Llegamos al mes de septiembre y es habitual que las empresas y despachos profesionales reciban oleadas de currículums vitae (CV), principalmente de recién graduados que buscan un primer empleo. Muchos de esos CV se entregan en mano y otros muchos se envían por correo electrónico.
Para tratar los datos personales del interesado no siempre es necesario el consentimiento de este. Dicha actividad se puede legitimar en base al artículo 6.1.b) del RGPD, esto es, por resultar necesario para la aplicación a petición del interesado de medidas precontractuales o la intención de concluir un contrato. También se puede amparar el tratamiento en el consentimiento expreso e inequívoco del interesado en base al artículo 6.1.a) del RGPD.
Derecho de información
Antes del iniciar la actividad de tratamiento, el responsable informará a la persona candidata sobre los siguientes extremos:
- La identidad y datos de contacto del responsable del tratamiento y de su representante.
- Los datos de contacto del delegado de protección de datos, en caso de haberse nombrado.
- La base jurídica que legitima el tratamiento.
- La finalidad del tratamiento. Cuando el responsable proyecte un tratamiento ulterior para un fin que no sea aquel para el que se recogieron los datos, proporcionará al interesado, con anterioridad a dicha actividad, información sobre ese otro fin.
- Los destinatarios o categorías de destinatarios de los datos personales, en su caso.
- La intención de ceder los datos personales a terceros o transferirlos a un tercer país u organización internacional.
- El plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar dicho plazo.
- La existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales, a solicitar su rectificación o supresión, a la limitación de su tratamiento, o a oponerse al mismo, así como el derecho a la portabilidad de los datos. También se le informará sobre cómo ejercitar tales derechos.
- La existencia de decisiones automatizas, incluida la elaboración de perfiles. En tales casos, se aportará al interesado información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado.
- El derecho a presentar una reclamación ante una autoridad de control, si el interesado considera que sus datos personales no se están tratando conforme a la normativa de aplicación.
Si el CV se remitió por electrónico, se puede responder al mismo, informando al interesado sobre los extremos referidos. No olviden solicitar acuse de recibo.
Si la presentación fue presencial, el interesado puede ser informado en ese momento. Igualmente, ha de firmar un acuse de recibo de la información facilitada.
Si el CV no interesa, se informará al interesado de que sus datos personales no van a ser tratados y que han sido borrados o destruidos.
Procesos de selección de personal
Durante el proceso de selección de personal no pueden requerir datos que revelen el origen étnico o racial, la ideología u opiniones políticas, las convicciones religiosas o filosóficas o la afiliación sindical, tampoco datos relativos a la salud o a la vida u orientación sexual del interesado.
Tampoco podrán pedir certificados de antecedentes penales ni certificados de delitos de naturaleza sexual, salvo casos necesarios, por ejemplo, para trabajar con menores se exige una certificación negativa del Registro Central de delincuentes sexuales al amparo de la Ley Orgánica 1/1996, de 15 de enero, de Protección Jurídica del Menor, modificada por Ley 26/2015, de 28 de julio de Protección a la Infancia).
En el proceso de selección de personal, el candidato ha de ser informado acerca de si las respuestas que va a dar a las preguntas que se le plantean son de carácter obligatorio o voluntario, debiendo informarle de las consecuencias que puede conllevar la obtención de sus datos personales o su negativa a suministrarlos, todo ello de conformidad con el artículo 13.2.e) del RGPD.
Como regla general, se recopilarán los datos personales estrictamente necesarios para evaluar las habilidades y calificaciones de los candidatos. Por ejemplo, se pueden solicitar los siguientes datos personales: nombre y apellidos, número del documento acreditativo de identidad, domicilio, fecha de nacimiento, discapacidad, formación académica y experiencia laboral.
Redes sociales del candidato
En las entrevistas personales, no pueden preguntar al candidato sobre aspectos de su intimidad, como situación de pareja, hábitos de vida, aficiones o gustos, etc.
Muchas veces no se pregunta, directamente se ojean las redes sociales del interesado, las cuales pueden revelar mucha información personal. No obstante, deben tener en cuenta que, aunque el perfil en las redes sociales de un candidato sea de acceso público, el empleador no puede efectuar un tratamiento de los datos obtenidos por esa vía, sino cuenta para ello con una base de legitimación. La AEPD entiende que la indagación en los perfiles de redes sociales de los candidatos a un empleo sólo se justifica cuando el perfil es profesional. Así pues, el empleador podría utilizar información de redes sociales como LinkedIn para evaluar la idoneidad del candidato al puesto de trabajo, pero no estaría legitimado para revisar y tratar datos obtenidos a través de redes sociales como Facebook o Instagram destinadas a un uso más personal e íntimo.
Cuando el perfil de la red social no sea público, el empleador no está legitimado para solicitar a los candidatos «amistad», por cuanto estos podrían verse coaccionados o forzados a permitir la entrada a una cuenta de naturaleza reservada.
Finalizado el proceso de selección de personal, desaparece la base jurídica para el tratamiento de los datos personales de aquellos candidatos no seleccionados. Para tratar dichos datos con posterioridad, por ejemplo, para futuros procesos de selección de personal, es necesario recabar el consentimiento del interesado. Se podría amparar el tratamiento de los datos en el interés legítimo del empleador, pero es preferible optar por el consentimiento, que no deja lugar a dudas. A falta de base jurídica que legitime el tratamiento del CV, este deberá ser destruir o borrado.
Por último, es aconsejable tener en la empresa un modelo propio de CV, en el que se recojan los datos personales indispensables. Recuerden la máxima de «cuantos menos datos tratemos, menos riesgos asumimos».
Más información
Pueden ampliar la información consultando la Guía práctica de la AEPD sobre la protección de datos en las relaciones laborales, que encontrarán haciendo clic aquí.
—
Actualización
La AEPD impone una multa de 2.000 € a una empresa por recopilar CV sin facilitar información sobre el tratamiento de datos personales. Haciendo clic aquí pueden acceder a la resolución.
