Protección de datos
para recursos humanos e ETTs

Si. As empresas de RRHH e ETTs tratan datos especialmente sensibles: currículos con datos persoais detallados, información laboral, datos bancarios para nóminas e, en ocasións, datos de saúde relacionados con aptitude para o traballo. Ademais, teñen unha posición complexa como responsables de candidatos e como encargadas ou corresponsables xunto ás empresas clientes.

As ETTs actúan como responsables independentes dos datos dos traballadores cedidos respecto aos tratamentos propios da relación laboral con eles (contratación, nóminas, seguridade social). A empresa usuaria que recibe aos traballadores tamén actúa como responsable dos tratamentos que realiza no seu ámbito. Esta dobre responsabilidade debe estar correctamente articulada nos contratos de posta a disposición.

Os currículos de candidatos que non foron seleccionados non deben conservarse indefinidamente. O candidato debe ser informado do prazo de conservación previsto no momento en que envía o seu currículo. Un prazo razoable sería o tempo necesario para os procesos de selección en curso e potenciais futuros de perfil similar. Transcorrido este prazo, debe solicitarse renovación do consentimento ou proceder á supresión.

Depende do tipo de proba. As avaliacións de aptitudes cognitivas ou profesionais xerais non se consideran datos de categoría especial. Pero as probas que revelen información sobre saúde mental, discapacidade ou outros aspectos da saúde son datos de categoría especial conforme ao art. 9 do RGPD, e require base xurídica específica e medidas de seguridade reforzadas.

A solicitude de datos de saúde a candidatos está suxeita a restriccións severas. A normalidade é que non poidan solicitarse datos de saúde que non sexan estritamente necesarios para determinar a aptitude para o posto concreto, e sempre con base xurídica adecuada (aptitude laboral legal, adaptacións razoables para discapacidade). A regra é a minimización: só o estritamente necesario para a finalidade lexítima.

Si. Os sistemas de seguimento de candidatos (ATS) que almacenan currículos, datos de candidatos e procesos de selección actúan como encargados de tratamento. Require contrato de encargado conforme ao art. 28 do RGPD. Para plataformas de EEUU, debe verificarse a adhesión ao Data Privacy Framework (DPF) ou a existencia doutras garantías adecuadas.

A cesión de datos de candidatos a empresas clientes para a súa avaliación en procesos de selección require base xurídica adecuada. Con carácter xeral, o candidato debe ser informado de que os seus datos serán comunicados á empresa contratante no marco do proceso de selección, e esta comunicación debe estar amparada no consentimento do candidato ou nunha base xurídica lexítima equivalente.