RGPD/LOPDGDD en selección: guía práctica sin jerga

Actualizada el 17 de octubre de 2026. Añadimos qué ha cambiado desde 2025 y qué no, lo que exige la LOPDGDD además del RGPD, el cribado con IA y los plazos reales para responder a un candidato.

Si seleccionas personal en España, el RGPD y la LOPDGDD te piden cinco cosas: una base jurídica para cada forma en que llega un candidato, informarle de forma clara, responder a sus derechos en plazo, controlar cualquier decisión automatizada y conservar sus datos solo mientras te sirven. Ninguna de las dos normas ha cambiado en lo que trata esta guía desde que la publicamos en 2025, pero su contexto sí: el TJUE ha precisado cuándo una puntuación automatizada es una decisión, la Ley de IA ya tiene calendario cerrado para la selección de personal y la Comisión ha propuesto reformar el RGPD.

Cada punto lleva el artículo que lo respalda. No es asesoramiento jurídico: citamos la norma para que puedas comprobarla.

Qué ha cambiado desde 2025 y qué no

Es fácil confundir los dos ómnibus. El de IA ya está publicado en el Diario Oficial; el Ómnibus digital que toca el RGPD (COM(2025) 837) todavía puede cambiar o no aprobarse. Hasta que salga en el Diario Oficial, el artículo 22 y la definición de dato personal son los de siempre.

Base jurídica: una por cada forma en que llega un candidato

Para las agencias hay una pregunta previa: si actúas como responsable del tratamiento, con tu propia base de candidatos, o como encargado, tratando datos por cuenta de la empresa cliente. Lo decide quién fija los fines y los medios del tratamiento en la práctica, no solo lo que diga el contrato. Si presentas candidatos de tu base a un cliente, esa comunicación necesita su propia base jurídica y el candidato tiene que saberlo.

Qué datos no pedir

Recoge solo lo que necesitas para valorar la candidatura (art. 5.1.c RGPD). Las categorías especiales del artículo 9 del RGPD, como la salud, la religión o la afiliación sindical, están prohibidas salvo excepción. La LOPDGDD va más allá en su artículo 9.1: el consentimiento del candidato, por sí solo, no basta para tratar datos cuya finalidad principal sea identificar su ideología, afiliación sindical, religión, orientación sexual, creencias u origen racial o étnico. En un formulario de candidatura, la respuesta práctica es no preguntar por nada de eso. Los test psicotécnicos, según la guía de la AEPD sobre relaciones laborales, requieren el consentimiento del candidato.

Ocurre lo mismo con la foto, la edad o el estado civil cuando el puesto no los requiere: si no los necesitas para decidir, no los pidas.

Cómo informar al candidato

El RGPD distingue dos momentos:

• Si los datos te los da el candidato, al inscribirse, la información del artículo 13 se da en ese momento.
• Si los obtienes de otra fuente, por ejemplo una red profesional o una base de datos, el artículo 14 te da un plazo razonable de como máximo un mes, y si vas a usar esos datos para contactarle, como muy tarde en el primer contacto. La LOPDGDD añade que, en ese caso, la primera capa diga también qué categorías de datos tienes y de qué fuente salen (art. 11.3).

La LOPDGDD permite hacerlo por capas (art. 11): una primera capa breve con quién eres, para qué usas los datos y cómo ejercer los derechos, y un enlace a la información completa. En el primer mensaje de una búsqueda proactiva, una línea con esas tres cosas, qué categorías de datos tienes y de dónde salen, y el enlace a tu política cumple la primera capa. Si vas a elaborar perfiles, dilo también e informa del derecho a oponerte a decisiones automatizadas (art. 11.2).

La información completa incluye:

• La base jurídica y, si es el interés legítimo, cuál es ese interés.
• Los destinatarios, y si hay transferencias fuera del Espacio Económico Europeo, con qué garantías.
• El plazo de conservación.
• Los derechos, incluido el de retirar el consentimiento y el de reclamar ante la AEPD.
• La fuente de los datos, si no te los dio el candidato.
• Si hay decisiones automatizadas, información significativa sobre la lógica aplicada y sus consecuencias.

Derechos del candidato y plazos de respuesta

El candidato puede ejercer los derechos de acceso, rectificación, supresión, limitación y oposición, y el de portabilidad cuando tratas sus datos por consentimiento o por contrato y de forma automatizada. Tienes un mes para responder desde que recibes la solicitud (art. 12.3 RGPD), prorrogable otros dos meses si es compleja o hay muchas, siempre que se lo comuniques dentro del primer mes con el motivo.

La pregunta que más se repite en selección es «¿por qué me han descartado?». Si la decisión fue automatizada, el derecho de acceso incluye información significativa sobre la lógica aplicada (art. 15.1.h). El TJUE precisó en febrero de 2025 (asunto C-203/22) que eso significa explicar de forma comprensible el procedimiento y los principios que se aplicaron a los datos de esa persona. Alegar que el algoritmo es secreto comercial no basta para negar la explicación: según la misma sentencia, esa información se entrega a la autoridad de control o al tribunal para que pondere los derechos en juego.

Cribado automatizado, puntuaciones e IA

Las obligaciones de alto riesgo de la Ley de IA no llegan hasta diciembre de 2027, pero el RGPD ya se aplica al cribado de candidaturas.

• Decisiones automatizadas (art. 22 RGPD). Un candidato tiene derecho a no ser objeto de una decisión basada únicamente en un tratamiento automatizado que le afecte de forma significativa. Descartar candidaturas sin que ninguna persona las mire es justo eso, se haga con IA o con reglas fijas, como un filtro por años de experiencia. Solo se admite si es necesario para el contrato, si lo autoriza una ley o con consentimiento explícito, y en los casos de contrato y consentimiento con garantías: como mínimo, que el candidato pueda pedir que lo revise una persona, dar su punto de vista e impugnar la decisión.
• Puntuaciones. El TJUE dijo en 2023 (asunto C-634/21, SCHUFA) que generar de forma automatizada un valor de probabilidad sobre una persona es una decisión automatizada cuando de ese valor depende de manera determinante lo que decide un tercero. El caso era de solvencia, pero el razonamiento encaja con una puntuación de encaje con el puesto que el reclutador sigue casi siempre.
• Evaluación de impacto (art. 35 RGPD). Evaluar de forma sistemática y exhaustiva aspectos personales con tratamiento automatizado, cuando de ello dependen decisiones con efectos significativos, exige una evaluación de impacto antes de empezar. La LOPDGDD cita la evaluación de aspectos personales para crear o usar perfiles entre los supuestos de mayor riesgo (art. 28.2.d), y la lista de la AEPD del artículo 35.4 incluye la valoración de personas por su desempeño, personalidad o comportamiento y las decisiones automatizadas que impiden acceder a un contrato. Según la AEPD, si un tratamiento cumple dos o más de sus criterios, la evaluación será necesaria en la mayoría de los casos.
• Representantes de los trabajadores. El Estatuto de los Trabajadores (art. 64.4.d) da al comité de empresa derecho a conocer los parámetros, reglas e instrucciones de los algoritmos o sistemas de IA que afectan a decisiones sobre el acceso y el mantenimiento del empleo, incluida la elaboración de perfiles. Si tu empresa criba con un algoritmo, el comité puede pedirte cómo funciona.

En la práctica, la garantía que funciona es que una persona con criterio y autoridad revise cada descarte, uno por uno, antes de que se produzca. Lo que añade la Ley de IA a partir de diciembre de 2027 está en la guía de la Ley de IA en selección.

Cuánto tiempo conservar un CV

Ni el RGPD ni la LOPDGDD fijan un número de meses. El principio es el del artículo 5.1.e del RGPD: los datos se conservan mientras sirven a la finalidad para la que se recogieron. En la práctica:

1. Durante el proceso, conservas lo necesario para decidir.
2. Al cerrarlo, si no has contratado a la persona y no tienes su consentimiento ni un interés legítimo documentado para seguir, sus datos se suprimen. Lo que debas guardar para posibles reclamaciones se bloquea. El bloqueo (art. 32 LOPDGDD) consiste en apartarlos e impedir cualquier uso, incluido verlos, salvo ponerlos a disposición de jueces, fiscalía o autoridades para posibles responsabilidades derivadas del tratamiento, y solo durante el plazo de prescripción de esas responsabilidades. Pasado ese plazo, se destruyen.
3. Para guardar el CV con vistas a otras vacantes necesitas consentimiento, con un plazo que el candidato conozca. Al vencer, se renueva o se borra.
4. Las grabaciones de entrevistas y las pruebas técnicas suelen justificar plazos más cortos que el CV.

Fija el plazo de cada caso, escríbelo en tu registro de actividades y en la información al candidato, y revisa que tu software lo aplique de verdad.

Transferencias internacionales

Si un proveedor trata datos de candidatos fuera del Espacio Económico Europeo, comprueba en este orden:

1. Si el país tiene una decisión de adecuación de la Comisión (art. 45 RGPD).
2. Para EE. UU., si la empresa está certificada en el EU-US Data Privacy Framework (Decisión de Ejecución (UE) 2023/1795). El Tribunal General desestimó su anulación el 3 de septiembre de 2025 (asunto T-553/23); el recurso ante el Tribunal de Justicia sigue pendiente, así que conviene tener previsto un plan B.
3. Si no hay adecuación, cláusulas contractuales tipo (Decisión de Ejecución (UE) 2021/914) con una evaluación de impacto de la transferencia y medidas adicionales si el riesgo lo pide.

Lleva un registro sencillo de qué proveedor transfiere qué datos, adónde y con qué garantía.

El contrato con tu proveedor de software de selección

Todo proveedor que trate datos por tu cuenta es encargado del tratamiento y necesita un contrato con el contenido del artículo 28.3 del RGPD: objeto, duración, naturaleza y finalidad, tipos de datos y categorías de interesados; que solo trate los datos siguiendo tus instrucciones documentadas, también para las transferencias, y te avise si una instrucción infringe la normativa; confidencialidad del personal; medidas de seguridad; reglas para subencargados; ayuda con los derechos de los candidatos, las brechas y las evaluaciones de impacto; devolución o supresión de los datos al terminar; y auditorías, incluidas inspecciones.

Señales de alerta:

• El proveedor se reserva usar los datos de tus candidatos para sus propios fines, como entrenar sus modelos, sin que conste en el contrato ni en la información al candidato.
• Usos vagos como «mejora del servicio» sin límites.
• No identifica subencargados ni países de tratamiento.
• Rechaza auditorías o no se compromete a avisarte de una brecha sin dilación. Tú tienes 72 horas para notificarla a la autoridad (art. 33 RGPD), y no puedes cumplirlo si tu proveedor tarda una semana en contártelo.

Checklist

1. Escribe la base jurídica de cada vía de entrada: inscripción, bolsa de talento, búsqueda proactiva, verificaciones legales.
2. Quita de tus formularios cualquier pregunta que no necesites para decidir.
3. Prepara la primera capa de información para la inscripción y para el primer mensaje de una búsqueda proactiva.
4. Define quién responde a las solicitudes de derechos y cómo cumples el mes.
5. Revisa qué descartes se hacen sin revisión humana real y corrígelo, o documenta en qué supuesto del artículo 22 encajan.
6. Si puntúas o filtras de forma automatizada, haz la evaluación de impacto antes de seguir y prepara la explicación que darás a un candidato.
7. Fija plazos de conservación por tipo de dato y aplica el bloqueo al cerrar cada proceso.
8. Revisa contratos de encargado, subencargados y transferencias de cada proveedor.

Qué preguntarle a tu proveedor de software de selección

• ¿Dónde se procesan los datos de mis candidatos y qué subencargados intervienen?
• ¿Se usan los datos de mis candidatos para entrenar modelos?
• ¿Cómo aplica el sistema los plazos de conservación y el bloqueo?
• ¿Qué decisiones toma el sistema sin intervención humana, y cómo puede una persona de mi equipo revisar o anular una recomendación?
• ¿Qué registros guarda y cómo los exporto para responder a un candidato o a la AEPD?

Si trabajas con Mainder, hazle las mismas preguntas a tu contacto. En nuestra plataforma la IA recomienda y una persona decide, los datos de tus candidatos no se usan para entrenar modelos y cada interacción con la IA queda registrada. También te ayudamos a revisar tu flujo de selección con un enfoque práctico y de cumplimiento desde el diseño (compliance by default). Lo detallamos en la página de seguridad y cumplimiento.

Fuentes

• Reglamento (UE) 2016/679, RGPD: artículos 5, 6, 7, 9, 12 a 15, 21, 22, 28, 33, 35 y 45.
• Ley Orgánica 3/2018, LOPDGDD: artículos 8, 9, 11, 28 y 32.
• Estatuto de los Trabajadores: artículo 64.4.d.
• Ley Orgánica 8/2021, de protección integral a la infancia y la adolescencia frente a la violencia: artículo 57.
• Sentencia del TJUE de 7 de diciembre de 2023, asunto C-634/21 (SCHUFA).
• Sentencia del TJUE de 27 de febrero de 2025, asunto C-203/22 (Dun & Bradstreet Austria).
• Propuesta de Ómnibus digital, COM(2025) 837, y su tramitación, consultada el 17 de octubre de 2026.
• Decisión de Ejecución (UE) 2023/1795, EU-US Data Privacy Framework.
• Decisión de Ejecución (UE) 2021/914, cláusulas contractuales tipo.
• AEPD: lista de tratamientos que requieren evaluación de impacto (art. 35.4 RGPD).
• AEPD: La protección de datos en las relaciones laborales: apartados sobre selección, decisiones automatizadas y conservación.