Join es un ATS, y eso nos coloca en un sitio muy concreto del RGPD: somos el encargado del tratamiento de nuestros clientes. Cada CV que un candidato sube, cada nota de entrevista, cada correo de rechazo pasa por nuestra infraestructura, y cuando algo del reglamento se tuerce, la pregunta acaba en nuestro soporte antes que en ningún despacho. Esta nota recoge lo que esa posición nos ha enseñado. Léela sabiendo de dónde viene: cobramos por el software que automatiza parte de lo que sigue, así que descuenta el interés. Los artículos del reglamento, en cambio, dicen lo que dicen se los cite quien se los cite. Y esto no es asesoramiento jurídico; para eso, un abogado. En el glosario hay un resumen de las reglas del RGPD en selección; esto es la versión contada desde dentro.
Las preguntas que nos llegan
Tres dudas se repiten más que todas las demás juntas, y las tres tienen respuesta en el texto del reglamento, no en la costumbre.
La primera: «¿necesito el consentimiento del candidato para tratar su candidatura?». No, y pedirlo es un error con consecuencias. El artículo 6.1.b del RGPD da base jurídica al tratamiento necesario para tomar medidas precontractuales a petición del interesado, y postularse a una oferta es exactamente eso: el candidato pide, con su candidatura, que evalúes un posible contrato. Apoyar el proceso de selección en el consentimiento parece más prudente y es lo contrario: el consentimiento se retira en cualquier momento, y un proceso montado sobre una base revocable se queda sin suelo a mitad de camino.
La segunda es la del formulario que pide de más. Fecha de nacimiento, foto, estado civil: campos que siguen apareciendo por defecto porque alguien copió el formulario de la empresa anterior. El artículo 5.1.c exige que los datos sean «adecuados, pertinentes y limitados a lo necesario» para la finalidad. En la criba, la finalidad es decidir si alguien encaja en un puesto; cada campo que no contribuye a esa decisión sobra, y además te expone: no puedes filtrar con sesgo sobre un dato que nunca recogiste.
La tercera: «¿cuánto tiempo guardo el CV de un candidato rechazado?». Aquí decepcionamos a todo el mundo, porque el reglamento no da una cifra. El artículo 5.1.e obliga a limitar la conservación a lo necesario para la finalidad, lo que en la práctica significa definir un plazo propio y poder justificarlo. La justificación habitual es defensiva: mientras un candidato rechazado pueda reclamar contra la decisión, conservar el expediente tiene sentido; agotado ese margen, la finalidad se agotó con él. Lo único claramente incompatible con el reglamento es la política de «guardarlo todo por si acaso», que no es un plazo sino su ausencia.
Distinto es el banco de talentos. Guardar a un finalista para futuras vacantes es una finalidad nueva, y la base precontractual del 6.1.b no la cubre: la medida precontractual terminó cuando cerraste el puesto. Ahí la norma de trabajo es el consentimiento explícito: es la única base que vale en toda la UE (la CNIL francesa, como excepción documentada, acepta hasta dos años solo con informar al candidato, que puede oponerse). Y con lo que el artículo 7.3 trae de serie: retirarlo tiene que ser tan fácil como darlo, en cualquier momento, sin afectar a lo tratado hasta entonces.
Lo que eso nos obligó a construir
Las solicitudes de derechos fueron las que más forma dieron al producto, porque traen fecha de caducidad: el artículo 12.3 obliga a responder «sin dilación indebida» y como muy tarde en un mes. Un mes parece mucho hasta que la solicitud de acceso llega en agosto, la persona que sabía dónde estaba todo ya no trabaja aquí y los datos del candidato viven en tres bandejas de correo y una hoja de cálculo.
Así que el perfil de candidato en Join lleva los derechos incorporados donde se ejercen. El estado del consentimiento se ve en la parte superior de cada perfil, no en una herramienta aparte. Una solicitud de acceso del artículo 15 se resuelve exportando el perfil con un clic, en dos formatos: JSON legible por máquina y PDF legible por humanos. Para el borrado hay dos salidas, porque las empresas necesitan las dos: la anonimización sustituye los campos personales por marcadores y conserva el registro de contratación (las estadísticas del pipeline sobreviven), y la supresión total del artículo 17 elimina el perfil entero, propagada también por las copias de seguridad. Ese último detalle no es decorativo: un borrado que revive al restaurar una copia no era un borrado.
La otra pieza es contractual. Tu empresa decide para qué se tratan los datos de candidatos y con qué medios; eso te hace responsable del tratamiento, uses la herramienta que uses. El ATS es tu encargado, y el artículo 28 fija esa relación por contrato: el encargado trata los datos «únicamente siguiendo instrucciones documentadas del responsable» y, al terminar el servicio, los suprime o los devuelve, copias incluidas. Ese contrato es el acuerdo de tratamiento de datos; el nuestro es público. Si un proveedor no te lo ofrece sin pedirlo, esa ya es la respuesta sobre el proveedor.
Lo que haríamos distinto desde el principio
Con lo aprendido respondiendo a estas situaciones durante años, esto es lo que le diríamos a cualquier equipo que contrata en la UE, y a nuestra propia versión de hace tiempo.
Define los plazos de conservación el primer día, cuando nadie los pide. El peor momento para decidir cuánto guardas es con una reclamación encima de la mesa; el mejor, cuando abres el primer puesto. Un plazo para rechazados, otro con consentimiento para el banco de talentos, y borrado automático al vencer, porque un plazo que depende de que alguien se acuerde no se cumple.
Separa el consentimiento del banco de talentos de la candidatura. Una casilla propia, sin marcar, en el momento del rechazo o del cierre del puesto, con un texto que diga cuánto tiempo y para qué. La tentación de deslizarlo en las condiciones generales produce un consentimiento que no vale nada justo cuando lo necesitas.
Documenta la base jurídica de cada tratamiento antes de que llegue la primera solicitud. No hace falta un informe: una tabla con tratamiento, base y plazo cubre a la mayoría de las pymes. El mes del artículo 12.3 encoge rápido cuando la respuesta empieza por averiguar qué datos tienes.
Y una advertencia que nos afecta directamente: ninguna herramienta te garantiza la conformidad, la nuestra tampoco. El software ejecuta decisiones (qué recoges, cuánto lo guardas, sobre qué base) que solo tu empresa puede tomar, porque la responsabilidad del artículo 28 no se traspasa con la suscripción. Lo que sí hace un buen sistema es convertir cada decisión tomada en un comportamiento automático, que es la única forma en que una política sobrevive al mes de agosto.
