Banco de currículos: como guardar e excluir dados de candidatos

O banco de currículos pode ser mantido enquanto houver finalidade definida, base legal adequada e necessidade dos dados. Encerrado o tratamento, a eliminação deve observar as hipóteses de conservação dos artigos 15 e 16 da LGPD; não há um prazo único para todo currículo. Para aplicar esses critérios, o RH precisa localizar também os anexos em e-mails, as planilhas exportadas e as cópias com gestores.

A organização começa pela separação entre uma candidatura em andamento e o interesse em oportunidades futuras. Depois, exige critérios de retenção, responsáveis pelo descarte e um canal capaz de acompanhar solicitações até a resposta. Comprar uma plataforma ajuda a executar essas decisões, mas suas configurações precisam refletir escolhas feitas pela empresa.

O que a sanção da CNIL mostra ao recrutamento

Em notícia publicada em 9 de setembro de 2026, a CNIL informou a sanção de 300 mil euros à EXTIA, decidida em 21 de julho daquele ano. A autoridade francesa identificou falhas relacionadas aos direitos de candidatos e ex-empregados. Das 265 solicitações de eliminação recebidas pela empresa em 2024, mais de três quartos não haviam sido tratados ou não haviam recebido tratamento satisfatório.

Um ponto interessa diretamente ao banco de currículos: a exclusão automática de dados não dispensou a empresa de informar aos candidatos o resultado de seus pedidos. A notícia registra medidas corretivas adotadas durante o procedimento, inclusive eliminação e comunicação aos interessados. Portanto, o caso envolve tanto a execução da solicitação quanto a informação sobre seu desfecho.

Trata-se de sanção francesa baseada no GDPR, não de multa brasileira nem de regra importada para o RH nacional. Seu valor operacional é mostrar por que o banco de currículos precisa conectar sistemas e atendimento. No Brasil, a avaliação jurídica deve partir da LGPD e das circunstâncias do tratamento.

Banco de currículos: como separar a seleção do uso futuro?

Separe a finalidade da seleção em andamento da manutenção para futuras vagas. No processo atual, identifique os dados necessários para avaliar a candidatura e organizar o contato. O artigo 7º, V, da LGPD admite tratamento necessário a procedimentos preliminares relacionados a contrato, a pedido do titular. Essa hipótese pode ser pertinente ao recrutamento, mas sua aplicação depende do fluxo concreto, sem justificar automaticamente qualquer coleta ou reutilização.

Guardar o cadastro para outras oportunidades exige uma finalidade própria e uma base legal adequada. Se o banco de currículos usar consentimento, a manifestação deve estar ligada a finalidades determinadas, com possibilidade de revogação, conforme o artigo 8º. A informação apresentada ao candidato precisa permitir que ele entenda essa escolha, separada da participação na seleção atual.

O legítimo interesse também demanda avaliação, e não uma etiqueta padrão no formulário. Os artigos 7º, IX, e 10 exigem atenção aos direitos e às legítimas expectativas do titular, além da necessidade dos dados. Como recomendação operacional, documente a finalidade futura, os benefícios esperados, os impactos e as salvaguardas antes de adotar essa base.

Essa análise não autoriza usar legítimo interesse para dados sensíveis. Informações de saúde ou outros dados dessa categoria seguem as hipóteses do artigo 11. Quando aparecerem em anexos espontâneos, avalie sua necessidade e restrinja a circulação; o envio pelo candidato não resolve sozinho a adequação do tratamento.

Localize anexos, e-mails e cópias exportadas

O inventário do banco de currículos deve acompanhar o caminho real do documento. Inclua formulários, caixas compartilhadas, mensagens recebidas por recrutadores, pastas de gestores e o ATS, nome dado ao sistema de acompanhamento de candidaturas. Registre também os fornecedores que recebem os arquivos e as exportações usadas em reuniões de seleção.

Para cada local, indique quem tem acesso, qual informação é necessária e como uma exclusão chega até ali. O aviso ao candidato deve explicar finalidade, duração do tratamento e compartilhamentos de forma compreensível, conforme o artigo 9º da LGPD. Uma descrição que menciona apenas a plataforma fica incompleta se o processo envolve outros destinatários.

Na rotina, prefira acesso ao cadastro central a novos anexos distribuídos por e-mail. Para o banco de currículos, essa é uma recomendação de organização: reduzir duplicações facilita atualização e descarte. Reavalie permissões quando alguém muda de função e estabeleça como o fornecedor comprovará o cumprimento das instruções recebidas.

Por quanto tempo o RH pode guardar currículos?

A LGPD não estabelece um prazo universal para guardar currículos. Seus artigos 15 e 16 tratam do término do tratamento e das hipóteses de conservação. A empresa deve relacionar a duração à finalidade efetiva e examinar o que ainda precisa ser mantido, em vez de escolher um período apenas porque o sistema oferece essa configuração.

No banco de currículos, a política pode distinguir seleção ativa, oportunidades futuras e registros sujeitos a uma obrigação específica. Cada situação precisa de um evento que inicie a contagem, critério de revisão e destino previsto. O encerramento da vaga e a última atualização do candidato são exemplos de eventos operacionais possíveis, cuja adequação depende do processo.

Em um exemplo hipotético, uma empresa abre seleções recorrentes para determinada função. O RH avalia por quanto tempo as qualificações informadas continuam úteis e documenta um período de revisão. Ao chegar essa data, verifica a justificativa para conservar o cadastro; a recorrência das vagas não transforma a retenção em autorização indefinida.

Se houver obrigação legal que exija conservar parte dos dados, registre qual é, quais informações abrange e quando termina. Retire esse conjunto do uso cotidiano de recrutamento quando essa utilização não estiver justificada. Uma exceção aplicável a determinado registro não sustenta a manutenção de todos os anexos do candidato.

Matriz de destino, responsável e evidência

A matriz abaixo traduz decisões do banco de currículos em tarefas verificáveis. É uma proposta operacional, não uma tabela de prazos legais. Ajuste os responsáveis à estrutura da organização e valide juridicamente as justificativas de conservação antes de configurar rotinas automáticas.

Para testar a matriz, escolha um cadastro de teste e percorra todos os destinos possíveis. Verifique se o banco de currículos permite localizar cópias e produzir evidências sem criar novos arquivos desnecessários. Uma rotina que depende de alguém lembrar quais gestores receberam um anexo precisa ser revista antes de automatizar o descarte.

Como atender a um pedido de exclusão do candidato?

Ao receber uma solicitação, registre sua entrada e confirme a identidade de maneira proporcional ao risco. Evite pedir documentos adicionais por padrão. Localize o cadastro no banco de currículos e os dados relacionados nos demais ambientes, inclusive observações de entrevistas quando vinculadas à pessoa. Encaminhe a execução aos responsáveis identificados no inventário.

O artigo 18 da LGPD distingue situações relevantes: dados desnecessários, excessivos ou tratados em desconformidade podem ser objeto de anonimização, bloqueio ou eliminação; dados tratados com consentimento podem ser eliminados, ressalvadas as hipóteses do artigo 16. A decisão exige examinar o pedido e o fundamento de cada tratamento, sem presumir exclusão irrestrita ou recusa automática.

Quando a providência imediata não for possível, o artigo 18, § 4º, prevê resposta com as razões de fato ou de direito que a impedem. Se o banco de currículos tiver registros sujeitos a conservação justificável, explique o alcance da restrição e o destino dos demais dados. Dizer apenas que a empresa precisa guardar tudo não esclarece a decisão.

Não aplique ao Brasil o prazo europeu de um mês mencionado pela CNIL. Tampouco prometa que toda exclusão deve ocorrer em quinze dias: o artigo 19 trata da confirmação de existência e do acesso, prevendo atendimento simplificado imediato ou declaração completa em até quinze dias. Para exclusão, observe as regras aplicáveis ao caso e organize acompanhamento interno sem apresentar uma meta operacional como prazo legal universal.

O artigo 18, § 6º, também prevê comunicação imediata aos agentes com os quais houve compartilhamento, para repetirem o procedimento, ressalvadas impossibilidade comprovada ou esforço desproporcional. Na gestão do banco de currículos, registre o envio dessas instruções e acompanhe a confirmação do fornecedor. Sobre backups, documente limitações técnicas e mecanismos para impedir que uma restauração reintroduza dados excluídos no uso cotidiano, sem prometer apagamento instantâneo de toda cópia.

Perguntas frequentes

Como corrigir um telefone desatualizado no banco de currículos?

O candidato pode solicitar a correção de dados incompletos, inexatos ou desatualizados, conforme o artigo 18, III, da LGPD. Recomenda-se atualizar o cadastro central e verificar as cópias compartilhadas. O § 6º prevê comunicação imediata da correção aos agentes que receberam os dados, salvo impossibilidade comprovada ou esforço desproporcional.

O RH pode cobrar para localizar os dados do candidato?

Não pelo atendimento de um requerimento de direitos previsto no artigo 18. O § 5º desse artigo estabelece que o pedido será atendido sem custos para o titular, nos prazos e termos previstos em regulamento. Na gestão do banco de currículos, o custo de localizar anexos ou acionar um fornecedor não deve ser transferido ao candidato como condição de atendimento.

Como a TOGETHER pode apoiar a rotina

A consultoria em LGPD da TOGETHER pode apoiar o mapeamento do fluxo, a revisão das justificativas de retenção e a definição de responsabilidades entre RH, jurídico e TI. Para o banco de currículos, esse trabalho deve resultar em critérios aplicáveis aos sistemas e em orientações que recrutadores consigam usar ao encerrar uma vaga ou receber um pedido.

O DPO as a Service pode apoiar o acompanhamento das solicitações, a revisão de exceções e a interlocução com fornecedores. A proposta é manter responsáveis e evidências atualizados, sem prometer eliminação de riscos. Recursos de avaliação automatizada exigem análise adicional, abordada no conteúdo sobre triagem automática e LGPD no RH; a retenção após o vínculo tem contexto próprio, tratado em gestão de dados de ex-funcionários.

Para revisar seu banco de currículos, leve à conversa com a TOGETHER o fluxo atual, a política de retenção e um exemplo anonimizado de atendimento. Esses materiais permitem identificar decisões pendentes e priorizar ajustes. Este conteúdo é informativo, não constitui parecer jurídico e depende de revisão especializada antes da aplicação ao caso concreto.

Referências

• CNIL: sanção à EXTIA por falhas no respeito aos direitos dos titulares, publicada em 9 de setembro de 2026.
• Lei Geral de Proteção de Dados Pessoais: artigos 7º a 11, 15, 16, 18 e 19.