La Ley 21.719 comienza antes del contrato: el desafío de proteger los datos de los postulantes

Por Sebastián Menares Quero*

Mucho se ha hablado de la Ley N° 21.719 y de los cambios que introduce a la Ley N° 19.628 sobre Datos Personales. La conversación suele centrarse en las campañas de marketing, las bases de datos de clientes, la actualización de contratos, las políticas de privacidad o el ejercicio de los derechos de los titulares. Pero hay un ámbito donde el impacto será igual de relevante y que ha pasado bastante más desapercibido: los procesos de reclutamiento y selección. Las nuevas reglas obligarán a las empresas a replantear cómo recopilan, utilizan, almacenan y eliminan -si es que lo hacen- los datos personales de quienes postulan a un empleo.

Todos, en algún momento, hemos participado en procesos de selección donde enviamos el currículum, completamos formularios, compartimos certificados y referencias laborales, respondemos pruebas psicolaborales e incluso, cada vez con más frecuencia, grabamos videos para responder preguntas o realizar entrevistas. Sin embargo, una vez que el proceso termina, pocas veces nos preguntamos qué ocurre con toda esa información. ¿Se elimina? ¿Se conserva para futuras vacantes? ¿Quién puede acceder a ella?

En esta columna se abordarán cinco aspectos que, desde mi perspectiva, serán especialmente relevantes para la gestión de personas: la necesidad de limitar la información solicitada a los candidatos, el tratamiento y conservación de los antecedentes una vez finalizado un proceso de selección, el uso de herramientas automatizadas para evaluar postulantes, el tratamiento de datos sensibles y el rol de las plataformas externas utilizadas para gestionar estos procesos.

Estos cinco puntos tienen un elemento común: recordar que la protección de datos personales no comienza cuando una persona se convierte en trabajador, sino desde el primer momento en que una organización recibe información de alguien que busca una oportunidad laboral.

1. ¿Realmente necesitamos todos los datos que estamos pidiendo?

Si alguna vez has postulado a un trabajo, probablemente te han solicitado mucho más que un currículum, te han solicitado certificados, referencias laborales, cartas de motivación, expectativas de renta e incluso grabaciones de ti mismo contestando un popurrí de preguntas -personales algunas-. La reforma introducida por la Ley N° 21.719 viene a cuestionar esa práctica. El tratamiento de datos durante un proceso de selección encuentra su principal sustento jurídico en la necesidad de la celebración o ejecución de un contrato entre el titular y el responsable. Eso significa que las empresas deberán volver a una pregunta bastante simple, pero que muchas veces se había dejado de hacer: ¿realmente necesito este dato para decidir si contrataré a esta persona? Si la respuesta es no, probablemente ese antecedente no debería formar parte del proceso, ya que la propia reforma incorpora el principio de proporcionalidad, a través del cual los datos personales que se traten deben limitarse estrictamente a aquéllos que resulten necesarios, adecuados y pertinentes en relación con los fines del tratamiento.

En consecuencia, si una empresa desea solicitar antecedentes que exceden lo estrictamente necesario para la evaluación del postulante -por ejemplo, para incorporarlo a una base de talentos para futuros procesos o para fines distintos de la selección en curso- deberá analizar si cuenta con otra base de licitud que justifique ese tratamiento.

2. ¿Qué pasa con los datos cuando el proceso termina?

Uno de los hábitos más comunes es conservar los currículums de quienes no fueron seleccionados «por si aparece otra vacante». Sin embargo, la reforma exige que el tratamiento responda a una finalidad determinada y que los datos no se conserven por más tiempo del necesario para cumplirla. Una vez concluido el proceso de selección, si la persona candidata no es contratada, desaparece la base jurídica para el tratamiento de sus datos, por lo que sería necesario su consentimiento para un futuro tratamiento (por ejemplo, la incorporación en una base de datos laborales) salvo que el empleador pueda demostrar un interés legítimo.

En caso de no contar con base de licitud, debe eliminar el currículum junto con los los datos personales que posea de ésta, aplicando el bloqueo en el intertanto de que esto sucede.

3. ¿Puede un algoritmo decidir quién consigue un trabajo?

La incorporación de herramientas tecnológicas en los procesos de selección plantea uno de los mayores desafíos para la protección de datos personales: el uso de sistemas que permiten analizar grandes volúmenes de información, elaborar perfiles y generar recomendaciones o decisiones sobre los candidatos.

La Ley N° 21.719 reconoce esta realidad e incorpora reglas específicas respecto de las decisiones automatizadas y la elaboración de perfiles, estableciendo límites cuando estas herramientas pueden producir efectos relevantes sobre las personas.

En el contexto laboral, esto adquiere especial importancia. Un sistema que filtra automáticamente currículums, asigna puntajes de compatibilidad o determina quién avanza o queda excluido de un proceso de selección no solo está realizando un análisis técnico de información: está influyendo directamente en una oportunidad laboral.

Por esta razón, no toda decisión basada en algoritmos puede considerarse válida por el solo hecho de utilizar información proporcionada por el propio candidato. Cuando una decisión es tomada exclusivamente mediante un tratamiento automatizado y genera efectos significativos para una persona, las organizaciones deben asegurar garantías que permitan proteger sus derechos.

Esto no significa que las empresas no puedan utilizar tecnología en sus procesos de selección. Por ejemplo, podría resultar razonable utilizar herramientas automatizadas para ordenar postulaciones o identificar el cumplimiento de requisitos objetivos y esenciales del cargo, como contar con una determinada certificación profesional o experiencia mínima requerida.

Sin embargo, distinto es que un algoritmo determine, sin intervención humana real, que una persona no continuará en un proceso de selección basándose en variables que pueden incorporar sesgos o criterios difíciles de justificar.

Uno de los principales riesgos asociados a estas herramientas es la discriminación algorítmica. Los sistemas aprenden a partir de datos históricos y patrones existentes, por lo que un modelo diseñado sin controles adecuados podría reproducir o incluso profundizar desigualdades. Por ejemplo, si un algoritmo fue entrenado con antecedentes de procesos anteriores donde predominaba la contratación de un determinado grupo de personas, podría generar recomendaciones que perjudiquen injustificadamente a otros candidatos.

Por ello, la implementación de sistemas de decisión automatizada exige una mirada preventiva: revisar qué datos se utilizan, qué criterios considera el modelo, evaluar posibles impactos discriminatorios y establecer mecanismos de supervisión humana.

La intervención humana, además, no puede ser meramente formal. No basta con que una persona valide automáticamente la recomendación generada por un sistema. La revisión debe ser realizada por alguien con la capacidad y competencia suficiente para analizar los antecedentes del caso, cuestionar el resultado y modificar la decisión cuando corresponda.

En este sentido, las organizaciones que incorporen estas herramientas deberán preguntarse no solo si el algoritmo funciona correctamente desde un punto de vista técnico, sino también si su utilización respeta los derechos de quienes participan en un proceso de selección.

4. ¿Los datos sensibles también entran en la sala de entrevistas?

Durante un proceso de selección, las organizaciones pueden requerir información que les permita evaluar si una persona cuenta con las competencias y condiciones necesarias para desempeñar un determinado cargo. Sin embargo, esta facultad no implica que puedan recopilar cualquier antecedente personal, especialmente cuando se trata de datos sensibles.

La Ley N° 21.719 establece una protección reforzada para este tipo de información, reconociendo que su tratamiento puede generar impactos relevantes en la privacidad y derechos de las personas. En el ámbito laboral, esto resulta especialmente importante cuando durante una postulación se realizan evaluaciones psicolaborales, exámenes médicos u otras instancias que pueden revelar aspectos de la vida privada del candidato.

Por ejemplo, las evaluaciones psicológicas o psicotécnicas son herramientas utilizadas frecuentemente para complementar los procesos de selección. Sin embargo, dependiendo de la metodología utilizada, pueden involucrar información relacionada con la salud mental, personalidad u otros aspectos que exceden los antecedentes profesionales tradicionales. Por esta razón, su aplicación debe responder a una finalidad concreta, ser proporcional al cargo que se busca cubrir y contar con medidas adecuadas para proteger la confidencialidad de los resultados. Asimismo, la transparencia frente al candidato adquiere especial relevancia. La Agencia Española de Protección de Datos (AEPD) ha señalado que, además de informar sobre la realización de este tipo de evaluaciones, la persona candidata debería poder acceder a sus resultados y conocer los criterios utilizados dentro del proceso de selección, como una forma de garantizar que estas herramientas no operen como una “caja negra” para quienes se someten a ellas.

Una situación similar ocurre con los antecedentes médicos. La evaluación de salud de una persona candidata no puede transformarse en una recopilación general de su historial médico, sino que debe limitarse a aquella información estrictamente necesaria para determinar la aptitud para desempeñar una función específica, especialmente cuando la naturaleza del cargo o la normativa aplicable lo justifiquen.

Asimismo, el acceso a estos antecedentes debe encontrarse restringido a las personas que realmente necesitan conocerlos dentro del proceso de selección. Un informe psicolaboral o médico no debería circular libremente dentro de una organización ni convertirse en un antecedente más dentro del expediente del candidato.Principio del formulario

5. ¿Cómo se protegen los datos de un candidato cuando están almacenados en una plataforma externa?Final del formulario

Actualmente, muchas organizaciones utilizan plataformas digitales para gestionar sus procesos de recursos humanos, incluyendo las etapas de reclutamiento y selección. Herramientas como Buk permiten almacenar currículums, administrar postulaciones y centralizar los antecedentes de las personas candidatas. Sin embargo, el uso de estas plataformas no implica que la organización deje de ser responsable por el tratamiento de dicha información, ya que continúa teniendo la obligación de asegurar que los datos personales sean tratados conforme a la normativa vigente.

La Ley N° 21.719 establece la importancia de determinar claramente los roles que cumplen quienes participan en el tratamiento de datos personales. En este contexto, las plataformas utilizadas para gestionar procesos de selección pueden actuar como encargados de tratamiento, al tratar información por cuenta de la organización responsable.

Por ello, resulta fundamental que exista una regulación contractual adecuada que establezca las obligaciones de cada parte, incluyendo aspectos como la finalidad del tratamiento, las medidas de seguridad aplicables, la confidencialidad de la información, la gestión de accesos y las condiciones para la eliminación o devolución de los datos una vez finalizada la prestación del servicio.

Esto resulta especialmente relevante porque estas plataformas no solo almacenan información de trabajadores contratados, sino también antecedentes de personas que participaron en procesos de selección y que eventualmente nunca llegaron a formar parte de la organización.

En consecuencia, las empresas deben asegurar que sus proveedores tecnológicos cuenten con medidas de seguridad adecuadas y cumplan con los estándares exigidos por la normativa de protección de datos. La contratación de una plataforma externa puede facilitar la gestión de personas, pero no traslada la responsabilidad de proteger los datos de quienes confían su información durante un proceso de selección.

Estos cinco desafíos reflejan una misma realidad: la relación entre una empresa y una persona comienza mucho antes de la firma de un contrato, y con ella también comienzan  responsabilidades adicionales asociadas al tratamiento de sus datos personales.

Desde el 1 de diciembre, las empresas tendrán una oportunidad para que revisar una etapa que muchas veces ha quedado fuera de la conversación sobre protección de datos personales: el momento en que una persona todavía no es trabajadora, pero está entregando información para intentar serlo.

Los procesos de reclutamiento y selección requieren necesariamente tratar datos personales. Sin embargo, la necesidad de conocer a un candidato no significa que todo dato sea relevante, que toda información pueda conservarse indefinidamente o que cualquier herramienta tecnológica pueda utilizarse sin límites.

El desafío para las áreas de Recursos Humanos y Gestión de Personas será avanzar desde una lógica basada en la acumulación de antecedentes hacia una gestión responsable de la información: solicitar solo aquello que sea necesario, utilizar los datos para finalidades claras, proteger especialmente aquellos de carácter sensible y asegurar que las nuevas tecnologías sean utilizadas con transparencia y responsabilidad.

*Sebastián Menares Quero, abogado. Actualmente me desempeño como Oficial de Cumplimiento en Simpli. Soy titulado de Derecho por la Universidad de los Andes, Chile, y cuento con un Máster en Asesoría Jurídica de Empresas y un Diploma en Derecho Corporativo y Compliance, ambos otorgados por la Universidad Carlos III de Madrid el año 2024.