Obligaciones de protección de datos en la recepción de currículums
La Agencia Española de Protección de Datos ha sancionado a una empresa por incumplimiento de la normativa de protección de datos, al no informar a un candidato que le remitió su currículum, respecto del tratamiento a realizar con sus datos personales.
El candidato respondió a una oferta de empleo remitiendo su currículum por WhatsApp, siguiendo las indicaciones de la empresa ofertante. Una vez recibido el currículum, la empresa no le facilitó ninguna información relativa al tratamiento que se iba a efectuar con sus datos personales, ni sobre los derechos que podía ejercer ante el responsable del tratamiento, a pesar de que fueron requeridos expresamente por el candidato.
Ante esta actuación, el afectado presentó denuncia ante la Agencia Española de Protección de Datos (AEPD), que inició un procedimiento sancionador. Tras la notificación a la empresa, ésta no presentó alegaciones ni pruebas negatorias de los hechos denunciados.
La AEPD considera que la recogida de datos de carácter personal a través de formularios incluidos en una página web constituye un tratamiento de datos, respecto del cual el responsable del tratamiento ha de dar cumplimiento a la normativa (RGPD art.13).
En este supuesto, se constata que la página web de la empresa no identifica de manera apropiada a su responsable, ni los derechos que asisten a los usuarios, ni las vías a utilizar para su ejercicio. La AEPD considera que estos hechos constituyen una infracción de la normativa de protección de datos, y los sanciona con multa de 2.000 €.
Recepción de datos a través de currículums
Las Direcciones de RRHH obtienen gran cantidad de información sobre profesionales a través de los currículums recibidos. Para respetar la protección de datos del currículum es necesario informar al interesado sobre dónde van a almacenarse esos datos, para qué vamos a usarlos y dónde pueden ejercer sus derechos si quieren cancelar, rectificar u oponerse a ese tratamiento.
¿Cuándo se debe solicitar el consentimiento de tratamiento de datos?
Siempre que recibamos un curriculum debemos pedir el consentimiento al titular para poder tratar los datos personales incluidos en el mismo. Ese consentimiento debe otorgarse por escrito o, en cualquier caso, de manera expresa.
En caso de no recibir el consentimiento del tratamiento de datos del candidato debemos destruir el CV.
Limitaciones en la gestión de datos del CV
Tanto el RGPD como la LOPD-GDD establecen limitaciones a las empresas en la gestión de los datos recibidos a través de currículums:
– El tratamiento de datos personales de un CV ha de cumplir con el principio de minimización de datos, o sea, que no se podrán recabar más datos sobre el candidato de los estrictamente necesarios para evaluar su perfil profesional.
– Los currículums solo se podrán guardar durante el tiempo necesario para cumplir la finalidad del tratamiento, no manteniéndose aquellos que contengan datos desactualizados. En ningún caso el plazo de conservación podrá ser superior 24 meses.
– Los CV en papel se han de destruir, mientras que los de formato digital se deberán borrar de todos los medios de recepción y de los dispositivos donde estén almacenados.
– Todo el personal que haya tenido acceso a la información de un CV deberá guardar confidencialidad de los datos incluidos en el mismo.
