Un candidato solicita que eliminen sus datos. La agencia borra la ficha principal y responde al correo. Días después, otra consultora vuelve a contactar desde una lista descargada y un cliente todavía puede abrir el currículum en su portal. El registro desapareció de una pantalla. La solicitud, en cambio, no se había resuelto de verdad.
¿Cómo demostrar el borrado de datos de un candidato en un ATS?
Registra la solicitud y su alcance, verifica la identidad solo cuando exista una duda razonable, localiza los sistemas afectados y comprueba si concurre alguna excepción. Retira o bloquea la información del ATS, el CRM, las listas, los documentos y los accesos activos; coordina a los proveedores y documenta el tratamiento de copias y restauraciones. Conserva únicamente una constancia proporcionada de la decisión y de su ejecución.
La AEPD recuerda que las solicitudes deben responderse normalmente en un mes, con una ampliación posible cuando la complejidad o el número de peticiones lo justifique. El derecho de supresión tiene excepciones, por ejemplo cuando existe una obligación legal o es necesario defender una reclamación. Lo que se conserve por ese motivo debe quedar separado del uso ordinario de selección.
1. Entender la solicitud y detener los usos inmediatos
La petición requiere fecha, responsable y una interpretación clara; no exige recopilar documentos de identidad de forma indiscriminada.
Anota cuándo llegó, desde qué canal y qué solicita exactamente la persona. Puede pedir la eliminación completa, la retirada de un proceso concreto, el fin de contactos comerciales o la corrección de un dato. Si escribe desde una dirección previamente asociada al expediente, valora si ya dispones de elementos suficientes antes de pedir información adicional.
Asigna el caso a una persona responsable y detén temporalmente campañas, exportaciones y presentaciones relacionadas. Informa a quienes necesitan ejecutar la solicitud, evitando reenviar el currículum completo a toda la empresa. Revisa si existen procesos abiertos y comunica únicamente lo imprescindible para impedir nuevas actuaciones mientras se analiza el alcance.
2. Encontrar todas las ubicaciones con uso real
El análisis debe abarcar los lugares donde la agencia o sus encargados todavía pueden consultar, usar o comunicar los datos.
Busca en el ATS reclutamiento, el CRM, los emails, las carpetas compartidas, los documentos adjuntos, las exportaciones, las listas de sourcing, las pruebas y el portal de cliente. Revisa también procesos antiguos y sincronizaciones con otras herramientas. Una ficha oculta para un usuario pero accesible a un reclutador mediante búsqueda global sigue formando parte del problema.
Identifica qué terceros recibieron la información y qué obligaciones de comunicación resultan aplicables. Si un cliente descargó un documento, cerrar un enlace no borra automáticamente su copia. Harán falta instrucciones, seguimiento y una distribución clara de responsabilidades. Limita las búsquedas al alcance necesario: resolver una solicitud no justifica crear nuevas copias del dossier.
- ATS, CRM y expedientes de selección
- Emails, carpetas compartidas, archivos y exports
- Clientes, portales y proveedores pertinentes
- Copias, registros técnicos y archivos sujetos a revisión
3. Distinguir supresión, bloqueo y excepciones
No todos los documentos vinculados a una persona desaparecen automáticamente: algunos pueden quedar sujetos a una obligación o a una reclamación.
La AEPD explica que el derecho de supresión no es ilimitado. Examina si conservar una parte resulta necesario para cumplir una obligación legal, formular o defender una reclamación u otra excepción aplicable. Un documento contable o una evidencia de un conflicto no debe tratarse igual que una candidatura inactiva utilizada para campañas.
En España, la normativa contempla situaciones en las que los datos se bloquean: se identifican y reservan de forma que no puedan utilizarse de manera ordinaria y queden a disposición de quienes corresponda durante el plazo pertinente. Documenta el motivo, restringe los accesos y fija una revisión. Mantener el dossier abierto a toda la agencia «por si acaso» no equivale a bloqueo.
4. Ejecutar el borrado sin que una integración lo deshaga
Primero se detienen contactos y transmisiones; después se retiran registros, archivos y accesos de los sistemas activos.
Suspende campañas, sincronizaciones y listas antes de tocar la ficha principal. A continuación, trata candidaturas, presentaciones, documentos y permisos del portal. Cuando se utilice anonimización, confirma que la persona no pueda volver a identificarse razonablemente; ocultar un nombre mientras se conserva una clave recuperable no convierte el expediente en anónimo.
Solicita a los proveedores que actúan por cuenta de la agencia la ejecución de las instrucciones pertinentes. Después prueba acciones habituales con un usuario ordinario: buscar a la persona, descargar su CV, incluirla en un mandato y enviar un mensaje. Si una integración vuelve a crear la ficha desde una lista externa, la supresión todavía no es operativamente efectiva.
- Parar comunicaciones, listas y transferencias.
- Tratar fichas, documentos, procesos y accesos activos.
- Coordinar proveedores y revisar sincronizaciones.
- Comprobar búsqueda, envío, descarga y posibles reimportaciones.
5. Revisar copias de seguridad y restauraciones
Las copias necesitan una finalidad, un ciclo y reglas que impidan que los expedientes eliminados vuelvan al uso ordinario.
Pregunta al proveedor dónde están las copias, quién accede, cuánto dura la rotación y qué ocurre ante una restauración. En algunos entornos, modificar individualmente una copia histórica puede no ser técnicamente viable sin afectar su integridad. Esa limitación no autoriza una conservación ilimitada ni permite reactivar información ya suprimida.
Define cómo se reaplican supresiones, bloqueos y oposiciones antes de volver a abrir una base restaurada. Para archivos conservados por obligación o defensa jurídica, limita accesos y distingue su finalidad de la selección. Un backup de seguridad no debe convertirse en una base comercial secundaria a la que el equipo pueda acudir cuando la ficha principal ya desapareció.
6. Conservar una evidencia mínima y protegida
La constancia debe demostrar recepción, decisión, ejecución y respuesta, sin reproducir indefinidamente el expediente eliminado.
Registra fecha, referencia, responsable, alcance, sistemas tratados, excepciones justificadas y confirmaciones pendientes. Si resulta necesario prevenir nuevas importaciones, utiliza un mecanismo proporcionado definido con la persona responsable de protección de datos. No guardes todos los currículums, notas personales y documentos en un registro accesible para toda la plantilla.
Asocia cada prueba a su finalidad y plazo. Una agencia necesita poder explicar qué hizo y cuándo, pero esa necesidad no convierte una solicitud de supresión en permiso para reconstruir todo el historial. Protege el acceso a los registros, limita los datos incluidos y revisa cuándo dejan de resultar necesarios.
Demostrar una supresión no significa conservar eternamente aquello que la persona pidió eliminar.
7. Responder con precisión y corregir el proceso
La respuesta informa de las actuaciones realizadas y de cualquier conservación justificada, evitando prometer algo que la agencia no puede verificar.
Explica si los datos se retiraron del uso de selección, si existen destinatarios o proveedores afectados y si queda alguna conservación obligatoria restringida. Cuando la complejidad permita ampliar el plazo, informa a la persona conforme a las reglas aplicables. La AEPD señala el plazo ordinario de un mes y la posibilidad de extenderlo dos meses más bajo determinadas condiciones.
Después revisa el origen del problema. Una hoja exportada sin control, una sincronización que ignora oposiciones o un portal que mantiene accesos antiguos merecen corrección. El indicador real es sencillo: después de cerrar la solicitud, nadie de la agencia vuelve a contactar a esa persona desde una copia olvidada.
Evidencia proporcionada para una solicitud de supresión
Esta estructura ayuda a documentar el tratamiento. El contenido y el plazo concretos dependen de la finalidad y de las obligaciones de la agencia.
| Fase | Comprobación necesaria | Constancia limitada |
|---|---|---|
| Recepción | Alcance, identidad razonable y persona responsable | Referencia, fecha y estado |
| Análisis | Motivo de supresión y posibles excepciones | Decisión breve y fundamento aplicable |
| Sistemas activos | Fichas, documentos, campañas y accesos tratados | Aplicaciones afectadas y hora de ejecución |
| Terceros | Clientes o proveedores instruidos cuando corresponda | Solicitud cursada y respuesta recibida |
| Copias y archivos | Rotación, acceso y reglas de restauración revisados | Política aplicable y fecha de control |
| Respuesta | Persona informada dentro del plazo correspondiente | Fecha, canal y resultado comunicado |
Cuándo intervienen excepciones y asesoramiento
El derecho de supresión admite excepciones. Una obligación legal, el ejercicio o la defensa de reclamaciones y otros supuestos previstos pueden justificar una conservación limitada y separada del uso comercial.
Las copias, los bloqueos y los plazos deben revisarse con el proveedor y la persona responsable de protección de datos. No prometas el borrado físico instantáneo de todas las copias si tu arquitectura no permite acreditarlo.
Preguntas frecuentes sobre borrado y evidencias
Estas respuestas distinguen una ejecución comprobable de la simple desaparición de una ficha en pantalla.
¿Cuánto tiempo tengo para responder a una solicitud?
El plazo general es un mes. Puede ampliarse hasta dos meses adicionales cuando la complejidad o el número de solicitudes lo justifique y se informe debidamente a la persona interesada.
¿Hay que revisar también los archivos y los emails?
Sí, cuando siguen formando parte del tratamiento para selección. El resultado concreto depende de la finalidad, las obligaciones aplicables y la posibilidad de limitar o retirar el acceso.
¿Qué significa bloquear datos en España?
En los casos que corresponda, implica identificar y reservar la información de forma que no pueda utilizarse de manera ordinaria, manteniéndola únicamente para las finalidades y plazos legalmente justificados.
¿Puede quedar una prueba de que el candidato pidió la supresión?
Puede conservarse una constancia mínima cuando resulte necesaria y proporcionada. Deben definirse finalidad, contenido, acceso y plazo sin recrear el expediente eliminado.
Fuentes oficiales españolas y europeas
Estas publicaciones describen los derechos, sus límites, los plazos y los principios generales del tratamiento.
- AEPD — Derecho de supresión
- AEPD — Ejerce tus derechos y plazos de respuesta
- BOE — LOPDGDD, artículo 32 sobre bloqueo de datos
Revisar dónde circula la información de candidatos
Examinar expedientes e historiales · Controlar presentaciones y accesos de clientes · Evitar nuevas acciones sobre perfiles restringidos · Ordenar el flujo de selección de la agencia
Haz que las decisiones de privacidad sigan al candidato
Revisa con Yena cómo organizar expedientes, preferencias y accesos para que una decisión no se pierda entre herramientas.
Conocer el CRM para reclutadores