ATS e LGPD: Como Proteger Dados de Candidatos

Um ATS e a LGPD (Lei 13.709/2018) se relacionam porque o sistema que sua empresa usa para recrutar processa dados pessoais de candidatos o tempo todo, desde o nome no currículo até decisões automatizadas de triagem, e cada um desses tratamentos precisa de base legal, prazo de retenção definido e mecanismo para responder aos direitos do titular. Se o seu banco de talentos tem milhares de currículos de anos atrás e ninguém sabe explicar por que ainda estão lá, isso já é um problema de conformidade, mesmo que nunca tenha havido um incidente.

Este artigo cobre a base legal correta para guardar dados de candidato, como definir um prazo de retenção defensável, o que cada direito do titular obriga sua empresa a conseguir fazer na prática, a relação entre controlador e operador com o fornecedor do ATS, e o ponto de maior exposição real: currículos recebidos por e-mail fora de qualquer sistema. A AjustaCV não vende ATS para empresas, ela analisa currículos e vagas do lado do candidato contra os mesmos parsers usados por ATS no Brasil, o que dá uma visão prática de como os dados de um currículo são lidos e estruturados por esses sistemas.

Qual a base legal certa para tratar o currículo de um candidato?

A base legal mais adequada para a maioria dos processos seletivos é a execução de procedimento preliminar relacionado a contrato, não o consentimento. O Art. 7º, inciso V, da Lei 13.709/2018, texto oficial no portal do Planalto, permite o tratamento de dados pessoais quando necessário para a execução de procedimentos preliminares relacionados a um contrato do qual o titular seja parte, a pedido do próprio titular dos dados. Um candidato que envia o currículo por iniciativa própria, visando um possível contrato de trabalho, se encaixa diretamente nessa hipótese.

Base legal (LGPD): uma das dez hipóteses previstas no Art. 7º da lei que autoriza uma empresa a tratar dados pessoais sem depender do consentimento do titular, desde que a finalidade seja compatível com a hipótese escolhida.

Consentimento, previsto no Art. 7º, inciso I, é frequentemente a escolha padrão de quem está montando um formulário de candidatura, mas é uma base mais frágil neste contexto específico. O consentimento pode ser revogado pelo titular a qualquer momento, sem necessidade de justificativa, o que obriga a empresa a parar de usar aqueles dados imediatamente, mesmo no meio de um processo seletivo em andamento. Há também uma questão de validade: em uma relação com desequilíbrio de poder entre candidato e empregador, um consentimento dado sob a percepção de que recusar prejudicaria a candidatura é juridicamente mais questionável.

Legítimo interesse, previsto no Art. 7º, inciso IX, e detalhado no Art. 10 da mesma lei, pode se aplicar a etapas específicas, como manter um banco de talentos para futuras vagas, mas exige uma análise documentada de que a finalidade é legítima e não viola direitos do titular. A ANPD (Autoridade Nacional de Proteção de Dados) publicou um guia orientativo especificamente sobre o uso dessa base, reforçando que cada aplicação exige avaliação individual, não um uso genérico para qualquer tratamento de dado de RH.

Por quanto tempo faz sentido guardar o currículo de alguém?

A LGPD não define um prazo fixo em número de dias ou anos para currículos de candidatos, mas exige que a retenção esteja atrelada a uma finalidade específica, e que os dados sejam eliminados quando essa finalidade se esgota. Isso significa que o prazo correto depende do estágio em que cada candidatura parou, não de uma regra única para todo o banco de dados da empresa.

A AjustaCV chama esse exercício de classificação de Régua de Retenção por Estágio, um critério que separa currículos por onde a candidatura parou, para decidir o prazo de guarda de cada grupo.

Aplicar essa régua a um banco acumulado de anos, como 14 mil currículos sem critério, significa primeiro classificar cada registro pelo estágio em que parou, depois eliminar ou anonimizar o que já ultrapassou o prazo da categoria correspondente. O resultado costuma reduzir o volume de dados armazenados de forma significativa, o que também reduz a superfície de risco em caso de incidente de segurança.

Currículos brasileiros costumam trazer dados sensíveis sem que ninguém perceba

Muitos modelos de currículo usados no Brasil ainda trazem campos como foto, estado civil, número de filhos e, ocasionalmente, informação de saúde ou religião mencionada em experiências de voluntariado. Esses dados se enquadram como dados pessoais sensíveis pela lei, e o tratamento deles exige cuidado adicional além das regras gerais de dado pessoal.

Dado pessoal sensível (Art. 11, LGPD): categoria que inclui origem racial ou étnica, convicção religiosa, opinião política, filiação sindical, dado de saúde ou vida sexual, e dado genético ou biométrico. O Art. 11 da Lei 13.709/2018, no portal do Planalto, exige consentimento específico e destacado para esse tratamento, fora das hipóteses legais mais restritas, como cumprimento de obrigação legal.

O parágrafo 1º do mesmo artigo proíbe expressamente o uso de dado sensível para finalidade discriminatória ilícita ou abusiva. Na prática de recrutamento, isso significa que uma foto anexada ao currículo, mesmo enviada espontaneamente pelo candidato, não pode virar critério de triagem, e que campos como estado civil ou número de filhos não deveriam nem estar presentes em um formulário de candidatura padrão, porque não têm relação com a finalidade de avaliar competência para a vaga.

A recomendação prática é revisar o formulário de candidatura do ATS e remover campos que capturam dado sensível sem necessidade clara, e treinar quem faz a triagem manual para não considerar informação sensível presente em currículos enviados em formato livre. Para uma discussão mais aprofundada sobre quais campos um currículo deveria ou não trazer, veja dados pessoais no currículo, LGPD e currículo cego.

O que cada direito do candidato obriga o sistema a conseguir fazer?

O Art. 18 da Lei 13.709/2018 lista os direitos do titular dos dados, e cada um desses direitos exige uma capacidade técnica concreta do ATS ou do processo interno da empresa, não é só uma garantia abstrata no papel.

• Acesso: o candidato pode pedir confirmação de que seus dados estão sendo tratados e uma cópia deles. O sistema precisa permitir localizar todos os registros associados a uma pessoa, mesmo que ela tenha se candidatado a várias vagas ao longo do tempo.
• Correção: o candidato pode pedir correção de dados incompletos, inexatos ou desatualizados. O processo interno precisa ter um caminho claro para atualizar essas informações sem depender de alguém encontrar manualmente onde o dado está guardado.
• Eliminação: o candidato pode pedir eliminação de dados desnecessários ou tratados fora de conformidade. Isso exige que a exclusão realmente remova o dado, incluindo de backups e de qualquer terceiro com quem tenha sido compartilhado, informado pelo controlador.
• Revisão de decisão automatizada: pelo Art. 20 da mesma lei, o candidato pode pedir revisão de uma decisão tomada só por triagem automática. Na prática, a defesa mais segura para a empresa é ter uma pessoa real capaz de reavaliar o caso, não apenas confirmar o que o sistema já decidiu, mesmo que o texto em vigor não exija isso literalmente. Para aprofundar esse ponto específico, veja como evitar vieses no recrutamento automatizado.

Controlador ou operador: quem responde pelo ATS contratado?

Controlador (Art. 5º, inciso VI, da LGPD): pessoa física ou jurídica a quem competem as decisões referentes ao tratamento de dados pessoais, ou seja, quem define a finalidade e os meios do tratamento. Na relação entre uma empresa e o ATS que ela contrata, a empresa é normalmente a controladora, porque é ela quem decide para que os dados dos candidatos serão usados.

Operador (Art. 5º, inciso VII, da LGPD): pessoa física ou jurídica que realiza o tratamento de dados pessoais em nome do controlador, seguindo as instruções recebidas. O fornecedor do ATS ocupa esse papel, processando os currículos conforme a configuração e as instruções da empresa contratante, não por decisão própria sobre a finalidade.

Essa distinção importa na prática porque a responsabilidade principal por um vazamento ou uso indevido de dados de candidatos recai sobre o controlador, mesmo quando o incidente técnico acontece na infraestrutura do operador. Por isso, um acordo de tratamento de dados com o fornecedor do ATS, definindo finalidade, prazo de retenção e responsabilidades em caso de incidente, é a forma de a empresa comprovar que cumpriu sua obrigação de supervisionar quem trata os dados em seu nome.

O que um acordo de tratamento de dados com o fornecedor do ATS deveria conter?

Um acordo de tratamento de dados, às vezes chamado de DPA (Data Processing Agreement), formaliza a relação entre a empresa controladora e o fornecedor operador. Sem ele, a empresa não tem como demonstrar, em uma fiscalização ou em uma disputa judicial, que efetivamente instruiu e supervisionou o tratamento feito pelo fornecedor.

• Finalidade específica do tratamento: descrever exatamente para que o fornecedor pode usar os dados dos candidatos, impedindo uso para outra finalidade, como treinar modelos próprios do fornecedor sem autorização.
• Prazo de retenção e destino após o fim do contrato: definir o que acontece com os dados armazenados na plataforma do fornecedor caso a empresa troque de ATS ou encerre o contrato.
• Sub-operadores: exigir que o fornecedor informe se subcontrata outra empresa para processar parte dos dados, como um serviço de análise de currículo por inteligência artificial de terceiro.
• Notificação de incidente: estabelecer um prazo para o fornecedor avisar a empresa em caso de vazamento ou acesso indevido, para que a empresa consiga cumprir seus próprios prazos de comunicação à ANPD e aos titulares afetados.

Empresas menores costumam pular essa etapa por acreditar que o contrato comercial padrão do fornecedor já cobre esses pontos. Na prática, contratos comerciais genéricos raramente detalham finalidade, sub-operadores e prazo de notificação com a precisão que a LGPD exige do controlador, o que deixa a empresa contratante exposta mesmo tendo pagado por um fornecedor sério.

Onde está o maior risco real: os currículos que chegam por e-mail

O ATS costuma ser o sistema mais visível na conversa sobre conformidade, mas o maior ponto de exposição real, na prática, são os currículos que chegam por e-mail direto, fora de qualquer sistema centralizado. Esses arquivos ficam parados em caixas de entrada individuais, sem controle de acesso, sem prazo de retenção aplicado e sem qualquer registro de quem visualizou ou encaminhou o conteúdo.

Um currículo recebido dessa forma está sujeito às mesmas obrigações da LGPD que um currículo processado por um ATS, porque a lei não distingue o canal de entrada, só o fato de haver tratamento de dado pessoal. Na prática, porém, é quase impossível para a empresa responder a um pedido de acesso ou eliminação sobre um dado que está espalhado em dezenas de caixas de e-mail pessoais, sem registro central.

A correção mais eficaz não é jurídica, é operacional: instruir que toda candidatura recebida fora do ATS seja redirecionada ou registrada no sistema centralizado dentro de um prazo curto, e aplicar uma política de exclusão automática para o que permanecer só na caixa de entrada além desse prazo. Sem essa disciplina, o ATS bem configurado protege apenas uma fração dos dados de candidatos que a empresa realmente possui.

O que fazer agora com o banco de currículos acumulado

O ponto central é que conformidade com a LGPD em recrutamento não é sobre ter um contrato assinado com o fornecedor do ATS, é sobre saber explicar, para qualquer currículo que a empresa guarda, qual é a base legal, até quando ele deveria ficar armazenado e como atender um pedido de acesso ou eliminação sobre ele. Sem isso, um banco de 14 mil currículos acumulados não é um ativo de recrutamento, é um passivo de conformidade esperando para ser descoberto em uma fiscalização ou em uma reclamação formal.

Aplique a Régua de Retenção por Estágio ao banco existente antes de adicionar mais volume a ele, e revise o acordo de tratamento de dados com o fornecedor do ATS caso ele ainda não exista. Para entender como esses mesmos princípios se aplicam do ponto de vista de quem envia o currículo, veja dados pessoais no currículo, LGPD e currículo cego. E se parte da preocupação da sua empresa é como o parser do ATS estrutura os dados de um currículo antes mesmo de chegar a um recrutador, esse mesmo processo pode ser testado gratuitamente na análise de ATS do AjustaCV.

Perguntas frequentes