CV e procesos de selección: canto conservar os datos do candidato e como informar correctamente

Poucos tratamentos xeran tantas dúbidas na área de Recursos Humanos como a xestión dos CV de candidatos. Canto tempo se poden conservar? Que pasa cos que non foron seleccionados? Vale o consentimento que aparece ao final do formulario de emprego? Pódense compartir CV entre empresas do grupo?

O proceso de selección é un tratamento de datos persoais con perfil propio. Quen envía un CV non é un cliente, non é un empregado e non encaixa do todo en ningunha das categorías habituais. Esta guía ordena os criterios aplicables conforme ao RGPD (Regulamento UE 2016/679), a LOPDGDD (Lei Orgánica española 3/2018) e o Estatuto dos Traballadores español.

O candidato como interesado: que datos se tratan e con que finalidade

Cando unha persoa envía un CV inícianse un tratamento de datos persoais con varias finalidades posibles, que convén separar dende o inicio:

Conservación: o prazo razoable e o principio de limitación

Non existe na normativa española un prazo legal pechado para conservar o CV dun candidato non seleccionado. O que si existe é o principio de limitación do prazo de conservación (art. 5.1.e RGPD): os datos non poden manterse máis tempo do necesario para a finalidade para a que se recolleron.

Aplicado ao proceso de selección, a regra práctica consolidada é:

• Durante o proceso activo: o CV consérvase ata o peche do proceso de selección.
• Tras o peche, sen consentimento adicional: o CV debe suprimirse ou anonimizarse nun prazo curto, salvo que exista unha razón concreta (litixio en curso polo propio proceso, por exemplo).
• Con consentimento expreso do candidato para futuras vacantes: o CV pode conservarse nunha bolsa de emprego durante un prazo razoable e proporcional. A práctica habitual e aceptada é un ou dous anos, comunicado ao candidato na cláusula informativa.
• Vencido o prazo: supresión efectiva ou, se a empresa o desexa, refresco do consentimento mediante un correo ao candidato preguntando se quere seguir na bolsa.

Conservar CV "por se acaso" durante cinco ou dez anos, ou de forma indefinida, non encaixa co principio de minimización nin coa limitación do prazo de conservación. A AEPD sancionou este patrón en varias ocasións.

Información clara: a cláusula do art. 13 RGPD aplicada ao CV

O momento de entrega da información ao candidato é o primeiro contacto: o formulario de emprego na web, o portal de candidaturas, o email de resposta automática cando se recibe un CV espontáneo. A cláusula debe conter:

• Identidade do responsable do tratamento (a empresa empregadora, con datos de contacto).
• Datos de contacto do Delegado de Protección de Datos cando exista.
• Finalidades concretas separadas: selección para esta vacante; se procede, conservación para futuras vacantes; se procede, verificación de referencias.
• Base xurídica para cada finalidade (medidas precontractuais para a selección actual; consentimento expreso para futuras vacantes).
• Destinatarios ou categorías de destinatarios: xestoría externa se intervén, ATS ou software de selección, se procede headhunters ou consultoras colaboradoras.
• Transferencias internacionais se a ferramenta de selección opera fóra do EEE.
• Prazo de conservación: durante o proceso e, se hai consentimento, durante o prazo da bolsa (1 ou 2 anos habituais).
• Dereitos do candidato e vía para exercelos.
• Dereito a reclamar ante a AEPD.

Consentimento separado para futuras vacantes: como capturalo ben

O erro máis frecuente en formularios de emprego é a casa única "Lin e acepto a política de privacidade". Iso non é consentimento para conservar o CV nunha bolsa de emprego: é información lida.

Para que o consentimento para futuras vacantes sexa válido (libre, específico, informado e inequívoco, art. 4.11 RGPD) fai falta:

• Unha casa separada, desmarcada por defecto, co texto: "Consinto que os meus datos se conserven durante [prazo, ex. 24 meses] para que se me poida considerar en futuros procesos de selección da empresa."
• Que non estea condicionada a continuar coa candidatura (o candidato pode presentarse ao posto e negarse a entrar na bolsa).
• Que sexa facilmente revogable: ligazón ou vía clara para retirar o consentimento en calquera momento.
• Que a empresa poida demostrar que o consentimento se prestou (rexistro do momento, IP, versión de cláusula asinada).

Casuística frecuente e como resolvela

CV espontáneo recibido por email

Se a empresa non ten proceso aberto e recibe un CV non solicitado, o tratamento inícianse igualmente. Boa práctica: resposta automática que entregue a cláusula informativa, pregunte se desexa ser incluído na bolsa de emprego e comunique o prazo de conservación.

CV reenviado por un empregado

Cando un empregado reenvía o CV dun coñecido á área de selección, o candidato non tivo contacto directo coa empresa. A empresa debe contactar o candidato e entregarlle a cláusula informativa antes de seguir tratando os datos.

Headhunters e consultoras externas

O headhunter actúa habitualmente como responsable independente da súa propia base de talento, pero cando recibe un encargo concreto dunha empresa-cliente e pásalle CV específicos, a empresa-cliente convértese en responsable deses datos dende a recepción. Cada parte debe informar ao candidato no seu momento. O contrato entre headhunter e empresa-cliente debe aclarar a figura.

ATS e software de selección

Cando a empresa usa un Applicant Tracking System (Workday, BambooHR, Personio, Factorial, Recruitee, Greenhouse ou outros), ese provedor é encargado do tratamento e require contrato do art. 28 RGPD con verificación de transferencias internacionais se os servidores están fóra do EEE.

Cesión a empresas do grupo

Compartir CV entre empresas do grupo non é automático. Cada entidade xurídica é responsable independente. A cesión require base xurídica propia e debe estar declarada na cláusula. Se unha empresa do grupo trata os datos por conta doutra, asínase contrato do art. 28 RGPD.

Probas técnicas e notas da entrevista

Os resultados de probas técnicas e as notas tomadas polo entrevistador forman parte do expediente de selección e trátanse coa mesma base (medidas precontractuais). As notas subxectivas requiren un coidado especial: o candidato pode exercer dereito de acceso e a empresa debe estar preparada para entregar esa información ou xustificar as restricións aplicables.

Datos sensibles e CV: o que non debe pedirse

O principio de minimización (art. 5.1.c RGPD) impide solicitar ao candidato datos que non sexan estritamente necesarios para a valoración do posto. Por defecto, no proceso de selección NON debe pedirse:

• Estado civil, cargas familiares ou situación de parella.
• Datos de saúde, salvo que o posto teña requisitos físicos legalmente establecidos e a valoración corresponda ao servizo de vixilancia da saúde, non á área de selección.
• Relixión, ideoloxía, afiliación sindical ou política.
• Orientación sexual ou identidade de xénero.
• Antecedentes penais, salvo que o posto os requira por lei (por exemplo, traballo con menores).
• Datos económicos persoais do candidato (débedas, embargos, scoring) salvo xustificación específica.

Se o CV remitido polo candidato contén voluntariamente algún destes datos, a empresa debe absterse de utilizalos na decisión e, se procede, anonimizalos no expediente.

Supresión efectiva ao peche: como se fai

Suprimir CV non é "borrar o correo e esquecer". Require un procedemento técnico que alcance a:

• Bandexa de entrada das persoas involucradas na selección.
• Cartafoles de rede e unidades compartidas onde se gardase o CV.
• ATS ou software de selección (configurando políticas de retención automática).
• Copias enviadas a managers, comité de selección ou outras áreas.
• Notas en papel ou cadernos físicos, que deben destruírse de forma segura.

A empresa profesional documenta o procedemento de supresión, define responsables e revisa periodicamente que a política se cumpre, especialmente ao pechar cada proceso de selección.

Checklist mínimo de RRHH para procesos de selección

• Formulario de emprego con cláusula informativa do art. 13 RGPD visible.
• Casa separada e desmarcada por defecto para consentimento de futuras vacantes.
• Política interna de prazos: durante o proceso, tras peche sen consentimento, en bolsa con consentimento.
• Procedemento de supresión documentado e operativo.
• Contrato do art. 28 RGPD co ATS e demais provedores de selección.
• Verificación de transferencias internacionais (Data Privacy Framework se aplica).
• Procedemento de resposta a dereitos do candidato (acceso, supresión, oposición).
• Formación ao equipo de selección sobre datos prohibidos en preguntas e notas.
• Revisión periódica da bolsa de emprego: depuración ao vencemento do prazo.

Preguntas frecuentes

Canto tempo pode conservar unha empresa o CV dun candidato non seleccionado?

Non hai prazo legal pechado. A práctica razoable é 1 ou 2 anos con consentimento expreso do candidato para futuras vacantes, debidamente informado. Sen consentimento, o CV debe suprimirse pouco despois do peche do proceso. Conservar indefinidamente non encaixa co principio de minimización.

Que base xurídica utilizo para tratar o CV dun candidato?

Medidas precontractuais (art. 6.1.b RGPD) para o proceso concreto. Consentimento expreso (art. 6.1.a RGPD) para conservar o CV con vistas a futuras vacantes. As dúas finalidades deben separarse na cláusula informativa e no formulario.

Podo compartir CV entre empresas do grupo ou con outras consultoras?

Non é automático. Cada empresa do grupo é responsable independente. A cesión require base xurídica propia e declaración expresa na cláusula. Con headhunters e consultoras externas asínase o correspondente contrato do art. 28 RGPD cando actúan por conta da empresa.

Que dereitos ten o candidato sobre o seu CV e como debo atendelos?

Acceso, rectificación, supresión, oposición, portabilidade cando aplica e reclamación ante a AEPD. A empresa dispón dun mes para responder, ampliable dous meses máis en casos complexos. A canle debe ser accesible e estar declarada na cláusula informativa.

Este contido é meramente orientativo e divulgativo; non constitúe en ningún caso asesoramento xurídico especializado. A aplicación da normativa a cada caso concreto require análise individualizada. A normativa autonómica sectorial pode ampliar ou modificar prazos e requisitos.