Protección de datos en procesos de selección: cómo gestionar currículums y datos de candidatos correctamente
La protección de datos en procesos de selección es una obligación que afecta a cualquier empresa que recibe currículums, publica ofertas de empleo, entrevista candidatos o conserva información de personas interesadas en trabajar en la organización. Desde el momento en que una empresa recibe un CV, ya está tratando datos personales y debe cumplir con el RGPD y la LOPDGDD.
Un currículum puede incluir nombre, teléfono, correo electrónico, formación, experiencia profesional, fotografía, dirección, referencias, competencias e incluso información que el candidato añade voluntariamente y que puede no ser necesaria para valorar su candidatura. Por eso, la gestión de currículums no debe hacerse de cualquier manera.
Cumplir la protección de datos en selección de personal implica informar correctamente al candidato, recoger solo los datos necesarios, limitar el acceso interno, conservar la información durante el tiempo adecuado y eliminarla cuando deje de ser necesaria. Además, si intervienen terceros como asesorías, ETT, consultoras de recursos humanos o plataformas de empleo, también debe revisarse cómo se comparten esos datos.
Qué datos personales se tratan en un proceso de selección
En un proceso de selección se tratan datos personales desde el primer contacto con la persona candidata. Estos datos pueden recibirse por correo electrónico, formulario web, portales de empleo, redes profesionales, entrega presencial o recomendación interna.
Los datos más habituales son nombre y apellidos, teléfono, correo electrónico, formación académica, experiencia profesional, historial laboral, competencias, disponibilidad, expectativas salariales y referencias. En algunos casos, también pueden recibirse fotografías, cartas de presentación, certificados, vida laboral o documentación adicional.
La empresa debe aplicar el principio de minimización de datos. Esto significa que solo debería solicitar y conservar la información necesaria para valorar si la persona encaja en el puesto ofertado. Pedir datos excesivos, irrelevantes o no relacionados con el empleo puede suponer un riesgo desde el punto de vista del RGPD.
Por ejemplo, no es recomendable solicitar información sobre vida familiar, estado civil, ideología, salud, afiliación sindical, antecedentes penales u otros datos especialmente sensibles salvo que exista una base legal clara y una necesidad directamente relacionada con el puesto.
Qué información debe recibir el candidato según el RGPD
Uno de los puntos más importantes en la protección de datos de candidatos es el deber de información. La persona que envía su currículum debe saber quién va a tratar sus datos, para qué finalidad, durante cuánto tiempo y cómo puede ejercer sus derechos.
La empresa debería facilitar una cláusula informativa clara y accesible en el momento de recoger la candidatura. Esta información puede incluirse en la oferta de empleo, en el formulario web, en el correo de respuesta al recibir el CV o en la plataforma utilizada para gestionar candidaturas.
La información básica debe indicar:
- identidad del responsable del tratamiento
- finalidad del tratamiento de los datos
- base jurídica aplicable
- plazo de conservación de los currículums
- posibles destinatarios de la información
- derechos del candidato
- forma de ejercer esos derechos
- datos de contacto en materia de protección de datos
La finalidad principal será gestionar la candidatura y valorar la participación de la persona en el proceso de selección. Si la empresa quiere conservar el currículum para futuras ofertas, conviene informar de forma diferenciada y contar con una base adecuada para esa conservación.
Cómo gestionar currículums de forma correcta
La gestión de currículums debe estar organizada. No es recomendable que los CVs queden repartidos en distintos correos personales, carpetas sin control, escritorios de ordenador o archivos compartidos a los que accede personal que no participa en el proceso.
Lo más adecuado es establecer un canal claro de recepción de candidaturas. Puede ser un correo específico de empleo, un formulario web o una plataforma de selección. Esto facilita el control de la información y reduce el riesgo de accesos indebidos.
Si los currículums se reciben por correo electrónico, la empresa puede responder al candidato con la información de protección de datos correspondiente o enlazar a la política de privacidad aplicable al proceso de selección. También es recomendable evitar reenvíos innecesarios del CV a personas que no intervienen en la contratación.
Cuando se utilicen formularios web, deben incluir una cláusula de privacidad visible antes del envío. Si se solicita consentimiento para conservar el currículum en futuros procesos, la casilla debe ser específica, clara y no estar premarcada.
En todos los casos, la empresa debe definir quién puede acceder a los datos, dónde se almacenan, qué medidas de seguridad se aplican y cuándo deben eliminarse.
Cuánto tiempo puede conservar una empresa los CVs
Una empresa no debería conservar currículums indefinidamente. El RGPD exige que los datos se mantengan solo durante el tiempo necesario para cumplir la finalidad para la que fueron recogidos.
Si el proceso de selección ha finalizado y la persona no ha sido contratada, lo habitual es eliminar su currículum cuando ya no sea necesario. Si la empresa quiere conservarlo para futuras vacantes, debe haber informado previamente al candidato y contar con una base adecuada para hacerlo.
No existe un único plazo válido para todas las empresas, pero sí debe existir un criterio interno. Lo importante es que la organización pueda justificar por qué conserva esos datos, durante cuánto tiempo y con qué finalidad.
También conviene revisar periódicamente las bases de datos de candidatos. Guardar currículums antiguos, desactualizados o de personas que ya no tienen relación con la empresa puede generar riesgos innecesarios.
Una buena práctica es establecer un procedimiento interno que indique cuándo se eliminan los CVs, quién se encarga de hacerlo y cómo se documenta esa eliminación.
Acceso, confidencialidad y terceros en procesos de selección
Los datos de candidatos deben estar accesibles únicamente para las personas que participan en el proceso de selección. Normalmente, esto puede incluir recursos humanos, dirección o responsables del departamento que necesita cubrir el puesto.
No es adecuado que cualquier empleado pueda consultar currículums o datos personales de candidatos. La empresa debe aplicar controles de acceso y recordar a quienes intervienen en la selección su deber de confidencialidad.
También hay que prestar atención cuando participan terceros. Si una asesoría, consultora de recursos humanos, ETT, plataforma de empleo o proveedor tecnológico trata datos por cuenta de la empresa, puede ser necesario formalizar un contrato de encargo de tratamiento.
En cambio, si ese tercero decide sus propios fines y medios del tratamiento, podría actuar como responsable independiente. Por eso, antes de compartir datos de candidatos, conviene revisar qué papel tiene cada parte y qué garantías se aplican.
Otro punto delicado es el uso de redes sociales. Que un perfil esté publicado en internet no significa que la empresa pueda utilizar cualquier información personal del candidato. La revisión de redes debe ser proporcional, estar relacionada con el puesto y evitar datos que no tengan relevancia profesional.
Errores frecuentes en la gestión de datos de candidatos
Muchas empresas incumplen la normativa no por mala fe, sino por falta de procedimientos claros. Algunos errores habituales en la protección de datos en procesos de selección son:
- conservar currículums indefinidamente
- no informar al candidato sobre el tratamiento de sus datos
- pedir más datos de los necesarios
- guardar CVs en carpetas sin control de acceso
- reenviar candidaturas por canales no seguros
- compartir currículums con terceros sin revisar la relación jurídica
- conservar datos de candidatos descartados sin justificación
- utilizar CVs para finalidades diferentes a la selección
- revisar redes sociales sin criterio ni proporcionalidad
- no incluir el proceso de selección en la documentación interna de protección de datos
Estos errores pueden derivar en reclamaciones, pérdida de confianza y posibles sanciones. Además, transmiten una imagen poco profesional a personas que están interesadas en trabajar en la empresa.
Cómo adaptar la selección de personal al RGPD
Para cumplir correctamente, la empresa no necesita un procedimiento complejo, pero sí debe tener unas pautas claras. Lo primero es identificar cómo recibe candidaturas y qué datos trata en cada fase del proceso.
Después, debe incorporar cláusulas informativas en ofertas, formularios y comunicaciones con candidatos. También conviene centralizar la recepción de currículums, limitar el acceso interno y definir un plazo de conservación razonable.
Si intervienen terceros, deben revisarse contratos, plataformas y responsabilidades. Además, el tratamiento de datos de candidatos debería reflejarse en el Registro de Actividades de Tratamiento cuando corresponda.
Una adaptación básica del proceso de selección al RGPD debería incluir:
- canal definido para recibir candidaturas
- cláusula informativa para candidatos
- criterio de conservación de currículums
- control de acceso a los datos
- confidencialidad de las personas que intervienen
- revisión de terceros y encargados del tratamiento
- eliminación de datos cuando ya no sean necesarios
- documentación interna del tratamiento
La clave está en convertir la protección de datos en parte del proceso habitual de selección, no en una actuación improvisada cuando aparece una reclamación.
Protección de datos en selección de personal: una obligación clave para la empresa
La protección de datos en procesos de selección no es solo una cuestión legal. También es una forma de transmitir seriedad, transparencia y respeto hacia las personas candidatas.
Una empresa que gestiona correctamente los currículums informa desde el primer momento, recoge solo los datos necesarios, limita el acceso a la información, conserva los CVs durante un plazo justificado y elimina los datos cuando dejan de ser útiles.
Si tu empresa recibe currículums, publica ofertas de empleo o realiza entrevistas, debe revisar cómo está gestionando los datos de candidatos. Adaptar el proceso de selección al RGPD ayuda a evitar riesgos y mejora la confianza desde el primer contacto con la persona candidata.