Preciso do consentimento do candidato para fazer background check?

Consentimento é uma das bases legais do art. 7º da LGPD, mas não é a única, e em processo seletivo costuma ser a mais frágil — há assimetria entre as partes e ele pode ser revogado a qualquer tempo (art. 8º, § 5º). Outras hipóteses do mesmo artigo, como procedimentos preliminares a contrato (inciso V) e legítimo interesse (inciso IX), são frequentemente mais adequadas. Qual se aplica é decisão para o jurídico da empresa. O que não existe é a opção de não ter base legal nenhuma registrada.

Posso olhar as redes sociais do candidato? Está tudo público.

Público não significa utilizável para essa finalidade. O art. 7º, § 6º da LGPD diz que a dispensa de consentimento não afasta os demais princípios. E o risco prático é maior que o jurídico: o perfil expõe religião, saúde, situação familiar, posição política — e, depois de ver, a empresa não consegue demonstrar que aquilo não pesou. É o atalho que mais cria passivo, e o mais fácil de evitar.

Posso exigir certidão de antecedentes criminais de todo candidato?

Exigir de todos, indistintamente, é a prática que mais gera questionamento. A leitura que costuma prevalecer é que a exigência precisa guardar relação concreta com a natureza da função — e a Constituição, no art. 5º, LVII, afasta a presunção de culpa antes do trânsito em julgado. Confirme com seu advogado o que se aplica ao cargo específico antes de padronizar a exigência.

Quanto tempo posso guardar o material de um candidato reprovado?

Pelo tempo necessário à finalidade, e não mais (arts. 15 e 16 da LGPD). O que resolve na prática é ter prazo definido por escrito e alguém responsável por executá-lo. Guardar "por precaução, para sempre" é a política mais comum e a pior.

Como sei se o relatório que recebi é bom?

Sete perguntas: cada afirmação tem origem identificada? Cada consulta tem data? Diz como distinguiu homônimos? Diz o que não encontrou e o que não conseguiu verificar? Descreve o método? Está assinado, com nome e qualificação? Separa fato de interpretação? Falhar em três desses itens já é sinal de que o documento não sustenta uma decisão contestada.

Meu RH pode fazer isso internamente?

Parte pode: conferir documentos e confirmar as experiências declaradas com quem consta no currículo. O que não deve é distinguir homônimo, interpretar registro público e converter isso em decisão — o erro nessa etapa não aparece no dia, aparece na ação judicial, e aí a empresa está sozinha nos dois papéis: o de quem verificou e o de quem decidiu.

Background check: o que pedir, o que exigir no relatório, e o que a empresa não deve tentar sozinha

Contratar para um cargo de confiança sem verificação é um risco conhecido. Verificar por conta própria é um risco novo — e esse a empresa cria sozinha, sem perceber, e descobre dois anos depois. Este texto é sobre o que pedir a quem faz, o que cobrar do relatório, e por que a parte que parece simples é justamente a que produz processo.

Existem dois riscos, e as empresas só enxergam um

O risco que todo RH enxerga é o da contratação errada: a pessoa que assumiu o caixa e não era quem dizia ser, o diretor cujo currículo trazia uma empresa que nunca existiu.

O segundo quase ninguém enxerga, e é criado pela própria empresa: a verificação feita por conta própria. O analista que pesquisa o candidato no Google numa tarde, imprime o que achou e usa aquilo para reprovar — sem base legal registrada, sem confirmar se aquele homônimo é a pessoa certa — não protegeu a empresa. Produziu, num único ato, prova documental contra ela.

O primeiro risco custa dinheiro. O segundo custa processo.

Parte 1 — O que pedir a quem vai fazer

A pior forma de contratar um background check é pedir "um background check". É um termo guarda-chuva: cada fornecedor entende uma coisa diferente, e a empresa descobre a diferença no dia em que precisa do relatório para explicar uma decisão.

Você não precisa saber fazer a verificação para comprá-la bem. Precisa reconhecer o fornecedor que puxa três coisas antes de você perguntar.

A decisão que a verificação vai apoiar

A finalidade define o escopo, e a LGPD começa por ela: o art. 6º, I exige que o tratamento tenha "propósitos legítimos, específicos, explícitos e informados ao titular", e o art. 6º, III — o princípio da necessidade — limita o tratamento "ao mínimo necessário para a realização de suas finalidades, com abrangência dos dados pertinentes, proporcionais e não excessivos".

Vira um teste simples: fornecedor que aceita o pedido sem perguntar para que serve não vai conseguir justificar depois o que pesquisou — e quem responde por isso é a sua empresa, não ele.

A proporção entre o cargo e a verificação

Cargo operacional pede confirmação de identidade e de experiência. Cargo com manejo de valores pede que se olhe o que tem relação direta com a função — uma disputa de família não tem relação com a gerência financeira; uma execução por dívida de gestão, tem. Executivo e sócio deixam de ser verificação sobre a pessoa e viram análise da exposição da empresa: participação societária, conflito de interesse, vínculo com fornecedor ou concorrente. Este último é outra natureza de trabalho — background check de executivos ou, na outra ponta de uma operação, due diligence.

Repare no que isso implica na hora de comprar: fornecedor que vende o mesmo pacote para o auxiliar e para o diretor não está calibrando nada. Ou está entregando de menos onde importa, ou coletando demais onde não podia — e coletar demais é o art. 6º, III sendo contrariado por escrito, com o seu nome no contrato.

Onde exatamente cada cargo cai nessa régua é conversa de escopo, não de tabela de prateleira — e é a primeira coisa que definimos antes de começar.

O que fica de fora — e um bom fornecedor recusa

Existe um conjunto de informações que não deve entrar num processo seletivo, e o motivo não é delicadeza: o art. 11 da LGPD submete os dados pessoais sensíveis a regime bem mais estrito que os demais. São os do art. 5º, II — "origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato", saúde, vida sexual, dado genético ou biométrico.

Some a isso o que a legislação trabalhista já vedava antes da LGPD. A Lei 9.029/1995 proíbe, no art. 1º, "qualquer prática discriminatória e limitativa para efeito de acesso à relação de trabalho, ou de sua manutenção, por motivo de sexo, origem, raça, cor, estado civil, situação familiar, deficiência, reabilitação profissional, idade, entre outros" — e o art. 2º, I tipifica como crime a exigência de exame ou atestado relativo a esterilização ou estado de gravidez. O art. 373-A da CLT repete a vedação e acrescenta outras.

Daí sai o melhor sinal de qualidade desse mercado: quem faz bem diz não. Se o relatório chega com religião, orientação sexual, filiação sindical ou situação familiar do candidato sem que ninguém tenha pedido, o fornecedor não foi zeloso — acabou de colocar dentro da sua empresa um documento que você não pode usar, não deveria ter, e agora precisa explicar por que possui.

O mesmo vale para prazo: confirmar leva tempo, e quem promete resultado completo em algumas horas está prometendo o que não dá tempo de confirmar. Desconfie do prazo curto demais — ele costuma significar que a etapa de conferência não existe.

Parte 2 — O que exigir do relatório que você recebeu

Você não vai avaliar a investigação; vai avaliar o documento — e isso qualquer pessoa consegue fazer, porque trabalho raso deixa marca visível no papel. Sete critérios para cobrar de quem quer que você contrate.

1. Cada afirmação tem origem identificada. Não "as fontes consultadas foram diversas": cada informação afirmada indica de onde veio. Sem isso, o relatório é opinião com papel timbrado, e não sustenta nada se for questionado.

2. Cada consulta tem data. Registro público muda; consulta de quatro meses atrás não descreve a situação de hoje — e relatório sem data esconde isso.

3. O relatório trata homônimos explicitamente. É o critério que mais separa profissional de amador no Brasil. Um relatório sério diz como distinguiu a pessoa verificada de outra de mesmo nome, e diz quando não conseguiu distinguir. O que atribui ao candidato tudo que apareceu sob aquele nome é o material com que se reprova a pessoa errada.

4. O relatório diz o que NÃO encontrou. "Nada consta" e "não foi possível verificar" são coisas diferentes, e relatório ruim junta as duas no silêncio. O documento deve separar as duas — e o que ficou fora do escopo.

5. Há método descrito. Não uma lista de ferramentas — o raciocínio: o que foi confirmado por mais de uma via, e onde ficou dúvida. Sem isso ninguém consegue avaliar a conclusão.

6. Alguém assina, com nome e qualificação. Relatório sem autor não tem quem responda por ele — e, se a decisão for contestada, a empresa vai precisar de alguém que explique o documento, não de um PDF anônimo. Pergunte antes de contratar quem assina o que você vai receber.

7. Fato e interpretação estão separados. "Consta ação trabalhista X, ajuizada em tal data, em tal vara" é fato. "O candidato é litigioso" é interpretação — e, num relatório, vira problema de quem encomendou. Quem verifica não decide; quem decide não verifica.

Um oitavo item, sobre o fornecedor e não sobre o documento: pergunte o que ele faz com os dados depois da entrega e por quanto tempo os guarda. A resposta boa tem prazo definido e diz o que é eliminado ao fim. Se for vaga, você acabou de descobrir onde o vazamento vai acontecer — e a responsabilidade, nesse caso, não fica só com ele.

Parte 3 — O que a empresa não deve tentar sozinha

Os erros abaixo são baratos de cometer, invisíveis no dia, e caros dois ou três anos depois — quando já não há como desfazer. Todos acontecem em empresas sérias, com times bem-intencionados, exatamente porque parecem razoáveis na hora.

Há um padrão em todos: o que dá errado não é a busca, é o que se faz com o resultado. Encontrar informação ficou fácil. Confirmar que ela é da pessoa certa, decidir o que dela pode entrar numa decisão de contratação e deixar registro de por que entrou — isso continua sendo trabalho técnico, e é onde a verificação caseira quebra.

Achar o nome e achar a pessoa

Comece por este, porque é o erro que ninguém antecipa e o que produz o pior resultado possível: reprovar a pessoa errada.

Nomes se repetem no Brasil em volume que surpreende quem nunca precisou lidar com isso. Um registro encontrado sob o nome do candidato pode ser de outra pessoa, de outro estado, de outra geração. Quem busca por conta própria quase sempre para no momento em que encontra algo, porque encontrar parece ser o objetivo. Não é. Encontrar é o começo; o trabalho é confirmar que aquilo é da pessoa que está na sua frente — e saber dizer quando não deu para confirmar.

O RH que reprova com base em registro não confirmado não sabe que errou. Ninguém avisa. O candidato descobre, e a empresa toma conhecimento pela via mais cara.

Pesquisar redes sociais e usar o que viu para decidir

É o erro mais difícil de convencer alguém a parar de cometer, porque parece inofensivo — está tudo público, afinal.

O ponto não é a legalidade de olhar. O art. 7º, § 4º da LGPD dispensa consentimento para "dados tornados manifestamente públicos pelo titular", mas o § 6º é explícito: a dispensa "não desobriga os agentes de tratamento das demais obrigações previstas nesta Lei, especialmente da observância dos princípios gerais". Dado público continua sujeito à finalidade, à necessidade e à não discriminação.

O problema prático é maior: um perfil pessoal expõe justamente o que não pode entrar na decisão — religião, filhos, orientação sexual, posição política, condição de saúde. Uma vez que o recrutador viu, a empresa fica na posição impossível de provar que aquilo não pesou. E o material não foi verificado por ninguém: o perfil pode não ser da pessoa, a postagem pode ser de 2013, o print pode estar fora de contexto.

Pedir o que não se pode pedir

Certidão de antecedentes criminais é o caso mais frequente. Exigir de todo candidato, indistintamente, é problemático: a leitura que costuma prevalecer é que a exigência só se justifica quando guarda relação concreta com a função, e a Constituição, no art. 5º, LVII, estabelece que "ninguém será considerado culpado até o trânsito em julgado de sentença penal condenatória" — o que torna delicado usar processo em andamento como critério. Há jurisprudência trabalhista consolidada nessa direção — vale confirmar com o jurídico da sua empresa antes de tornar a exigência padrão.

Na mesma família: consulta a restrição de crédito para função que não envolve dinheiro, exame sem relação com a atividade, e qualquer pergunta que toque nos temas do art. 1º da Lei 9.029/1995. O problema é que ninguém no RH percebe o momento em que a pergunta passou da linha — ela é feita com boa intenção, no meio de uma conversa, e fica registrada.

Guardar o que não deveria continuar guardado

O material de verificação de um candidato reprovado costuma ficar anos numa pasta de rede, num e-mail, num drive compartilhado. É passivo puro: não serve mais a nenhuma finalidade e continua sendo dado pessoal sob responsabilidade da empresa.

O art. 15 da LGPD lista as hipóteses de término do tratamento, entre elas a "verificação de que a finalidade foi alcançada ou de que os dados deixaram de ser necessários"; o art. 16 determina que "os dados pessoais serão eliminados após o término de seu tratamento", com as ressalvas ali previstas. E o art. 46 exige medidas de segurança "aptas a proteger os dados pessoais de acessos não autorizados".

Três perguntas que a maioria dos RHs não sabe responder: onde esse material está, quem tem acesso, e quando ele é apagado. Sem resposta, há um incidente esperando acontecer — e constrangedor exatamente porque o material foi coletado para proteger a empresa.

Decidir sem deixar registro de por quê

Se a empresa reprovou por causa de uma informação verificada, precisa existir registro de qual informação, verificada como, e por que ela é relevante para aquela função específica. Não é burocracia: é a única coisa que separa "decisão fundamentada" de "decisão discriminatória" quando alguém perguntar. A LGPD trata isso como princípio no art. 6º, X — responsabilização e prestação de contas, que exige do agente a "demonstração [...] da adoção de medidas eficazes e capazes de comprovar a observância e o cumprimento das normas".

E se alguma etapa da triagem é automatizada — score, filtro, classificação por IA — o art. 20 dá ao titular o direito de "solicitar a revisão de decisões tomadas unicamente com base em tratamento automatizado", e o § 1º obriga o controlador a fornecer "informações claras e adequadas a respeito dos critérios e dos procedimentos utilizados". Quem não sabe explicar o próprio filtro não consegue cumprir isso.

Não contar nada ao candidato

Transparência não é gentileza opcional. O art. 9º da LGPD dá ao titular direito ao acesso facilitado às informações sobre o tratamento de seus dados, "de forma clara, adequada e ostensiva" — finalidade específica, forma e duração, identificação e contato do controlador, e os direitos do titular. O art. 18 lista esses direitos, e o art. 19, II fixa prazo de até 15 dias para a resposta.

Um ponto que costuma passar batido: consentimento nem sempre é a melhor base legal aqui. O art. 7º oferece outras hipóteses — o inciso V trata da "execução de contrato ou de procedimentos preliminares relacionados a contrato"; o inciso IX, dos "interesses legítimos do controlador ou de terceiro, exceto no caso de prevalecerem direitos e liberdades fundamentais do titular". Num processo seletivo há assimetria evidente entre as partes, e o consentimento ainda pode ser revogado a qualquer momento (art. 8º, § 5º). Qual base se aplica é decisão que se toma com o jurídico — o que não pode é não haver base nenhuma registrada, que é a situação em que a maior parte dos processos seletivos está.

Onde isso deixa de ser algo que o RH faz sozinho

Duas coisas você pode fazer hoje, de graça: avise o candidato de que haverá verificação, e pare de olhar rede social de candidato. As duas custam zero e são exatamente as que não dá para desfazer depois.

O resto tem um limite claro, e vale reconhecê-lo antes de precisar.

Quando a decisão vai depender do resultado. Se a verificação pode reprovar alguém, ela precisa sustentar a reprovação — origem identificada, consulta datada, homônimo distinguido, fato separado de interpretação, assinatura de quem responde pelo documento. Nada disso existe numa pesquisa feita internamente numa tarde, e a falta aparece justamente quando o resultado é contestado.

Quando o cargo é de confiança, executivo ou societário. Aí a pergunta é sobre a exposição da empresa, não sobre a pessoa: background check de executivos e, nas operações societárias, due diligence.

Quando o RH não sabe dizer onde o material está, quem tem acesso e quando ele é apagado. Aí o problema não é a próxima contratação, é a estrutura — base legal, aviso ao candidato, escopo por tipo de cargo, prazo de descarte. É o que se monta junto com o RH, e o que sustenta a adequação à LGPD no RH.

Esse conjunto — a verificação, o relatório que sustenta a decisão e a estrutura que o RH opera sem criar passivo — é o que fazemos em RH e compliance. Se você já tem fornecedor, use a Parte 2 para cobrá-lo. Se não tem, a consulta inicial é gratuita e conduzida com sigilo e respeito — e serve para dizer com honestidade se o seu caso pede verificação ou só pede organização.