Recursos Humanos es el departamento que más procesa datos personales en una empresa: CVs, información de identidad, informes médicos, cuentas bancarias, notas de rendimiento. La mayoría de estos datos están bajo la protección de leyes de protección de datos personales similares al GDPR y algunos se consideran "datos sensibles" que requieren una protección más estricta. Este artículo está diseñado para los equipos de RRHH que desean comprender lo esencial sin leer textos legales complejos.
Nota: Este contenido es solo para información general y no constituye asesoramiento legal. Para situaciones específicas de su empresa, consulte a su asesor legal.
¿Qué datos se procesan en RRHH?
- Identificación y contacto: Nombre, número de identificación, dirección, teléfono, correo electrónico.
- Personales: Contrato, salario, información de seguridad social, registros de permisos.
- Educación y experiencia profesional: Títulos, certificados, referencias, contenido del CV.
- Datos sensibles: Informe médico, estado de discapacidad, antecedentes penales, afiliación sindical, datos biométricos (incluyendo sistemas de acceso con huella dactilar).
Los datos sensibles son una distinción crítica: su procesamiento generalmente requiere consentimiento explícito y no pueden ser almacenados salvo excepciones legales. Por ejemplo, pedir un informe médico o antecedentes penales durante el proceso de selección no es defendible salvo en situaciones excepcionales requeridas por el puesto.
Base legal: no es correcto pedir consentimiento para todo
Un error común es solicitar el consentimiento del empleado para todas las actividades de procesamiento de datos. Sin embargo, los datos necesarios para establecer y ejecutar un contrato de trabajo y las notificaciones legales obligatorias ya se basan en fundamentos distintos al consentimiento. Además, es difícil argumentar que el consentimiento en la relación empleado-empleador se da "libremente"; por lo tanto, las operaciones basadas en el consentimiento son más vulnerables en una auditoría.
Por otro lado, los usos no necesarios para la relación laboral requieren consentimiento explícito. Ejemplos típicos: compartir el CV del candidato con otras empresas, publicar la foto del empleado en el sitio web, utilizar los datos recopilados para la contratación con un propósito diferente posteriormente.
¿Cuánto tiempo se pueden conservar los CVs de los candidatos?
La ley no especifica un único plazo; el criterio es que el propósito del procesamiento de los datos haya terminado. Cuando se cierra la posición solicitada, el propósito también termina. Si desea mantener el CV en la base de datos para futuras consideraciones, esto es un propósito distinto y debe informar al candidato y obtener su consentimiento. En la práctica, el enfoque aceptado es:
- Durante el proceso de solicitud: hasta que se cierre la posición.
- Conservación en la base de datos: con el consentimiento explícito del candidato y por un período determinado (práctica común de 1-2 años), eliminación automática al final del período.
- Cuando se retira el consentimiento: eliminación inmediata y notificación al candidato.
¿Cuándo surge la obligación de informar?
Antes de recopilar los datos. Es decir, antes de que se envíe el formulario de solicitud, el candidato debe haber sido informado sobre quién, qué datos, con qué propósito y bajo qué base legal se procesan, y cuáles son sus derechos. El documento de información y el de consentimiento son documentos separados; combinarlos en una sola casilla de verificación invalida el consentimiento.
Lista de verificación de cumplimiento para equipos de RRHH
- ¿Están preparados documentos de información separados para candidatos y empleados?
- ¿Se aprueban por separado las operaciones que requieren consentimiento explícito (no una aprobación masiva en una sola casilla)?
- ¿Se ha elaborado un inventario de datos (qué datos, dónde, por cuánto tiempo)?
- ¿Están definidos los plazos de conservación y se ejecuta la eliminación al final del plazo?
- ¿El acceso a las carpetas de RRHH está limitado por roles? ¿Existe una carpeta compartida a la que todos tengan acceso?
- ¿Se ha firmado un contrato de procesamiento de datos con los proveedores de software utilizados?
- En caso de violación de datos, ¿quién, en cuántas horas, informará a quién, y está por escrito?
- ¿Los datos sensibles se almacenan por separado y en un lugar más restringido?
- ¿Está definido qué hacer con los datos del empleado que deja la empresa?
- ¿Existe un proceso para responder a las solicitudes de información de los empleados (acceso, eliminación)?
Los tres errores más comunes
- Los CVs permanecen indefinidamente en una bandeja de entrada compartida: No se puede ejecutar la eliminación, no se puede limitar el acceso, no se puede rastrear quién los ha visto.
- Consentimiento masivo con una sola casilla: Cuando la información, el consentimiento y el permiso de comunicación electrónica se combinan en una sola casilla, ninguno es válido.
- La retirada del consentimiento queda sin respuesta: Si los datos del candidato que retira su consentimiento permanecen accesibles en el sistema, el cumplimiento es solo en papel.
Resolver estos tres puntos en el sistema es más seguro que escribir procedimientos. En el pool de CVs de ProCvLab, las empresas solo pueden ver candidatos que han dado su consentimiento para compartir; cuando se retira el consentimiento, el registro se elimina automáticamente del pool. El banco de CVs creado a partir de sus propias solicitudes es exclusivo para su empresa y no se abre al exterior.
Próximo paso: Publicamos nuestros propios documentos de información en nuestra página de información sobre protección de datos; puede revisarlos para estructurar sus propios documentos.