RGPD en selección
El RGPD en selección regula el tratamiento de los datos personales de las candidaturas. Exige una finalidad y una base jurídica, información clara, datos proporcionados, seguridad y una conservación limitada a lo necesario.
El Reglamento General de Protección de Datos, aplicable desde el 25 de mayo de 2018, afecta tanto a un CV recibido por correo como a la información guardada en un ATS.
La finalidad determina la base jurídica
Tramitar una candidatura concreta y guardar un perfil para futuras vacantes son usos distintos. La base jurídica debe corresponder a lo que haces con los datos. Las medidas precontractuales pueden amparar el tratamiento necesario para atender una candidatura; no autorizan cualquier investigación sobre la persona.
La AEPD, en su guía sobre relaciones laborales, explica que al terminar el proceso sin contratación hace falta consentimiento para usos futuros, salvo que el empleador pueda demostrar un interés legítimo. No existe una regla según la cual todo tratamiento de selección necesite consentimiento, ni basta con invocar el interés legítimo sin justificarlo.
Qué datos recoger y qué información facilitar
Pide información pertinente para el puesto y limita el acceso a quienes la necesitan. Informa de quién trata los datos, con qué finalidad y base jurídica, durante cuánto tiempo o con qué criterio de conservación, y cómo ejercer los derechos.
Por ejemplo, si una candidatura llega para una vacante concreta, añadirla a una base de talento requiere evaluar ese nuevo uso y explicarlo. Que el CV esté disponible no resuelve esas obligaciones.
Cuándo dejar de conservar un perfil
El RGPD no fija un plazo general de seis o doce meses para todas las candidaturas. Define y justifica la conservación según la finalidad y las obligaciones aplicables. Distingue el uso activo para nuevas vacantes de la conservación restringida que pueda corresponder por responsabilidades legales.
Cuando la finalidad termine, aplica la supresión y, cuando proceda, el bloqueo exigido por la normativa española. Revisa también documentos descargados y copias fuera del ATS: borrar una ficha no garantiza que desaparezcan todas las copias que creó el equipo.
Derechos y decisiones automatizadas
Organiza la respuesta a las solicitudes de acceso, rectificación y supresión. El plazo general para informar de las actuaciones es de un mes, con posible prórroga en los supuestos del artículo 12.3. La supresión tiene excepciones, entre ellas las previstas para obligaciones legales o reclamaciones.
El artículo 22 limita las decisiones basadas exclusivamente en tratamientos automatizados que produzcan efectos jurídicos o similares significativos. Un sistema de criba con IA requiere examinar qué decide, cómo se usa y qué intervención humana existe.
Qué cambia al utilizar un ATS
El empleador que decide los fines y medios del tratamiento suele actuar como responsable. Cuando un proveedor trata los datos por sus instrucciones, su función es la de encargado y debe regularse conforme al artículo 28. Revisa las funciones reales y el contrato: contratar software no sustituye las decisiones sobre acceso, finalidad y conservación.