Usar CV de candidatos de LinkedIn: límites RGPD en selección

Buscar en LinkedIn antes de contratar es una práctica extendida y, dentro de ciertos límites, perfectamente lícita. El problema aparece cuando se confunde «el perfil es público» con «puedo hacer con él lo que quiera». Usar CV de candidatos de LinkedIn tiene reglas, y la Agencia Española de Protección de Datos las ha ido concretando en su guía sobre protección de datos en las relaciones laborales, actualizada en diciembre de 2025.

La base jurídica no es el consentimiento

Empecemos por deshacer el error más común. El tratamiento de datos de un candidato que se inscribe en un proceso no se apoya en el consentimiento, sino en el artículo 6.1.b del RGPD: medidas precontractuales adoptadas a petición del interesado. La razón es de fondo: por el desequilibrio entre empresa y trabajador, es muy difícil que un consentimiento prestado en ese contexto pueda considerarse libre.

Para datos que no sean estrictamente necesarios para valorar la candidatura —un informe de vida laboral, por ejemplo—, la empresa podría acudir al interés legítimo, pero tendría que hacer la ponderación y dejarla por escrito.

El perfil que usted encuentra, no el que le envían

Aquí está la distinción que decide casi todos los casos.

Si el candidato le envía su currículum o se inscribe en su oferta, hay una petición del interesado y la base del artículo 6.1.b funciona. Si es usted quien localiza un perfil en una red profesional y trata esos datos sin que la persona se haya dirigido a la empresa, esa base ya no existe.

El criterio de la AEPD es claro: aunque el perfil sea de acceso público, el empleador no puede tratar esos datos sin una base jurídica válida. La indagación solo se justifica si los datos están relacionados con fines profesionales, y el tratamiento únicamente será posible cuando se demuestre que resulta necesario y pertinente para el puesto concreto. La Agencia añade algo más: la empresa no está legitimada para solicitar amistad o acceso al perfil del candidato.

Y además hay que informarle

Cuando los datos no se obtienen del propio interesado —el perfil captado en la red, el currículum que remite un tercero, la recomendación de un empleado—, entra en juego el artículo 14 del RGPD. La empresa debe informar en un plazo razonable y, como máximo, en el plazo de un mes; o en la primera comunicación que dirija a esa persona, si es anterior.

Las excepciones del artículo 14.5 son estrechas: que el interesado ya disponga de la información, que informar resulte imposible o exija un esfuerzo desproporcionado en los supuestos tasados, que la obtención esté expresamente prevista por ley o que exista secreto profesional regulado. «Es incómodo» no figura entre ellas.

Cuando sí hay convocatoria pública, la información del artículo 13 debe incluirse en el propio anuncio de empleo. Y cuando el currículum llega de forma espontánea, la Agencia recomienda un procedimiento que deje constancia: responder al correo electrónico facilitado con la información de tratamiento.

Qué no se puede mirar

Un perfil profesional deja ver, con frecuencia, mucho más que experiencia laboral: pertenencia a asociaciones, afiliación sindical, creencias, estado de salud, orientación sexual. Son categorías especiales del artículo 9 del RGPD, y el artículo 9.1 de la LOPDGDD es tajante: el solo consentimiento del afectado no basta para levantar la prohibición cuando la finalidad principal sea identificar su ideología, afiliación sindical, religión, orientación sexual, creencias u origen racial o étnico.

Que el dato esté a la vista no lo convierte en tratable. Y utilizarlo en la decisión de contratación no es solo una infracción de protección de datos: es un problema laboral de otra magnitud.

Cuánto tiempo se puede guardar un currículum

Terminado el proceso sin contratación, desaparece la base jurídica que amparaba el tratamiento. A partir de ahí caben dos caminos: suprimir el currículum —con el bloqueo previsto en el artículo 32 de la LOPDGDD— o incorporarlo a una bolsa de empleo, para lo que sí hace falta consentimiento, porque ya no hay medida precontractual que sostenga nada.

La AEPD no fija un plazo numérico. Lo que exige es que el plazo esté definido, documentado y se cumpla. Una carpeta con currículos de 2019 no es una bolsa de empleo: es una infracción esperando a que alguien ejerza su derecho de supresión.

El filtro automático: lo que llega en 2027

Cada vez más procesos incorporan herramientas que puntúan o descartan candidaturas. El Reglamento europeo de Inteligencia Artificial incluye expresamente en su anexo III, punto 4, los sistemas destinados a la contratación y selección de personal: publicar anuncios, filtrar solicitudes y evaluar candidatos. Son sistemas de alto riesgo.

Tras la reforma introducida por el ómnibus digital de julio de 2026, las obligaciones del anexo III son exigibles desde el 2 de diciembre de 2027. La empresa que usa la herramienta no es su fabricante, pero sí su responsable del despliegue, y eso le impone deberes propios: usarla conforme a las instrucciones del proveedor, asegurar supervisión humana a cargo de personas con competencia y autoridad reales, vigilar su funcionamiento, conservar los registros un mínimo de seis meses y, muy importante, informar a la representación de los trabajadores y a los trabajadores afectados antes de ponerla en servicio.

A eso se suma, desde ya, la evaluación de impacto del artículo 35 del RGPD cuando el cribado automatizado suponga un riesgo alto.

Lo que ya se ha sancionado

El expediente más ilustrativo no es el más caro. La AEPD sancionó con 2.000 euros a una empresa por infracción del artículo 13: recibió un currículum por WhatsApp, en un número publicado en un portal de empleo, y nunca informó al candidato del tratamiento de sus datos. Dos mil euros por no enviar un párrafo.

La lista corta

1. Base jurídica documentada: medidas precontractuales, no consentimiento.
2. Información del artículo 13 en la oferta y respuesta informativa a las candidaturas espontáneas.
3. Información del artículo 14, en el plazo de un mes, cuando los datos no vengan del candidato.
4. Nada de categorías especiales en la valoración, aunque estén a la vista.
5. Plazo de conservación definido y consentimiento expreso para la bolsa de empleo.
6. Inventario de herramientas de IA en selección, con hoja de ruta a diciembre de 2027.

Los seis puntos caben en un procedimiento de una página, y esa página es lo que se pide cuando llega una reclamación. Lo revisamos y lo dejamos escrito dentro del asesoramiento en protección de datos.