Pocs tractaments generen tants dubtes a l'àrea de Recursos Humans com la gestió dels CV de candidats. Quant de temps es poden conservar? Què passa amb els que no van ser seleccionats? Val el consentiment que apareix al final del formulari d'ocupació? Es poden compartir CV entre empreses del grup?
El procés de selecció és un tractament de dades personals amb perfil propi. Qui envia un CV no és un client, no és un empleat i no encaixa del tot en cap de les categories habituals. Aquesta guia ordena els criteris aplicables conforme al RGPD (Reglament UE 2016/679), la LOPDGDD (Llei Orgànica 3/2018 espanyola) i l'Estatut dels Treballadors espanyol.
El candidat com a interessat: quines dades es tracten i amb quina finalitat
Quan una persona envia un CV s'inicia un tractament de dades personals amb diverses finalitats possibles, que convé separar des de l'inici:
| Finalitat | Dades típiques | Base jurídica |
|---|---|---|
| Selecció per a la vacant | Identificatius, formació, experiència, contacte, pretensió salarial. | Mesures precontractuals (6.1.b) |
| Borsa d'ocupació / futures vacants | CV complet i perfil professional conservat. | Consentiment exprés (6.1.a) |
| Verificacions de referències | Contacte amb referències professionals facilitades. | Consentiment informat del candidat |
| Proves tècniques i entrevistes | Resultats de proves, notes internes de l'entrevistador. | Mesures precontractuals (6.1.b) |
| Comunicació d'oferta i seguiment | Dades de contacte del candidat finalista. | Mesures precontractuals (6.1.b) |
Conservació: el termini raonable i el principi de limitació
No hi ha a la normativa espanyola un termini legal tancat per conservar el CV d'un candidat no seleccionat. El que sí que existeix és el principi de limitació del termini de conservació (art. 5.1.e RGPD): les dades no es poden mantenir més temps del necessari per a la finalitat per a la qual es van recollir.
Aplicat al procés de selecció, la regla pràctica consolidada és:
- Durant el procés actiu: el CV es conserva fins al tancament del procés de selecció.
- Després del tancament, sense consentiment addicional: el CV s'ha de suprimir o anonimitzar en un termini curt, llevat que hi hagi una raó concreta (litigi en curs pel propi procés, per exemple).
- Amb consentiment exprés del candidat per a futures vacants: el CV es pot conservar en una borsa d'ocupació durant un termini raonable i proporcional. La pràctica habitual i acceptada és un o dos anys, comunicat al candidat a la clàusula informativa.
- Vençut el termini: supressió efectiva o, si l'empresa ho desitja, refresc del consentiment mitjançant un correu al candidat preguntant si vol continuar a la borsa.
Conservar CV "per si de cas" durant cinc o deu anys, o de forma indefinida, no encaixa amb el principi de minimització ni amb la limitació del termini de conservació. L'AEPD (Agència Espanyola de Protecció de Dades) ha sancionat aquest patró en diverses ocasions.
Informació clara: la clàusula de l'art. 13 RGPD aplicada al CV
El moment de lliurament de la informació al candidat és el primer contacte: el formulari d'ocupació al web, el portal de candidatures, el correu de resposta automàtica quan es rep un CV espontani. La clàusula ha de contenir:
- Identitat del responsable del tractament (l'empresa ocupadora, amb dades de contacte).
- Dades de contacte del Delegat de Protecció de Dades quan existeixi.
- Finalitats concretes separades: selecció per a aquesta vacant; si escau, conservació per a futures vacants; si escau, verificació de referències.
- Base jurídica per a cada finalitat (mesures precontractuals per a la selecció actual; consentiment exprés per a futures vacants).
- Destinataris o categories de destinataris: gestoria externa si intervé, ATS o programari de selecció, si escau headhunters o consultores col·laboradores.
- Transferències internacionals si l'eina de selecció opera fora de l'EEE.
- Termini de conservació: durant el procés i, si hi ha consentiment, durant el termini de la borsa (1 o 2 anys habituals).
- Drets del candidat i via per exercir-los.
- Dret a reclamar davant l'AEPD (Agència Espanyola de Protecció de Dades).
Consentiment separat per a futures vacants: com capturar-lo bé
L'error més freqüent en formularis d'ocupació és la casella única "He llegit i accepto la política de privacitat". Això no és consentiment per conservar el CV en una borsa d'ocupació: és informació llegida.
Perquè el consentiment per a futures vacants sigui vàlid (lliure, específic, informat i inequívoc, art. 4.11 RGPD) cal:
- Una casella separada, desmarcada per defecte, amb el text: "Consento que les meves dades es conservin durant [termini, ex. 24 mesos] perquè se'm pugui considerar en futurs processos de selecció de l'empresa."
- Que no estigui condicionada a continuar amb la candidatura (el candidat es pot presentar al lloc i negar-se a entrar a la borsa).
- Que sigui fàcilment revocable: enllaç o via clara per retirar el consentiment en qualsevol moment.
- Que l'empresa pugui demostrar que el consentiment es va prestar (registre del moment, IP, versió de clàusula signada).
"El CV d'un candidat no és un actiu permanent de l'empresa. És una dada cedida per a una decisió concreta. Quan aquesta decisió acaba, les dades també haurien d'acabar, llevat que el candidat hagi decidit el contrari de forma expressa i conscient."
Mario P. Talamillo · Soci director, Certix®
Casuística freqüent i com resoldre-la
CV espontani rebut per correu
Si l'empresa no té procés obert i rep un CV no sol·licitat, el tractament s'inicia igualment. Bona pràctica: resposta automàtica que lliuri la clàusula informativa, pregunti si vol ser inclòs a la borsa d'ocupació i comuniqui el termini de conservació.
CV reenviat per un empleat
Quan un empleat reenvia el CV d'un conegut a l'àrea de selecció, el candidat no ha tingut contacte directe amb l'empresa. L'empresa ha de contactar el candidat i lliurar-li la clàusula informativa abans de continuar tractant les dades.
Headhunters i consultores externes
El headhunter actua habitualment com a responsable independent de la seva pròpia base de talent, però quan rep un encàrrec concret d'una empresa-client i li passa CV específics, l'empresa-client es converteix en responsable d'aquestes dades des de la recepció. Cada part ha d'informar el candidat al seu moment. El contracte entre headhunter i empresa-client ha d'aclarir la figura.
ATS i programari de selecció
Quan l'empresa fa servir un Applicant Tracking System (Workday, BambooHR, Personio, Factorial, Recruitee, Greenhouse o altres), aquest proveïdor és encarregat del tractament i requereix contracte de l'art. 28 RGPD amb verificació de transferències internacionals si els servidors són fora de l'EEE.
Cessió a empreses del grup
Compartir CV entre empreses del grup no és automàtic. Cada entitat jurídica és responsable independent. La cessió requereix base jurídica pròpia i ha d'estar declarada a la clàusula. Si una empresa del grup tracta les dades per compte d'una altra, es firma contracte de l'art. 28 RGPD.
Proves tècniques i notes de l'entrevista
Els resultats de proves tècniques i les notes preses per l'entrevistador formen part de l'expedient de selecció i es tracten amb la mateixa base (mesures precontractuals). Les notes subjectives requereixen una cura especial: el candidat pot exercir dret d'accés i l'empresa ha d'estar preparada per lliurar aquesta informació o justificar les restriccions aplicables.
Dades sensibles i CV: el que no s'ha de demanar
El principi de minimització (art. 5.1.c RGPD) impedeix sol·licitar al candidat dades que no siguin estrictament necessàries per a la valoració del lloc. Per defecte, al procés de selecció NO s'ha de demanar:
- Estat civil, càrregues familiars o situació de parella.
- Dades de salut, llevat que el lloc tingui requisits físics legalment establerts i la valoració correspongui al servei de vigilància de la salut, no a l'àrea de selecció.
- Religió, ideologia, afiliació sindical o política.
- Orientació sexual o identitat de gènere.
- Antecedents penals, llevat que el lloc els requereixi per llei (per exemple, treball amb menors).
- Dades econòmiques personals del candidat (deutes, embargaments, scoring) llevat de justificació específica.
Si el CV remès pel candidat conté voluntàriament alguna d'aquestes dades, l'empresa s'ha d'abstenir d'utilitzar-les en la decisió i, si escau, anonimitzar-les a l'expedient.
Supressió efectiva al tancament: com es fa
Suprimir CV no és "esborrar el correu i oblidar". Requereix un procediment tècnic que abasti:
- Safata d'entrada de les persones involucrades a la selecció.
- Carpetes de xarxa i unitats compartides on s'hagi desat el CV.
- ATS o programari de selecció (configurant polítiques de retenció automàtica).
- Còpies enviades a managers, comitè de selecció o altres àrees.
- Notes en paper o quaderns físics, que s'han de destruir de forma segura.
L'empresa professional documenta el procediment de supressió, defineix responsables i revisa periòdicament que la política es compleix, especialment en tancar cada procés de selecció.
Checklist mínim de RRHH per a processos de selecció
- Formulari d'ocupació amb clàusula informativa de l'art. 13 RGPD visible.
- Casella separada i desmarcada per defecte per al consentiment de futures vacants.
- Política interna de terminis: durant el procés, després de tancament sense consentiment, a borsa amb consentiment.
- Procediment de supressió documentat i operatiu.
- Contracte de l'art. 28 RGPD amb l'ATS i altres proveïdors de selecció.
- Verificació de transferències internacionals (Data Privacy Framework si aplica).
- Procediment de resposta a drets del candidat (accés, supressió, oposició).
- Formació a l'equip de selecció sobre dades prohibides en preguntes i notes.
- Revisió periòdica de la borsa d'ocupació: depuració al venciment del termini.
Preguntes freqüents
Quant de temps pot conservar una empresa el CV d'un candidat no seleccionat?
No hi ha termini legal tancat. La pràctica raonable és 1 o 2 anys amb consentiment exprés del candidat per a futures vacants, degudament informat. Sense consentiment, el CV s'ha de suprimir poc després del tancament del procés. Conservar indefinidament no encaixa amb el principi de minimització.
Quina base jurídica faig servir per tractar el CV d'un candidat?
Mesures precontractuals (art. 6.1.b RGPD) per al procés concret. Consentiment exprés (art. 6.1.a RGPD) per conservar el CV amb vistes a futures vacants. Les dues finalitats s'han de separar a la clàusula informativa i al formulari.
Puc compartir CV entre empreses del grup o amb altres consultores?
No és automàtic. Cada empresa del grup és responsable independent. La cessió requereix base jurídica pròpia i declaració expressa a la clàusula. Amb headhunters i consultores externes es firma el corresponent contracte de l'art. 28 RGPD quan actuen per compte de l'empresa.
Quins drets té el candidat sobre el seu CV i com els he d'atendre?
Accés, rectificació, supressió, oposició, portabilitat quan aplica i reclamació davant l'AEPD (Agència Espanyola de Protecció de Dades). L'empresa disposa d'un mes per respondre, ampliable dos mesos més en casos complexos. El canal ha de ser accessible i estar declarat a la clàusula informativa.
Aquest contingut és merament orientatiu i divulgatiu; no constitueix en cap cas assessorament jurídic especialitzat. L'aplicació de la normativa a cada cas concret requereix anàlisi individualitzada. La normativa autonòmica sectorial pot ampliar o modificar terminis i requisits.
Vols ordenar la gestió de candidats i la borsa d'ocupació conforme al RGPD?
A Certix t'assignem un expert en protecció de dades per a RRHH. Sense intermediaris comercials, sense plantilles genèriques.
Parlar amb un expert