Pocos tratamientos generan tantas dudas en el área de Recursos Humanos como la gestión de los CV de candidatos. ¿Cuánto tiempo se pueden conservar? ¿Qué pasa con los que no fueron seleccionados? ¿Vale el consentimiento que aparece al final del formulario de empleo? ¿Se pueden compartir CV entre empresas del grupo?
El proceso de selección es un tratamiento de datos personales con perfil propio. Quien envía un CV no es un cliente, no es un empleado y no encaja del todo en ninguna de las categorías habituales. Esta guía ordena los criterios aplicables conforme al RGPD (Reglamento UE 2016/679), la LOPDGDD (Ley Orgánica 3/2018) y el Estatuto de los Trabajadores.
El candidato como interesado: qué datos se tratan y con qué finalidad
Cuando una persona envía un CV se inicia un tratamiento de datos personales con varias finalidades posibles, que conviene separar desde el inicio:
| Finalidad | Datos típicos | Base jurídica |
|---|---|---|
| Selección para la vacante | Identificativos, formación, experiencia, contacto, pretensión salarial. | Medidas precontractuales (6.1.b) |
| Bolsa de empleo / futuras vacantes | CV completo y perfil profesional conservado. | Consentimiento expreso (6.1.a) |
| Verificaciones de referencias | Contacto con referencias profesionales facilitadas. | Consentimiento informado del candidato |
| Pruebas técnicas y entrevistas | Resultados de pruebas, notas internas del entrevistador. | Medidas precontractuales (6.1.b) |
| Comunicación de oferta y seguimiento | Datos de contacto del candidato finalista. | Medidas precontractuales (6.1.b) |
Conservación: el plazo razonable y el principio de limitación
No existe en la normativa española un plazo legal cerrado para conservar el CV de un candidato no seleccionado. Lo que sí existe es el principio de limitación del plazo de conservación (art. 5.1.e RGPD): los datos no pueden mantenerse más tiempo del necesario para la finalidad para la que se recogieron.
Aplicado al proceso de selección, la regla práctica consolidada es:
- Durante el proceso activo: el CV se conserva hasta el cierre del proceso de selección.
- Tras el cierre, sin consentimiento adicional: el CV debe suprimirse o anonimizarse en un plazo corto, salvo que exista una razón concreta (litigio en curso por el propio proceso, por ejemplo).
- Con consentimiento expreso del candidato para futuras vacantes: el CV puede conservarse en una bolsa de empleo durante un plazo razonable y proporcional. La práctica habitual y aceptada es uno o dos años, comunicado al candidato en la cláusula informativa.
- Vencido el plazo: supresión efectiva o, si la empresa lo desea, refresco del consentimiento mediante un correo al candidato preguntando si quiere seguir en la bolsa.
Conservar CV "por si acaso" durante cinco o diez años, o de forma indefinida, no encaja con el principio de minimización ni con la limitación del plazo de conservación. La AEPD ha sancionado este patrón en varias ocasiones.
Información clara: la cláusula del art. 13 RGPD aplicada al CV
El momento de entrega de la información al candidato es el primer contacto: el formulario de empleo en la web, el portal de candidaturas, el email de respuesta automática cuando se recibe un CV espontáneo. La cláusula debe contener:
- Identidad del responsable del tratamiento (la empresa empleadora, con datos de contacto).
- Datos de contacto del Delegado de Protección de Datos cuando exista.
- Finalidades concretas separadas: selección para esta vacante; en su caso, conservación para futuras vacantes; en su caso, verificación de referencias.
- Base jurídica para cada finalidad (medidas precontractuales para la selección actual; consentimiento expreso para futuras vacantes).
- Destinatarios o categorías de destinatarios: gestoría externa si interviene, ATS o software de selección, en su caso headhunters o consultoras colaboradoras.
- Transferencias internacionales si la herramienta de selección opera fuera del EEE.
- Plazo de conservación: durante el proceso y, si hay consentimiento, durante el plazo de la bolsa (1 o 2 años habituales).
- Derechos del candidato y vía para ejercerlos.
- Derecho a reclamar ante la AEPD.
Consentimiento separado para futuras vacantes: cómo capturarlo bien
El error más frecuente en formularios de empleo es la casilla única "He leído y acepto la política de privacidad". Eso no es consentimiento para conservar el CV en una bolsa de empleo: es información leída.
Para que el consentimiento para futuras vacantes sea válido (libre, específico, informado e inequívoco, art. 4.11 RGPD) hace falta:
- Una casilla separada, desmarcada por defecto, con el texto: "Consiento que mis datos se conserven durante [plazo, ej. 24 meses] para que se me pueda considerar en futuros procesos de selección de la empresa."
- Que no esté condicionada a continuar con la candidatura (el candidato puede presentarse al puesto y negarse a entrar en la bolsa).
- Que sea fácilmente revocable: enlace o vía clara para retirar el consentimiento en cualquier momento.
- Que la empresa pueda demostrar que el consentimiento se prestó (registro del momento, IP, versión de cláusula firmada).
"El CV de un candidato no es un activo permanente de la empresa. Es un dato cedido para una decisión concreta. Cuando esa decisión termina, los datos también deberían terminar, salvo que el candidato haya decidido lo contrario de forma expresa y consciente."
Mario P. Talamillo · Socio director, Certix®
Casuística frecuente y cómo resolverla
CV espontáneo recibido por email
Si la empresa no tiene proceso abierto y recibe un CV no solicitado, el tratamiento se inicia igualmente. Buena práctica: respuesta automática que entregue la cláusula informativa, pregunte si desea ser incluido en la bolsa de empleo y comunique el plazo de conservación.
CV reenviado por un empleado
Cuando un empleado reenvía el CV de un conocido al área de selección, el candidato no ha tenido contacto directo con la empresa. La empresa debe contactar al candidato y entregarle la cláusula informativa antes de seguir tratando los datos.
Headhunters y consultoras externas
El headhunter actúa habitualmente como responsable independiente de su propia base de talento, pero cuando recibe un encargo concreto de una empresa-cliente y le pasa CV específicos, la empresa-cliente se convierte en responsable de esos datos desde la recepción. Cada parte debe informar al candidato en su momento. El contrato entre headhunter y empresa-cliente debe aclarar la figura.
ATS y software de selección
Cuando la empresa usa un Applicant Tracking System (Workday, BambooHR, Personio, Factorial, Recruitee, Greenhouse u otros), ese proveedor es encargado del tratamiento y requiere contrato del art. 28 RGPD con verificación de transferencias internacionales si los servidores están fuera del EEE.
Cesión a empresas del grupo
Compartir CV entre empresas del grupo no es automático. Cada entidad jurídica es responsable independiente. La cesión requiere base jurídica propia y debe estar declarada en la cláusula. Si una empresa del grupo trata los datos por cuenta de otra, se firma contrato del art. 28 RGPD.
Pruebas técnicas y notas de la entrevista
Los resultados de pruebas técnicas y las notas tomadas por el entrevistador forman parte del expediente de selección y se tratan con la misma base (medidas precontractuales). Las notas subjetivas requieren un cuidado especial: el candidato puede ejercer derecho de acceso y la empresa debe estar preparada para entregar esa información o justificar las restricciones aplicables.
Datos sensibles y CV: lo que no debe pedirse
El principio de minimización (art. 5.1.c RGPD) impide solicitar al candidato datos que no sean estrictamente necesarios para la valoración del puesto. Por defecto, en el proceso de selección NO debe pedirse:
- Estado civil, cargas familiares o situación de pareja.
- Datos de salud, salvo que el puesto tenga requisitos físicos legalmente establecidos y la valoración corresponda al servicio de vigilancia de la salud, no al área de selección.
- Religión, ideología, afiliación sindical o política.
- Orientación sexual o identidad de género.
- Antecedentes penales, salvo que el puesto los requiera por ley (por ejemplo, trabajo con menores, art. 13.5 LOPI).
- Datos económicos personales del candidato (deudas, embargos, scoring) salvo justificación específica.
Si el CV remitido por el candidato contiene voluntariamente alguno de estos datos, la empresa debe abstenerse de utilizarlos en la decisión y, en su caso, anonimizarlos en el expediente.
Supresión efectiva al cierre: cómo se hace
Suprimir CV no es "borrar el correo y olvidar". Requiere un procedimiento técnico que alcance a:
- Bandeja de entrada de las personas involucradas en la selección.
- Carpetas de red y unidades compartidas donde se haya guardado el CV.
- ATS o software de selección (configurando políticas de retención automática).
- Copias enviadas a managers, comité de selección u otras áreas.
- Notas en papel o cuadernos físicos, que deben destruirse de forma segura.
La empresa profesional documenta el procedimiento de supresión, define responsables y revisa periódicamente que la política se cumple, especialmente al cerrar cada proceso de selección.
Checklist mínimo de RRHH para procesos de selección
- Formulario de empleo con cláusula informativa del art. 13 RGPD visible.
- Casilla separada y desmarcada por defecto para consentimiento de futuras vacantes.
- Política interna de plazos: durante el proceso, tras cierre sin consentimiento, en bolsa con consentimiento.
- Procedimiento de supresión documentado y operativo.
- Contrato del art. 28 RGPD con el ATS y demás proveedores de selección.
- Verificación de transferencias internacionales (Data Privacy Framework si aplica).
- Procedimiento de respuesta a derechos del candidato (acceso, supresión, oposición).
- Formación al equipo de selección sobre datos prohibidos en preguntas y notas.
- Revisión periódica de la bolsa de empleo: depuración al vencimiento del plazo.
Preguntas frecuentes
¿Cuánto tiempo puede conservar una empresa el CV de un candidato no seleccionado?
No hay plazo legal cerrado. La práctica razonable es 1 o 2 años con consentimiento expreso del candidato para futuras vacantes, debidamente informado. Sin consentimiento, el CV debe suprimirse poco después del cierre del proceso. Conservar indefinidamente no encaja con el principio de minimización.
¿Qué base jurídica utilizo para tratar el CV de un candidato?
Medidas precontractuales (art. 6.1.b RGPD) para el proceso concreto. Consentimiento expreso (art. 6.1.a RGPD) para conservar el CV con vistas a futuras vacantes. Las dos finalidades deben separarse en la cláusula informativa y en el formulario.
¿Puedo compartir CV entre empresas del grupo o con otras consultoras?
No es automático. Cada empresa del grupo es responsable independiente. La cesión requiere base jurídica propia y declaración expresa en la cláusula. Con headhunters y consultoras externas se firma el correspondiente contrato del art. 28 RGPD cuando actúan por cuenta de la empresa.
¿Qué derechos tiene el candidato sobre su CV y cómo debo atenderlos?
Acceso, rectificación, supresión, oposición, portabilidad cuando aplica y reclamación ante la AEPD. La empresa dispone de un mes para responder, ampliable dos meses más en casos complejos. El canal debe ser accesible y estar declarado en la cláusula informativa.
Este contenido es meramente orientativo y divulgativo; no constituye en ningún caso asesoramiento jurídico especializado. La aplicación de la normativa a cada caso concreto requiere análisis individualizado. La normativa autonómica sectorial puede ampliar o modificar plazos y requisitos.
¿Quieres ordenar la gestión de candidatos y la bolsa de empleo conforme al RGPD?
En Certix te asignamos un experto en protección de datos para RRHH. Sin intermediarios comerciales, sin plantillas genéricas.
Hablar con un experto