No proteger los currículums tras una selección de personal supone vulnerar la protección de datos
- ¿Cómo puede un autónomo adecuar la gestión de currículums a la ley de protección de datos?
- ¿Qué se debe tener en cuenta cuando se recibe un currículum?
- ¿Qué sucede si se pierde o extravía el currículum?
- ¿Es obligatorio destruir la información?
- Además del currículum ¿Qué datos pueden solicitarse y cómo deben ser tratados?
- ¿Pueden obtenerse datos publicados en Redes Sociales del candidato para ampliar el currículum?
- ¿Qué sucede con los datos obtenidos en una entrevista de trabajo?
En el momento en el que se lleva a cabo un proceso de selección de personal, se produce una cesión de datos de los candidatos al negocio que oferta un puesto laboral. Esto no sólo se produce a través de la entrega o envío del currículum, sino que también se obtienen perfiles personales durante la entrevista de trabajo. Es fundamental que tanto autónomos como empresas, independientemente de su tamaño, realicen un correcto uso del conocimiento del entorno laboral y privado del candidato, ya que en caso contrario incumplirían con el Reglamento General de Protección de Datos (RGPD) y, por tanto, podría haber importantes consecuencias económicas para el negocio.
Si bien es cierto que muchos negocios y pymes cuentan con el asesoramiento de una gestoría o pueda contratar a una empresa especializada en selección de personal, es importante que el autónomo conozca de primera mano los aspectos legales que deberá cumplir cuando lleve a cabo procesos de selección.
Si el autónomo no cumple con lo dispuesto en la normativa, podría enfrentarse a duras sanciones económicas. Estas podrían llegar hasta los 20 millones de euros o el 4% de la facturación del negocio o empresa, siempre dependiendo del grado de gravedad de la infracción.
Para facilitar esta gestión y asegurar el correcto cumplimiento del RGPD, la Agencia Española de Protección de Datos (AEPD) publicó una guía en la que recoge todos los puntos importantes que se deben tener en cuenta para tratar adecuadamente los datos de los candidatos, así como la información de los empleados una vez ya forman parte de la plantilla.
¿Cómo puede un autónomo adecuar la gestión de los currículums a la normativa de protección de datos?
Como todos los datos que tienen lugar en una empresa, la gestión de los currículums debe adecuarse a la normativa de protección de datos. Para ello, la AEPD ofrece una herramienta para tratar de forma correcta los datos de escaso riesgo, como son los currículums. Esta herramienta, llamada Facilita RGPD, “está planteada como un cuestionario online, con una duración máxima de 20 minutos, con el que los autónomos y empresas pueden constatar a través de una serie de preguntas que los datos que tratan pueden considerarse de bajo riesgo. Además, pueden obtener los documentos mínimos indispensables para facilitar el cumplimiento de la normativa”, explicaron a este diario fuentes de AEPD.
La información que los negocios o empresas aportan permite obtener los documentos prácticamente completados. Dicha información no es conservada ni monitorizada por la agencia. “Las plantillas incluyen los requerimientos básicos marcados por el RGPD, como el registro de actividades de tratamiento, las cláusulas informativas, las cláusulas que deberían incluirse si la empresa contacta con la persona encargada del tratamiento, así como un anexo con las directrices para atender las solicitudes de ejercicio de derechos en materia de protección de datos. También ofrece las medidas de seguridad mínimas a implantar en la organización y los requisitos a seguir para un correcto tratamiento de las imágenes captadas mediante cámaras”, añadieron desde la AEPD.
¿Qué se debe tener en cuenta cuando se recibe un currículum?
El primer tratamiento de datos personales se produce durante la fase previa a la contratación, es decir, en el proceso de selección. La mayoría de las ofertas de empleo solicitan a los candidatos que envíen sus currículums para conocer los detalles de su vida laboral. Para el correcto tratamiento de la información es importante conocer una serie de puntos clave:
- El tratamiento de datos personales durante el proceso de selección no exige el consentimiento de la persona candidata, tal y como refleja el artículo 6.1.b) del RGPD. El tratamiento de datos es lícito cuando resulta necesario para la aplicación a petición de la persona trabajadora de medidas precontractuales o la intención de concluir un contrato.
- Cuando los recursos lo permitan, es conveniente disponer de impresos tipo para la formalización del currículum y de un procedimiento para su entrega. Esto permite informar al candidato de forma adecuada, pero también definir con precisión el tipo de datos a tratar.
- En caso de realizar algún tipo de anuncio o convocatoria, deberá incluirse la información del artículo 13 del RGPD.
- Si se recibe un currículum sin haberlo pedido previamente mediante anuncio o convocatoria, deberán fijarse procedimientos de información y confirmar que el candidato conoce las condiciones en las que se desarrollará el tratamiento de sus datos.
- El deber de información deberá llevarse a cabo a través de un medio que permita acreditar su cumplimiento, debiendo conservarse mientras persista el tratamiento de los datos del afectado.
En otras palabras, es imprescindible ofrecer la información correspondiente en materia de RGPD a la persona que quiere incorporarse a la plantilla. Si, por ejemplo, se recibe un currículum por correo electrónico, se deberá responder el email con toda la información relativa al artículo 13 del RGPD. Si el currículum se presenta de forma presencial, se deberá dar la información en ese mismo momento, por ejemplo mediante carteles visibles o documentos de acuse de recibo.
¿Qué sucede si el negocio pierde o extravía el currículum?
El negocio o empresa es responsable de la custodia de la documentación recibida. En caso de que se pierda o extravíe dicha documentación, se producirá una infracción del RGPD, al faltar al principio de integridad y confidencialidad.
En el caso de que el proceso de selección y contratación no lo realice directamente el autónomo, sino que lo haga una agencia de colocación o de selección, será esta la que actúe como encargada del tratamiento y deberá definir los fines y medios del tratamiento de los datos, siempre y cuando haya firmado un contrato con el negocio o empresa que busca cubrir una vacante.
¿Es obligatorio destruir la información de un candidato a un puesto laboral?
Una vez finalice el proceso de selección, los datos deberán ser destruidos o devueltos al responsable de los mismos. No obstante, “deberán ser conservados cuando exista una previsión legal que así lo exija o si lo consiente el afectado”, explicaron desde la AEPD. Si el candidato no ha dado consentimiento expreso de sus datos, el currículum deberá ser automáticamente destruido, bien en una máquina destructora de documentos o eliminando el email tanto de la bandeja como del servidor.
Además del currículum, ¿Qué datos pueden solicitarse y cómo deben ser tratados?
Únicamente pueden solicitarse datos relevantes para el desempeño del puesto de trabajo y no información indiscriminada. Por ejemplo, no es legalmente posible exigir a los candidatos un certificado de antecedentes penales, salvo en aquellos supuestos en que se contemple dicha medida. El tratamiento de datos con otros fines exige otra base jurídica, como el consentimiento o el interés legítimo. Un claro ejemplo sería la utilización de los datos de contacto del currículum con fines comerciales o publicitarios.
De forma habitual, los empleadores solicitan el informe de vida laboral a los candidatos durante los procesos de selección. Normalmente, esto se pide para verificar información incluida en el currículum. Antes de solicitar este documento, el autónomo debe conocer los siguientes aspectos:
- El negocio o empresa no está legitimada para obtener ese informe directamente de la Seguridad Social
- El consentimiento no es una base jurídica válida en este caso, ya que no es completamente libre para la persona trabajadora
- El informe que se entregue no debe ser completo, sino que puede adaptarse en base al interés legítimo que el empleador demuestre. Si el empleador quiere comprobar que la experiencia en una determinada empresa es real, no tiene por qué acceder a toda la información laboral del candidato.
“En el caso de que los candidatos puedan demostrar su experiencia por otros medios menos invasivos, la exigencia de la vida laboral no se justificaría”, señalaron desde la AEPD.
¿Pueden obtenerse datos de un candidato a un trabajo publicados en Redes Sociales?
El hecho de recibir un currículum no dará derecho al empleador a acceder a las redes sociales del candidato para obtener información sobre el mismo. De hecho, no están obligados a permitir la indagación del empleador en sus perfiles de redes sociales, ni durante el proceso de selección ni durante la ejecución del contrato.
Aunque el perfil de la persona que demanda el empleo sea de acceso público, el autónomo o empleador no podrá efectuar un tratamiento de los datos obtenidos por esa vía “si no cuenta con una base jurídica válida”. Eso sí, la indagación en los perfiles de redes sociales de las personas candidatas solo se justifica si están relacionados con fines profesionales. “El tratamiento de los datos obtenidos por esta vía, únicamente será posible cuando se demuestre que dicho tratamiento es necesario y pertinente para desempeñar el trabajo”, explicaron desde la AEPD.
¿Qué sucede con los datos obtenidos en una entrevista de trabajo?
Además de la información que aparecer en el currículum, el autónomo o empleador recoge datos personales del candidato durante la entrevista de trabajo. El hecho de que el candidato conteste a preguntas durante la entrevista no quiere decir que consienta para el tratamiento de sus datos personales. Por tanto, los datos obtenidos por esa vía no pueden ser objeto de tratamiento si no se dispone de una base jurídica (datos necesario para la ejecución del contrato, interés legítimo o consentimiento).
El autónomo o empleador que solicite datos de carácter personal en los procesos de selección, podría incurrir en una infracción administrativa muy grave tipificada en el Texto refundido de la Ley sobre Infracciones y Sanciones en el Orden Social.
