¿Qué datos de un candidato puedes tratar?
Los necesarios para valorar si la persona encaja en el puesto, y ninguno más. Ese es el principio de minimización y es el que resuelve el noventa por ciento de las dudas prácticas del RGPD en selección de personal. Antes de pedir un dato, la pregunta útil es qué decisión vas a tomar con él.
Con ese filtro, la lista razonable es corta: datos de contacto, trayectoria profesional, formación, competencias acreditadas, disponibilidad, permisos o titulaciones exigidos por el puesto y pretensión económica si la conversación llega ahí. Todo eso es proporcional a la finalidad y se justifica sin esfuerzo.
Lo que sobra también es reconocible: estado civil, número de hijos, situación familiar, nacionalidad cuando no condiciona la autorización de trabajo, religión, afiliación sindical, orientación sexual, salud y antecedentes penales salvo en los puestos en que una norma lo exija. Estas categorías tienen protección reforzada y su tratamiento en selección es difícil de justificar.
Un caso intermedio que genera dudas es la fotografía. No está prohibida, pero rara vez es necesaria para valorar la idoneidad y sí introduce sesgo en la criba. Nuestra recomendación operativa es no exigirla y no usarla como criterio, que además encaja con el trabajo a ciegas.
¿Con qué base legal tratas un currículum?
Necesitas una y tienes que poder nombrarla. Cuando la persona se inscribe en una oferta concreta, el tratamiento se ampara habitualmente en las gestiones previas a la relación contractual: ella ha dado el paso y el proceso es la finalidad. Es el caso más limpio y el más frecuente.
Cuando el currículum llega por candidatura espontánea o quieres guardarlo para vacantes futuras, la situación cambia. Ahí necesitas una base distinta, normalmente el consentimiento de la persona para esa finalidad concreta, recogido de forma clara y revocable. Guardar un currículum de forma indefinida porque llegó al buzón no es una base jurídica.
Si eres tú quien busca activamente y contactas a alguien a partir de un perfil público, el análisis es otro. Debes informar a la persona en el primer contacto de dónde has obtenido sus datos y para qué. Ese aviso de treinta palabras es obligación y además mejora la tasa de respuesta, porque explica de dónde sale el mensaje.
Escribe cuál es tu base jurídica para cada uno de estos tres supuestos y guárdalo en un documento de una página. Es lo primero que se pide cuando alguien pregunta, y tenerlo escrito convierte una reclamación en un trámite.
¿Cuánto tiempo puedes guardar un currículum?
El tiempo necesario para la finalidad, y después hay que suprimirlo o anonimizarlo. No existe un plazo único fijado por ley que valga para todos los casos, y quien te dé una cifra universal está simplificando. Lo que sí se te va a exigir es que tengas un plazo definido, escrito, informado a la persona y aplicado de verdad.
La forma práctica de resolverlo es fijar dos plazos distintos. Uno para las candidaturas ligadas a un proceso concreto, que termina cuando el proceso se cierra o poco después, salvo que necesites conservar documentación para acreditar que la selección fue no discriminatoria. Otro para la bolsa de candidaturas, con consentimiento expreso y una fecha clara.
Ese segundo plazo debe llevar aparejado un recordatorio. Si guardas currículums dos años, alguien tiene que borrarlos a los dos años. La obligación no se cumple escribiendo el plazo en la política de privacidad, se cumple ejecutándolo, y esa es la parte que falla en casi todas las empresas que revisamos.
Un consejo que ahorra disgustos: la carpeta compartida con currículums sueltos, los correos con adjuntos y las hojas de cálculo con notas de entrevistas son datos personales igual que el ATS. El inventario tiene que incluirlos. Si no sabes dónde están todos los currículums de tu empresa, no puedes cumplir ningún plazo.
¿Qué no deberías pedir ni anotar nunca?
Esta lista corta evita la mayoría de los problemas. No se pregunta, no se anota en la ficha del candidato y no se comenta en el correo interno de valoración:
- Datos de salud, diagnósticos, tratamientos o bajas anteriores. La aptitud para el puesto la determina el reconocimiento médico del servicio de prevención, y la empresa recibe la aptitud, no el diagnóstico.
- Embarazo, planes de maternidad o paternidad, situación familiar y personas a cargo.
- Religión, ideología, afiliación sindical, origen racial o étnico y orientación sexual.
- Antecedentes penales, salvo en los puestos concretos en que una norma exija una certificación específica, como el trabajo habitual con menores.
- Salario actual de la persona, que además la normativa de transparencia retributiva señala expresamente como pregunta a evitar.
- Comentarios subjetivos sobre apariencia, acento, edad aparente o vida privada en las notas del proceso. La persona tiene derecho a acceder a lo que hayas escrito sobre ella.
¿Qué pasa con tu ATS, tu agencia y tus herramientas de IA?
Cada proveedor que toca datos de candidatos tiene que estar contemplado. Si utilizas un software de reclutamiento, una agencia de selección o una herramienta de análisis de candidaturas, esas empresas tratan datos por cuenta de la tuya y hace falta el contrato que la normativa exige entre las partes, con las instrucciones y las garantías por escrito.
Comprueba dónde se alojan los datos. Si el proveedor almacena fuera del Espacio Económico Europeo, la transferencia necesita garantías adicionales. Es una pregunta de un minuto al comercial y conviene tener la respuesta por escrito antes de firmar, no en medio de una reclamación.
Con las herramientas de IA hay una precaución específica: no pegues currículums completos en servicios generales que no tengas contratados para ese uso y cuyo tratamiento de la información no conozcas. Es la brecha más habitual que estamos viendo, la comete gente con buena intención y es evitable con una norma interna de dos líneas.
Y revisa quién tiene acceso dentro de tu empresa. El responsable del área necesita ver a los finalistas de su vacante, no la base completa de candidaturas de los últimos tres años. Los permisos amplios por comodidad son la causa de la mayoría de los accesos indebidos.
¿Qué te pueden pedir los candidatos y cómo se responde?
Pueden pedir acceso a los datos que tienes sobre ellos, su rectificación, su supresión, la limitación del tratamiento y oponerse a él. También pueden pedir intervención humana si una decisión que les afecta se tomó de forma automatizada. Las solicitudes hay que atenderlas en el plazo que marca la normativa, así que necesitas un canal y una persona responsable.
El caso que más incomoda es la petición de acceso de alguien descartado, porque incluye las notas del proceso. Es la razón práctica por la que las anotaciones deben ser hechos observables y no juicios personales. Escribe lo que harías leer a la persona, porque puede que tenga que leerlo.
Prepara una respuesta tipo y guárdala. Con quién se ha compartido, cuánto tiempo se conserva, con qué base jurídica y cómo revocar el consentimiento. Contestar bien la primera vez cuesta veinte minutos; contestar mal cuesta una reclamación ante la autoridad de control.
Si tu empresa tiene delegado de protección de datos, su contacto debe aparecer en la información que das a los candidatos. Si no lo tiene, define igualmente quién responde, con nombre. Un canal sin responsable es un canal que no contesta.
Checklist para ordenarlo esta semana
Seis tareas, todas de menos de una hora, en este orden:
- Inventaria dónde hay currículums: ATS, correo, carpetas compartidas, móviles y hojas de cálculo con notas.
- Escribe la base jurídica de tus tres supuestos: oferta concreta, candidatura espontánea y búsqueda activa.
- Fija dos plazos de conservación, informa de ellos y pon un recordatorio en el calendario para ejecutarlos.
- Revisa el texto informativo que ven los candidatos al inscribirse y añade la mención al uso de herramientas automatizadas si las usas.
- Comprueba que tienes firmado el contrato correspondiente con tu ATS, tu agencia y cualquier herramienta que trate candidaturas.
- Reduce permisos: cada persona ve solo las candidaturas de sus procesos abiertos.
De dónde salen los datos de ONKLUB
Las cifras de operativa que aparecen en este artículo salen de los registros propios de ONKLUB, no de estimaciones de mercado. El proceso de referencia va de 248 perfiles evaluados a 3 decisiones entregadas, pasando por 80 señales válidas, 25 entrevistas en profundidad y 9 finalistas con valoración escrita, en un ciclo de 20 días naturales. Las cifras acumuladas de la agencia cubren de 2022 a 2026.
Qué NO demuestran estos datos: son la operativa de una agencia sobre sí misma, no una muestra representativa del mercado laboral español, y el embudo corresponde a un proceso de dificultad alta, no a la media de todos. No están auditados por un tercero independiente.
Metodología completa, desglose por fases y limitaciones en el Informe ONKLUB de talento joven, publicado bajo licencia CC BY 4.0: se puede citar y reproducir citando la fuente.