La contratación se ha vuelto global. Una empresa de Dubái recluta a un ingeniero residente en Alemania, una firma estadounidense incorpora a un consultor de Irlanda y una empresa india abre un centro de entrega en Polonia. Cada una de estas contrataciones implica comprobar la identidad, los estudios y el historial laboral de una persona, y cada una puede poner en juego el Reglamento General de Protección de Datos (GDPR) de la Unión Europea.
El GDPR está en vigor desde mayo de 2018 y, aun así, la verificación de antecedentes (BGV) sigue siendo uno de los ámbitos donde las organizaciones más tropiezan. Este artículo explica por qué el GDPR importa para la selección, cómo cambia la forma de realizar las verificaciones y cómo es un enfoque de cumplimiento sensato.
Por qué el GDPR llega más allá de Europa
El GDPR no se limita a las empresas con sede en la UE. Se aplica a las organizaciones establecidas en la UE y también a las de otros lugares que tratan datos personales de personas en la UE en relación con la oferta de bienes o servicios o el control de su comportamiento. Para una solicitud de verificación sobre un candidato ubicado en Europa, las normas pueden seguir a los datos allá donde viajen.
Por eso, tanto un proveedor de verificación como el empleador que lo contrata deben entender la normativa, incluso cuando ninguno tiene oficina en Europa.
Las ideas centrales, en lenguaje sencillo
El GDPR se basa en un conjunto de principios que se aplican a cada etapa de un expediente de verificación:
- Licitud, lealtad y transparencia. Debe existir una base jurídica válida para el tratamiento, y se debe informar a los candidatos de lo que ocurre con sus datos.
- Limitación de la finalidad. Los datos recogidos para una verificación concreta no deben reutilizarse para fines no relacionados.
- Minimización de datos. Recoge solo lo que sea pertinente y necesario para el puesto.
- Exactitud. Los registros deben ser correctos y mantenerse actualizados.
- Limitación del plazo de conservación. Los datos no deben conservarse más tiempo del necesario.
- Integridad y confidencialidad. Una seguridad adecuada debe proteger los datos.
- Responsabilidad proactiva. Las organizaciones deben poder demostrar que cumplen, no limitarse a afirmarlo.
Elegir la base jurídica adecuada
Una de las primeras preguntas en cualquier programa de selección europeo es: ¿por qué se nos permite tratar esta información? El GDPR ofrece varias bases jurídicas, y las que más se consideran en la contratación son la obligación legal, el interés legítimo y, en casos limitados, el consentimiento.
El consentimiento merece especial cuidado en el ámbito laboral. Los reguladores llevan tiempo expresando su preocupación de que el consentimiento dado por un solicitante de empleo puede no ser realmente voluntario, porque existe un evidente desequilibrio de poder entre el candidato y el empleador. Por eso, muchas organizaciones se apoyan en una evaluación documentada del interés legítimo o en un requisito legal, sin dejar de dar a los candidatos un aviso claro. La respuesta correcta depende del país y del tipo de verificación, por lo que conviene contar con asesoramiento jurídico local.
Dónde se vuelve sensible la verificación de antecedentes
Verificación de antecedentes penales
La información sobre condenas e infracciones penales recibe una protección especial en el GDPR. En general, su tratamiento debe realizarse bajo la supervisión de una autoridad pública o estar autorizado por el Derecho de la UE o de un Estado miembro con garantías adecuadas. Las normas difieren notablemente entre países y, en algunos lugares, los empleadores solo pueden solicitar un certificado cuando el puesto lo justifique legalmente. Una única política global de "verificación penal para todos" es arriesgada.
Datos de categoría especial
La salud, el origen étnico, la religión, la afiliación sindical y categorías similares están sujetos a condiciones más estrictas. Los procesos de selección deben evitar recoger estos datos salvo que exista una necesidad clara y lícita, y deben asegurarse de que los campos de texto libre, las respuestas de referencias y los documentos cargados no introduzcan discretamente este tipo de datos en el expediente.
Decisiones automatizadas
Si el resultado de una verificación se produce íntegramente mediante un proceso automatizado y tiene un efecto significativo sobre un candidato, el GDPR otorga a esa persona ciertas protecciones, entre ellas la posibilidad de solicitar una revisión humana. La verificación asistida por IA puede seguir usándose bien, siempre que una persona participe de forma significativa en las decisiones que afecten a las perspectivas laborales de alguien.
Qué pueden pedirte los candidatos
El GDPR otorga a las personas un conjunto de derechos que se aplican directamente a los registros de verificación:
- Acceso a los datos personales que se conservan sobre ellas e información sobre cómo se utilizan.
- Rectificación de los datos inexactos.
- Supresión en determinadas circunstancias.
- Limitación y oposición en situaciones específicas.
- Portabilidad cuando proceda.
Los empleadores y sus socios de verificación deben poder responder a estas solicitudes dentro del plazo de un mes que fija el reglamento, lo que implica saber dónde se encuentra cada copia del expediente de un candidato.
Responsabilidades compartidas entre empleador y proveedor
En la mayoría de los acuerdos, el empleador es el responsable del tratamiento, que decide por qué y cómo se usan los datos, mientras que la empresa de verificación es un encargado del tratamiento, que actúa siguiendo las instrucciones del empleador. El GDPR exige un contrato por escrito entre ambos que cubra el objeto, las medidas de seguridad, los subencargados, la asistencia en el ejercicio de derechos y la supresión o devolución de los datos al terminar la relación.
Otros dos puntos merecen atención:
- Notificación de brechas. Una brecha de datos personales que suponga un riesgo para las personas generalmente debe notificarse a la autoridad de control sin dilación indebida y, de ser posible, en un plazo de 72 horas. Los encargados deben avisar con prontitud a los responsables, por lo que los contratos deben precisar en cuánto tiempo.
- Transferencias internacionales. Enviar datos de verificación desde la UE a un país sin decisión de adecuación requiere una garantía aprobada, como las Cláusulas Contractuales Tipo, junto con una evaluación de los riesgos. La verificación de títulos en el extranjero o de empleadores anteriores suele implicar precisamente este tipo de movimiento.
El costo de hacerlo mal
Los reguladores pueden imponer multas de hasta 20 millones de € o el 4 % del volumen de negocio anual mundial, la cifra que sea mayor, por las infracciones más graves. Más allá de las multas, el daño práctico puede incluir programas de contratación paralizados, pérdida de confianza de los candidatos y conversaciones difíciles con clientes que confían en ti para proteger los datos de su gente.
Una lista práctica para la selección en Europa
- Mapea todos los flujos de datos de tu proceso de verificación, incluido dónde se almacenan los datos y quién puede verlos.
- Documenta tu base jurídica para cada tipo de verificación y cada país.
- Entrega a los candidatos un aviso de privacidad claro y conciso antes de recoger cualquier dato.
- Ajusta las verificaciones al puesto y elimina las que no estén justificadas.
- Realiza una evaluación de impacto relativa a la protección de datos cuando la selección sea a gran escala o implique datos de mayor riesgo.
- Establece contratos con encargados del tratamiento que cumplan la normativa y revisa los subencargados.
- Fija plazos de conservación y confirma que la eliminación realmente se lleva a cabo.
- Prepara un proceso sencillo para atender solicitudes de acceso, rectificación y supresión.
- Capacita a reclutadores y equipos de RR. HH., ya que el error humano causa muchos incidentes.
- Prueba tu plan de respuesta a brechas para que el plazo de 72 horas sea realista.
La privacidad y la rapidez pueden convivir
A algunos empleadores les preocupa que las normas de privacidad ralenticen la contratación. En nuestra experiencia suele ocurrir lo contrario. Un proceso con consentimiento claro, verificaciones dirigidas y registros ordenados genera menos disputas, menos reverificaciones y una incorporación más rápida. Además, los candidatos notan cuando una organización trata su información con cuidado, y eso influye en cómo ven al empleador.
Cómo Quinfy respalda una verificación global conforme a la normativa
Quinfy ofrece verificación de antecedentes en más de 45 países, con el respaldo de las certificaciones ISO 27001, ISO 9001 y SOC 2 Type II. Nuestra plataforma está diseñada para que el consentimiento del candidato, los controles de acceso y el manejo de datos formen parte del recorrido de verificación. Si estás creando o revisando un programa de selección que involucra a Europa, estaremos encantados de analizar tus requisitos.
Este artículo es solo informativo y no constituye asesoramiento jurídico. Los requisitos varían según el país y la situación, por lo que debes consultar a un asesor jurídico cualificado antes de ultimar tus políticas de selección.
Sobre el autor: Prathap P es gerente sénior de ventas de Quinfy, una empresa de verificación de antecedentes nativa de IA que ayuda a los empleadores a verificar talento en todo el mundo.
