Servicios profesionales
Protección de datos para
empresas de recursos humanos
Las empresas de RRHH y las ETT gestionan miles de expedientes de candidatos y trabajadores cedidos. Deben analizar si concurren los supuestos del art. 34 LOPDGDD para la posible designación de DPD. Los currículums, el perfilado y la cesión de datos entre empresas requieren las máximas garantías del RGPD.
art. 34
LOPDGDD — posible DPD
1 año
conservación máx. CVs
Art. 22
RGPD — decisiones automatizadas
24 h
propuesta personalizada
Retos del sector
Obligaciones generales para RRHH y ETT
Currículums y expedientes de candidatos
Los CVs son datos personales con plazos de conservación limitados. Los candidatos deben ser informados del uso de sus datos y tienen derecho a solicitar su supresión en cualquier momento.
Cesión de trabajadores (ETT)
La cesión de trabajadores implica transferir datos del trabajador a la empresa usuaria. Esta comunicación debe estar regulada contractualmente y el trabajador debe ser informado.
Perfilado y decisiones automatizadas
El uso de algoritmos, tests psicotécnicos y análisis de personalidad en la selección de candidatos está sujeto a las normas sobre decisiones automatizadas del art. 22 RGPD.
Plataformas de selección y ATS
Los sistemas de seguimiento de candidatos (ATS) que almacenan CVs y evaluaciones pueden actuar como encargados del tratamiento; conviene revisar las condiciones de cada proveedor y, si actúa como tal, formalizar el DPA correspondiente.
Redes sociales en la selección
El uso de LinkedIn y otras redes para evaluar candidatos debe respetar los principios del RGPD. Los candidatos deben ser informados de las fuentes de datos utilizadas.
Datos de empleados de clientes
Las consultoras de RRHH que acceden a datos de empleados de sus clientes para proyectos de outplacement, formación o evaluación pueden actuar como encargadas del tratamiento, dependiendo del nivel de autonomía y las condiciones de cada encargo.
Obligación legal
El DPD puede aplicar en RRHH y ETT
El art. 34 de la LOPDGDD contempla la posible obligación de designar un DPD cuando la actividad principal implique el tratamiento a gran escala de datos de empleados. Las ETT y las consultoras de RRHH que gestionan un volumen elevado de expedientes de candidatos y trabajadores deben analizar si concurren los supuestos previstos.
Incluso las consultoras más pequeñas deben valorar si su volumen y tipo de tratamiento hace recomendable —aunque no obligatoria— la designación de un DPD, especialmente cuando trabajan con datos de salud o perfiles psicológicos de candidatos.
Aunque esta es la regla general del sector, la exigencia final dependerá de la escala, volumen y tipología exacta de los tratamientos de cada entidad. Cada caso requiere un análisis individualizado.
Consultar DPD externo para mi empresaEl servicio
Qué incluye el servicio para tu empresa de RRHH
RAT
Registro de Actividades adaptado: candidatos, trabajadores cedidos, clientes empresariales y herramientas de selección.
Cláusulas informativas
Textos para candidatos, trabajadores cedidos y clientes empresariales.
Política de privacidad y aviso legal
Documentación para la web de la empresa.
Contratos de encargo
DPA para plataformas ATS, herramientas de evaluación y sistemas de gestión de nóminas.
Protocolo de brechas
Procedimiento de respuesta con notificación en 72 horas.
Atención a derechos
Procedimiento para solicitudes de candidatos, trabajadores y empleados propios.
Plataforma documental
Acceso a plataforma privada con documentos y firma electrónica.
Soporte continuo
Consultas ilimitadas. Actualización ante cambios normativos.
DPD externo
Contrato independiente. Recomendado si el análisis individualizado aconseja su designación según el art. 34 LOPDGDD.
¿Necesitas una propuesta para tu empresa de RRHH?
Cuéntanos el volumen de candidatos gestionados. Propuesta en menos de 24 horas.
FAQ
Preguntas frecuentes sobre protección de datos en RRHH
¿Las empresas de recursos humanos y ETT están obligadas a designar un DPD?
El art. 34 de la LOPDGDD contempla la posible obligación de designar un Delegado de Protección de Datos cuando el tratamiento de datos de empleados se realiza a gran escala como actividad principal. Las ETT y las consultoras de RRHH con un volumen elevado de expedientes deben analizar si concurren los supuestos previstos en dicho artículo.
¿Los currículums recibidos pueden conservarse indefinidamente en la base de datos?
No. Los currículums recibidos para una oferta concreta pueden conservarse durante el tiempo necesario para el proceso de selección y, como máximo, un año adicional para futuras vacantes similares, siempre que se informe al candidato. Más allá de ese plazo, los datos deben suprimirse. El candidato tiene derecho a solicitar la supresión de su CV en cualquier momento.
¿Puede una empresa de selección compartir el CV de un candidato con su cliente sin el consentimiento del candidato?
Solo si el candidato ha sido informado de esta posibilidad y no se ha opuesto, o si ha dado su consentimiento. Cuando un candidato se inscribe en una oferta gestionada por una consultora de RRHH, debe ser informado de que su CV puede ser remitido al cliente final. El envío masivo de CVs a empresas cliente sin base jurídica adecuada puede constituir una infracción del RGPD.
¿Los datos del proceso de selección pueden usarse para perfilar candidatos?
El perfilado de candidatos (uso de algoritmos para evaluarlos, análisis de personalidad, tests psicotécnicos) está sujeto a las disposiciones del RGPD sobre decisiones automatizadas (art. 22). Los candidatos deben ser informados del perfilado y de que no están sujetos a decisiones basadas únicamente en tratamiento automatizado sin intervención humana.
¿La empresa de RRHH puede acceder a las redes sociales de los candidatos para evaluarlos?
Solo a las partes públicas de las redes sociales profesionales (LinkedIn) y con limitaciones. Acceder a perfiles personales privados de candidatos en redes sociales sin su consentimiento, o basar decisiones de selección en datos obtenidos de las redes sociales sin informar al candidato, puede vulnerar el RGPD. El candidato debe ser informado de todas las fuentes de datos utilizadas en el proceso.
¿Los datos de los trabajadores cedidos por una ETT están sujetos al RGPD?
Sí. La cesión de trabajadores implica la transferencia de datos personales del trabajador (identidad, historial laboral, cualificaciones, datos de prevención de riesgos) entre la ETT y la empresa usuaria. Esta comunicación de datos debe estar regulada contractualmente y el trabajador debe ser informado de que sus datos serán comunicados a la empresa usuaria en el marco de la cesión.
Recursos del sector
Aprende más
Recursos humanos
CVs y procesos de selección: cuánto tiempo se pueden conservar datos de candidatos
Cómo gestionar CVs y candidatos a empleo bajo el RGPD: consentimiento informado, plazo razonable de conservación para futuras vacantes, derecho de supresión y minimización.
8 min·Leer artículo
Recursos humanos
Datos de salud en el entorno laboral: vigilancia de la salud, bajas médicas y límites
Cómo trata RRHH los datos de salud bajo el RGPD y la Ley 31/1995 PRL: vigilancia de la salud, parte de baja, separación entre certificado de aptitud y diagnóstico, acceso restringido.
8 min·Leer artículo
Herramienta gratuita
Test general de protección de datos
Comprueba en 5 minutos tu grado general de adaptación en protección de datos.
Sin email · Anónimo · Sin compromiso
Servicios profesionales
Cumplimiento RGPD
para tu empresa de RRHH.
Un experto analiza tu actividad y te propone la solución adecuada. Sin intermediarios.
Propuesta en 24 h · info@certix.es
Nota legal: Este contenido es meramente orientativo y divulgativo; no constituye en ningún caso asesoramiento especializado.