LGPD no recrutamento e seleção: guia prático para PMEs

A caixa de entrada está cheia. Há currículos no e-mail, respostas em formulário, arquivos encaminhados pelo WhatsApp e uma planilha que só uma pessoa sabe atualizar. O gestor pede uma lista ainda hoje, mas ninguém consegue explicar com segurança quais dados foram coletados, por qual motivo e até quando devem permanecer guardados.

É nesse cenário que a LGPD no recrutamento e seleção deixa de ser um tema jurídico distante e vira uma rotina operacional. A candidatura já envolve tratamento de dados. A empresa precisa organizar a fila, reduzir a coleta ao necessário, explicar os critérios e manter a decisão final com pessoas.

A promessa não é criar um processo pesado. É trocar improviso por rastreabilidade. A IA organiza o sinal, currículo, testes, vaga, líder e cultura, e sugere o que perguntar. A IA não define quem é contratado. O ranking é fila de atenção, não veredito.

Sumário

• Por que a LGPD começa no primeiro currículo que entra
  • O que muda na fila de seleção
• O que a LGPD exige do recrutamento e o que não exige
  • A pergunta certa antes de adicionar um campo
  • Onde entram os testes comportamentais
• Como adequar formulários e coleta sem travar a operação
  • Um fluxo que o candidato entende
  • O exemplo de uma vaga administrativa
  • Como reduzir retrabalho na revisão
• Triagem com IA e testes dentro da LGPD sem caixa preta
  • Apoio e decisão não são a mesma coisa
  • Como criar uma trilha auditável
  • Testes como contexto para perguntas
• Retenção e banco de talentos com prazo e descarte seguro
  • Dois fluxos que não devem se misturar
  • Descarte e pedidos do titular
• Erros que geram risco e como responder com decisão humana
  • Como o gestor deve ler a recomendação
  • Quando ocorre um incidente

Por que a LGPD começa no primeiro currículo que entra

Numa PME, o problema costuma aparecer antes de qualquer contratação. Uma vaga administrativa recebe currículos por um formulário antigo. Outro candidato envia o arquivo por mensagem. Um terceiro entra no banco de talentos porque alguém achou o perfil interessante, embora ele nunca tenha sido informado sobre esse reaproveitamento.

Cada entrada cria uma nova cópia do dado. O arquivo vai para uma pasta, o telefone fica no celular do recrutador e o currículo é repassado ao gestor. Depois, ninguém sabe qual versão é a correta ou quem ainda tem acesso. A operação até anda, mas não deixa uma explicação confiável para trás.

A LGPD foi sancionada em 14 de agosto de 2018, pela Lei nº 13.709/2018, passou a produzir efeitos gerais em 18 de setembro de 2020 e teve as sanções administrativas iniciadas em 1º de agosto de 2021. Esses marcos consolidaram que currículos, formulários, testes e referências precisam ser tratados desde a fase pré-contratual, com base legal, finalidade específica e retenção limitada. A orientação sobre proteção de dados no recrutamento e seleção também reforça que o recrutamento começa a tratar dados quando a pessoa entra no processo, não apenas depois da admissão.

O que muda na fila de seleção

O primeiro ajuste é mental. O currículo não é um arquivo livre para qualquer uso. Ele foi entregue para uma finalidade concreta, como avaliar a aderência a uma vaga. Se a empresa quiser mantê-lo para oportunidades futuras, precisa informar essa finalidade e ter uma base legal adequada.

A ANPD atua como autoridade fiscalizadora. Por isso, a PME precisa conseguir responder perguntas simples:

• Entrada: por qual canal o candidato se inscreveu?
• Finalidade: quais dados são necessários para avaliar a vaga?
• Acesso: quem pode visualizar currículo, testes e anotações?
• Critério: por que uma pessoa foi priorizada?
• Saída: quando o dado será eliminado ou anonimizado?

Não é necessário transformar cada recrutador em especialista jurídico. É necessário fazer com que o processo seja explicável por quem o executa. Uma rotina clara de RH para pequenas empresas ajuda a separar o que é decisão, registro e tarefa operacional.

Regra prática: se ninguém consegue dizer por que um campo foi coletado ou por que um currículo continua guardado, esse campo ou esse armazenamento precisa ser revisto.

O restante do trabalho parte dessa lógica. Primeiro, a empresa distingue dados comuns de dados sensíveis. Depois, ajusta formulário, triagem, testes, banco de talentos e descarte. O objetivo é formar uma fila organizada, não criar mais uma camada de burocracia.

O que a LGPD exige do recrutamento e o que não exige

Tratamento de dados é qualquer operação feita com informações pessoais. No recrutamento, isso inclui receber um currículo, armazenar um formulário, comparar experiências, aplicar um teste, compartilhar um perfil com o gestor e excluir o cadastro.

Dado pessoal é a informação relacionada a uma pessoa identificada ou identificável. Nome, CPF, telefone, e-mail, histórico profissional e contato são exemplos comuns no processo seletivo. Eles continuam exigindo proteção, mesmo quando parecem inofensivos isoladamente.

Dado pessoal sensível recebe cuidado reforçado. A categoria inclui origem racial ou étnica, religião, opinião política, filiação sindical, saúde, vida sexual, dado genético e biometria, conforme a Lei Geral de Proteção de Dados. Um formulário que pergunta sobre saúde, uma etapa que coleta biometria ou uma resposta que revela convicção religiosa não deve ser tratado como um campo comum.

A pergunta certa antes de adicionar um campo

A PME não precisa coletar tudo para demonstrar cuidado. Precisa demonstrar necessidade. Antes de inserir uma pergunta, avalie se a resposta realmente ajuda a avaliar um requisito da vaga ou cumprir uma obrigação aplicável.

Para uma vaga de atendimento, telefone e experiência anterior podem fazer sentido. Religião, estado civil ou uma informação de saúde sem relação com a atividade tendem a ampliar o risco sem melhorar a decisão. A distinção entre dado pessoal comum e sensível é justamente o que orienta essa revisão, como explica o material sobre implementação da LGPD nos processos seletivos.

Consentimento também não é uma autorização genérica para qualquer uso. Quando a empresa escolhe essa base legal, a autorização precisa ser específica, destacada e vinculada a uma finalidade clara. O candidato deve entender o que será coletado, por que isso é necessário e por quanto tempo o dado será mantido.

Onde entram os testes comportamentais

DISC, Eneagrama e 16 Personalidades podem ajudar a preparar uma conversa. Um currículo de hunter com DISC C alto, por exemplo, não deve ser tratado como incompatível com uma vaga comercial. O resultado pode sugerir perguntas sobre organização, ritmo, abordagem e adaptação ao processo de vendas.

O teste não deve virar um corte automático. Materiais sobre LGPD no recrutamento destacam a cautela necessária com informações que podem revelar perfil comportamental ou saúde mental. A empresa precisa explicar a finalidade da avaliação e evitar interpretar o resultado como diagnóstico, laudo psicológico ou prova isolada de competência.

A justificativa de cada campo deve caber numa frase que o candidato entenda.

Na prática, o RH pode coletar o que é indispensável para a vaga, informar o tratamento e separar perguntas obrigatórias de perguntas opcionais. O que não tiver finalidade definida não entra no formulário.

Como adequar formulários e coleta sem travar a operação

A revisão começa com um inventário simples. Abra o formulário atual e marque cada campo como necessário, útil, opcional ou sem justificativa. Faça o mesmo com planilhas, arquivos enviados por mensagem, testes e documentos que o gestor costuma pedir antes da entrevista.

Depois, escreva a finalidade de cada grupo de dados. Currículo e contato servem para conduzir a candidatura. Perguntas técnicas ajudam a avaliar requisitos da vaga. Um teste comportamental pode apoiar a entrevista. Um banco de talentos tem outra finalidade e não deve ser tratado como extensão automática da candidatura original.

Um fluxo que o candidato entende

O formulário precisa apresentar um aviso de privacidade próximo da coleta. A linguagem deve informar:

• O que entra: currículo, contato, respostas e avaliações solicitadas.
• Por que entra: análise da candidatura para uma oportunidade específica.
• Quem acessa: recrutamento e gestor autorizado.
• Quanto tempo fica: prazo definido pela política da empresa.
• Quais ações existem: pedidos de acesso, correção e exclusão, quando aplicáveis.

Não esconda o consentimento no final de um texto extenso. Quando ele for usado, deve aparecer de forma específica e destacada. Uma caixa para participar da vaga atual não deve autorizar automaticamente a inclusão em oportunidades futuras.

O exemplo de uma vaga administrativa

Considere uma candidatura para assistente administrativo. O formulário pode pedir nome, contato, currículo, experiência relevante e disponibilidade. Também pode trazer uma pergunta curta sobre uso de planilhas, caso isso esteja no requisito da vaga.

Não precisa pedir religião, situação familiar ou informações médicas sem relação com a atividade. Se houver uma necessidade legítima de acessibilidade, a pergunta deve ser formulada com finalidade clara, acesso restrito e tratamento compatível com a sensibilidade do dado.

A coleta fica mais simples quando o candidato recebe um único link para currículo, perguntas e avaliações. Na Talentei, esse fluxo pode ser configurado sem criação de conta pelo candidato, com currículo, perguntas e testes no mesmo link e consentimento LGPD integrado à candidatura. O ponto operacional não é usar uma ferramenta específica. É evitar que o mesmo dado circule por canais paralelos.

Como reduzir retrabalho na revisão

Use uma tabela de decisão interna antes de publicar a vaga:

1. O campo é obrigatório para avaliar um requisito? Se não, retire ou torne opcional.
2. A resposta pode revelar dado sensível? Se sim, confirme a necessidade, limite o acesso e registre a justificativa.
3. A informação será usada em outra finalidade? Se sim, informe essa finalidade separadamente.
4. O gestor precisa ver o dado bruto? Se não, compartilhe apenas o resumo necessário.
5. Existe prazo de retenção? Se não, a candidatura não deve entrar no banco permanente.

Regra prática: primeiro desenhe a finalidade, depois escolha o campo. Nunca use o formulário como depósito de tudo que pode ser útil algum dia.

Esse método preserva velocidade porque reduz dúvidas na triagem. O recrutador não precisa decidir novamente, em cada candidatura, se pode coletar ou compartilhar uma informação. A política já define o caminho.

Triagem com IA e testes dentro da LGPD sem caixa preta

A triagem automatizada precisa ser tratada como apoio à atenção, não como sentença. O artigo 20 da LGPD garante ao titular o direito de solicitar revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses, inclusive em perfis profissionais. Isso alcança filtros, pontuações de aderência e ranqueamentos usados no recrutamento.

Na prática, o RH deve saber responder três perguntas. Quais dados entram no modelo? Quais critérios aumentam ou reduzem a prioridade? Quem revisa a recomendação quando o candidato contesta ou quando o resultado parece incoerente?

Apoio e decisão não são a mesma coisa

Um ranking que coloca primeiro os currículos mais próximos dos requisitos pode organizar a fila. Ele não deve eliminar automaticamente pessoas por um sinal isolado. Um currículo de hunter com DISC C alto pode aparecer como combinação que merece investigação, não como motivo para reprovação.

A metodologia precisa separar o que é apoio do que tem efeito decisório. A triagem de currículos com critérios organizados funciona melhor quando o recrutador consegue abrir a evidência, identificar a lacuna e decidir qual pergunta fará na entrevista.

Como criar uma trilha auditável

Uma implementação consistente pode seguir seis movimentos:

1. Separe apoio de decisão. Registre quais saídas apenas organizam a fila e quais alteram efetivamente a participação do candidato.
2. Documente critérios objetivos. Descreva competências, experiências e requisitos que justificam a prioridade.
3. Explique os dados usados. Informe ao candidato quais informações entram na avaliação.
4. Preserve os registros. Mantenha logs, versões dos critérios e justificativas para eventual contestação.
5. Teste exclusões indevidas. Verifique se uma regra está descartando perfis por informação sem relação com a vaga.
6. Garanta revisão humana. Quando o efeito for relevante, uma pessoa precisa poder reexaminar o resultado.

A ANPD estrutura seleções públicas com etapas separadas de análise de formulário, currículo e entrevista, conforme o edital da ANPD. Essa lógica de camadas é útil para PMEs: cada etapa tem finalidade, responsável e registro próprio.

Testes como contexto para perguntas

DISC, Eneagrama e 16 Personalidades não definem contratação. Eles ajudam a orientar a conversa sobre estilo de trabalho, comunicação e reação a situações específicas. O recrutador ainda precisa comparar o resultado com evidências do currículo, desafios práticos e respostas da entrevista.

Na Talentei, quando os três pilares estão presentes, o match entre vaga, líder e cultura usa pesos de 45/35/20. Esses pesos não substituem a análise do recrutador. Eles tornam o critério visível, e o relatório pode reunir evidência, lacuna e roteiro de entrevista para que o gestor saiba o que validar.

O gestor deve receber uma fila de atenção. Não uma ordem de contratação. A decisão continua dependendo de contexto, competência demonstrada, referências quando cabíveis e conversa estruturada.

Regra prática: toda recomendação automatizada precisa apontar para uma evidência e para uma pergunta humana.

Se o sistema só exibe uma nota, a explicação está incompleta. Se mostra o motivo da prioridade, a lacuna e o próximo ponto de investigação, o recrutador consegue corrigir a rota sem transformar a IA em caixa preta.

Retenção e banco de talentos com prazo e descarte seguro

Guardar currículo indefinidamente parece conveniente. Também cria um estoque de dados sem finalidade atual. A LGPD não fixa um prazo único para currículos. O tratamento precisa respeitar a finalidade informada e o princípio da necessidade, e orientações brasileiras costumam trabalhar com políticas definidas, descarte seguro e prazos que podem variar entre 6 e 12 meses, ou chegar a 2 anos para banco de talentos quando houver base legal e finalidade clara, conforme as orientações sobre gestão de currículos.

O prazo não deve ser escolhido só porque cabe no sistema. Ele precisa fazer sentido para a operação. Uma candidatura a uma vaga específica pode ter ciclo diferente de um cadastro mantido para oportunidades futuras.

Dois fluxos que não devem se misturar

Na vaga específica, a finalidade é avaliar aquela candidatura. Ao encerrar o processo, a empresa deve aplicar a política definida para retenção, eliminação ou eventual anonimização.

No banco de talentos, a finalidade é diferente. O candidato precisa ser informado de que os dados poderão ser considerados para outras oportunidades, e a empresa precisa registrar a base legal correspondente. O reaproveitamento não pode acontecer apenas porque o currículo continua disponível na pasta do recrutador.

Um registro simples já ajuda. Para cada candidatura, mantenha data de entrada, finalidade, prazo previsto, status do consentimento quando aplicável e data de descarte. Se o candidato atualizar os dados, guarde a versão válida e evite cópias espalhadas.

Descarte e pedidos do titular

Descarte seguro significa remover o dado dos locais controlados pela empresa, não apenas tirar o nome de uma planilha. Verifique anexos, exportações, pastas compartilhadas e cópias baixadas para uso do gestor. Quando o processo usar arquivos físicos, recolha e destrua o material de maneira adequada.

A PME também precisa ter um caminho para pedidos de acesso, correção e exclusão. O responsável não deve procurar manualmente em cada celular ou caixa de entrada. Um workspace isolado, com permissões por papel e histórico de alterações, torna a localização mais previsível.

Organize a resposta em etapas:

• Receba: registre o pedido e a identificação necessária.
• Localize: encontre currículo, testes, anotações e compartilhamentos vinculados.
• Avalie: confirme o que pode ser atendido e se há obrigação de conservação.
• Execute: corrija, entregue ou elimine o que for aplicável.
• Registre: anote a ação, a data e o responsável.

Regra prática: banco de talentos não é uma gaveta. É uma finalidade separada, com prazo, acesso e descarte próprios.

A rotina fica mais leve quando o prazo é associado à entrada do candidato. Sem essa referência, a equipe só percebe o excesso quando já não consegue distinguir candidatos ativos de perfis esquecidos.

Erros que geram risco e como responder com decisão humana

O erro mais comum é coletar dado sensível porque o formulário sempre teve aquele campo. O segundo é manter currículo sem prazo. O terceiro é tratar a pontuação do ranking como veredito. O quarto é não conseguir mostrar ao candidato como uma recomendação foi feita.

A correção começa com uma revisão curta do processo. Retire campos sem finalidade, separe candidatura de banco de talentos e limite o acesso do gestor ao que ele realmente precisa. Para triagem automatizada, preserve critérios, evidências, logs e uma rota de revisão humana.

Como o gestor deve ler a recomendação

O gestor não deve perguntar apenas “qual é a nota?”. Deve perguntar:

• Qual evidência do currículo sustenta a prioridade?
• Qual requisito ainda não foi comprovado?
• Que pergunta pode confirmar ou refutar a hipótese?
• Existe algum dado que não deveria ter influenciado a fila?
• Qual foi o motivo registrado para avançar ou não avançar?

Um currículo de hunter com DISC C alto pode indicar uma combinação interessante ou uma tensão a explorar. O gestor pode investigar organização de pipeline, disciplina de registro e flexibilidade comercial. O teste orienta a pergunta. A resposta, a experiência e o exercício prático sustentam a decisão.

Os testes da Talentei devem ser usados como apoio ao RH, não como laudo psicológico. O aviso sobre SATEPSI precisa permanecer visível, e os resultados não devem ser apresentados como MBTI oficial, diagnóstico ou substituição do trabalho de psicólogo habilitado.

Quando ocorre um incidente

Se um currículo foi enviado ao destinatário errado, não apague a mensagem e siga em frente. Registre o que aconteceu, limite o acesso, solicite a eliminação da cópia quando possível e acione o responsável interno por privacidade. Depois, revise por que o compartilhamento ocorreu e ajuste a permissão ou o fluxo.

Pedidos de titulares também pedem método, não pânico. Centralize a solicitação, preserve o histórico e responda de forma clara. Se houver dúvida sobre base legal, obrigação de guarda ou impacto do incidente, envolva o apoio jurídico adequado.

Decisão humana não é uma etapa decorativa. É o controle que transforma sinais em julgamento responsável.

A LGPD no recrutamento e seleção funciona quando a empresa consegue explicar o caminho inteiro, desde a candidatura até o descarte. A IA organiza o sinal, sugere o que perguntar e reduz a dispersão. Ela não define quem é contratado. O ranking é fila de atenção, não veredito.

---

Na Talentei, a PME reúne candidatura, currículo, perguntas e testes em um fluxo com consentimento LGPD, além de receber recomendações explicáveis e roteiros de entrevista. Conheça a Talentei para organizar sua fila de seleção com critérios rastreáveis e manter a decisão final nas mãos do recrutador e do gestor.