Cada CV que recibe contiene datos personales. Cada entrevista genera anotaciones sobre una persona. Cada base de datos de candidatos almacena información que esa persona quizás no recuerda haber entregado. El RGPD no es teoría jurídica para el reclutador — es una lista de obligaciones concretas que afectan a cada fase del proceso de selección.
La buena noticia: cumplir no requiere un departamento jurídico. Requiere entender qué datos puede recoger, durante cuánto tiempo puede conservarlos, qué tiene que comunicar a los candidatos y qué hacer cuando alguien ejerce sus derechos. Esta guía cubre exactamente eso, en términos prácticos, aplicados al contexto español.
El marco legal: RGPD + LOPDGDD + guías de la AEPD
En España, la protección de datos en reclutamiento se rige por tres capas de normativa:
El Reglamento General de Protección de Datos (RGPD), de aplicación directa en toda la Unión Europea desde mayo de 2018. Es la norma base y tiene efecto horizontal: aplica a cualquier tratamiento de datos de personas físicas en la UE.
La Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), que desarrolla y adapta el RGPD al ordenamiento jurídico español. Para el reclutamiento, tiene relevancia en aspectos como el tratamiento de datos de trabajadores y candidatos, el uso de dispositivos digitales y la videovigilancia.
Las guías y resoluciones de la AEPD (Agencia Española de Protección de Datos), el organismo supervisor en España. La AEPD ha publicado guías específicas sobre el tratamiento de datos en el ámbito laboral y en los procesos de selección que, aunque no tienen fuerza normativa directa, marcan el criterio interpretativo que aplica en sus investigaciones.
Base legal para tratar datos de candidatos: cuál usar y cuál no
El primer paso para cualquier tratamiento de datos es identificar su base legal. Para el reclutamiento, las bases legales más relevantes son tres, y la elección entre ellas tiene consecuencias prácticas.
Consentimiento (Art. 6.1.a RGPD). El candidato da permiso explícito para que se traten sus datos. Es la base que primero viene a la mente, pero no siempre es la más adecuada. El problema del consentimiento en el contexto laboral es su fragilidad: puede revocarse en cualquier momento, y la AEPD ha señalado que en una relación de desequilibrio de poder (como la relación empleador-candidato) el consentimiento puede no ser realmente libre. Para datos básicos del proceso de selección, hay opciones más robustas.
Ejecución de un contrato o medidas precontractuales (Art. 6.1.b RGPD). Cuando un candidato solicita un puesto de trabajo, está iniciando una relación precontractual. Tratar sus datos para gestionar esa solicitud —evaluar su candidatura, organizar entrevistas, comunicarle el resultado— tiene base legal en este artículo sin necesidad de consentimiento adicional. Esta es la base más sólida para los datos tratados durante el proceso de selección activo.
Interés legítimo (Art. 6.1.f RGPD). Permite tratar datos cuando existe un interés legítimo del responsable del tratamiento que prevalece sobre los derechos del interesado. Para el reclutamiento, es relevante para mantener una base de datos de candidatos después de finalizado el proceso, o para contactar candidatos pasivos. Pero requiere realizar una ponderación de intereses documentada y superar el test de balance. No es un cheque en blanco.
Qué debe comunicar a los candidatos (y cuándo)
El principio de transparencia del RGPD exige informar a los candidatos sobre el tratamiento de sus datos. No basta con tener una política de privacidad enterrada en el pie de página de la web. La información debe ser accesible, clara y en el momento adecuado.
¿Qué debe incluir esta información? Como mínimo: la identidad del responsable del tratamiento, la finalidad y base legal del tratamiento, el período de retención de los datos, los derechos del candidato y cómo ejercerlos, y si los datos van a comunicarse a terceros (por ejemplo, si es una consultora de selección y va a compartir el perfil con la empresa cliente).
Cuándo comunicarlo: en el momento de recoger los datos. Si el candidato envía su CV a través de un formulario web, la información de privacidad debe estar visible antes de que lo envíe. Si la candidatura llega por email, debería responder con la información de privacidad en el primer acuse de recibo.
Un punto específico para las consultoras de executive search o headhunting: cuando se contacta a un candidato pasivo que no ha enviado su CV, la obligación de informar sigue existiendo. La AEPD considera que en este caso la información debe facilitarse en el momento del primer contacto.
Cuánto tiempo puede guardar los datos de un candidato no seleccionado
Aquí está una de las preguntas más frecuentes, y la respuesta no es tan sencilla como "dos años".
La AEPD no ha establecido un plazo legal fijo para la conservación de datos de candidatos no seleccionados. Sin embargo, en sus resoluciones y guías ha señalado que los plazos deben estar justificados en función de la finalidad del tratamiento.
El criterio práctico que se aplica habitualmente:
- Durante el proceso de selección activo: todos los datos tratados para gestionar el proceso.
- Hasta 1-2 años después de finalizado el proceso: si existe base legal (consentimiento o interés legítimo debidamente evaluado) para mantener el perfil en una base de datos de candidatos potenciales para futuras vacantes.
- Sin plazo límite: solo si el candidato ha dado consentimiento expreso e informado para ello, y ese consentimiento se renueva periódicamente.
Lo más importante: la retención debe estar documentada en su registro de actividades de tratamiento (RAT), que es obligatorio para la mayoría de organizaciones. Si tiene una base de datos de candidatos de cinco años sin revisar, tiene un problema de cumplimiento.
Qué puede y no puede guardar en su ATS
Su ATS (sistema de seguimiento de candidatos) es un fichero de datos personales. Cada dato que almacena en él debe tener una base legal y una finalidad legítima.
Datos que puede guardar sin mayor problema: nombre, datos de contacto, historial profesional, formación académica, experiencia relevante, disponibilidad, expectativas salariales, notas sobre el proceso de selección referidas a criterios profesionales (competencias evaluadas, resultado de pruebas técnicas, feedback de entrevistas).
Datos que requieren cautela: fotografías (no son necesarias para evaluar a un candidato; si las conserva, necesita justificación), fechas de nacimiento (no deberían ser necesarias antes de la contratación), información sobre situación personal o familiar que el candidato haya mencionado en la entrevista.
Datos que directamente no debería guardar salvo en casos muy específicos: información sobre salud (es categoría especial, Art. 9 RGPD, y requiere consentimiento explícito o base legal específica), datos sobre creencias religiosas o afiliación política o sindical, información sobre antecedentes penales (solo puede tratarse en circunstancias muy concretas y con base legal explícita).
Un caso práctico frecuente: el candidato menciona en la entrevista que tiene una discapacidad. Anotar esto en el ATS sin más es problemático. Si es relevante para adaptar el proceso de selección, puede registrarlo con el consentimiento explícito del candidato para esa finalidad específica. Si no es relevante, no lo anote.
Los derechos de los candidatos: acceso, rectificación, supresión y más
El RGPD reconoce a los candidatos una serie de derechos sobre sus datos. Como responsable del tratamiento, usted tiene la obligación de facilitar el ejercicio de esos derechos en plazos concretos.
Derecho de acceso: el candidato puede solicitar información sobre qué datos suyos tiene usted, con qué finalidad, durante cuánto tiempo, y si los ha comunicado a terceros. Plazo de respuesta: 1 mes (prorrogable 2 meses más en casos complejos).
Derecho de rectificación: si los datos son inexactos o incompletos, el candidato puede pedir que se corrijan. Mismo plazo de respuesta.
Derecho de supresión ("derecho al olvido"): el candidato puede pedir que se eliminen sus datos cuando ya no sean necesarios para la finalidad para la que se recogieron, cuando retira su consentimiento (si ese era la base legal), o cuando se opone al tratamiento y no hay razón que lo justifique. La respuesta debe darse en el mismo plazo y, si procede, los datos deben eliminarse efectivamente de todos los sistemas donde estén almacenados, incluidas las copias de seguridad activas.
Derecho de oposición: el candidato puede oponerse al tratamiento basado en interés legítimo. Si un candidato al que contactó como headhunter le pide que no vuelva a contactarle y que elimine sus datos, tiene que respetarlo y documentarlo.
Derecho a la portabilidad: si el tratamiento se basa en consentimiento o ejecución de contrato y es automatizado, el candidato puede pedir recibir sus datos en un formato estructurado y legible por máquina.
Qué pasa cuando hay una brecha de seguridad
Una brecha de seguridad que afecte a datos de candidatos —un acceso no autorizado al ATS, un email enviado al destinatario equivocado con CVs adjuntos, el robo de un portátil con bases de datos— tiene un protocolo de respuesta definido por el RGPD.
Si la brecha supone un riesgo para los derechos y libertades de los afectados, debe notificarse a la AEPD en un plazo de 72 horas desde que se tiene conocimiento de ella. Si el riesgo es alto para los afectados directamente, también hay que notificárselo a ellos sin dilación indebida.
No se puede ignorar una brecha esperando que nadie se entere. La normativa exige además documentar internamente todas las brechas, incluso las que no se notifican porque el riesgo evaluado es bajo.
Sanciones de la AEPD: los números que importa conocer
El RGPD establece un régimen sancionador con dos niveles:
Infracciones menos graves: hasta 10 millones de euros o el 2% de la facturación global anual de la empresa (la cantidad mayor). Se aplican, entre otros casos, a incumplimientos de las condiciones del consentimiento o de la obligación de información a los interesados.
Infracciones más graves: hasta 20 millones de euros o el 4% de la facturación global. Se aplican a tratamientos sin base legal, incumplimiento de los principios básicos del RGPD, o vulneraciones de los derechos de los interesados.
¿La AEPD sanciona realmente a empresas de reclutamiento? Sí. La agencia ha impuesto sanciones a empresas de selección y ETT por tratamiento de datos sin base legal, retención excesiva, y falta de respuesta a solicitudes de derechos. Los importes varían según el tamaño de la empresa y la gravedad de la infracción, pero las sanciones de cuatro y cinco cifras para empresas medianas son una realidad documentada.
Lista de verificación práctica para su proceso de selección
Esto es lo que debe tener en orden en su organización de reclutamiento:
- Información de privacidad actualizada y accesible en todos los puntos de recogida de datos (formularios web, emails de respuesta automática, contratos con candidatos)
- Registro de actividades de tratamiento (RAT) con todos los procesos de reclutamiento documentados: finalidad, base legal, categorías de datos, plazos de retención, medidas de seguridad
- Política de retención implementada: revisión periódica de bases de datos de candidatos, eliminación de perfiles obsoletos
- Procedimiento para atender solicitudes de derechos: quién las recibe, quién las resuelve, cómo se documenta la respuesta
- Contratos de encargo de tratamiento con cualquier proveedor que acceda a datos de candidatos (el proveedor de su ATS, por ejemplo)
- Medidas de seguridad técnicas y organizativas: control de acceso al ATS, cifrado de dispositivos con datos de candidatos, política de contraseñas
- Protocolo de brechas de seguridad: quién lo comunica a la AEPD, en qué plazo, qué se documenta
El ATS como herramienta de cumplimiento
Un ATS bien configurado no es solo una herramienta de eficiencia operativa. Es también infraestructura de cumplimiento RGPD. La alternativa —gestionar los datos de candidatos en Excel, email y carpetas compartidas— hace prácticamente imposible cumplir con las obligaciones de trazabilidad, retención selectiva y respuesta a derechos.
¿Qué debe poder hacer su ATS desde el punto de vista del cumplimiento? Registrar cuándo se recibieron los datos de cada candidato, identificar la base legal del tratamiento por candidato, marcar y eliminar candidatos al vencer el plazo de retención, exportar los datos de un candidato en formato estructurado cuando se solicita su portabilidad, y registrar las solicitudes de derechos y sus respuestas.
La plataforma de gestión de candidatos de Yenafue diseñada con estas necesidades en mente. Incluyendo la generación de candidatos en España, donde el RGPD no es negociable.
Si sus procesos de selección tienen exposición RGPD —y si trabaja en reclutamiento en España, la tienen— dedicar tiempo a revisar la guía completa de proceso de selección y a configurar correctamente su ATS es una inversión que puede evitar problemas serios. El cumplimiento no tiene que ser complicado. Tiene que ser consistente.
¿Gestiona candidatos en España y necesita cumplir con el RGPD? Yena le ayuda a organizar su base de datos de candidatos con controles de retención, registro de bases legales y trazabilidad completa. Vea los planes — sin largo contrato, sin fees de implementación.