Por quanto tempo guardar dados de candidato reprovado: o que a LGPD determina

Um candidato participa de um processo seletivo, chega até a etapa final e não é aprovado. O currículo, os testes e as anotações da entrevista continuam ali, no sistema, sem que ninguém tenha decidido formalmente o que fazer com aquilo.

Essa é uma situação corriqueira no RH, e é exatamente aí que mora o risco: quando ninguém decide, o dado fica. Fica por inércia, não por critério. "Guardar por guardar" tem um custo que a LGPD trata como problema real, não como detalhe técnico.

A dúvida que motiva este texto é simples de enunciar e difícil de responder com um número: por quanto tempo o RH pode manter o currículo e os dados de um candidato que não foi selecionado? A retenção de dados de candidato na LGPD não está resolvida em um artigo isolado da lei, mas sim em um princípio, com exceções bem definidas, que este texto detalha.

Por quanto tempo a LGPD permite guardar dados de candidatos reprovados?

A Lei Geral de Proteção de Dados (Lei nº 13.709/2018) não estabelece um prazo em dias, meses ou anos para a eliminação de dados. O critério da lei é outro: o tratamento termina quando a finalidade é alcançada ou quando os dados deixam de ser necessários (art. 15), e o dado deve ser eliminado após esse término (art. 16).

No caso de um processo seletivo, a finalidade é objetiva: avaliar aquele candidato para aquela vaga. Quando a decisão é tomada, e ele não é aprovado, a finalidade se encerra. A regra geral, portanto, é a eliminação, não a manutenção.

Isso responde à pergunta de forma direta, mas incompleta: existe prazo, sim, só que ele não é medido em anos. É medido pelo fim do propósito. A lei prevê situações em que o controlador pode manter o dado além desse ponto; a próxima seção detalha essas exceções.

Que exceções permitem manter o dado depois do fim do processo seletivo?

O art. 16 da LGPD lista as hipóteses em que o dado pode continuar sendo tratado mesmo depois de a finalidade original ter terminado:

• cumprimento de obrigação legal ou regulatória pelo controlador;

• uso exclusivo do controlador, com o dado anonimizado e vedado o acesso por terceiro;

• transferência a terceiro, respeitados os requisitos de tratamento previstos na lei;

• estudo por órgão de pesquisa, com anonimização sempre que possível.
  

Na prática de recrutamento, a hipótese que sustenta a maior parte das decisões de retenção não está explícita nessa lista: é a defesa em eventual disputa judicial trabalhista, que a doutrina especializada ancora na base legal do exercício regular de direitos em processo judicial, administrativo ou arbitral (art. 7º, VI). O prazo de referência costuma ser de até dois anos, por analogia à prescrição trabalhista, diante do risco de ações por perda de uma chance ou alegação de procedimento discriminatório na contratação. É orientação de mercado sustentada por escritórios especializados em compliance trabalhista, não um número que a LGPD determina diretamente.

Existe ainda uma segunda hipótese, menos comentada: o banco de talentos, quando o candidato consente explicitamente em ter o currículo mantido para vagas futuras. Sem esse consentimento, manter o currículo "só para garantir" não encontra amparo em nenhuma das hipóteses do art. 16; é justamente a decisão sem critério documentado que gera risco, não a retenção em si.

Por que a fiscalização da ANPD mudou em 2026 e o que isso significa para o RH?

Até recentemente, essa discussão era mais teórica do que prática. Isso mudou.

Em fevereiro de 2026, a Lei nº 15.352/2026 transformou a Autoridade Nacional de Proteção de Dados na Agência Nacional de Proteção de Dados (ANPD), incluindo-a formalmente no rol de agências reguladoras do país. A mudança trouxe autonomia funcional, técnica, decisória, administrativa e financeira, além de uma carreira própria de fiscalização, com 200 vagas de especialista por concurso.

O efeito prático apareceu poucos meses depois. Em 23 e 24 de junho de 2026, a ANPD abriu 19 novos processos administrativos sancionadores, segundo levantamento do escritório Daniel Law. O número é maior do que o total de processos abertos pela Agência desde sua constituição, em 2020, período em que somava apenas 5 processos desse tipo.

Até então, a única multa pecuniária aplicada desde a vigência da lei havia sido de R$ 14.400, contra uma microempresa de telemarketing, em 2023, segundo comunicado da própria ANPD. O valor foi baixo porque a maior parte das sanções recaiu sobre o setor público, que não recebe multa em dinheiro (art. 52, §3º, da LGPD). O contraste entre uma multa isolada em quase seis anos e 19 processos abertos numa única semana já mostra que a fase de tolerância inicial está terminando.

Para o RH, o recado não é alarmista: é prático. Uma política de retenção de dados de candidato documentada deixou de ser boa prática opcional para se tornar parte do que uma auditoria, cedo ou tarde, vai perguntar.

Consentimento é a única forma de guardar um currículo?

A maioria das plataformas de recrutamento, e boa parte do material disponível sobre o tema, trata o consentimento como a única base legal aceitável para manter dados de candidatos. Não é bem assim.

A própria LGPD prevê, no art. 7º, V, o tratamento de dado necessário à execução de contrato ou de procedimentos preliminares relacionados a contrato do qual seja parte o titular, a pedido do titular. Parte considerável dos especialistas em proteção de dados considera essa base mais adequada ao processo seletivo do que o consentimento, justamente porque o consentimento, numa relação assimétrica como a de candidato e empregador, é frágil e pode ser revogado a qualquer momento, inclusive depois de a empresa já ter tomado decisões com base naquele dado.

Não existe uma resposta pronta aqui: é uma escolha com trade-offs que cada empresa, idealmente com apoio jurídico, deve fazer de forma deliberada. O erro comum não é escolher a base "errada": é não escolher nenhuma, e operar por padrão de sistema.

Como esse princípio vira política de retenção no dia a dia do RH

Toda plataforma de recrutamento precisa operacionalizar esse princípio de algum jeito. No Quickin, isso acontece por meio de status de LGPD atribuídos a cada candidato: quando o prazo de expiração definido pela empresa é atingido, o status muda para "expirado", um sinal claro de que chegou a hora de decidir entre solicitar consentimento ou remover o dado.

Vale um ponto de honestidade operacional: essa expiração não elimina o dado automaticamente. A decisão final continua sendo do recrutador, que atua como controlador e define finalidade e prazo. O Quickin, como operador, trata o dado dentro das instruções definidas pela empresa.

Isso é o oposto de terceirizar a responsabilidade para o software: é o software dar visibilidade para que a decisão humana aconteça no momento certo, em vez de o dado ficar parado até alguém notar, por acaso, que ele existe há anos.

Checklist: como montar sua política de retenção de dados de candidato

Este é o roteiro mínimo para sair da decisão caso a caso e chegar a um critério documentado. Não precisa ser um documento longo. Precisa existir, estar escrito e ter um responsável.

1. Mapeie o que você guarda hoje

• Liste os tipos de dados que ficam no sistema depois que a vaga fecha: currículo, testes, anotações de entrevista, vídeos, resultados de avaliação comportamental.

• Marque quais deles contêm dados pessoais sensíveis (saúde, condição de PCD, origem racial, dados de diversidade); esses têm regime próprio e exigem cuidado maior.
  

2. Defina prazos por categoria, não um prazo único

• Candidato reprovado, sem consentimento para banco de talentos.

• Candidato reprovado, com consentimento explícito para banco de talentos.

• Candidato contratado, que passa a seguir as regras de retenção de documentos trabalhistas, diferentes das anteriores.
  

3. Registre a base legal de cada categoria

• Escreva qual hipótese do art. 7º sustenta cada tipo de retenção, e qual exceção do art. 16 permite manter o dado depois do fim do processo.

• Se a resposta for "seguimos a orientação de dois anos por risco trabalhista", registre isso também: decisão documentada vale mais do que decisão perfeita e tácita.
  

4. Separe o consentimento do banco de talentos do aceite da vaga

• O candidato precisa poder concordar com uma coisa e não com a outra.

• Informe o prazo de armazenamento no momento em que pede esse consentimento, não depois.
  

5. Configure a expiração no sistema e revise o que expirou

• Defina o prazo em dias na configuração de LGPD da plataforma.

• Estabeleça uma rotina periódica, mensal ou trimestral, para revisar os candidatos com status expirado e decidir entre solicitar consentimento ou remover.

• Lembre que a remoção é ação manual e irreversível: revise antes de executar em lote.
  

6. Nomeie quem responde por isso

• Uma pessoa responsável pela revisão periódica, e o encarregado (DPO) informado sobre a política.

• Registre a data da última revisão. Auditoria pergunta por isso antes de perguntar qualquer outra coisa.
  

7. Prepare a resposta ao titular

• Tenha definido o caminho para quando um candidato pedir acesso, correção ou eliminação dos dados.

• O pedido pode chegar por qualquer canal; o que importa é que fique registrado e que a exclusão de fato aconteça.
  

Perguntas frequentes sobre retenção de dados de candidato

Por quanto tempo as empresas podem manter os dados de candidatos reprovados? Não existe prazo fixado em lei. A regra é eliminar o dado quando termina a finalidade da coleta, em geral, o fim do processo seletivo, salvo alguma das exceções do art. 16 ou consentimento específico para banco de talentos.

Sua empresa pode guardar currículos por quanto tempo, se quiser manter um banco de talentos? Sim, desde que o candidato tenha consentido especificamente para essa finalidade, separado do aceite da vaga original. Sem esse consentimento, o dado deveria ser eliminado ao fim do processo.

Como funciona o banco de talentos dentro da LGPD? É um uso legítimo do dado além do processo original, mas depende de consentimento explícito, com transparência sobre o prazo de armazenamento e o direito do candidato de pedir a exclusão a qualquer momento.

Consentimento é obrigatório para guardar currículo de candidato reprovado? Não é a única base possível. O art. 7º, V da LGPD permite tratamento vinculado à execução de procedimentos preliminares de contrato, sem depender de consentimento. A escolha entre as duas bases deve ser deliberada, com apoio jurídico.

Retenção de dado não é detalhe técnico, é decisão de política

A pergunta que abriu este texto não tem resposta em anos porque a LGPD não fez essa pergunta em anos. Fez em finalidade. O currículo que fica parado no sistema, sem ninguém ter decidido nada sobre ele, não é uma falha pontual: é a ausência de uma política de retenção de dados de candidato documentada, e é exatamente esse vácuo que a fiscalização de 2026 tornou mais caro de manter.

Se o seu processo seletivo ainda decide isso caso a caso, ou nem decide, vale colocar no papel um critério simples: por quanto tempo cada tipo de dado fica, com base em quê, e quem revisa isso periodicamente.

Você não precisa resolver a política de retenção inteira hoje, precisa saber que ela existe como decisão pendente, não como detalhe que o sistema resolve sozinho.

Comece pelo passo 1 do checklist acima: abra seu banco de talentos e veja há quanto tempo está lá o candidato mais antigo. Se a resposta surpreender, o problema não é o dado que ficou, é não existir nada no sistema avisando que ele ficou.

É essa a lacuna que o Quickin fecha: você define o prazo de expiração na configuração de LGPD da conta, e cada candidato passa a exibir um status que mostra quando chegou a hora de decidir. A decisão continua sua, o software só garante que ela apareça na tela, em vez de depender de alguém lembrar.