¿Cómo cumplir con el RGPD cuando nos llega un currículum?

Cualquiera que gestiona un negocio o una empresa recibe, de cuando en cuando, un currículum, ya sea porque has abierto un proceso de selección, o porque alguien te lo entrega esporádicamente. Son situaciones que forman parte del día a día.

Todos tenemos claro qué es un currículum o CV: el documento que recoge la formación, experiencia y aptitudes profesionales de una persona. Y, por supuesto, muchos datos personales de su titular: su nombre y apellidos, su información de contacto, el lugar dónde vive y demás.

¿Ves por dónde vamos? Exacto: la recogida de un currículum implica, se mire por donde se mire, un tratamiento de datos personales sujeto a la normativa reguladora. Y, como es súper habitual y no siempre se hace del todo bien, hoy te damos algunas pautas y también respondemos dudas (y, de paso, desmontamos mitos).

El deber de información en la recogida de currículum

El RGPD es muy, muy claro en este sentido: cualquier tratamiento de datos personales -y, como ya hemos explicado, la recogida de currículum lo es- tiene que cumplir con una serie de mínimos. Entre ellos, garantizar que la persona recibe la información sobre cómo se van a tratar esos datos. En concreto, y como mínimo:

• Quién va a tratar sus datos personales como responsable
• Con qué finalidad se tratarán
• Sobre qué base jurídica se sustenta el tratamiento
• Durante cuánto tiempo se conservarán, o qué criterios se siguen para ello
• A quién se comunicarán
• Si se prevén transferencias internacionales de sus datos
• Qué derechos reconoce el RGPD sobre dicha información

Pero, ¿Cómo y de qué forma tenemos que dar toda esa información?

Por regla general, la información deben proporcionarse en el momento en que se recogen los datos personales. ¿Cómo podemos aplicar esto cuando recogemos un CV? Hay varias maneras de hacerlo:

• Formularios tipo “Trabaja con nosotros”. Son muy habituales, por ejemplo, en páginas web de empresa. Una manera de cumplir con lo descrito es incorporar la información sobre protección de datos al pie del mismo.
• Plataformas, portales o similares. Si abres un proceso selectivo en alguno de estos espacios -sea tuyo propio o de un tercero- puedes proceder de la misma forma. También es muy habitual ver ofertas, por ejemplo, en redes sociales especializadas como LinkedIn, sobre la que ya te hablamos en un post anterior.
• Recogida en mano o por correo electrónico. Si éste es tu caso, es recomendable que tengas un formulario informativo que entregues a la persona o bien que se lo envíes como respuesta, incluso automática, cuando te haga llegar su CV.

Entonces, ¿eso significa que puedo recoger currículum en mano?

Como te decíamos al inicio, aquí venimos a desmontar mitos y, desde que llegó el RGPD hace algunos años, hay uno muy extendido: el de que, por protección de datos, no se puede recoger un currículum en papel. Bueno, éste y todas sus variantes.

Y eso no es cierto: perfectamente puedes recoger un currículum en mano. Y no, no necesariamente tiene que ir en un sobre cerrado ni muchas otras cosas que se oyen por ahí, lo que sí tienes que asegurar es que cumples con el deber de informar en el momento de recibirlo. Por tanto, si alguien te entrega su currículum de manera presencial y quieres recogerlo, puedes, pero en el acto debes darle la información que ya te hemos explicado.

Esto no quiere decir que estés obligado a recoger un CV si alguien te lo quiere entregar en mano: tú eres dueño de tu negocio y decides cómo gestionarlo, por lo que si prefieres recibirlo por otra vía -o no recibirlo- puedes hacerlo.

Alguien te envía su CV y no lo quieres o no te interesa

Si no tienes activo un proceso de selección o en un determinado momento no te interesa recoger un CV, entonces no estarás tratando datos personales, por lo que no tienes que aplicar las obligaciones que hemos señalado.

Lo mismo ocurre en aquellos casos en que te llega un currículum por correo y lo eliminas sobre la marcha: no tienes que informar ni responder.

Lo que es importante que recuerdes es que siempre que conserves esa información, incluso aunque la dejes olvidada en tu bandeja de entrada o en un cajón -¡que NO debería!- sí que debes cumplir con los términos descritos.

¿Cuánto tiempo debo conservar la información de los candidatos?

No existe un plazo concreto de conservación de los datos asociados a un CV, si bien el RGPD insiste en que la información debe guardarse mientras sea necesaria para los fines de recogida.

Si estás amontonando papel y documentos sin justificación alguna, lo ideal es revisar periódicamente qué necesitas y qué no y destruir de forma efectiva aquello que ya no te hace falta.

Por si te es de utilidad, en el ámbito de la selección de personal, un plazo orientativo y muy utilizado para guardar la información es el de dos años, a contar desque que el currículum fue recibido. Transcurrido éste, mejor borrar.

Terceros intervinientes en la recogida de currículum

Hay que ser muy cuidadoso siempre que en un proceso de selección de personal intervienen terceros, para uno u otro fin.

Por ejemplo, si contratas a una empresa de selección o recurres a plataformas de búsqueda de profesionales, como comentamos anteriormente, es importante que valores bien a estos proveedores, asegurándote de que cumplen con los mínimos legales y de que tú respetas las obligaciones que la normativa impone para estos casos.

Lo mismo, si tienes en mente comunicar los datos de los candidatos a otras empresas o profesionales -algo habitual, por ejemplo, en grupos empresariales-, algo que también debe examinarse y siguiendo las pautas que marca la norma.

Éste es un tema muy extenso, complejo y que daría para otro post (o varios), pero la AEPD cuenta con una guía sobre relaciones laborales que es sencilla, útil y aclara muchas dudas.

Y, por supuesto, cuentas también con nuestras vías de contacto si necesitas atención especializada.

Consecuencias de incumplir el RGPD en el tratamiento de currículum

Como se suele decir: nunca pasa nada… hasta que pasa. Nuestra labor, como profesionales protección de datos es la de analizar los tratamientos y prever los posibles riesgos y consecuencias para evitar que repercutan negativamente en los derechos de las personas.

Volviendo al tema: ¿Qué puede pasar si no respetas los pasos que te hemos indicado? En ese caso, estarías en una situación de incumplimiento normativo, lo cual supone una infracción y puede llevar aparejada una sanción.

Por poner un ejemplo, hace un tiempo la AEPD sancionó a una empresa por no haber notificado a un candidato que habían recibido su currículum correctamente, así como por no haberle proporcionado la información que antes mencionábamos. El procedimiento terminó con una multa por cuantía de 2.000 euros.