La protección de datos ya no es una cuestión técnica que solo compete al departamento de TI o al Delegado de Protección de Datos: es un factor crítico, especialmente en los procesos de selección de personal.
En este sentido, es importante poner el foco en cómo los departamentos de Recursos Humanos gestionan las candidaturas y cómo las empresas de recruitment tratan los datos de quienes están buscando empleo.
Un claro ejemplo de ello es la reciente sanción de 300.000 euros que la Agencia Española de Protección de Datos (AEPD) ha interpuesto a una empresa internacional de reclutamiento. Aunque la compañía argumentó que actuó de buena fe para proteger la identidad de una candidata, la AEPD consideró que su tratamiento de datos no cumplía con el Reglamento General de Protección de Datos (RGPD). Te lo explicamos todo, a continuación.
¿Qué ha pasado exactamente?
Una profesional creó su perfil y subió su currículum en el portal holandés de una conocida firma de recruitment. Tiempo después, solicitó ejercer su derecho de acceso para saber qué datos personales procesaba esa empresa. En lugar de verificar su identidad de forma proporcional al contexto (por ejemplo, mediante el acceso autenticado a su propia cuenta), la empresa le exigió que facilitara copia de su DNI antes de atender su solicitud.
En principio, esto puede parecer una medida razonable para garantizar que solo la persona indicada acceda a sus propios datos… pero no lo es.
El motivo de la sanción
La AEPD concluyó que:
- La empresa exigía documentación excesiva e innecesaria para atender un derecho que la candidata podía ya ejercer autenticada en su cuenta.
- Esta solicitud vulneraba el principio de minimización de datos, que obliga a limitar la recogida y tratamiento de datos a lo estrictamente necesario según el fin perseguido.
- Aunque el requisito de verificar la identidad del solicitante está permitido en determinados casos, este solo debe aplicarse cuando realmente exista duda legítima sobre quien ejerce el derecho, no de forma generalizada en todos los casos.
En otras palabras: pedir el DNI por sistema para conceder acceso a datos propios no está justificado y conlleva un riesgo adicional de vulneración.
Esta sanción demuestra que no basta con actuar de buena fe: es indispensable conocer y aplicar correctamente los principios y requisitos del RGPD, incluso en áreas aparentemente operativas como recruitment y procesos selectivos. El coste de ignorarlos puede ir mucho más allá de una multa, ya que afecta directamente a la reputación y a la confianza que una organización genera entre candidatos y clientes.
Otros casos recientes que nos deben llamar la atención
Este caso que te hemos contado, aunque es especialmente ilustrativo, no es una excepción. En Europa se han publicado otras sanciones en los últimos años en el ámbito de recursos humanos. Aquí tienes algunos ejemplos:
- Multa a una agencia pública de empleo francesa por fallos en protección de datos: la autoridad francesa de protección de datos impuso recientemente una sanción de 5 millones de euros a France Travail, la agencia pública de empleo de Francia, por no proteger adecuadamente la información personal de casi 37 millones de personas tras un ciberataque.
- Sanciones menores por ignorar la solicitud de los candidatos: en los Países Bajos, la autoridad de protección de datos impuso una multa de 6.000 euros a una empresa de recruitment por ignorar solicitudes de eliminación de datos personales de candidatos.
- Recopilación excesiva de datos de candidatos: en Finlandia, el organismo de protección de datos sancionó a varias empresas por recoger datos innecesarios de solicitantes de empleo, como estado de salud, creencias religiosas o información familiar (datos claramente no esenciales para evaluar una candidatura).
- El caso H&M, una de las multas más elevadas por cuestiones laborales: y terminamos con el que es quizá uno de los ejemplos más conocidos a nivel europeo y que, aunque es de 2020, sigue siendo muy relevante para los profesionales del sector de los recursos humanos. Y es que H&M fue multada en Alemania con más de 35 millones de euros por recopilar y analizar excesivamente datos de sus empleados, incluyendo detalles de vida personal en contextos laborales cotidianos.
La conclusión en este último caso y en todos los demás es que la monitorización, el análisis o el tratamiento de datos personales en relación con empleados o candidatos debe estar siempre claramente justificado y limitado a lo esencial.
¿Qué lecciones nos enseñan estos casos?
Lo que vemos en cada uno de estos ejemplos es una tendencia clara y creciente:
Las autoridades de protección de datos están activas y vigilantes, no solo con grandes empresas tecnológicas, sino también con organizaciones públicas, pymes, plataformas de reclutamiento y departamentos de RRHH.
No basta con buena intención: los procesos, formularios, sistemas y decisiones deben estar alineados con el RGPD y la LOPDGDD.
Los derechos de candidatos y empleados importan: la AEPD y otras autoridades europeas sancionan cada vez más incumplimientos relacionados con el ejercicio de los derechos ARCO (Acceso, Rectificación, Cancelación y Oposición) y el principio de minimización de datos. Respetar estos derechos es fundamental y puede evitar sanciones costosas y, sobre todo, daños reputacionales.
Las multas pueden ir desde unos miles hasta varios millones, dependiendo de la naturaleza de la infracción y del tamaño del responsable del tratamiento.
BIBLIOGRAFÍA
- https://www.personneltoday.com/hr/gdpr-hm-fined-record-32m-for-intrusive-people-analytics
- https://www.edpb.europa.eu/news/national-news/2020/finnish-dpa-imposed-three-administrative-fines-data-protection-violations_en
- https://www.autoriteitpersoonsgegevens.nl/en/current/fine-for-recruitment-company-for-ignoring-requests-for-removal
- https://www.cnil.fr/en/data-breach-5million-fine-france-travail
