La privacidad en CV es un aspecto esencial en los procesos de captación de talento. Desde el primer contacto con la persona candidata, la empresa actúa como responsable del tratamiento y como tal, debe cumplir estrictamente la normativa de protección de datos personales.
Cabe señalar que el tratamiento de currículums implica aplicar el RGPD y la LOPDGDD. Por tanto, cualquier desviación puede generar riesgos legales relevantes. Así, las claves fundamentales a tener en cuenta son:
- La empresa es responsable del tratamiento desde que recibe el currículum.
- Solo pueden recabarse datos adecuados, pertinentes y limitados.
- Existen límites a los plazos de conservación de los CV.
- Los CV espontáneos también están sujetos al RGPD.
- El uso de IA en selección exige garantías adicionales.
Tabla de contenidos
- ¿Cuáles son los canales adecuados de recepción para mantener la privacidad en el CV?
- ¿Cuáles son los plazos de conservación para respetar la privacidad en los CV?
- ¿Cómo cumplir con la normativa de privacidad en CV espontáneos?
- ¿Qué establece el RGPD con respecto al uso de IA en procesos de selección?
- Conclusiones
- Preguntas Frecuentes (FAQs)
- Fuentes y recursos
¿Cuáles son los canales adecuados de recepción para mantener la privacidad en el CV?
En primer lugar, la empresa debe definir canales legítimos y controlados para recibir CV. Esto resulta clave para garantizar la privacidad en el CV y cumplir el principio de responsabilidad proactiva. De este modo, los canales más habituales y que se consideran jurídicamente adecuados son, entre otros:
- Para comenzar, formularios de empleo en la web corporativa.
- Seguidamente, plataformas de empleo con contrato de encargo de tratamiento.
- También, correos electrónicos corporativos destinados a selección.
Por el contrario, no es recomendable aceptar CV por canales informales, como mensajería instantánea o redes sociales personales, salvo que exista información previa adecuada.
¿Qué información debe facilitarse en la captación de currículums?
A su vez, de acuerdo con el artículo 13 del RGPD, en la captación de currículums debe facilitarse información clara en aspectos como:
- Primero, la identidad del responsable del tratamiento.
- Segundo, la finalidad del tratamiento del CV.
- Tercero, la base jurídica aplicable.
- Cuarto, los plazos de conservación.
- Quinto, los derechos de la persona candidata.
¿Cuáles son los plazos de conservación para respetar la privacidad en los CV?
Uno de los puntos más sensibles en materia de privacidad en CV es el plazo de conservación. Así pues, la normativa no fija un periodo concreto, pero sí impone límites claros.
A tenor del artículo 5.1.e) del RGPD, los datos deben conservarse únicamente durante el tiempo necesario para la finalidad perseguida. En la práctica, las autoridades de control suelen considerar adecuado:
- Con carácter orientativo, un plazo de conservación limitado que, habitualmente, no supere un año desde la recepción del currículum.
- Posteriormente, con carácter general, se procederá a su supresión posterior salvo actualización del currículum o concurrencia de una base jurídica válida.
Por tanto, conservar CV indefinidamente podría constituir una infracción del principio de limitación del plazo.
¿Cómo cumplir con la normativa de privacidad en CV espontáneos?
Los CV espontáneos también están sujetos a las mismas exigencias legales. El hecho de que no exista una vacante abierta no exime del cumplimiento normativo. En estos casos, la empresa debe cumplir, entre otros, los siguientes extremos:
- Primero, informar a la persona candidata conforme al artículo 13 del RGPD.
- Segundo, definir una finalidad concreta y legítima.
- Tercero, establecer un plazo de conservación limitado.
Además, resulta recomendable documentar internamente estos tratamientos dentro del registro de actividades, conforme al artículo 30 del RGPD.
Limitación respecto a los datos que pueden solicitarse en un CV
El principio de minimización de datos, recogido en el artículo 5.1.c del RGPD impone límites claros sobre la información que puede solicitarse. En consecuencia, con carácter general, no deben recabarse datos pertenecientes a categorías especiales de datos. Por ejemplo, los siguientes:
- Relativos a la salud.
- Sobre ideología, religión o creencias.
- Referidos a afiliación sindical.
- Sobre orientación sexual o vida sexual.
Estos datos están especialmente protegidos conforme al artículo 9 del RGPD. Por ello, solo podrían tratarse en supuestos excepcionales, legalmente habilitados, que rara vez concurren en selección de personal.
¿Qué establece el RGPD con respecto al uso de IA en procesos de selección?
De forma creciente, las empresas utilizan herramientas basadas en inteligencia artificial para filtrar CV. No obstante, este uso plantea riesgos relevantes para la privacidad en el CV. En particular, deben considerarse algunos como los siguientes:
- Primero, el deber de transparencia reforzada.
- Segundo, la posible existencia de decisiones automatizadas.
- Tercero, el impacto en los derechos de las personas candidatas.
El artículo 22 del RGPD establece límites claros a las decisiones automatizadas que produzcan efectos jurídicos o significativos. Por ello, resulta altamente recomendable realizar un análisis jurídico previo y, en su caso, una evaluación de impacto en protección de datos, especialmente cuando el tratamiento pueda entrañar un alto riesgo para los derechos y libertades de las personas candidatas. ¡Contacta con Legal Veritas!
Conclusiones
En conclusión, la gestión de currículums exige integrar la protección de datos desde el inicio del proceso de selección. Además de ello, aplicar correctamente los principios del RGPD reduce riesgos legales y refuerza la confianza de las personas candidatas.
Por tanto, revisar canales de recepción, plazos de conservación y uso de herramientas automatizadas resulta imprescindible. Cabe señalar que una captación de talento conforme a derecho es también un elemento de reputación corporativa. De este modo, si tu empresa está en proceso de captación de nuevo talento, te recomendamos acudir a expertos en privacidad como el equipo de Legal Veritas.
Por último, se debe señalar que el presente contenido tiene carácter meramente informativo y no constituye asesoramiento jurídico. La aplicación práctica de la normativa puede variar en función de las circunstancias concretas de cada organización. Por ello, para una adecuada interpretación y aplicación de la legislación vigente en materia de protección de datos, se recomienda contar con asesoramiento legal especializado.
Preguntas Frecuentes (FAQs)
Sí, el artículo 13 del RGPD obliga a informar siempre que se recaben datos personales. Esto incluye los CV espontáneos. Por ello, la información debe facilitarse en el momento de la recogida o en un plazo razonable posterior. Además, dicha información debe ser accesible y comprensible.
Puede hacerlo, pero no de forma indefinida. Conforme al artículo 5.1.e del RGPD, la conservación debe limitarse en el tiempo. Para usos futuros, resulta necesario justificar una base jurídica válida, como el interés legítimo debidamente ponderado, o bien renovar el consentimiento o permitir la actualización del currículum. En caso contrario, debe procederse a su supresión.
Solo en casos muy excepcionales. El artículo 9 del RGPD prohíbe el tratamiento de datos de salud, salvo habilitación legal expresa. En la selección de personal, lo habitual es posponer cualquier reconocimiento médico al momento posterior a la contratación, en el marco de las obligaciones derivadas de la normativa de prevención de riesgos laborales.
Sí, pero con límites. El artículo 22 del RGPD reconoce el derecho a no ser objeto de decisiones automatizadas con efectos significativos. Por ello, deben existir garantías, intervención humana y una información previa clara sobre el funcionamiento del sistema.
Fuentes y recursos
- RGPD: Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos
- LOPDGDD: Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales
- AEPD: Adecuación al RGPD de tratamientos que incorporan Inteligencia Artificial. Una introducción.
- AEPD: La protección de datos en relaciones laborales
Diferencias entre mediador de seguros, agente exclusivo y agente vinculado
Deja una respuesta