Con la llegada de septiembre, es habitual que empresas y despachos profesionales reciban un gran número de currículums vitae (CV), principalmente de recién graduados que buscan su primer empleo. Estos CV suelen enviarse por correo electrónico o entregarse en persona.
El tratamiento de los datos personales contenidos en un CV no siempre requiere el consentimiento del interesado. Puede legitimarse en el artículo 6.1.b) del RGPD, ya que resulta necesario para la aplicación, a petición del interesado, de medidas precontractuales o para la ejecución de un eventual contrato laboral. Alternativamente, también puede basarse en el consentimiento expreso del interesado (artículo 6.1.a del RGPD).
Derecho de información
Antes del iniciar el tratamiento de datos personales, el responsable informará al interesado sobre los siguientes extremos:
- La identidad y los datos de contacto del responsable del tratamiento y, en su caso, de su representante.
- Los datos de contacto del delegado de protección de datos, si se ha designado uno.
- La base jurídica que legitima el tratamiento.
- La finalidad del tratamiento. Cuando el responsable proyecte un tratamiento ulterior para un fin que no sea aquel para el que se recogieron los datos, proporcionará al interesado, con anterioridad a dicha actividad, información sobre ese otro fin.
- Los destinatarios o categorías de destinatarios de los datos personales.
- La intención de transferir los datos personales a un tercer país u organización internacional.
- El plazo de conservación de los datos o, si no es posible determinarlo, los criterios para fijarlo.
- La existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales, a solicitar su rectificación o supresión, a la limitación de su tratamiento, o a oponerse al mismo, así como el derecho a la portabilidad de los datos. También se le informará sobre cómo ejercitar tales derechos.
- La existencia de decisiones automatizas, incluida la elaboración de perfiles. En tales casos, se aportará al interesado información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado.
- El derecho a presentar una reclamación ante la autoridad de control (AEPD), si el interesado considera que sus datos personales no se están tratando conforme a la normativa de aplicación.
Si el CV se envió por correo electrónico, se recomienda responder al mismo correo incluyendo esta información y solicitando acuse de recibo. En caso de entrega presencial, la información debe proporcionarse en el momento y obtenerse un acuse de recibo firmado por el interesado.
Si el CV no resulta de interés, se informará al interesado de que sus datos personales no van a ser tratados y que han sido borrados o destruidos de forma segura.
La AEPD ha sancionado con multa de 2.000 € a una empresa por recopilar CV sin facilitar información sobre el tratamiento de datos personales. Haciendo clic aquí pueden acceder a la resolución.
Procesos de selección de personal
En los procesos de selección de personal está prohibido solicitar datos de categorías especiales, como aquellos que revelen el origen étnico o racial, la ideología u opiniones políticas, las convicciones religiosas o filosóficas o la afiliación sindical, tampoco datos relativos a la salud o a la vida u orientación sexual del interesado.
Tampoco puede exigirse certificado de antecedentes penales ni de delitos de naturaleza sexual, salvo casos justificados por ley. Por ejemplo, para puestos que impliquen contacto habitual con menores, es obligatorio acreditar la ausencia de condenas por delitos contra la libertad sexual mediante certificación negativa del Registro Central de Delincuentes Sexuales y de Trata de Seres Humanos, conforme al artículo 13.5 de la Ley Orgánica 1/1996 (modificada por la Ley Orgánica 8/2021 de protección integral a la infancia y la adolescencia frente a la violencia).
En las entrevistas o cuestionarios, debe informarse al interesado si las respuestas son obligatorias o voluntarias, y las consecuencias de proporcionar o no los datos, de conformidad con el artículo 13.2.e) del RGPD.
Como regla general, solo deben recabarse datos estrictamente necesarios para evaluar la idoneidad del candidato (principio de minimización). Por ejemplo: nombre y apellidos, DNI/NIE, domicilio, fecha de nacimiento, formación académica, experiencia laboral y, en su caso, discapacidad (si es relevante para adaptaciones al puesto).
Redes sociales del candidato
Aunque los perfiles en redes sociales sean públicos, el acceso y tratamiento de la información obtenida requiere una base jurídica válida (normalmente interés legítimo, debidamente ponderado). Según la AEPD, la revisión de perfiles solo se justifica si son de carácter profesional (por ejemplo, LinkedIn) y es necesaria para evaluar la idoneidad al puesto. No está legitimado el tratamiento de datos de redes de uso personal (como Facebook o Instagram).
Cuando el perfil de la red social no sea público, el empleador no está legitimado para solicitar a los candidatos «amistad», por cuanto estos podrían verse coaccionados o forzados a permitir la entrada a una cuenta de naturaleza reservada.
Conservación de datos tras el proceso de selección
Finalizado el proceso de selección de personal, desaparece la base jurídica para el tratamiento de los datos personales de aquellos candidatos no seleccionados.
Para conservarlos, por ejemplo, para futuros procesos de selección de personal, es necesario obtener el consentimiento del interesado o justificar un interés legítimo prevalente. En ausencia de una base jurídica válida, deben borrarse o destruirse de forma segura.
Por último, es recomendable tener en la empresa un modelo propio o plantilla de CV, en el que se recojan los datos personales indispensables. Recuerden la máxima de «cuantos menos datos tratemos, menor riesgo asumimos».
Pueden ampliar la información consultando la Guía práctica de la AEPD sobre la protección de datos en las relaciones laborales, que encontrarán haciendo clic aquí.
No se pierda nuestro podcast sobre el artículo
