LGPD no RH: a base legal certa para colaboradores e candidatos

Um colaborador pede, por e-mail, para saber quais dados a empresa tem sobre ele e para apagar o resultado de um teste comportamental que fez dois anos atrás. Ninguém no RH sabe quem responde, em quanto tempo, nem se apagar aquele dado é permitido — ele também está referenciado num processo de PDI em andamento. Esse impasse não é hipotético: é o momento em que a maioria das empresas descobre que tratou a LGPD como documento de intenções, não como decisões operacionais.

Este texto cobre essas decisões: qual base legal usar para cada tipo de dado — e por que consentimento é quase sempre a errada na relação de trabalho; como tratar dado sensível (saúde ocupacional, biometria de ponto, diagnóstico comportamental) com o rigor que a lei exige; por quanto tempo guardar currículo, o que muda se o candidato foi contratado e como o banco de talentos deve funcionar para não virar passivo; o prazo para responder a um pedido de titular; e o conflito entre eliminar o dado quando a finalidade acaba e a obrigação de guardar documentos trabalhistas por anos.

Por que consentimento é a base errada na maioria dos casos

A LGPD (Lei 13.709/2018) define, no art. 5º, XII, consentimento como manifestação livre, informada e inequívoca. Na relação de trabalho, a palavra que trava tudo é “livre”. O colaborador depende economicamente do emprego; o candidato, da vaga. Quando o RH pede “consentimento” para tratar dado necessário à admissão, ao pagamento ou à jornada, a recusa não é opção real — e manifestação que não pode ser recusada sem custo não é livre. A ANPD trata essa assimetria como fator concreto de invalidação do consentimento, não como detalhe teórico.

Há outro problema prático: consentimento é revogável a qualquer momento, sem justificativa (art. 8º, §5º). Se a folha de pagamento for tratada com base em consentimento e o colaborador revogar, o tratamento fica capenga — mesmo sendo óbvio que pagar salário não pode depender da boa vontade de quem recebe. A base errada não é só arriscada; ela cria uma saída que não deveria existir.

As bases que resolvem de fato, com exemplo por tipo de dado

Fora dos casos realmente opcionais, quatro bases cobrem quase toda a operação de RH:

Base legal	Artigo	Quando usar	Exemplo
Obrigação legal ou regulatória	Art. 7º, II / Art. 11, II, “a” (sensível)	Norma — CLT, previdenciária, eSocial — exige a coleta	CPF, PIS, exame admissional
Execução de contrato	Art. 7º, V	Dado necessário para formalizar ou cumprir o vínculo	Dados bancários, currículo na seleção
Legítimo interesse	Art. 7º, IX / Art. 10	Atividade regular do RH, sem risco relevante ao titular — não vale para dado sensível	Câmeras em áreas comuns, contato com banco de talentos
Consentimento	Art. 7º, I / Art. 11, I (sensível)	Só quando nada mais se aplica e o tratamento é genuinamente opcional	Questionário comportamental voluntário

Legítimo interesse não é “a base livre para qualquer coisa”. O Guia Orientativo da ANPD sobre Legítimo Interesse (fevereiro de 2024, interpretando os arts. 7º, IX e 10) exige um teste em três fases: finalidade específica, necessidade (só o dado mínimo) e balanceamento do interesse do controlador contra o risco ao titular, com salvaguardas. Sem descrever essas três fases, a base provavelmente não se sustenta.

Dados sensíveis no RH pedem um regime mais restrito

O art. 5º, II define dado sensível como o que revela origem racial ou étnica, convicção religiosa, opinião política, filiação sindical, dado de saúde ou vida sexual, e dado genético ou biométrico. O art. 12, §2º acrescenta que dado usado para formar o perfil comportamental de alguém identificado também é dado pessoal — e, quando revela saúde mental, tende a ser tratado como sensível por prudência. Três situações comuns ilustram regimes diferentes:

• Saúde ocupacional. O exame médico admissional e os periódicos geram dado de saúde, mas não exigem consentimento adicional: a base é obrigação legal (art. 11, II, “a” c/c art. 168 da CLT). O ponto de atenção é o acesso: quem vê o resultado do ASO não deveria decidir sobre promoção ou desligamento.
• Biometria de ponto. Digital ou facial no registro de jornada é dado biométrico, logo sensível. A base normalmente não é consentimento: é obrigação regulatória (controle de jornada eletrônico, incluindo biometria, disciplinado pela Portaria MTP nº 671/2021) combinada com execução de contrato. Ser sensível não muda a base — muda a exigência de segurança: esse dado não pode ser reaproveitado para outra finalidade sem análise específica.
• Diagnóstico comportamental e psicossocial. Testes de perfil (DISC), cultura organizacional e risco psicossocial no nível individual não são exigidos por lei para uma pessoa específica — a NR-01 trata risco psicossocial no nível organizacional, não como diagnóstico clínico individual. Sem obrigação legal nem contratual óbvia, a base que sobra é consentimento específico e destacado (art. 11, I): a pessoa precisa saber, antes de responder, que o questionário pode revelar dado sensível, e pode recusar sem prejuízo. O que a NR-01 exige no nível coletivo está em NR-01 e riscos psicossociais.

O candidato: até quando dá para guardar o currículo

Enquanto a vaga está aberta, currículo e dados do candidato têm finalidade clara — avaliar o enquadramento à posição —, sob a base de execução de procedimentos preliminares a um contrato (art. 7º, V). Triagem automatizada por IA muda a análise, porque envolve decisão algorítmica sobre pessoas; o que a lei permite está em IA na triagem de currículos: o que a lei permite.

A decisão que a maioria das empresas não formaliza é o que fazer com o dado quando o processo termina. Pelo art. 15, o tratamento se encerra quando a finalidade é alcançada ou deixa de ser necessária.

• Contratado: dados que também servem à admissão (CPF, RG, dados bancários) ganham nova base — execução do contrato — e seguem em uso. O que era exclusivo da seleção e não tem função na relação de trabalho, como carta de motivação ou teste de personalidade fora do dossiê, perdeu a finalidade e deveria ser eliminado, não arrastado para a pasta do colaborador.
• Não contratado: a finalidade se esgotou; a regra é eliminar. A exceção é manter o currículo no banco de talentos, defensável só com dois elementos: transparência (o candidato sabe, na reprovação, que pode ficar no banco, e pode recusar) e prazo definido, não indefinido.

Currículo parado “porque um dia pode servir” é o jeito mais comum de transformar recrutamento em risco de compliance. Um banco de talentos defensável tem aviso claro na entrada, prazo de retenção com revisão periódica — currículo de dois ou três anos tende a prejudicar, não ajudar, o candidato numa nova avaliação — e caminho fácil para pedir remoção. Métricas do funil de recrutamento — quantos candidatos entram, em qual etapa saem, quantos viram contratação — ajudam a dimensionar esse volume.

Direitos do titular: o que responder, e em quanto tempo

O art. 18 garante ao titular, a qualquer momento e mediante requisição:

• Confirmação da existência de tratamento — se a empresa trata dados dessa pessoa.
• Acesso aos dados — quais, de onde vieram, com quem foram compartilhados.
• Correção de dado incompleto, inexato ou desatualizado.
• Anonimização, bloqueio ou eliminação de dado desnecessário, excessivo ou fora da lei.
• Portabilidade a outro fornecedor, conforme regulamentação.
• Eliminação dos dados tratados com consentimento, exceto nas hipóteses do art. 16.

O art. 19 fixa o prazo: confirmação de existência ou acesso em formato simplificado, imediatamente; declaração completa — origem do dado, critérios usados, finalidade — em até 15 dias do pedido. Isso só é cumprível com processo: canal único para receber o pedido, responsável que triagem e decida se o dado cai numa exceção de retenção, e registro de quando o pedido chegou — o prazo conta a partir daí, não de quando alguém lê o e-mail.

Retenção e descarte: eliminar x guardar por obrigação

O art. 16 determina a eliminação do dado ao fim do tratamento, salvo quatro hipóteses de conservação — a primeira, e mais comum no RH, o cumprimento de obrigação legal ou regulatória. É aqui que “elimine quando não precisar mais” esbarra na legislação trabalhista e previdenciária, que impõe prazos de guarda próprios.

O ponto de partida é a prescrição trabalhista: pelo art. 7º, XXIX da Constituição, o trabalhador tem até dois anos após o fim do contrato para ajuizar ação, podendo pleitear os últimos cinco anos de direitos — o que já justifica manter documentos do vínculo por esse período mínimo. Documentos específicos têm prazos próprios: folha de pagamento e registros de prova previdenciária seguem o Decreto nº 3.048/1999, cujo art. 225 fixa guarda de dez anos. Um alerta sobre um número que circula errado: guardar comprovante de FGTS por 30 anos não vale mais desde que o STF, no ARE 709.212 (2014, repercussão geral), reduziu essa prescrição para cinco anos, limitada a dois após o fim do contrato — o mesmo padrão dos demais créditos trabalhistas.

Como cada categoria de documento tem fonte legal própria e o prazo varia por tipo de obrigação, o caminho seguro é mapear com o jurídico ou a contabilidade qual prazo vale para qual documento — a assinatura eletrônica de documentos trabalhistas de admissão já nasce com metadado de data que ajuda a contar esse prazo depois. Enquanto ele não vencer, o art. 16, I autoriza a manutenção mesmo que a finalidade original — processar aquele mês de folha, por exemplo — já tenha sido cumprida.

O que registrar no RoPA

O art. 37 obriga controlador e operador a manter registro das operações de tratamento, “especialmente quando baseado no legítimo interesse” — o equivalente brasileiro ao RoPA. A lei não lista campos obrigatórios, mas um registro que resista a fiscalização (a ANPD pode, pelo art. 38, exigir relatório de impacto para operações de maior risco) costuma trazer, por processo de RH: a finalidade, a base legal, quais dados são coletados e se algum é sensível, o tempo de retenção, com quem são compartilhados e a segurança que protege o acesso. Exemplo de linha: “currículos no banco de talentos após reprovação — finalidade: contato para vagas futuras — base: legítimo interesse — retenção: 12 meses — acesso: recrutadores”. Esse registro pronto separa responder um pedido de titular em minutos de reconstruir, sob pressão, o que a empresa fez com aquele dado.

Onde isso dá errado

Quatro falhas respondem pela maior parte dos problemas reais:

• Consentimento como muleta. Usar “o colaborador assinou um termo” para justificar qualquer coisa, mesmo dado com base legal ou contratual óbvia — e criar um direito de revogação que não deveria existir para dado essencial à folha ou ao contrato.
• Currículo guardado para sempre “porque um dia pode servir”. Sem prazo nem aviso ao candidato, o banco de talentos vira exposição: dado desatualizado, sem base que resista a contestação.
• Planilha de dados sensíveis no drive compartilhado. Exame médico, diagnóstico comportamental ou risco psicossocial acessível a qualquer pessoa com o link é o oposto do regime restrito exigido para dado sensível — a base pode estar certa, mas a segurança do art. 46 não está.
• Não ter processo para responder pedido de titular. Sem canal, responsável e prazo controlado, cada pedido vira exceção tratada com atraso — a falha mais fácil de provar numa fiscalização.

Este texto descreve a norma e a prática comum de mercado; não substitui orientação jurídica para o caso concreto da sua empresa. Prazos por tipo de documento, a validade de uma base legal para um tratamento particular e a resposta a um incidente devem ser validados com o jurídico ou o encarregado de dados antes de virar política.

Como a TAI resolve

Na TAI Contratações, a base de Candidatos concentra os dados de quem já se candidatou — nome, e-mail, telefone, CPF, origem — com edição, desativação e exclusão por candidato; a exclusão pede confirmação e não pode ser desfeita, dando ao RH controle direto sobre o direito de eliminação. O Banco de Talentos segue a mesma lógica: ao reprovar um candidato no pipeline, o recrutador vê a opção “Manter candidato no banco de talentos” e decide se mantém ou desmarca, com status Ativo, Inativo ou Descartado gerenciável depois.

No módulo Comportamental, os convites para Perfil DISC, Cultura Organizacional e Riscos Psicossociais são enviados individualmente, por setor, departamento, time ou modelo de trabalho, e o status de cada um (Pendente, Respondido, Expirado, Cancelado) fica visível até ser respondido — rastreabilidade de quem foi convidado e quando, antes de qualquer diagnóstico gerado por IA em Diagnóstico Individual ou Diagnóstico de Equipe. Os resultados ficam concentrados nas telas de Comportamental, não espalhados em planilha.

A Admissão controla o fluxo documental do candidato aprovado: checklist de documentos configurável, cada envio passa por aprovação ou rejeição com motivo registrado, e o processo mantém status até a criação do colaborador — trilha auditável de quando cada dado foi coletado e por quem foi validado, útil para reconstruir a origem de um dado ao responder um pedido de titular.