Respuesta rápida: Según el RGPD y el RODO no existe un único número legal de meses para todos los currículums. El artículo 5 dice que los datos solo deben conservarse mientras sean necesarios para la finalidad. Para los candidatos no seleccionados, recomiendo como máximo 6 meses después de que termine el proceso, en el caso de los equipos pequeños. Es mi opinión sobre cómo llevamos la contratación, no «la ley». La jurisprudencia polaca puede permitir conservar más tiempo para defenderse de reclamaciones. El almacenamiento en TalentPool sigue otro plazo y necesita consentimiento.
Esta entrada es divulgativa. No es asesoramiento jurídico. Consulta con un abogado de tu país y para tu caso concreto.
¿Qué exigen realmente el RGPD y el RODO en cuanto a la conservación?
Exigen primero una finalidad, después un plazo justificado y, por último, la eliminación cuando esa finalidad termina.
El artículo 5 del RGPD establece el principio de limitación del plazo de conservación: los datos personales en forma identificable no deben conservarse más tiempo del necesario para los fines del tratamiento. Debes documentar el plazo y poder demostrar por qué es adecuado. La guía sobre limitación del plazo de conservación de la ICO británica expresa la misma idea en un lenguaje sencillo: no conserves los registros de candidatos no seleccionados más tiempo del que necesitas para el plazo de posibles reclamaciones, salvo que tengas una razón de negocio clara.
RODO es simplemente el nombre polaco del RGPD (Reglamento (UE) 2016/679). Es el mismo reglamento. Los empleadores polacos también siguen el Código del Trabajo en lo relativo a los expedientes de los empleados contratados.
La nota de ByteLaw sobre el deber de información es práctica aquí: indica durante cuánto tiempo tratarás los datos del candidato, con un plazo concreto o criterios claros, en el anuncio de empleo o en el formulario de candidatura online.
¿Por qué hay dos plazos para las candidaturas?
Porque defenderse de una reclamación y crear una bolsa de talento son finalidades distintas, con bases jurídicas también distintas.
| Finalidad | Base habitual | Qué puedes hacer | Plazo |
|---|---|---|---|
| Vacante cerrada, posible defensa frente a una discriminación | A menudo interés legítimo (art. 6, apartado 1, letra f) | Conservar registros limitados para defensa; no reutilizarlos para ofrecer nuevos puestos | Polonia: la sentencia del NSA de 2024 puede permitir conservarlos hasta aproximadamente el plazo de prescripción (a menudo se habla de hasta unos 3 años). En la práctica británica suele hablarse de meses. Mi preferencia para equipos pequeños: como máximo 6 meses. |
| Bolsa de talento para futuros puestos | Consentimiento (art. 6, apartado 1, letra a) | Contactar solo para nuevos puestos si la persona lo consintió | Plazo indicado en el texto del consentimiento. Nosowski (en el entorno de ByteLaw) suele sostener que el consentimiento para futuros procesos de selección normalmente no debe superar aproximadamente un año. |
| Candidatura activa para un puesto | Pasos previos a un contrato u obligaciones legales, según proceda | Gestionar esa vacante | Hasta que termine ese proceso; después cambia de finalidad o elimina los datos |
Michał Nosowski en Wśród Danych parte de un punto de partida estricto: eliminar a los candidatos no seleccionados con prontitud una vez terminado el proceso. Después analiza la vía del NSA para conservar los datos con fines de defensa, y mantiene la bolsa de talento sujeta a un consentimiento aparte.
La sentencia del NSA de 20 de febrero de 2024 (III OSK 2700/22) es el precedente polaco al que suele recurrirse para justificar la conservación de datos de candidatos no seleccionados con fines de defensa. La cobertura de Gazeta Prawna explica que los empleadores pueden conservar (no reutilizar libremente) esos datos ante posibles reclamaciones por discriminación durante hasta unos tres años. La palabra clave es puede. No es un deber blando de conservar todos los currículums durante tres años. Aun así, prefiero ≤6 meses para los equipos pequeños cuando no hay ninguna disputa en curso.
¿Qué calendario recomiendo a un empleador pequeño?
Un calendario breve por escrito que puedas incluir en tu aviso de privacidad.
| Tipo de registro | Plazo que sugiero para equipos pequeños | Notas |
|---|---|---|
| Candidato no seleccionado (esta vacante) | Como máximo 6 meses después de terminar el proceso | Es mi opinión. Elimínalos o anonimízalos antes si no necesitas el plazo de defensa. La normativa polaca puede permitir más tiempo solo para defensa. |
| Bolsa de talento | Solo con consentimiento al postularse; plazo según lo indicado (a menudo meses, en la práctica a menudo ≤1 año) | Sin consentimiento, la persona no entra en la bolsa. |
| Expediente de empleado contratado (Polonia) | Durante la relación laboral y 10 años después para contrataciones posteriores a 2019 (vía legal habitual) | Sigue las normas de gov.pl y del Código del Trabajo para tu caso. |
| Vacante eliminada en Canvider | Eliminar los datos relacionados tras 30 días | Regla del producto. |
| Vistas previas de Discover People en Canvider | Unas 48 horas | Regla del producto. |
Si contratas en el Reino Unido y en Polonia, incluye los dos plazos en el aviso. No pretendas que un único número cubra todas las finalidades.
Cuando cambies de herramienta más adelante, la política de conservación te acompaña. Consulta cómo cambiar de ATS sin perder los datos de los candidatos para saber qué se exporta bien y qué no. El RGPD convive también con las normas sobre cribado mediante IA; lo tratamos en la Ley de IA de la UE y las herramientas de IA para contratar.
¿Qué hace Canvider con la conservación de los datos de los candidatos?
Mantenemos los dos plazos separados en el comportamiento del producto.
- Si no se da el consentimiento de future opportunities al postularse, la persona no se guarda en TalentPool. Eso no significa que eliminemos automáticamente la candidatura.
- Delete Candidate es el borrado completo.
- Una vacante marcada como Deleted elimina los datos relacionados tras 30 días.
- Las vistas previas de Discover People duran unas 48 horas.
- Un cliente nos pidió que no introdujéramos datos en servicios no conformes con el RGPD. Canvider no envía datos de candidatos a servicios que no cumplen el RGPD.
Si quieres una lista de comprobación breve: indica los plazos en el anuncio o en el formulario (el punto de ByteLaw), separa el consentimiento para la bolsa de talento de la propia candidatura, elimina los datos también del correo electrónico y de las unidades compartidas, y consulta con un asesor local cuando aparezca una reclamación.
Conservar menos tiempo, con finalidades claras, genera confianza en los candidatos. Y también mantiene tu stack de contratación honesto.
Preguntas frecuentes
¿Cuánto tiempo debo conservar las candidaturas no seleccionadas según el RGPD?
El RGPD no fija un número de meses único. El artículo 5 dice que los datos personales solo deben conservarse mientras sean necesarios para la finalidad. Para equipos pequeños, mi recomendación práctica es como máximo 6 meses después de que termine el proceso de selección para los candidatos no seleccionados, y luego eliminarlos o anonimizarlos, salvo que una disputa en curso exija más tiempo. Esto no es asesoramiento jurídico.
¿Es el RODO diferente del RGPD en lo relativo a los currículums de los candidatos?
No. El RODO es el nombre polaco de las mismas normas europeas del RGPD. Los empleadores polacos también siguen el Código del Trabajo, y la jurisprudencia polaca (NSA 2024) puede permitir conservar más tiempo los datos de candidatos no seleccionados únicamente para defenderse de reclamaciones por discriminación, un plazo que a menudo se cita de hasta unos 3 años. Aun así, prefiero un calendario más corto de 6 meses para los equipos pequeños cuando la finalidad lo permite.
¿Puedo mantener a los candidatos rechazados en una bolsa de talento sin su consentimiento?
No. Una bolsa de talento para futuros puestos necesita un consentimiento aparte según el artículo 6, apartado 1, letra a. Conservar registros para defenderse de una reclamación sobre una vacante cerrada es otra finalidad, que a menudo se basa en el interés legítimo, y no da permiso para escribir a esas personas sobre nuevos puestos. Mezclar esos dos plazos es un error habitual en RRHH.
¿Elimina Canvider automáticamente las candidaturas cuando alguien no consiente las oportunidades futuras?
No. Si no se da el consentimiento de future opportunities al postularse, la persona no se guarda en TalentPool. Eso no equivale a borrar la candidatura. El borrado completo es Delete Candidate. Una vacante marcada como Deleted elimina los datos relacionados tras 30 días.