Tus datos en un proceso de selección: qué puedes exigir a una empresa en España (RGPD, ATS e IA)

Cuando envías tu CV a una empresa en España, esa empresa se convierte en responsable del tratamiento de tus datos personales y tú no pierdes el control sobre ellos. Puedes pedir que te confirmen si te están tratando datos, obtener una copia, corregir lo que esté mal, pedir que los borren, oponerte al tratamiento y, si la criba fue automática, pedir que intervenga una persona. El Reglamento General de Protección de Datos (RGPD) es aplicable desde el 25 de mayo de 2018 y el plazo de referencia para que te respondan es de un mes desde la recepción de tu solicitud, prorrogable dos meses más por complejidad o número de solicitudes. Esta guía explica qué puedes pedir, con qué artículo lo pides y qué cambia cuando en el proceso hay software de gestión de candidaturas (ATS) o sistemas de inteligencia artificial. No es asesoramiento jurídico: es una lectura de las fuentes oficiales, con enlaces para que compruebes cada punto tú mismo.

Qué pasa con tu CV en el momento en que lo envías

Un currículum es un paquete denso de datos personales: nombre, teléfono, correo, historial laboral, formación y, muchas veces, foto, dirección o fecha de nacimiento. En cuanto la empresa lo recibe y lo guarda, ese tratamiento entra dentro del RGPD y queda sujeto a los principios del artículo 5 del Reglamento, que exige que los datos sean tratados de manera «lícita, leal y transparente», recogidos con fines determinados, explícitos y legítimos, «adecuados, pertinentes y limitados a lo necesario» y conservados no más tiempo del necesario para la finalidad.

Ese último punto es el que más sorprende a los candidatos. La empresa no puede guardar tu candidatura de forma indefinida «por si acaso» sin una finalidad y sin un plazo o, al menos, criterios de conservación: el artículo 5 obliga a no conservar los datos más tiempo del necesario para la finalidad, y el artículo 5.2 añade el principio de responsabilidad proactiva, es decir, que el responsable debe ser capaz de demostrar que cumple. Cuando preguntas por escrito cuánto tiempo van a conservar tu CV o qué criterios usan para determinarlo, no estás siendo quisquilloso: estás pidiendo información que los artículos 13 y 15 contemplan.

¿Estás en pleno proceso de búsqueda? Antes de seguir leyendo, revisa las ofertas abiertas y decide dónde quieres dejar tus datos: ver vacantes disponibles.

En qué se apoya la empresa para tratar tus datos

Todo tratamiento necesita una base legal del artículo 6.1 del RGPD. En un proceso de selección las que suelen invocarse son tres, y conviene distinguirlas porque de ellas dependen tus opciones:

• Medidas precontractuales (art. 6.1.b): el tratamiento es necesario «para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales». Es la base natural de una candidatura que tú mismo envías a una oferta concreta.

• Consentimiento (art. 6.1.a): tú diste tu consentimiento para uno o varios fines específicos. Es la base habitual cuando la empresa quiere guardar tu CV para futuros procesos distintos de aquel al que aplicaste.

• Interés legítimo (art. 6.1.f): el tratamiento es necesario para intereses legítimos del responsable o de un tercero, «siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado».

La diferencia es práctica, no teórica. Si el tratamiento se basa en tu consentimiento, puedes retirarlo en cualquier momento, y el artículo 13.2.c del RGPD obliga a informarte de ese derecho, sin que la retirada afecte a la licitud de lo tratado antes. Si se basa en interés legítimo, la vía es el derecho de oposición del artículo 21.1, que puedes ejercer «por motivos relacionados con tu situación particular». Por eso la primera pregunta útil en un proceso de selección no es «¿tenéis mi CV?», sino «¿con qué base jurídica lo tratáis?».

Lo que te tienen que contar sin que lo pidas

El artículo 13 del RGPD establece la información que el responsable debe facilitarte en el momento en que obtiene tus datos, no cuando reclamas. Entre otras cosas: la identidad y los datos de contacto del responsable; los datos de contacto del delegado de protección de datos si lo hay; los fines del tratamiento y la base jurídica; los destinatarios o categorías de destinatarios; la intención de transferir datos a un tercer país u organización internacional y si existe o no decisión de adecuación; el plazo de conservación o los criterios para determinarlo; tus derechos de acceso, rectificación, supresión, limitación, oposición y portabilidad; el derecho a reclamar ante una autoridad de control; y la existencia de decisiones automatizadas, incluida la elaboración de perfiles.

Traducido al mundo real: un formulario de candidatura que solo tiene una casilla de «acepto la política de privacidad» sin enlace, sin identificar al responsable y sin decir cuánto se conserva el CV está por debajo de lo que pide el artículo 13. Y el artículo 12.1 exige que esa información se dé «en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo».

El derecho de acceso: pedir la copia de tu expediente de candidatura

Es tu herramienta más potente y la peor utilizada. El artículo 15.1 del RGPD te da derecho a obtener confirmación de si se están tratando datos tuyos y, en tal caso, acceso a ellos y a un bloque de información concreto. La Agencia Española de Protección de Datos (AEPD) lo resume en su página del derecho de acceso: una copia de tus datos, los fines, las categorías de datos, los destinatarios o categorías de destinatarios —en particular en países terceros u organizaciones internacionales—, el plazo previsto de conservación o los criterios para fijarlo, la existencia de tus otros derechos, el derecho a reclamar ante una autoridad de control, el origen de los datos cuando no los obtuvieron de ti, y la existencia de decisiones automatizadas incluida la elaboración de perfiles.

Esa última letra es la que casi nadie invoca. El artículo 15.1.h no se conforma con que te digan «sí, hay un sistema automático»: cuando existen decisiones automatizadas del artículo 22, apartados 1 y 4, tienes derecho a «información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado». Además, el artículo 15.3 obliga al responsable a facilitar una copia de los datos tratados, y si presentas la solicitud por medios electrónicos la información se facilita en un formato electrónico de uso común, salvo que pidas otra cosa.

Dos límites que conviene conocer para no llevarse un chasco: el artículo 15.4 dice que el derecho a obtener copia «no afectará negativamente a los derechos y libertades de otros» —por ejemplo, datos de terceros mezclados en una nota interna— y el artículo 15.3 permite cobrar «un canon razonable basado en los costes administrativos» por copias adicionales a la primera.

Plazos, coste y qué pasa si no te contestan

El artículo 12.3 del RGPD fija el calendario: el responsable te informará sobre sus actuaciones «en cualquier caso, en el plazo de un mes a partir de la recepción de la solicitud», prorrogable «otros dos meses en caso necesario, teniendo en cuenta la complejidad y el número de solicitudes», y debe informarte de la prórroga dentro de ese primer mes indicando los motivos de la dilación.

El artículo 12.5 establece que la información y las actuaciones son a título gratuito. Solo cuando las solicitudes sean «manifiestamente infundadas o excesivas, especialmente debido a su carácter repetitivo» puede el responsable cobrar un canon razonable o negarse a actuar, y en ese caso soporta él la carga de demostrar el carácter infundado o excesivo de la solicitud.

Si deciden no dar curso a tu petición, el artículo 12.4 les obliga a informarte «sin dilación, y a más tardar transcurrido un mes», de las razones y de que puedes presentar una reclamación ante una autoridad de control y ejercitar acciones judiciales. Y el artículo 77.1 confirma esa vía: todo interesado tiene derecho a reclamar ante una autoridad de control, en particular en el Estado miembro de su residencia habitual, lugar de trabajo o lugar de la supuesta infracción. En España, esa autoridad es la AEPD.

Los otros cinco derechos que también aplican a una candidatura

• Rectificación (art. 16): a obtener «sin dilación indebida» la rectificación de datos inexactos y a que se completen los incompletos, «inclusive mediante una declaración adicional». Útil si la ficha que tienen de ti arrastra un puesto o una titulación mal transcritos.

• Supresión (art. 17): cuando los datos «ya no sean necesarios en relación con los fines para los que fueron recogidos», cuando retires el consentimiento y no haya otro fundamento jurídico, o cuando te opongas al tratamiento y no prevalezcan otros motivos legítimos, entre otros supuestos.

• Limitación del tratamiento (art. 18): permite «congelar» el tratamiento en situaciones concretas, por ejemplo mientras se verifica la exactitud de un dato que has impugnado.

• Portabilidad (art. 20): a recibir los datos que hayas facilitado «en un formato estructurado, de uso común y lectura mecánica» y a transmitirlos a otro responsable, pero solo cuando el tratamiento se base en consentimiento o contrato y se efectúe por medios automatizados. Es un derecho con alcance más estrecho de lo que se suele creer.

• Oposición (art. 21): frente a tratamientos basados en interés público o interés legítimo. El artículo 21.4 obliga a que este derecho se te mencione explícitamente «a más tardar en el momento de la primera comunicación», presentado claramente y al margen de cualquier otra información.

El ATS: qué cambia cuando tu CV entra en un sistema de gestión de candidaturas

«ATS» (Applicant Tracking System) es el nombre comercial del software con el que muchas empresas reciben, almacenan, filtran y puntúan candidaturas. El RGPD no menciona esa palabra en ningún artículo, y ahí está justamente la clave: la herramienta no cambia las obligaciones, solo cambia dónde están tus datos. La empresa que publica la oferta sigue siendo responsable del tratamiento, y el proveedor del software actúa por cuenta de ella.

De eso se derivan tres preguntas concretas que sí puedes hacer con apoyo normativo directo, sin especular sobre qué producto usa cada empresa:

1. «¿Quiénes son los destinatarios o categorías de destinatarios de mis datos?» (art. 15.1.c). Si la candidatura se gestiona con un proveedor externo o se comparte con otras entidades del grupo, entra en esa respuesta.

2. «¿Se transfieren mis datos a un tercer país u organización internacional y con qué garantías?» (art. 15.2 y art. 13.1.f). Es pertinente cuando el sistema está alojado fuera del Espacio Económico Europeo.

3. «¿Existen decisiones automatizadas o elaboración de perfiles, y cuál es la lógica aplicada?» (art. 15.1.h). Aquí es donde un filtrado o una puntuación automáticos tienen que aparecer.

Una advertencia honesta: que un ATS ordene o puntúe candidaturas no equivale automáticamente a que exista una «decisión basada únicamente en el tratamiento automatizado» del artículo 22. La calificación depende de si esa decisión se toma sin intervención humana efectiva y de qué efectos produce. Lo que puedes hacer es preguntarlo por escrito y obligar a que la empresa se moje en su respuesta.

Controla qué empresas ven tu candidatura. Con un perfil propio decides a qué ofertas envías tus datos y tienes tus postulaciones en un único sitio: crear tu perfil de candidato.

IA en selección: qué protege el artículo 22 del RGPD

El artículo 22.1 del RGPD reconoce el derecho a no ser objeto de «una decisión basada únicamente en el tratamiento automatizado, incluida la elaboración de perfiles, que produzca efectos jurídicos en él o le afecte significativamente de modo similar». La AEPD explica en su página sobre este derecho que la elaboración de perfiles incluye cualquier tratamiento que evalúe aspectos personales, «en particular analizar o predecir aspectos relacionados con tu rendimiento en el trabajo», situación económica, salud, preferencias, fiabilidad o comportamiento.

Pero el propio artículo 22.2 abre tres excepciones: cuando la decisión es necesaria para la celebración o ejecución de un contrato entre tú y el responsable, cuando está autorizada por el Derecho de la Unión o de los Estados miembros con medidas adecuadas de salvaguardia, o cuando se basa en tu consentimiento explícito. En dos de esos tres supuestos —las letras a) y c): contrato y consentimiento explícito— el artículo 22.3 impone como mínimo tres garantías: derecho a obtener intervención humana por parte del responsable, derecho a expresar tu punto de vista y derecho a impugnar la decisión. La AEPD recoge esas mismas tres garantías en su ficha.

Hay un límite adicional relevante: el artículo 22.4 establece que esas decisiones «no se basarán en las categorías especiales de datos personales contempladas en el artículo 9, apartado 1» —salud, origen étnico, opiniones políticas, afiliación sindical, vida sexual, entre otras— salvo que se aplique el artículo 9.2, letras a) o g), y se hayan tomado medidas adecuadas de salvaguardia.

El Reglamento de IA: qué está en vigor hoy y qué no

El Reglamento (UE) 2024/1689 de Inteligencia Artificial se suma al RGPD, no lo sustituye. Su calendario está en el artículo 113 y conviene leerlo con cuidado antes de exigir nada: es aplicable desde el 2 de agosto de 2026 —ya aplicable a la fecha de publicación— con excepciones expresas: los capítulos I y II desde el 2 de febrero de 2025; el capítulo III sección 4, el capítulo V, el capítulo VII, el capítulo XII y el artículo 78, a excepción del artículo 101, desde el 2 de agosto de 2025; y el artículo 6, apartado 1, «y las obligaciones correspondientes» no se aplican hasta el 2 de agosto de 2027. Los sistemas de selección entran como alto riesgo por la vía del artículo 6, apartado 2, y el anexo III, ya aplicable. Puedes verificar las fechas en el texto del Reglamento de IA publicado en el BOE.

Para un proceso de selección, tres piezas importan:

• La selección de personal figura como caso de alto riesgo. El anexo III, punto 4.a, incluye los sistemas de IA «destinados a ser utilizados para la contratación o la selección de personas físicas, en particular para publicar anuncios de empleo específicos, analizar y filtrar las solicitudes de empleo y evaluar a los candidatos».

• Existe un derecho a explicación, con condiciones. El artículo 86.1 reconoce a quien se vea afectado por una decisión que el responsable del despliegue adopte basándose en los resultados de un sistema de alto riesgo del anexo III —con excepción de los del punto 2— y que produzca efectos jurídicos o le afecte considerablemente del mismo modo, de manera que considere que tiene un efecto perjudicial para su salud, su seguridad o sus derechos fundamentales, el derecho a obtener «explicaciones claras y significativas acerca del papel que el sistema de IA ha tenido en el proceso de toma de decisiones y los principales elementos de la decisión adoptada». El artículo 86.3 aclara que este artículo se aplica «únicamente en la medida en que el derecho no esté previsto de otro modo en el Derecho de la Unión».

• Inferir emociones en el trabajo está prohibido. El artículo 5 prohíbe el uso de sistemas de IA «para inferir las emociones de una persona física en los lugares de trabajo y en los centros educativos», salvo por motivos médicos o de seguridad. Esta prohibición forma parte del capítulo II, aplicable desde el 2 de febrero de 2025.

Dos matices de alcance que evitan reclamaciones mal planteadas. Primero: el artículo 6.3 permite que un sistema del anexo III no se considere de alto riesgo cuando no plantee un riesgo importante y realice tareas limitadas o preparatorias, pero añade que los sistemas del anexo III «siempre se considerarán de alto riesgo cuando el sistema de IA efectúe la elaboración de perfiles de personas físicas». Segundo: el artículo 111.2 establece un régimen transitorio para sistemas de alto riesgo introducidos en el mercado o puestos en servicio antes del 2 de agosto de 2026, a los que el Reglamento se aplica «únicamente si, a partir de esa fecha, dichos sistemas se ven sometidos a cambios significativos en su diseño». Es decir: que una herramienta lleve años funcionando no implica automáticamente que hoy esté sujeta a todas las obligaciones.

Sobre información previa, el artículo 26.7 obliga a los responsables del despliegue que sean empleadores a informar a los representantes de los trabajadores y a los trabajadores afectados antes de poner en servicio un sistema de alto riesgo en el lugar de trabajo. Está redactado para el entorno laboral y para trabajadores, no expresamente para candidatos externos: no lo cites como si fuera tu derecho de información en una entrevista. Tu vía como candidato son los artículos 13 y 15 del RGPD y, si concurren sus requisitos, el artículo 86 del Reglamento de IA.

Cómo pedirlo: guion de solicitud en seis líneas

No hace falta un escrito jurídico. Necesitas identificarte, dirigirlo al responsable o a su delegado de protección de datos, y ser específico. Un guion que funciona:

1. Identifícate y sitúa el contexto: nombre, correo con el que aplicaste, oferta y fecha aproximada de la candidatura.

2. Invoca el artículo 15 del RGPD y pide confirmación de si tratan datos tuyos y copia de los datos tratados.

3. Pide expresamente las letras que más se omiten: fines, categorías de datos, destinatarios o categorías de destinatarios, plazo de conservación o criterios, origen de los datos y transferencias internacionales con sus garantías.

4. Pide la letra h) por su nombre: existencia de decisiones automatizadas o elaboración de perfiles e información significativa sobre la lógica aplicada, su importancia y las consecuencias previstas.

5. Si crees que hubo una decisión automatizada con efectos significativos, invoca el artículo 22.3 y pide intervención humana, expresar tu punto de vista e impugnar la decisión.

6. Recuerda el plazo del artículo 12.3 (un mes, prorrogable dos) y pide acuse de recibo. Conserva copia de todo el intercambio.

Si no responden, responden fuera de plazo o la respuesta es una evasiva genérica, el camino es la reclamación ante la autoridad de control del artículo 77. Si tu queja es específicamente sobre un sistema de IA, el artículo 85 del Reglamento de IA prevé además la reclamación ante la autoridad de vigilancia del mercado pertinente. Son vías distintas y pueden convivir. Los formularios oficiales para ejercer el derecho de acceso y el derecho a no ser objeto de decisiones individuales automatizadas están enlazados en las propias fichas de la AEPD sobre el derecho de acceso y sobre las decisiones individuales automatizadas.

Cuatro errores que debilitan tu solicitud

• Pedirlo por chat o por un comentario en la oferta. Necesitas una vía con fecha y rastro: correo al responsable o a su delegado de protección de datos, o el canal que la empresa haya indicado en su información de privacidad.

• Pedir «todo lo que tenéis sobre mí» sin más. Funciona mejor citar las letras del artículo 15.1 una por una: obliga a una respuesta estructurada y deja claro qué falta si la omiten.

• Confundir portabilidad con acceso. El artículo 20 solo aplica a datos que tú facilitaste, con base en consentimiento o contrato y por medios automatizados. Para una copia general de lo que tienen, el artículo correcto es el 15.

• Dar por hecho que hubo IA porque el rechazo llegó rápido. La rapidez no prueba automatización, y el artículo 22 exige que la decisión se base «únicamente» en tratamiento automatizado y produzca efectos jurídicos o significativos similares. Pregunta antes de afirmar.

Siguiente paso. Ya sabes qué puedes exigir y cómo pedirlo. Ahora aplica a procesos que te interesen de verdad: ver vacantes disponibles ahora.

Qué puedes exigir, en una línea

Puedes exigir transparencia (arts. 12 y 13), una copia y el detalle de tu expediente (art. 15), corrección y borrado cuando proceda (arts. 16 y 17), oposición y limitación (arts. 21 y 18), intervención humana frente a decisiones automatizadas con efectos significativos en los supuestos del artículo 22.3, y —desde el 2 de agosto de 2026, cuando se dan las condiciones del artículo 86 del Reglamento de IA— explicaciones claras y significativas sobre el papel de un sistema de alto riesgo en la decisión. Todo por escrito, todo con plazo, y todo gratuito salvo solicitudes manifiestamente infundadas o excesivas. Lo que no puedes exigir es un puesto de trabajo: el RGPD protege tus datos, no tu candidatura.

Y una última idea práctica: el mejor momento para cuidar tus datos no es al final del proceso, sino al principio, eligiendo a qué ofertas los envías y comprobando quién es el responsable antes de pulsar «enviar».

Aviso: este contenido es informativo y divulgativo, no constituye asesoramiento jurídico ni sustituye la consulta con un profesional. Se basa en el texto del RGPD y del Reglamento (UE) 2024/1689 publicados por el BOE y en las fichas informativas de la AEPD enlazadas a lo largo del artículo, consultadas el 17 de septiembre de 2026.