Las empresas que reciban curriculum vitae están realizando un tratamiento de datos personales. ¿Cómo deben informar al candidato sobre el tratamiento de sus datos? ¿Qué obligaciones tiene?

Es común que las empresas tengan en su web un apartado destinado a recibir curricum vitae para posibles vacantes en su entidad. Tradicionalmente se realizaba entregando físicamente el CV a la entidad, aunque cada vez es más frecuente que esto se realice de forma telemática. La empresa que reciba el curriculum vitae está realizando un tratamiento de datos personales, sujeto a las obligaciones de información detalladas a continuación. 

¿Qué obligaciones tiene la empresa?

La empresa debe dar respuesta a los principios de información (art. 13 RGPD) y transparencia (arts. 5, 6 y 11 RGPD). Además, es aconsejable que éstas tengan establecido un procedimiento de entrega de CVs por los candidatos.

La empresa, en cumplimiento de lo dispuesto en el RGPD, debe de ofrecer al candidato unas informaciones relativas al tratamiento de sus datos personales. Teniendo en cuenta las diferente maneras por la que la empresa puede recibir los CVs, pueden darse tres situaciones en las que la empresa reciba el curriculum vitae:

• Mediante una convocatoria pública, en la que las informaciones deben incluirse en la misma convocatoria.
• Si por el contrario ha recibido el curriculum vitae de forma espontánea en el correo electrónico, se debe establecer un procedimiento de acuse o confirmación y acompañándola de la información sobre el tratamiento con los datos descritos a continuación.
• Por último, si se recibe en CV presencialmente, el candidato debe ser informado en este instante por algún medio que acredite el cumplimiento de este deber, como un documento de acuse de recibo al ser entregado el curriculum vitae.

¿Qué información añadir?

Sea cual sea la forma en la que la empresa reciba el curriculum vitae, está realizando un tratamiento de datos personales y debe informar al candidato de los siguientes aspectos:

• Responsable del Tratamiento: Es la persona tanto física como juridica que actúa como responsable del tratamiento. Normalmente es la entidad a la que se le ha enviado el curriculum vitae.
• Finalidad: Para qué se usarán los datos. Como es lógico es para la selección de personal.
• Legitimación: En qué precepto se basa el tratamiento. Puede ser o el consentimiento del interesado o bine la existencia de una relación precontractual.
• Duración: Durante cuánto tiempo va a conservar la empresa el CV en sus ficheros. Al respecto la AEPD ha recomendado que se supriman por propia iniciativa del responsable los CV recibidos una vez que hayan dejado de ser pertinentes y necesarios para la finalidad de contratación de empleo. Por ejemplo, en el caso de una oferta de empleo concreta, se recomienda que sean cancelados una vez se haya resuelto negativamente la solicitud. Al margen de esto, el plazo de conservación recomendado para futuras vacantes es de 6 meses a 1 año.
• Destinatarios: Si se van a compartir con terceros o no. Los grupos de empresas podrán comunicarse estos datos entre las empresas que lo conforman, atendiendo al interés legítimo de las mismas.
• Derechos: Cuál es la vía para ejercer los derechos de acceso, rectificación, cancelación y oposición respecto al curriculum vitae enviado. Se debe indicar el lugar donde debe acudir para ejercerlos, así como de más información respecto al tratamiento de los datos personales si se dispone.

Este es el procedimiento adecuado para el tratamiento de datos personales en el curriculum vitae para una empresa que reciba CV bien por iniciativa propia del candidato o bien en un proceso de selección de personal abierto, tanto de forma física como telemática.