Una de las actividades más habituales en la vida de una empresa es la gestión de curriculums. Las empresas (entendamos éstas tanto mercantiles como personas físicas en el ejercicio de su actividad profesional) reciben, de forma diaria curriculums, ya sea por la oferta de un puesto de trabajo o, simplemente, porque el aspirante a trabajador, hace una campaña de envío de currículums a varias empresas y lo hace de forma telemática o presencial dejándolo en papel.

Un CV es, sin duda, un documento que tiene mucha información de tipo personal. Cada vez, más los aspirantes, incorporan más datos no sólo relativos a su actividad profesional o formación académica – amen de datos identificativos- sino que, además, ahora se incorporan las llamadas “softskills” que son esas habilidades que te dicen que son importantes tras sacarte cuatro masters.

Estas habilidades pueden hacer una descripción de la persona mucho más allá de los datos académicos y son, habilidades comportamentales y sociales que, salvando la ironía de arriba, son muy importantes.

Por ello en el momento que una aspirante entrega su CV, una empresa recibe un regalo en modo de tratamiento de datos que ha de gestionar. ¿cómo cumplir con el RGPD?

Yo siempre lo resumo en dos palabras: #proactividad #lealtad.  Estas dos palabras son dos principios que informan toda la normativa sobre privacidad.

Informar

Esta es la clave, informar al aspirante sobre todos los puntos que marca la normativa: quién es el responsable de tratamiento, para qué vas a usar los datos, tiempo de conservación, si se van a ceder a terceros, derechos del interesado…etc

¿Cómo y dónde informo? 

ues depende de la manera en la que recibas en CV, si es por una oferta de trabajo en la propia web, es importante que se haga mediante la política de privacidad tanto en primera capa y segunda capa y, por supuesto, de forma previa al tratamiento. Si, por el contrario, el CV llegara por email, como quiera que la obligación de informar “previo al tratamiento” es imposible, lo aconsejable es que se haga de la forma más inmediata posible como, por ejemplo, con un correo que se tenga programado como respuesta a este tipo de emails, para ello es muy aconsejable redirigir todos estos emails a una cuenta dedicada a recibir currículums

¿Cuánto tiempo los he de conservar?  

La AEPD en su guía para relaciones laborales dice que, en el caso de que el candidato al final no sea contratado, la empresa tendrá que solicitar el Consentimiento para que dicha información sea conservada para futuras ofertas. Particularmente no lo conservaría más de dos años y ya me parece excesivo porque, en un año, ese CV puede haberse quedado totalmente desactualizado.

¿Qué base de legitimación hemos de usar?

En la misma guía la AEPD dice que una relación laboral empieza con la selección de personal y que en este caso el Consentimiento no debería ser necesario, sino que debemos basarnos en el 6.1.b) del RGPD, o sea: “el tratamiento de datos es lícito cuando resulta necesario para la aplicación a petición de la persona trabajadora de medidas precontractuales o la intención de concluir un contrato”, es decir que sería la base de legitimación de medias precontractuales, pero ¿qué es un precontrato? Según el TS es el  proyecto de contrato en el sentido de que las partes, por el momento, no quieren o no pueden celebrar los contratos definitivos y se comprometen a hacer efectiva su conclusión en tiempo futuro (Sentencia de 4 de julio de 1991)

Por lo tanto, sólo en el caso de que quedara un candidato y se supieran todas las condiciones laborales que van a regir esa relación contractual, podríamos entender que existe un posible precontrato, pero cuidado porque, desde el punto de vista jurisprudencial, la expectativa de que más tarde se va a firmar un contrato es, claramente, cierta.

Por lo tanto utilizar esta base de legitimación para tratar decenas o centenares de currículums que se puedan recibir en una concreta propuesta de trabajo, resulta, cuanto menos arriesgado pues, de usarla, una de dos, o estamos reconociendo que existe un “proyecto de contrato en el sentido de que las partes, por el momento, no quieren firmar o no pueden celebrar el definitivo y se comprometen a firmarlo en un futuro”  con cada uno de los aspirantes o, simplemente, cogemos el concepto de “precontrato” y le metemos piña y seguimos diciendo que es una pizza.

Si en este caso (donde hay una oferta de trabajo donde, por cierto, no se suele especificar la parte más esencial por parte de la empresa que es el salario) ya es difícil de entender que nos hayamos en un “precontrato” imaginad cuando es el propio candidato, sin oferta, quien envía, motu proprio, el CV.

Desde mi punto de vista el Consentimiento (no existe la desigualdad entre partes porque todavía no hay relación laboral) o, incluso, el Interés Legítimo, podrían ser dos bases de legitimación más ajustadas pero esto es derecho y en derecho, todo, o casi todo, se puede ( y se debe) debatir.

Resumen:

1. Informa e informa bien, de forma previa y si no se pudiera, de la forma más inmediata posible
2. Ten un protocolo de recepción de CV que te permita manejarlos de forma eficaz (por ejemplo, no recojas en papel). Revisa tu página web que esté todo correcto.
3. No guardes para siempre los CV. Si se trata de una oferta concreta de trabajo, tras esta, destrúyelos a no ser que tengas el consentimiento del aspirante, después de ello, como muchísimo, dos años y me parece demasiado, sobre todo por el tema de tener la información actualizada. Si los tienes en papel, no los tires al contenedor, destrúyelos dejando prueba de que lo has hecho.
4. Y en el tema de la Base de Legitimación, consúltalo con tu experto en privacidad, seguramente te dirá que lo que he dicho es una leguleyada   y si no tienes alguien de confianza en el tema de privacidad en tu empresa…ya tardas