Los departamentos de Recursos Humanos y Selección manejan a diario un volumen elevado de datos de carácter personal altamente sensibles. Experiencia laboral, titulación académica, dirección postal, teléfono, correo electrónico y, en ocasiones, datos relativos a discapacidad o circunstancias personales forman parte de los currículums (CV) recibidos.
Tratar esta información de forma irregular puede acarrear importantes sanciones por parte de la Agencia Española de Protección de Datos (AEPD). Desde Acorán explicamos cómo adaptar los procesos de selección a las exigencias del Reglamento General de Protección de Datos (RGPD) y la LOPDGDD, garantizando la seguridad jurídica de tu empresa sin entorpecer la captación de talento.
Canales de recepción de candidaturas y cumplimiento del RGPD
Uno de los errores más comunes consiste en admitir candidaturas por cualquier vía sin articular previamente el correspondiente deber de información (Art. 13 del RGPD). La validez legal varía sustancialmente en función del canal empleado:
-
Recepción por correo electrónico: si un candidato envía un CV espontáneo a una dirección corporativa, la empresa debe responder inmediatamente mediante un correo automatizado o de acuse de recibo. En esta respuesta se debe incluir la cláusula informativa de privacidad y solicitar su consentimiento expreso para la conservación del documento.
-
Formulario web o portal de empleo: es la vía más recomendable. El formulario debe incorporar una casilla de verificación (checkbox) desmarcada por defecto, mediante la cual el usuario acepte explícitamente la política de privacidad antes de adjuntar el archivo.
-
Recepción por WhatsApp o redes sociales: recibir currículums a través de cuentas de WhatsApp corporativas o perfiles personales de los reclutadores entraña un riesgo elevado. Si no se formaliza el deber de información por esa misma vía, la conservación del archivo constituye un tratamiento ilícito de datos.
-
Entrega en papel (mano o correo postal): aunque cada vez es menos frecuente, la entrega física exige facilitar al candidato un documento impreso con la información básica sobre protección de datos y recabar su firma presencial.
Si tu organización necesita estructurar estas vías de captación, nuestro servicio especializado de consultoría LOPD para empresas permite diseñar protocolos de recepción adaptados a las herramientas digitales de tu departamento.
¿Cuál es el plazo legal de conservación de un Currículum Vitae?
La normativa de protección de datos prohíbe conservar información personal de forma indefinida «por si surge un proceso en el futuro». El principio de limitación del plazo de conservación exige fijar un tiempo máximo razonable.
| Supuesto de Selección | Plazo Recomendado | Criterio de la AEPD y Acción Requerida |
| Candidato descartado en proceso cerrado | Máximo 1 año (salvo consentimiento expreso) | Destruir el CV finalizado el proceso, salvo que el candidato autorice por escrito conservarlo para futuras vacantes. |
| Candidatura espontánea sin vacante abierta | Máximo 1 año | Enviar cláusula informativa de forma inmediata. Si no hay interacción ni actualización en 12 meses, suprimir los datos. |
| Proceso de selección en curso | Durante la duración del proceso | Mantener la información bloqueada exclusivamente para la vacante en evaluación. |
| Actualización del currículum | Renovación del plazo (1 año adicional) | Si el candidato envía una versión actualizada, el plazo de conservación se reinicia desde la fecha de recepción. |
Transcurrido el plazo establecido sin que la empresa haya renovado el consentimiento o sin que se haya actualizado la candidatura, la información debe ser destruida de forma segura o anonimizada. Para revisar las políticas globales de retención documental de tu entidad, puedes consultar las directrices que aplicamos desde nuestra área de protección de datos corporativa.
El Deber de Información en el proceso de selección (Capas informativas)
El tratamiento de candidaturas exige transparencia total hacia el postulante. La AEPD recomienda emplear un sistema de información por capas para no saturar al usuario:
Primera Capa (Información básica o resumida)
Debe mostrarse en el momento de la recogida del CV (al pie del formulario web, en la respuesta automática de e-mail o al final de la oferta publicada). Debe especificar:
-
Responsable: identidad legal de la empresa.
-
Finalidad: gestión de la candidatura y participación en procesos de selección presentes o futuros.
-
Legitimación: aplicación de medidas precontractuales o consentimiento del interesado.
-
Destinatarios: no se cederán datos a terceros, salvo obligación legal o encargados de tratamiento.
-
Derechos: acceso, rectificación, supresión y demás derechos detallados en la política completa.
Segunda Capa (Información detallada)
Enlace directo y accesible a la política de privacidad completa de la entidad donde se desglose de forma pormenorizada el tratamiento de los datos personales.
Búsqueda de información en redes sociales y verificación de referencias
Es habitual que los reclutadores consulten los perfiles de los aspirantes en plataformas de internet. Sin embargo, el RGPD limita rigurosamente esta práctica:
-
Perfiles en redes profesionales (LinkedIn): la consulta es admisible si está estrictamente relacionada con el ámbito profesional y la evaluación de competencias para el puesto ofertado.
-
Redes sociales personales (Instagram, Facebook, TikTok): la empresa no debe rastrear ni evaluar la vida privada del candidato en perfiles de ocio, salvo que exista una justificación directa y objetiva vinculada con las funciones del cargo.
-
Solicitud de referencias a empleadores anteriores: solo es legal contactar con empresas previas si se cuenta con la autorización previa y explícita del candidato.
Sanciones frecuentes por incumplimiento en la gestión de CVs
La custodia inadecuada de candidaturas suele derivar en procedimientos sancionadores promovidos por denuncias de los propios aspirantes o por fugas de información. Las infracciones más habituales incluyen:
-
Conservar currículums en papel en carpetas no cerradas con llave o sobre mesas de trabajo accesibles a personal ajeno a Selección.
-
Enviar correos electrónicos a múltiples candidatos utilizando la casilla «Para» o «CC» en lugar de copia oculta («CCO»).
-
Mantener currículums digitales en carpetas compartidas sin restricción de accesos por roles.
-
No responder a las solicitudes de supresión de datos (derecho de olvido) ejercitadas por los candidatos.
Garantizar la confidencialidad en los procesos de selección protege el prestigio de tu marca empleadora y evita contingencias económicas. Si deseas auditar tus flujos de captación de talento o solicitar asesoramiento personalizado, contacta con el equipo de consultores de Acorán.
Preguntas frecuentes
1. ¿Cuánto tiempo se puede guardar un currículum según el RGPD?
El plazo de conservación depende de la situación del candidato. En general, un currículum puede conservarse un máximo de 1 año cuando se trata de una candidatura espontánea o de un candidato descartado, salvo que exista un consentimiento expreso para mantenerlo durante más tiempo. Si el candidato actualiza su CV, el plazo puede renovarse durante 1 año adicional. Una vez finalizado el plazo sin actualización o renovación del consentimiento, los datos deben destruirse de forma segura o anonimizarse.
2. ¿Es necesario el consentimiento para guardar un currículum?
Sí, la empresa debe contar con una base legal para tratar y conservar el currículum y, cuando la conservación se base en el consentimiento, este debe ser expreso e informado. Además, el candidato debe recibir información sobre quién es el responsable del tratamiento, la finalidad, la legitimación, los destinatarios y sus derechos.
3. ¿Enviar un currículum autoriza a la empresa a conservarlo?
No necesariamente. Enviar un currículum no permite conservarlo indefinidamente. Cuando se recibe una candidatura espontánea por correo electrónico, por ejemplo, la empresa debe informar al candidato sobre el tratamiento de sus datos y solicitar su consentimiento para conservar el CV. Si no existe interacción o actualización durante el plazo establecido, los datos deben suprimirse.
4. ¿Qué hacer con un currículum cuando termina el proceso de selección?
Cuando finaliza el proceso, si el candidato ha sido descartado, la empresa debe destruir o eliminar el currículum, salvo que el candidato haya autorizado expresamente su conservación para futuras vacantes. Los datos deben eliminarse de forma segura o anonimizarse una vez finalice el plazo de conservación aplicable.
Otros artículos de interés:
Acuerdos de confidencialidad (NDA) y teletrabajo: Cómo proteger tu secreto empresarial en remoto
Comentarios recientes