RGPD y datos candidatos: el cumplimiento empieza también en vuestros PDF

Lo que el RGPD dice de verdad sobre los CV que compartís

Enviar un CV a un cliente no es solo transmitir un documento. En el sentido del RGPD, es una transferencia de datos personales a un tercero. Y esa transferencia exige una base legal sólida.

Para las ESN, en la práctica vuelven dos bases:

• El interés legítimo (artículo 6.1.f): estimáis que el envío es necesario para vuestra actividad comercial. Pero cuidado: debéis poder demostrar que la transferencia era proporcionada. Una auditoría interna o un control de la CNIL os pedirá justificar cada envío.
• El consentimiento explícito (artículo 6.1.a): el candidato ha dado su acuerdo. Salvo que ese consentimiento debe ser específico. Un formulario genérico «acepto que mis datos se utilicen con fines comerciales» no basta. Si el candidato impugna el envío a un cliente concreto, ese tipo de consentimiento se derrumba.

El matiz que muchos olvidan

El RGPD no distingue entre «enviar un CV por correo» y «compartir un enlace a un expediente en línea». Ambos son tratamientos de datos. La diferencia está en el nivel de control que conserváis después del envío.

Un PDF adjunto en un correo, una vez enviado, escapa a todo control. El cliente puede transferirlo, almacenarlo, compartirlo internamente sin límite. Un enlace a un perfil en línea, en cambio, puede desactivarse, actualizarse o restringirse en cualquier momento.

Lo que la CNIL espera de forma concreta

La CNIL no busca la perfección. Busca la prueba de un enfoque. Esto es lo que un inspector comprobará en prioridad:

---

El plazo de conservación: el punto ciego de las ESN

La regla es simple sobre el papel: no conservar los datos más tiempo del necesario para su finalidad. En la práctica, es el frente más descuidado.

Las recomendaciones de la CNIL

Para los CV en base de sourcing, la CNIL fija una duración máxima de dos años tras el último contacto con el candidato. Pasado ese plazo:

• O bien suprimís el expediente
• O bien volvéis a contactar al candidato para renovar su consentimiento
• O bien anonimizáis los datos (solo estadísticas)

La realidad del terreno

En la mayoría de las ESN, perfiles de 2019 o 2020 conviven en las bases con candidatos activos. Nadie ha puesto en marcha una purga automática. Los motivos son siempre los mismos:

• «Podríamos necesitarlo algún día»
• «El comercial no quiere perder su base»
• «No tenemos tiempo para clasificar»

El problema no es solo jurídico. Un perfil de hace cuatro años es un perfil con competencias obsoletas, un puesto que ha cambiado, un TJM que ya no tiene nada que ver. Enviarlo a un cliente es perder credibilidad antes incluso que cumplimiento.

Poner en marcha una purga realista

No hace falta un proyecto de seis meses. Un proceso sencillo funciona:

• Etiquetar automáticamente cada perfil con la fecha del último contacto (correo, llamada, actualización)
• Enviar un correo de renovación en J+22 meses con un enlace para confirmar la continuación del tratamiento
• Archivar o suprimir en J+24 meses sin respuesta
• Registrar cada acción para poder probar el enfoque en caso de control

La ganancia es doble: una base limpia para comercial, y un cumplimiento demostrable para jurídico.

---

El derecho al olvido: cuando un candidato dice basta

El artículo 17 del RGPD otorga a todo candidato el derecho a solicitar la supresión de sus datos. Ese derecho se aplica incluso después de que su perfil se haya enviado a uno o varios clientes.

El escenario clásico

Un desarrollador senior trabaja con vosotros desde hace dos años como freelance. Decide cambiar de rumbo, se incorpora a un editor en indefinido, y os envía un correo: «Deseo que se supriman todos mis datos de vuestros sistemas.»

En ese momento debéis:

• Identificar todas las versiones de su perfil en vuestros sistemas (CRM, ATS, carpetas compartidas, correos)
• Enumerar todos los clientes a los que se ha enviado su perfil
• Notificar a cada cliente la solicitud de supresión
• Suprimir efectivamente los datos de vuestros propios sistemas
• Documentar todo el procedimiento
• Responder al candidato en un plazo máximo de un mes

Por qué es una pesadilla sin trazabilidad

Si vuestros expedientes existen en forma de PDF dispersos en buzones, carpetas de OneDrive, canales de Slack e hilos de Teams, la trazabilidad es imposible en la práctica.

Preguntas concretas que tendréis que plantearos:

• ¿Se envió el perfil en V1 al cliente A, y luego en V3 al cliente B tras una actualización?
• ¿El comercial transmitió el PDF a un subcontratista sin documentarlo?
• ¿El cliente almacenó el expediente en su propio ATS?

Sin un sistema centralizado de seguimiento de envíos, responder a esas preguntas es arqueología.

Las excepciones al derecho al olvido

El derecho al olvido no es absoluto. Podéis rechazarlo si:

• Los datos son necesarios para la ejecución de un contrato en curso
• Tenéis una obligación legal de conservación (facturas, contratos firmados)
• Los datos son necesarios para la constatación o defensa de derechos en sede judicial

Pero esas excepciones son estrechas. «Podríamos necesitarlo para un litigio hipotético» no vale. Hace falta un litigio real o razonablemente previsible.

---

Las fugas silenciosas: el verdadero riesgo en el día a día

Los incidentes de RGPD en ESN casi nunca vienen de un pirateo o de una brecha técnica. Vienen de prácticas cotidianas que nadie cuestiona.

Las fugas más frecuentes

• La dirección de correo personal que queda en un campo del PDF enviado al cliente. El candidato había dado su Gmail para el contacto inicial, acaba expuesto a un reclutador interno del cliente.
• El número de teléfono en los metadatos de un Word convertido a PDF. El campo «Autor» o «Comentarios» del documento fuente a veces contiene información que nadie pensó en limpiar.
• El perfil de LinkedIn privado cuya URL se copia en el expediente. El candidato tiene un perfil restringido, pero la URL permite acceder igualmente a cierta información que no destinaba a ese cliente.
• La foto de identidad incluida por defecto en la plantilla. No hay obligación legal de transmitirla al cliente, e incluso es un riesgo de discriminación documentado.
• Los datos de la vida personal: situación familiar, nacionalidad, fecha de nacimiento completa. Sin relevancia para una misión técnica, pero a menudo presentes por costumbre.

El coste real de una fuga

Un requerimiento de la CNIL, incluso sin sanción, genera:

• Tiempo perdido: responder a solicitudes de información, constituir el expediente, movilizar al DPO y a dirección
• Riesgo reputacional: los requerimientos públicos de la CNIL están indexados por Google
• Pérdida de confianza: el candidato afectado no volverá a trabajar con vosotros, y lo contará
• Efecto dominó: un control sobre un punto suele desencadenar otros

La checklist antes del envío

Antes de cada envío de expediente a un cliente, cinco comprobaciones llevan menos de dos minutos:

• Sin dirección de correo personal visible
• Sin número de teléfono personal
• Sin fecha de nacimiento completa (solo año si es necesario)
• Sin foto salvo petición explícita y consentimiento del candidato
• Metadatos del archivo limpios

---

El registro de tratamientos: lo que debéis documentar

El artículo 30 del RGPD impone a toda organización de más de 250 empleados, y en la práctica a toda ESN que trate datos de candidatos de forma regular, llevar un registro de tratamientos.

Lo que el registro debe contener para la actividad de staffing

Los errores frecuentes

• Registro teórico: un Word redactado una vez y nunca actualizado. La CNIL comprueba la fecha de última modificación.
• Registro incompleto: la actividad de sourcing está documentada, pero no el envío de expedientes a clientes, un tratamiento distinto con sus propios destinatarios.
• Sin mención del encargado del tratamiento: si usáis un SaaS para generar expedientes o almacenar perfiles, esa herramienta es un encargado del tratamiento en el sentido del RGPD. Debe figurar en el registro.

---

El consentimiento del candidato: recogerlo y gestionarlo bien

El consentimiento es la base legal más segura para el envío de perfiles, pero también la más exigente de mantener.

Los criterios de un consentimiento válido

El RGPD fija cuatro condiciones acumulativas:

• Libre: el candidato no debe sufrir consecuencia negativa si se niega. «Si no consentís, no podremos proponeros misiones» es una forma de presión que invalida el consentimiento.
• Específico: el consentimiento versa sobre un tratamiento preciso. «Acepto que mi perfil se presente al cliente X para la misión Y» es específico. «Acepto el uso de mis datos» no lo es.
• Informado: el candidato debe saber qué acepta. Qué datos, a quién, para qué, durante cuánto tiempo.
• Unívoco: una acción positiva clara. Sin casilla marcada de antemano, sin silencio que valga aceptación.

Gestión operativa del consentimiento

En la práctica, funcionan dos enfoques:

Enfoque por misión: pedís el consentimiento en cada envío. Más pesado, pero blindado jurídicamente. Adecuado a perfiles senior o misiones sensibles.

Enfoque por ámbito: el candidato consiente ser presentado a una categoría de clientes (p. ej.: «ESN y clientes finales del sector bancario en Île-de-France») durante un plazo definido. Más flexible, pero el ámbito debe seguir siendo preciso.

En ambos casos debéis:

• Conservar la prueba del consentimiento (fecha, canal, contenido exacto)
• Permitir la retirada en cualquier momento, tan fácilmente como se dio el consentimiento
• No condicionar la relación comercial al consentimiento

---

Subcontratación y herramientas SaaS: vuestras obligaciones contractuales

Cada herramienta que usáis para almacenar o tratar datos de candidatos es un encargado del tratamiento en el sentido del artículo 28 del RGPD. CRM, ATS, herramienta de generación de expedientes, almacenamiento en la nube, todas quedan afectadas.

Lo que el contrato de encargo debe prever

• El objeto y la duración del tratamiento
• La naturaleza y la finalidad del tratamiento
• Las categorías de datos concernidas
• Las obligaciones del encargado en materia de seguridad
• Las condiciones de recurso a un subencargado
• La asistencia en caso de ejercicio de derechos por un candidato
• La devolución o supresión de datos al fin del contrato

La trampa del «está en la nube»

Muchas ESN usan Google Drive, SharePoint o Dropbox para almacenar y compartir expedientes de candidatos. Esas herramientas son encargados del tratamiento. Y cuando el servidor está en Estados Unidos, es una transferencia fuera de la UE que exige garantías adicionales (cláusulas contractuales tipo, o comprobación de la adecuación del país).

Desde la sentencia Schrems II y el Data Privacy Framework, la situación con los proveedores estadounidenses se ha estabilizado, pero sigue debiendo documentarse en vuestro registro.

Betterfolio y el cumplimiento como encargado

Para las ESN que usan herramientas de generación de expedientes como Betterfolio, la estructura está pensada desde el diseño para limitar la exposición: solo los campos pertinentes a la misión aparecen en la exportación, los metadatos se limpian automáticamente, y el historial de envíos queda trazado para responder a solicitudes de supresión.

---

Plan de acción: pasar del «ya veremos» al cumplimiento en 30 días

El cumplimiento RGPD no es un proyecto de 18 meses. Para una ESN de 20 a 200 consultores, las bases se plantean en un mes.

Semana 1: diagnóstico

• Enumerar todos los sitios donde se almacenan datos de candidatos (CRM, ATS, correo, Drive, herramientas internas)
• Identificar quién tiene acceso a qué
• Contar perfiles de más de 24 meses sin contacto

Semana 2: limpieza

• Purgar perfiles obsoletos (o lanzar la campaña de renovación de consentimiento)
• Limpiar las plantillas de expediente: quitar campos no necesarios (foto, fecha de nacimiento, dirección completa)
• Comprobar los metadatos de las exportaciones PDF existentes

Semana 3: procesos

• Redactar o actualizar el registro de tratamientos
• Definir el procedimiento de respuesta a solicitudes de supresión (quién hace qué, en qué plazo)
• Poner en marcha la checklist antes del envío del expediente

Semana 4: documentación y formación

• Formar a comerciales y reclutadores en los gestos básicos (sin reenvío de CV por correo, sin datos inútiles)
• Documentar los procedimientos en un documento accesible
• Planificar una revisión trimestral

Lo que no debe esperar

Tres acciones son prioritarias, aunque lo demás se retrase:

• Dejar de enviar datos de contacto personales en los expedientes al cliente
• Poner en marcha un seguimiento de envíos (quién recibió qué perfil, cuándo)
• Responder a las solicitudes de supresión en el plazo legal de un mes

---

Las sanciones: qué arriesgan de forma concreta las ESN

Las multas RGPD teóricas (hasta el 4 % de la facturación mundial) hacen titulares. En la práctica, para una ESN el recorrido es más progresivo, pero no indoloro.

La escala de sanciones de la CNIL

Lo que desencadena un control

• Una reclamación de un candidato vía el formulario de la CNIL. Es el desencadenante más frecuente.
• Una denuncia de un ex empleado (comercial, reclutador) que conoce las prácticas internas.
• Un control sectorial: la CNIL anuncia cada año sus prioridades temáticas. El reclutamiento y RR. HH. figuran con regularidad.
• Un incidente de seguridad declarado (fuga de datos, acceso no autorizado).

El verdadero coste más allá de la multa

Para una ESN de tamaño medio, un procedimiento ante la CNIL moviliza:

• Al DPO o al responsable jurídico durante varias semanas
• A dirección para las respuestas oficiales
• A los equipos técnicos para auditorías y correcciones
• A un abogado especializado si el procedimiento se endurece

Todo ello mientras la actividad comercial sigue. Es un coste de oportunidad rara vez anticipado, pero sistemáticamente sufrido.

---

Los puntos clave

El cumplimiento RGPD en el staffing IT no es ni un tema puramente jurídico ni un proyecto técnico desmesurado. Es una higiene operativa que se juega en tres niveles:

• Los datos: solo recoger y compartir lo necesario para la misión
• Los procesos: trazar envíos, gestionar consentimientos, purgar bases
• Las herramientas: usar soluciones que integren el cumplimiento por diseño en lugar de remendarlo después

El RGPD no exige la perfección. Exige la prueba de un enfoque serio. Para una ESN, empieza por limpiar vuestras exportaciones y saber exactamente quién recibió qué.