz do candidato ou um comentário sobre sua situação familiar são dados que, sem controle, podem alimentar decisões discriminatórias no futuro, mesmo sem intenção.

A LGPD veda o tratamento para fins discriminatórios ilícitos ou abusivos (art. 6º, IX), e a Lei nº 9.029/1995 proíbe práticas discriminatórias no acesso ao emprego. Contudo, o risco aumenta quando o dado é guardado: uma empresa que mantém, por anos, a informação de que um candidato tinha uma ação trabalhista contra um empregador anterior está sujeita a usá-la, consciente ou inconscientemente, em prejuízo dele, o que o art. 21 da LGPD proíbe. Por isso, a melhor proteção é não guardar.

Outro ponto é a coleta. Dados sensíveis, como saúde, filiação sindical, convicção religiosa ou estado de gravidez, quase nunca são necessários na fase de seleção. Pedi-los cedo demais amplia o risco sem ganho para o processo. Documentos e exames devem ser solicitados na contratação, de modo que o candidato não contratado nunca chegue a entregá-los.

Banco de talentos: quando faz sentido e como deixar de ser passivo

Manter um banco de talentos é legítimo, desde que a empresa o estruture como uma finalidade nova e separada, com o consentimento específico do candidato. O art. 8º da LGPD exige que o consentimento se refira a finalidades determinadas, que seja livre e informado e que possa ser revogado a qualquer momento, e o art. 11, I, exige consentimento específico e destacado quando há dados sensíveis.

Na prática, isso significa pedir o aceite em momento distinto do envio da candidatura, informar o prazo de guarda e explicar como pedir a exclusão. Quando o RH apenas presume que quem enviou o currículo quer permanecer no cadastro, a empresa constrói a base de um banco de dados sobre uma suposição, e não sobre uma manifestação de vontade que consiga comprovar.

Sobre o prazo, não existe número legal. A prática de mercado costuma trabalhar com seis a doze meses, com pedido de renovação do aceite ao final. Há uma razão prática além da jurídica: um currículo de dois ou três anos atrás tende a estar desatualizado, e usá-lo como base para uma nova avaliação pode prejudicar o próprio candidato. Entretanto, o prazo adotado deve estar escrito na política, informado ao candidato e cumprido pela empresa, senão o banco de talentos volta a ser o depósito indefinido que se queria evitar.

E se o candidato pedir para apagar tudo?

O candidato tem direito de pedir a eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei (art. 18, IV) e, quando o tratamento se baseia no consentimento, a eliminação desses dados, salvo nas hipóteses do art. 16 (art. 18, VI). Em um processo seletivo encerrado, o pedido costuma ser simples de atender, porque a finalidade já terminou.

Uma empresa do setor de saúde que recebe a solicitação de uma candidata reprovada deve responder com a confirmação da eliminação do currículo, dos testes e das anotações, nos sistemas e nos arquivos de e-mail. A dificuldade prática está em saber onde esses dados estão: planilhas, mensagens, plataformas de recrutamento e pastas pessoais de recrutadores. Quem nunca mapeou onde o material fica guardado não consegue cumprir o pedido, e é aí que a falta de política se transforma em descumprimento.

Recrutadoras terceirizadas e plataformas de seleção

Muitos processos seletivos passam por consultorias de recrutamento e plataformas de gestão de candidatos. Nesse arranjo, é preciso definir quem é controlador e quem é operador: a consultoria pode ser operadora, se trata os dados conforme as instruções da empresa contratante, ou controladora, se decide por conta própria manter os currículos em uma base própria para outras oportunidades.

Por isso, o contrato com a recrutadora ou com a plataforma deve prever a finalidade, o prazo de retenção, a eliminação ao fim do serviço, o controle de acesso e a comunicação de incidentes. A empresa que contrata sem essas cláusulas corre o risco de descobrir que os dados dos seus candidatos continuam em uma base de terceiros sem que ela saiba por quê.

Guardar para se defender: um ponto que exige análise

Algumas empresas defendem manter parte dos registros do processo seletivo, como os critérios usados e a decisão final, para se defender de uma eventual alegação de discriminação. A LGPD admite o tratamento para o exercício regular de direitos em processo judicial, administrativo ou arbitral (art. 7º, VI), mas essa hipótese não autoriza guardar tudo por tempo indeterminado. O que se pode defender é manter o mínimo necessário, em prazo proporcional, com registro da justificativa. A análise depende do caso e deve passar pelo jurídico da empresa.

Como organizar o ciclo de vida do dado do candidato

Para a maioria das empresas, o caminho tem quatro passos. Primeiro, coletar apenas o que a vaga exige, deixando documentos e dados sensíveis para a contratação. Segundo, definir em política interna o prazo de eliminação a partir do encerramento da seleção, e comunicá-lo ao candidato já na inscrição. Terceiro, oferecer o banco de talentos como uma escolha separada, com consentimento específico, prazo e possibilidade de revogação. Por fim, automatizar a eliminação sempre que possível, para que o prazo seja cumprido sem depender da memória de quem recrutou.

E quando o candidato é contratado? Nesse caso, os dados passam a integrar o cadastro do empregado e seguem a lógica de retenção do vínculo trabalhista, com prazos próprios, o que tratamos em outro artigo. O que sobra do processo seletivo, como os dados de quem não foi escolhido, deve seguir o caminho da eliminação.

Conclusão

Perguntar por quanto tempo guardar os dados de candidatos não contratados leva a uma resposta que não é um número, mas um critério: enquanto durar a seleção, e depois dela só com um fundamento claro, como o consentimento específico para banco de talentos. Empresas que coletam o mínimo, eliminam em prazo curto, oferecem o banco de talentos como escolha do candidato e controlam onde os dados ficam trocam o acúmulo por governança. Quem aparecer pedindo a exclusão, ou a ANPD, terá uma resposta pronta.

Para aprofundar temas relacionados, vale consultar os artigos Desligamento de Funcionários: o Que Fazer com os Dados Pessoais Após o Fim do Vínculo? e Bases de Clientes de Terceiros: Até Onde uma Agência Pode Usar os Dados do Cliente do seu Contratante? no blog da DPOnet.