Envío de candidatos a clientes: aprobación y trazabilidad

Una agencia presenta a un director de operaciones a una empresa industrial de Valencia. El responsable de selección reenvía el currículum a otra sociedad del grupo; allí trabaja un antiguo socio del candidato, que llama a su empleador actual. La búsqueda deja de ser confidencial en minutos. Existía una vacante real. Lo que faltaba era definir quién podía recibir el expediente y con qué límites.

¿Cómo aprobar y registrar el envío de una candidatura al cliente?

Identifica la empresa destinataria, el puesto concreto, las personas que necesitan acceder y la documentación que vas a comunicar. Explica el alcance a la persona candidata, registra su conformidad operativa para ese proceso, comprueba las restricciones inmediatamente antes del envío y conserva una prueba proporcionada de quién recibió qué información y en qué momento.

Esa conformidad operativa no significa que el consentimiento sea siempre la base jurídica del tratamiento. La AEPD distingue entre una agencia que actúa por encargo de un empleador para una vacante concreta y una agencia que reúne candidatos para su propio archivo. También identifica supuestos específicos en los que una cesión a otra empresa, incluso del mismo grupo, requiere consentimiento. Determina el fundamento y los roles según cada caso.

1. Identificar si la agencia actúa como encargada o responsable

El contrato, la finalidad y quién decide el tratamiento determinan el papel de la agencia; una etiqueta comercial no basta.

La guía laboral de la AEPD describe un escenario concreto: cuando una empresa contrata previamente a una agencia para cubrir un puesto y define los fines y medios, la agencia puede actuar como encargada del tratamiento. En ese supuesto, la guía señala que el tratamiento ligado a la celebración del contrato puede apoyarse en el artículo 6.1.b del RGPD, no necesariamente en el consentimiento.

El escenario cambia cuando la agencia contacta con personas antes de disponer de ofertas concretas y organiza su propia base de candidatos. Entonces puede actuar como responsable respecto de ese tratamiento y debe identificar una base adecuada, informar de sus fines y establecer los límites de uso. Una misma organización puede asumir papeles distintos según la actividad y el mandato.

Revisa las instrucciones, el acuerdo aplicable, la política de conservación y las decisiones reales. No declares que el cliente es siempre responsable exclusivo ni que el proveedor tecnológico asume automáticamente la responsabilidad de la agencia. Si existe corresponsabilidad, tratamiento por cuenta ajena o un cambio de finalidad, solicita una valoración adaptada.

2. Concretar empresa, vacante y destinatarios reales

La presentación se autoriza para una entidad y un proceso determinados; no equivale a difundir el CV entre todos los contactos comerciales.

Registra la razón social, el puesto, el interlocutor y la relación con el mandato. Diferencia la empresa matriz, las filiales, un proveedor externo y un inversor. Aunque compartan marca o dirección, pueden ser destinatarios distintos. La AEPD advierte que cuando una empresa cede el currículum de una persona candidata a otra empresa para una vacante diferente, incluso dentro del mismo grupo, puede ser necesario obtener su consentimiento.

Aclara qué personas necesitan ver la candidatura: selección, dirección de área o responsables directamente involucrados. La información no debe circular por un grupo amplio de correo, una carpeta accesible para toda la plantilla o una lista de posibles clientes. Pregunta también si el cliente pretende remitirla a otra entidad antes de considerar el envío inicial cerrado.

En búsquedas confidenciales, explica primero el sector, el nivel del puesto, la ubicación y el motivo de reserva. Una ficha realmente anonimizada puede servir para una exploración inicial; la comunicación de datos identificables exige revisar la información facilitada, el destinatario y el fundamento pertinente. Cambiar el nombre por iniciales no impide la identificación en un mercado pequeño.

• Entidad jurídica y contacto autorizados para el proceso
• Vacante, finalidad y fase exacta de selección
• Formato del dossier y datos que pueden compartirse
• Filiales, empleador actual y destinatarios excluidos

3. Separar aprobación operativa, información y consentimiento

El permiso para presentar un perfil concreta expectativas comerciales; la base jurídica se analiza de forma independiente.

Una candidata puede responder que acepta ser presentada para una dirección financiera en Barcelona, pero no a la sociedad matriz ni a su empleador actual. Esa respuesta ayuda a delimitar el mandato y evitar daños profesionales. No convierte automáticamente el tratamiento en consentimiento conforme al artículo 6.1.a ni elimina la obligación de informar sobre responsable, finalidad, destinatarios y derechos.

Cuando la base adecuada sea el contrato o el interés legítimo, explica el contexto y documenta la necesidad correspondiente. Cuando la situación requiera consentimiento, comprueba que es específico, informado, libre y que puede retirarse en los términos aplicables. Una casilla genérica y obligatoria para cualquier empresa no resuelve una cesión concreta cuya finalidad el candidato desconoce.

Registra la respuesta en lenguaje claro y vinculada al proceso. Una nota de llamada fiel, un correo o un mensaje pueden ser suficientes según el riesgo y las obligaciones del caso. No confundas ausencia de respuesta con aprobación ni amplíes unilateralmente una autorización a nuevas sociedades, documentos o puestos.

Una respuesta comercial afirmativa ayuda a trabajar bien. No sustituye por sí sola el análisis jurídico del tratamiento.

4. Preparar un expediente limitado y actualizado

La empresa recibe los datos necesarios para evaluar el puesto, no todo el historial que existe en el CRM.

Para una primera revisión puede bastar una síntesis de experiencia, sector, responsabilidades y disponibilidad. Evita enviar automáticamente dirección particular, documento de identidad, fecha de nacimiento, teléfono privado o notas internas. Un cliente no necesita acceder a conversaciones personales, procesos anteriores o valoraciones de otros consultores solo porque figuran en la ficha.

Revisa con especial cuidado datos de salud, afiliación sindical, creencias, origen, orientación sexual, circunstancias familiares y cualquier información susceptible de generar discriminación. Que una persona haya mencionado voluntariamente una circunstancia no autoriza a redistribuirla sin una finalidad y una base apropiadas. La AEPD recuerda que únicamente deben solicitarse datos relevantes para desempeñar el puesto.

Comprueba también la vigencia del documento. Un currículum antiguo puede revelar una empresa actual que la persona pidió mantener reservada o incluir una expectativa económica que ya no es correcta. Registra la versión presentada y explica qué información todavía debe validarse antes de compartirla.

5. Implantar un control previo por candidatura y cliente

El estado de aprobación pertenece a una vacante concreta; una etiqueta general de candidato activo no autoriza cualquier envío.

Define estados comprensibles: preparación, respuesta pendiente, presentación aprobada, restricción activa, envío realizado y retirada comunicada. La misma persona puede aprobar una vacante en Sevilla, rechazar otra en Madrid y prohibir cualquier contacto con una filial determinada. Esas decisiones tienen que aparecer en el proceso correspondiente.

Antes de compartir el perfil, compara empresa, destinatario, puesto, versión del documento y condiciones registradas. Comprueba si existe una oposición, una solicitud de supresión, una limitación o un cambio reciente en la relación profesional. La fecha de la aprobación importa, pero no inventes caducidades legales universales: revisa si el contexto y las expectativas siguen siendo válidos.

Reserva intervención humana para los cambios delicados. Una adquisición empresarial, una dirección equivocada, un nuevo evaluador o una vacante diferente pueden requerir detener la acción. El software de reclutamiento ayuda a ordenar estas comprobaciones; la agencia sigue siendo responsable de las decisiones que le corresponden.

1. Abrir el proceso vinculado a la vacante y a la empresa.
2. Contrastar la conformidad y las exclusiones del candidato.
3. Revisar versión, destinatario y datos realmente necesarios.
4. Registrar el envío o suspenderlo hasta aclarar la incidencia.

6. Registrar el envío sin crear archivos innecesarios

Una evidencia útil identifica la operación realizada y permite responder a preguntas sin duplicar indefinidamente la documentación.

Anota el candidato, el mandato, la entidad destinataria, el usuario que realizó la presentación, la fecha, el formato y la versión del expediente. Si el contacto estaba condicionado a una restricción, deja visible esa condición. El objetivo es poder explicar la operación a la persona interesada, al cliente y al equipo encargado de protección de datos cuando corresponda.

Selecciona un canal adecuado a la sensibilidad del proceso. Un acceso restringido, una comunicación cifrada o un portal de cliente pueden resultar apropiados según las capacidades reales y las medidas acordadas. Ningún canal debe presentarse como garantía absoluta contra descargas, copias o reenvíos si esos riesgos siguen existiendo.

Evita guardar copias completas del mismo CV en correos, carpetas compartidas y hojas de cálculo únicamente para demostrar que se envió. Una referencia al documento y al evento puede cumplir mejor el principio de minimización. Define quién accede al registro y durante cuánto tiempo debe conservarse en función del tratamiento.

7. Gestionar negativas, cambios de opinión y cesiones posteriores

Cuando la persona rechaza un destinatario, la agencia bloquea nuevos envíos y revisa lo que ya se comunicó.

Si el candidato cambia de opinión, detén las presentaciones futuras relacionadas y localiza a las personas que recibieron el expediente. Comunica la situación al cliente cuando proceda, revisa el fundamento jurídico y determina si corresponde suprimir, restringir, devolver o conservar cierta información por una obligación aplicable. No prometas que un envío anterior desaparece retroactivamente.

Distingue la retirada de un consentimiento realmente utilizado, el ejercicio del derecho de oposición, una solicitud de supresión y una mera modificación comercial del mandato. Sus efectos no son idénticos. Si existen reclamaciones, obligaciones de conservación o desacuerdos entre responsables, consulta con la persona competente antes de responder.

Cuando el cliente quiere presentar el CV a otra empresa, incluso dentro de su grupo, no des por hecho que el envío original cubre ese uso. La AEPD identifica expresamente la necesidad de consentimiento en determinados supuestos de cesión entre empresas. Analiza la nueva finalidad y no continúes hasta aclarar la información, el destinatario y la base adecuada.

8. Responder a un destinatario erróneo o una divulgación inesperada

Una dirección equivocada exige contención y evaluación rápida, no una corrección silenciosa en el CRM.

Si el dossier llegó a la empresa incorrecta, interrumpe el acceso disponible, solicita devolución o eliminación y registra quién pudo verlo. Comprueba si existían datos especialmente sensibles, si el candidato estaba empleado y si la divulgación puede causar un perjuicio profesional. Esa información permitirá evaluar el riesgo de manera concreta.

La necesidad de notificar una violación o informar a la persona afectada depende de los hechos y de las obligaciones aplicables. Activa el procedimiento interno, coordina la respuesta con el cliente y documenta las decisiones. Un registro de envíos bien mantenido no elimina el incidente, pero facilita saber qué sucedió y cómo limitar sus consecuencias.

Registro mínimo para presentar candidatos a un cliente

La información debe ser suficiente para reconstruir la decisión sin convertir el registro en otro repositorio indiscriminado de currículums.

Lo que una aprobación registrada no soluciona

Una nota en el ATS no convierte en legítima una finalidad excesiva, una comunicación no informada o una cesión a una empresa distinta. Tampoco sustituye la revisión del contrato, de los roles de tratamiento ni de la base jurídica correspondiente.

Ninguna herramienta puede garantizar que un destinatario no copie un archivo ya descargado. La agencia necesita medidas organizativas, instrucciones claras, gestión de incidentes y criterio humano para aplicar los derechos y las obligaciones pertinentes.

Preguntas frecuentes sobre envío de candidaturas a clientes

Estas respuestas distinguen los permisos operativos de las obligaciones concretas que pueden surgir según el proceso de selección.

¿El consentimiento siempre es obligatorio para enviar un currículum?

No. La AEPD describe supuestos de selección para una vacante concreta en los que puede aplicarse el artículo 6.1.b y la agencia actuar como encargada. Otros usos, incluidas determinadas cesiones entre empresas, pueden requerir consentimiento. Analiza cada finalidad y cada rol.

¿Una autorización para una empresa cubre automáticamente sus filiales?

No. Las entidades del mismo grupo pueden ser destinatarios distintos. La AEPD indica que la cesión del currículum a otra empresa para una vacante diferente puede requerir el consentimiento de la persona candidata.

¿Puedo presentar un perfil si todavía no revelo el nombre del cliente?

Solo si el tratamiento y la información facilitada permiten una evaluación adecuada. Una ficha realmente anonimizada puede ayudar en una fase inicial, pero un documento identificable exige revisar destinatarios, finalidad, expectativas y base jurídica.

¿Qué hago cuando el candidato retira su aprobación después del envío?

Bloquea nuevas comunicaciones, identifica los destinatarios previos y revisa si corresponde informar al cliente, limitar o suprimir datos. La respuesta concreta depende de la base jurídica, del derecho ejercido y de las obligaciones que sigan vigentes.

Fuentes oficiales sobre selección, cesiones e información

La guía de la AEPD distingue expresamente agencia encargada, agencia responsable y determinados envíos entre empresas del mismo grupo.

• AEPD — La protección de datos en las relaciones laborales
• AEPD — Derecho de información y destinatarios de los datos
• EUR-Lex — Reglamento General de Protección de Datos

Conectar candidatos, empresas y presentaciones

Explorar el intercambio de información con clientes · Organizar relaciones y decisiones del candidato · Verificar referencias respetando las restricciones · Revisar los procesos de búsqueda ejecutiva