¿Cómo tratar los datos personales haciendo Reclutamiento 2.0?

• ¿Los currículums de los candidatos se recogen para una única empresa o para varias? ¿Es un alta para una oferta concreta o la visibilidad del CV del candidato será mayor?. Además de la configuración técnica, si el responsable final de la base de datos varía, debe ser correctamente identificado ante el candidato y debe restringirse el envío de datos a terceros.

• ¿Únicamente se utilizarán los datos para la selección de personal o también para otras finalidades como remitir comunicaciones comerciales de los servicios de la bolsa de empleo? La finalidad delimita el uso de los datos.

• ¿Hemos informado correctamente al candidato del uso de sus datos y disponemos de un sistema que garantice que contamos con su autorización? ¿Tenemos previsto como dar respuesta a solicitudes de información del tratamiento de sus datos personales?

• Los trabajadores o terceros que accedan a los datos deben estar claramente identificados en todo momento. La política de contraseñas debe garantizar el acceso únicamente por parte de estos usuarios autorizados, siendo personales, confidenciales y cambiadas periódicamente.

• Los sistemas informáticos, propios o de terceros, que alojan ésta información deben estar inventariados y deben contar con las medidas de protección exigidas para limitar el acceso físico a sus instalaciones al personal autorizado.

• Hay que realizar copias periódicas de seguridad cómo mínimo semanalmente y disponer de un procedimiento de restauración de las mismas. Las incidencias técnicas sobre los datos deben ser gestionadas y documentadas. 

• Documentar y formalizar las medidas técnicas aplicadas en un Documento de Seguridad, según exige la legislación.

• Establecer una organización de seguridad que garantice la aplicación y el cumplimiento de todos los requisitos y la legislación. Algunos software de reclutamiento como Talent Clue lo garantizan. 

• Formar a nuestros empleados para delimitar su funciones y obligaciones con respecto a la información a la que tienen acceso.

Todo ello delimita las condiciones de servicio, los procedimientos internos de tratamiento de datos e impone una serie de medidas técnicas, jurídicas y organizativas según la legislación vigente.
Pese a las limitaciones que pueda parecer que impone la legislación, el tratamiento no tiene por qué verse restringido, siempre y cuando se tengan en cuenta estas consideraciones. Para ello es fundamental analizar cada situación y contar con el correcto asesoramiento.

Autor: Miguel Ángel Martínez Ayuso - Ingeniero de Telecomunicación. MBA, auditor certificado CISA, CISM, CGEIT y CDPP. Más de 15 años de experiencia en consultoría de seguridad de la información y protección de datos.

Photo credit: carbonnyc