Uso indevido de currículos expõe falhas na proteção de dados nas empresas

O recente caso em que uma empresa utilizou currículos como material de embalagem para envio de produtos acende um alerta importante sobre como dados pessoais ainda são tratados no Brasil, mesmo após a vigência da Lei Geral de Proteção de Dados (LGPD).

Sob a ótica jurídica, a prática configura violação à LGPD. O currículo é fornecido para uma finalidade específica, o processo seletivo, e seu uso como embalagem caracteriza desvio de finalidade, em violação aos princípios previstos no artigo 6º, especialmente finalidade, adequação e necessidade. Além disso, há tratamento irregular de dados, nos termos do artigo 7º, e possível violação de segurança, conforme o artigo 46, já que houve exposição indevida das informações.

Mesmo quando o uso ocorre por iniciativa de funcionários, a responsabilidade é da empresa, na condição de controladora dos dados. A LGPD prevê responsabilização quando há tratamento em desconformidade com a lei, conforme o artigo 42, independentemente de o ato ter sido praticado diretamente por um colaborador. Também existe o dever de adotar medidas de segurança e governança, o que reforça que falhas internas não afastam a responsabilidade da organização.

Em relação às sanções, a Autoridade Nacional de Proteção de Dados pode aplicar as previstas no artigo 52 da LGPD, como advertência, multa de até 2% do faturamento da empresa, limitada a R$ 50 milhões por infração, publicização da infração e bloqueio ou eliminação dos dados pessoais. Além disso, o impacto reputacional tende a ser relevante.

Há também possibilidade de indenização aos titulares dos dados. A LGPD prevê o dever de reparação por danos patrimoniais e morais, conforme o artigo 42, desde que haja comprovação do dano e do nexo com o tratamento irregular. Em casos como este, de exposição indevida de dados pessoais, pode haver pleito de indenização por dano moral, especialmente em razão da violação da privacidade ou constrangimento ao titular.

Nessas situações, recomenda-se que a empresa trate o caso como incidente de segurança, com adoção imediata de medidas de contenção e apuração dos fatos, além de eventual comunicação aos titulares e à autoridade competente, conforme os artigos 46 e 48 da LGPD.

A gravidade da infração aumenta quando o currículo contém dados pessoais sensíveis. Em geral, esses documentos incluem informações como CPF, endereço, telefone e histórico profissional. Caso envolvam dados sensíveis, como informações de saúde, deficiência ou filiação sindical, a situação se agrava, pois a legislação exige nível mais rigoroso de proteção, nos termos do artigo 11.

Para evitar ocorrências semelhantes, a empresa deveria adotar medidas previstas na própria LGPD, como a implementação de medidas de segurança técnicas e administrativas, conforme o artigo 46, a estruturação de governança em privacidade, nos termos do artigo 50, além de controle de acesso às informações, políticas adequadas de descarte de documentos e treinamento de colaboradores.

Casos como esse reforçam que a proteção de dados não deve ser tratada apenas como uma exigência formal, mas como uma responsabilidade contínua das organizações, com impactos jurídicos e reputacionais.

*Rubens Leite é advogado e sócio-gestor da RGL Advogados e especialista em direito empresarial