La mayoría de las empresas reciben cantidad de currículums vitae a diario. Cuando llegan estos documentos los responsables de gestionarlos se plantean qué hacer con tanta información. En concreto con los datos personales que normalmente se incluyen en el currículum vitae.
El tratamiento de esta información se debe realizar de acuerdo a lo que establece la Ley Orgánica de Protección de Datos (LOPD). Este texto establece cuál es el procedimiento cuando se manejan datos personales de candidatos.
Los trámites varían sutilmente en función de la manera en la que el currículum vitae llega a la empresa. Te contamos cómo actuar en cada caso.
Preselección del currículum vitae mediante algún tipo de anuncio o convocatoria
En este caso la empresa recibe currículums porque ha puesto un anuncio en el que solicita personal para un puesto concreto.
La Agencia Española de Protección de Datos (AEPD) establece que cuando el currículum de un candidato se recepciona por esta vía, el anuncio publicado por la empresa debe informar del contenido del artículo 5 de la Ley 15/1999 LOPD.
El artículo 5 de la Ley 15/1999 establece que quienes soliciten datos personales deben informar al solicitado de lo siguiente:
- La existencia de un fichero o tratamiento de datos de carácter personal, la finalidad de la recogida de éstos y los destinatarios de la información.
- El carácter obligatorio de su respuesta a las preguntas que les sean planteadas.
- Las consecuencias de la obtención de los datos o de la negativa a suministrarlos.
- La posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
- La identidad y dirección del responsable del tratamiento o, en su caso, de su representante.
Puede darse el caso de que el responsable del tratamiento no este establecido en territorio de la Unión Europea.
Si esta situación se produce, y el tratamiento se esta realizando con medios situados en territorio español, el responsable debe designar un representante en España. Salvo que tales medios se utilicen con fines de trámite.
La enumeración descrita en el apartado anterior compone los derechos básicos que tiene la empresa y sobre los que hay que informar cuando se recibe un currículum.
En el caso que estamos tratando deben estar descritos, como hemos indicado, en el propio anuncio o convocatoria publicado por la empresa.
El interesado presenta directamente el currículum vitae sin habérselo solicitado
En este caso la AEPD establece que las empresas que reciben currículums vitae por esta vía deben fijar procedimiento de información.
Para que la empresa quede en una situación de amparo en situaciones así debe informar de las condiciones que va a realizar el tratamiento de esos datos.
Un vez hecho esto es muy conveniente que se reciba un acuse de recibo o confirmación de que el interesado es conocedor del tratamiento que se le van a dar a sus datos.
En este caso pueden darse dos situaciones:
Currículum vitae recibido por correo postal o electrónico
Si la empresa dispone de una dirección electrónica facilitada por el propio interesado puede remitirle a esa misma dirección la información sobre el tratamiento de sus datos.
En ese mismo mensaje la empresa debe solicitar confirmación de la recepción del mismo. A su vez en dicho correo la empresa informa al interesado de que hasta que no reciba respuesta de confirmación por su parte no comenzara el tratamiento de sus datos.
Currículum vitae presentado en mostrador u oficina de atención
En este caso el interesado debe ser informado del tratamiento que van a recibir sus datos en el momento en que entrega el currículum. Para que esta información sea realizada de la manera correcta se debe hacer por cualquier medio que acredite el cumplimiento de este deber.
Para ello son válidos, según la LOPD: los carteles informativos y los documentos de acuse de recibo, entre otros. Aunque lo que realmente es importante es que se trate de un medio que garantice y permita probar que la empresa esta cumpliendo con su deber de información.
La LOPD indica que el deber de información debe realizarse a través de un medio que pueda acreditar su cumplimiento. Además señala que tal medio acreditativo debe conservarse durante el tiempo que se alargue el tratamiento de los datos del afectado.
Grupos de empresa o cualquier tipo de colaboración empresarial: cesión de datos
Cuando la empresa que recibe el currículum vitae pertenece a un grupo empresarial u otro tipo de colaboración entre empresas, debe tener en cuenta la cesión de datos.
Nos referimos a los datos contenidos en el propio documento que les ha sido enviado. Para poder llevar a cabo tal cesión de datos a otra u otras de sus empresas, se debe contar con el consentimiento expreso del candidato.
Cuando se realiza una cesión de datos el responsable de los mismos debe informar al interesado tal cesión. El artículo 27 de la LOPD regula esta comunicación de la cesión de datos.
Este artículo establece que: “el responsable del fichero debe informar a los afectados en el momento en que se efectúe la primera cesión de datos. En tal información se debe indicar la finalidad del fichero, la naturaleza de aquellos datos que han sido cedidos, el nombre y dirección de la persona a quien han sido cedidos”.
Lo descrito en el párrafo anterior no es necesario llevarlo a cabo cuando:
- El tratamiento haya sido aceptado libre y legítimamente para desarrollar una relación jurídica. Siempre que el desarrollo, cumplimiento y control de esta relación jurídica implique necesariamente la conexión de dicho tratamiento con ficheros de terceros. En este caso la comunicación sólo será legítima en cuanto se limite a la finalidad que la justifique.
- La comunicación que debe efectuarse va dirigida al Defensor del Pueblo, el Ministerio Fiscal o los Jueces o Tribunales o el Tribunal de Cuentas. Cuando estos se encuentren en el ejercicio de las funciones que tiene atribuidas. Tampoco será preciso el consentimiento cuando la comunicación tenga como destinatario a instituciones autonómicas con funciones análogas al Defensor del Pueblo o al Tribunal de Cuentas.
- La cesión se produzca entre administraciones públicas y tenga por objeto el tratamiento posterior de los datos con fines históricos, estadísticos o científicos.
En todo caso, la AEPD recomienda a las empresas que dispongan de recursos para evitar precisamente estos trámites. Como pueden ser los siguientes:
- Disponer de formularios tipo para la formalización del currículo.
- Contar con procedimiento de formalización y entrega de los documentos por los candidatos.
Esto permite, no solo informar adecuadamente al interesado, sino también definir con precisión el tipo de datos a tratar. Así como otros detalles de interés como cuáles son las medidas de seguridad que se van a llevar a cabo para el tratamiento de los datos.
A continuación te dejamos un post sobre cómo afecta la LOPD también a las pymes.
Datos personales no recabados del propio interesado
En esta materia cabe destacar también el contenido del apartado cuatro del artículo 5 de la Ley 15/1999 de LOPD. Este párrafo regula lo relativo a la obtención de datos personales por empresas de una fuente distinta del interesado.
Cuando tiene lugar esta situación el responsable del fichero o su representante debe informar al interesado de forma expresa, precisa e inequívoca. Tal información se debe efectuar en un plazo de tres meses desde que se realiza el registro de los datos.
El proceso anterior no es necesario si el interesado ya hubiese sido informado con anterioridad de:
- El contenido del tratamiento.
- La procedencia de los datos.
- La existencia de un fichero o tratamiento de datos de carácter personal, la finalidad de la recogida de éstos y los destinatarios de la información (apartado a), artículo 5 LOPD).
- La posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición (apartado d), artículo 5 LOPD).
- La identidad y dirección del responsable del tratamiento o, en su caso, de su representante.
Puede darse el caso de que el responsable del tratamiento no este establecido en territorio de la Unión Europea.
Si esta situación se da, y el tratamiento que se esta realizando se hace con medios situados en territorio español, el responsable debe designar un representante en España. Salvo que tales medios se utilicen con fines de trámite (apartado e), artículo 5 LOPD).
El proceso previsto para los datos personales recabados de fuente distinta del interesado tampoco tiene lugar cuando:
- Esté previsto expresamente en una ley.
- El tratamiento tenga fines históricos, estadísticos o científicos.
- Cuando la información al interesado resulte imposible o exija esfuerzos desproporcionados a criterio de la AEPD o del organismo autonómico equivalente.
- Cuando los datos procedan de fuentes accesibles al público y se destinen a la actividad de publicidad y prospección comercial. En este último caso cada comunicación que se remita al interesado debe informarle del origen de los datos. Dicha comunicación debe informar al interesado también de la identidad del responsable del tratamiento y de los derechos que le asisten.
En todo caso el interesado, es decir quien envía el currículum vitae, debe tener siempre derecho de acceso a sus datos, de rectificación y cancelación de los mismos.
La empresa que reciba currículums debe ser conocedora de la posibilidad de ejercitar tales derechos por los interesados.
Tal y como figura en el apartado 2 del artículo 17 de la LOPD, esta prohibido exigir contraprestación alguna por el ejercicio de los derechos de oposición, acceso, rectificación o cancelación.
Derecho de acceso
El interesado tiene derecho a solicitar y obtener gratuitamente información de sus datos de carácter personal sometidos a tratamiento.
También puede solicitar información sobre el origen de dichos datos. Así como de las comunicaciones realizadas o que se prevean hacer de los mismos.
Esta solicitud solo puede realizarse por el interesado cada 12 meses. Si se acredita un interés legítimo para ello, la consulta puede realizarse antes del plazo anterior.
Derecho de rectificación y cancelación
Si el interesado lo solicita deben rectificarse o cancelarse sus datos personales. El responsable del tratamiento debe cumplir con este derecho en un plazo de 10 días desde la solicitud.
Una vez que se cancelan los datos sometidos a tratamiento quedan bloqueados. Su conservación será únicamente por si fuesen solicitados por administraciones públicas, jueces o tribunales.
También deben guardarse durante el plazo que transcurra hasta la prescripción de las responsabilidades nacidas del tratamiento. Una vez transcurrido este plazo los datos se deben eliminar.
Cualquier empresa a la que se le solicite alguno de los derechos previstos en los últimos dos apartados puede oponerse a ellos. Para ello debe realizar lo previsto para cada caso concreto y seguir el proceso establecido en él reglamentariamente.
Ahora ya sabes cómo actuar respecto al tratamiento de datos cuando tu empresa recibe un currículum vitae.
No dejes de cumplir la cláusula que establece la LOPD para este caso. Es importante hacer un tratamiento correcto de la información personal para evitar futuros problemas. Para cualquier consulta, visita y conoce todo sobre nuestro software LOPD.
Artículos, guías, recursos y consejos de expertos.
