Protección de datos personales en la contratación y principios básicos
Los departamentos de recursos humanos son una de las unidades que procesan los datos personales más intensos y sensibles de una empresa. En el proceso que va desde la publicación de la oferta de trabajo hasta la fase de entrevistas, las pruebas técnicas y los controles de referencias, se registran el nombre, apellidos, datos de contacto, historial educativo, declaraciones de salud y evaluaciones de referencias de cientos de candidatos.
El RGPD (Reglamento General de Protección de Datos) prohíbe de forma tajante la recopilación aleatoria de datos personales y su conservación en archivos por períodos ilimitados. En particular, retener los currículums de los candidatos rechazados en el proceso de selección durante años afirmando que se guardan en la base de datos "para posibles vacantes futuras" es una de las infracciones que con mayor frecuencia sanciona la AEPD (Agencia Española de Protección de Datos).
En este artículo, examinamos los períodos de conservación legal, las normas de destrucción periódica y las medidas técnicas y organizativas que deben adoptar las empresas para los datos de los candidatos, los currículums y los informes de control de referencias de acuerdo con los principios del RGPD.
RGPD Art. 5 y 17: Limitación de la finalidad y obligación de eliminación
El artículo 5 del RGPD establece los principios generales que deben cumplirse obligatoriamente en el tratamiento de datos personales. Entre estos principios destacan:
- Tratados con fines determinados, explícitos y legítimos
- Adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados
- Mantenidos de forma que se permita la identificación de los interesados durante no más tiempo del necesario para los fines del tratamiento de los datos personales
Por su parte, el artículo 17 del Reglamento establece claramente que los datos personales deben ser suprimidos, destruidos o anonimizados por el responsable del tratamiento de oficio o a petición del interesado, en caso de que desaparezcan los motivos que requieran su tratamiento.
La norma jurídica fundamental aquí es: No se pueden conservar datos de forma indefinida. Un dato solo puede conservarse durante el tiempo mínimo necesario para cumplir con la finalidad para la que fue recopilado. Una vez cumplida la finalidad, la validez jurídica de dicho dato llega a su fin.
Tiempos de conservación para candidatos aceptados y rechazados
Los candidatos cuyos datos se recopilan en el proceso de selección se evalúan en dos grupos separados desde el punto de vista jurídico:
1. Candidatos aceptados (contratados)
El formulario de solicitud, las notas de la entrevista y los informes de control de referencias del candidato aceptado se transfieren al expediente personal del empleado. La legislación laboral nacional impone al empleador la obligación de mantener un expediente personal; el tiempo de conservación del expediente se deriva en la práctica de los plazos de prescripción generales y de los derechos de demanda del derecho laboral (por ejemplo, los plazos de prescripción en demandas por indemnización por despido/preaviso y demandas de readmisión). Por este motivo, las empresas en la práctica pueden conservar el expediente personal durante muchos años (en la práctica habitual hasta 10 años); el período de conservación concreto debe ser confirmado por el asesor legal de cada empresa.
2. Candidatos rechazados (no seleccionados)
Para los candidatos no seleccionados, la finalidad del tratamiento termina cuando la decisión de contratación para ese puesto vacante es firme. Sin embargo, el empleador tiene derecho a defenderse frente a posibles reclamaciones por discriminación, demandas por violación del principio de igualdad de trato de la legislación laboral o conflictos relacionados con la contratación.
En este marco, de acuerdo con las decisiones de la AEPD y las prácticas jurisprudenciales establecidas:
- Si no hay consentimiento explícito del candidato: Pueden conservarse desde la finalización del proceso de contratación y la notificación del rechazo de 6 meses a un máximo de 1 año. Transcurrido este plazo, los datos deben suprimirse.
- Si hay consentimiento explícito del candidato para la bolsa de talento: Si el candidato, durante la solicitud, ha dado su consentimiento libremente declarando explícitamente "Autorizo la conservación de mi currículum y mis datos para puestos adecuados en el futuro", este período puede establecerse como un máximo de 1 a 2 años. Los tiempos de conservación que superen los 2 años se consideran contrarios al principio de proporcionalidad por parte de la autoridad.
Situación legal de los datos de la persona que proporciona la referencia
Un detalle crítico que a menudo se pasa por alto en el proceso de control de referencias son los datos personales de la persona que proporciona la referencia. El nombre, cargo, institución para la que trabaja, correo electrónico del trabajo, número de teléfono y valoraciones personales sobre el candidato de la persona que sirve como referencia también son datos personales.
Aquí surge una doble responsabilidad:
A la persona que da la referencia se le debe proporcionar información obligatoriamente antes de que responda y se le debe notificar que sus datos se tratarán únicamente con el fin de evaluar la contratación del candidato en cuestión. En caso de que el candidato no sea contratado, los datos de la persona que da la referencia deben destruirse junto con los datos del candidato al final del período de conservación determinado.
¿Cómo se prepara una política de conservación y eliminación de datos personales?
Es una obligación legal para todas las empresas que tienen la obligación de registrarse en el registro de actividades de tratamiento (Art. 30) o que cumplen con los criterios de número de empleados/balance financiero, preparar una "Política de conservación y eliminación de datos personales".
Una política de destrucción específica para los procesos de recursos humanos debe incluir los siguientes apartados:
- Las razones legales y de hecho que requieren la conservación de los datos de los candidatos
- Los métodos técnicos que se aplicarán en la supresión, destrucción o anonimización de los datos
- Tiempos de destrucción periódicos (se debe realizar una destrucción periódica al menos cada 6 meses por ley)
- Las unidades y cargos responsables de los procesos de destrucción
- El registro de las operaciones de destrucción (registro de logs y acta de destrucción)
Esta política preparada debe ser accesible en la intranet o en el sistema de documentación interno de la empresa, y los equipos de contratación deben cumplir estrictamente con estas reglas.
Métodos de supresión, destrucción y anonimización
La normativa del RGPD define diferentes métodos para la eliminación de datos:
Obligación de RR. HH. ante la solicitud de supresión de datos del candidato (Art. 15-22)
Los artículos 15-22 del RGPD otorgan a los interesados el derecho a solicitar la supresión o destrucción de los datos personales que les conciernen.
Un candidato puede, después de que su solicitud de empleo haya sido rechazada o incluso mientras el proceso sigue en curso, dirigirse a la empresa y hacer la siguiente solicitud:
*"Solicito la supresión inmediata de mi currículum, las notas de mi entrevista y los registros de control de referencias que envié a su empresa."*
El empleador, como responsable del tratamiento de datos, está obligado a resolver esta solicitud en el plazo de un mes de forma gratuita y a proporcionar al candidato una respuesta motivada por escrito o en formato electrónico.
Si no existe una obligación legal para que la empresa conserve los datos (por ejemplo, una demanda en curso), la solicitud debe cumplirse inmediatamente y todos los registros de referencias y del currículum del candidato deben eliminarse del sistema. Además, si los datos de referencias se guardan en un proveedor de servicios externo, también debe transmitirse la instrucción de supresión a dicho proveedor.
Conclusión: La importancia de la automatización para la seguridad jurídica
El seguimiento de los datos de los candidatos guardados manualmente en hojas de Excel, bandejas de entrada de correo electrónico o carpetas de ordenadores locales es casi imposible. No se puede gestionar mediante procesos manuales determinar qué datos de candidatos se recopilaron hace un año, el consentimiento de quién ha expirado y qué archivo de referencias debe destruirse.
Las plataformas digitales de gestión de referencias compatibles con el RGPD como AuditCV.io realizan un seguimiento automático de los tiempos de conservación. Cuando expira el período de conservación legal determinado o el candidato retira su consentimiento ("Revoke"), el sistema elimina o anonimiza automáticamente los datos. Esta automatización es la garantía más eficaz que protege a las empresas de cuantiosas sanciones y de la pérdida de reputación.