Recogida de datos personales recopilados en procesos de selección de personal

Cumplimiento de la LOPDGDD en la recogida de datos personales recopilados en procesos de selección de personal

1. Normas para el tratamiento de los datos personales recopilados en procesos de selección de personal

Es habitual que las empresas reciban currículums vitae de posibles candidatos a un puesto ofertado mediante portales de empleo, mandados por iniciativa propia de una persona a través de correo electrónico u ordinario, o incluso en algunos casos con una entrega de forma presencial. Currículums que contienen datos personales del candidato o futuro candidato (teléfono, dirección, nombre y apellidos, correo electrónico, en algunos casos incluso disponibilidades o actividades de ocio, etc.) cuyo tratamiento debe ser informado al interesado sobre aspectos como su almacenamiento, utilización, cancelación, rectificación u oposición con un consentimiento expreso del titular por escrito o, en todo caso, de manera expresa.

Por norma general es necesario crear una serie de ficheros que deben incluir la siguiente información:

• Identificación del responsable del tratamiento.
• Finalidad del tratamiento.
• Legitimación del tratamiento.
• Plazo de conservación de los datos.
• Los destinatarios de estos datos.
• Los derechos que asisten a esa persona.

Es necesario cumplir un principio de responsabilidad, en el que la compañía asegura la protección de datos y derechos del interesado. Como complemento de este principio, se suele realizar una evaluación del impacto en los términos ya descritos.

A los Derechos ARCO (Acceso, Rectificación, Oposición y Cancelación), el RGPD añade los derechos de portabilidad [arts. 17 de la LOPDGDD y 20 del RGPD (un interesado que haya aportado sus datos pueda pedir el traslado de los mismos a otra plataforma] y de limitación [arts. 16 LOPDGDD y 18 RGPD (permite al interesado suspender el proceso de tratamiento de datos)].

El título III de la LOPDGDD, dedicado a los derechos de las personas, adapta al Derecho español el principio de transparencia en el tratamiento del reglamento europeo, que regula el derecho de los afectados a ser informados acerca del tratamiento y recoge la denominada «información por capas» ya generalmente aceptada en ámbitos como el de la videovigilancia o la instalación de dispositivos de almacenamiento masivo de datos (tales como las «cookies»), facilitando al afectado la información básica, si bien, indicándole una dirección electrónica u otro medio que permita acceder de forma sencilla e inmediata a la restante información.

Por lo que, además del registro, es necesario tener en cuenta dos aspectos fundamentales, la obligatoriedad de contar con el consentimiento del titular de los datos y, el derecho a ser informado sobre el tratamiento que recibirán estos datos. Aspectos que variarán en cuando a la forma en la que la información (en este caso currículums) haya sido entregada en la empresa: de manera física (en mano), o automatizada (mediante página web o correo electrónico):

a) Protección de Datos personales cuando un candidato entrega físicamente el CV.

- Proporcionar al candidato información sobre todos los aspectos citados.

- Obtener un consentimiento para el tratamiento de datos.

b) Protección de Datos personales cuando se entrega de forma automatizada del CV.

- CV entregado a través de la página web: el candidato ha de declarar haber leído la política de privacidad donde se aclaren todos los aspectos legales tratados para dar por cumplido el deber de informar y de contar con el consentimiento para el tratamiento de sus datos personales.

- CV entregado a través de correo electrónico: Será necesario informar al candidato de los aspectos ya reiterados exigidos por la normativa en materia de protección de datos personales. Para ello podrá responderse a la dirección electrónica facilitada una comunicación condicionando el tratamiento de los datos al acuse de recibo.

- En casos de grupos de empresas o de cualquier otra fórmula de colaboración empresarial debe tenerse en cuenta que la cesión de los datos contenidos en el currículum, o del propio documento debe contar con el consentimiento del candidato. 

2. Consentimiento del afectado y su solicitud

En cuanto al consentimiento del afectado y su solicitud el art. 7 del RGPD establece:

«1. Cuando el tratamiento se base en el consentimiento del interesado, el responsable deberá ser capaz de demostrar que aquel consintió el tratamiento de sus datos personales.

2. Si el consentimiento del interesado se da en el contexto de una declaración escrita que también se refiera a otros asuntos, la solicitud de consentimiento se presentará de tal forma que se distinga claramente de los demás asuntos, de forma inteligible y de fácil acceso y utilizando un lenguaje claro y sencillo. No será vinculante ninguna parte de la declaración que constituya infracción del presente Reglamento.

3. El interesado tendrá derecho a retirar su consentimiento en cualquier momento. La retirada del consentimiento no afectará a la licitud del tratamiento basada en el consentimiento previo a su retirada. Antes de dar su consentimiento, el interesado será informado de ello. Será tan fácil retirar el consentimiento como darlo.

4. Al evaluar si el consentimiento se ha dado libremente, se tendrá en cuenta en la mayor medida posible el hecho de si, entre otras cosas, la ejecución de un contrato, incluida la prestación de un servicio, se supedita al consentimiento al tratamiento de datos personales que no son necesarios para la ejecución de dicho contrato».

Recalcando los puntos tratados, siempre que recibamos un currículum debemos pedir el consentimiento al candidato para poder tratar los datos personales incluidos en el mismo. Ese consentimiento debe otorgarse por escrito y de manera expresa, recayendo la carga probatoria sobre el receptor (en este caso la empresa).

SENTENCIA RELEVANTE

STSJ de Cataluña n.º 5361/2006, de 12 julio, ECLI:ES:TSJCAT:2006:8089

Se condena a la empresa a indemnizar a cada uno de los trabajadores con 300 euros (en concepto de indemnización de daños y perjuicios) como consecuencia de la aparición de currículums esparcidos en las instalaciones.

RESOLUCIONES RELEVANTES

Resoluciones de la AEPD: PS/00239/2007 y PS/00237/2021

Se impone una sanción de 2000 euros por infracción del art. 13 del RGPD (tipificada en el artículo 83.5 del RGPD) por no responder con la información sobre el tratamiento de datos personales tras la recepción de un CV.