Captar currículums sin ‘acuse de recibo’ puede tener los días contados si los candidatos acuden a la AEPD para denunciar a las empresas.
Una resolución reciente publicada por la Agencia Española de Protección de Datos (AEPD) dictamina que no responder a los candidatos que envían currículums puede ser constitutivo de infracción. Una empresa ha sido sancionada con una multa de 2.000 euros por falta de respuesta a uno de sus candidatos después de recibir su currículum.
Según relata la resolución, fechada a 23 de agosto de 2021, el reclamante encontró una oferta de empleo a través de un portal de internet. Siguiendo las instrucciones del anuncio, contactó por teléfono con la empresa y le remitió su currículum a través del sistema de mensajería instantánea WhatsApp. Los responsables nunca le dieron ningún tipo de respuesta.
El denunciante decidió formalizar una denuncia ante la AEPD porque la empresa no le facilitó información sobre el tratamiento que harían de sus datos personales ni de los derechos que le asistían como titular de los mismos. También aportó un pantallazo de la web corporativa en la que solo se mostraba una dirección postal, un correo electrónico y el número de teléfono; no se hacía referencia alguna al responsable del tratamiento o el delegado de protección de datos.
La empresa no respondió a su requerimiento de información, y entonces el organismo inició un procedimiento sancionador.
En su resolución, la AEPD determina que la recogida de datos a través de formularios incluidos en portales web constituye un «tratamiento de datos«. Por este motivo, su responsable queda sometido a las exigencias del Reglamento General de Protección de Datos (RGPD). La norma comunitaria define «dato personal» como «toda información sobre una persona física identificada o identificable» (nombre, DNI, etc.), y «tratamiento» como «cualquier operación o conjunto de operaciones realizada sobre datos personales», como la recogida, el registro o su utilización, entre otras.
La captación de currículums supone, por lo tanto, el tratamiento de datos personales. La resolución recuerda que los responsables están obligados a facilitar cierta información a los ‘propietarios’ de los mismos. En concreto, según el artículo 13 del RGPD, deben comunicar, entre otros elementos, la identidad y los datos de contacto del responsable del tratamiento y del delegado de protección de datos; los fines y la base jurídica del tratamiento; el plazo durante el cual se conservará la información recogida; y los derechos que asisten al interesado (entre ellos, los de acceso, rectificación, supresión u oposición).
La empresa «no identifica de manera apropiada a su responsable ni los derechos que asisten a los usuarios, ni las vías a utilizar para su ejercicio«, una información que la normativa exige que sea facilitada. Este incumplimiento del principio de transparencia o el derecho a la información del afectado, constituye una «infracción leve».
Al no tener la compañía reclamada infracciones previas, ni haber obtenido beneficios directos de su conducta, ni estar considerada como gran empresa, la Agencia «gradúa» la sanción y a fija en una cuantía de 2.000 euros. Contra la resolución, en todo caso, cabe recurso ante la jurisdicción contencioso-administrativa.