El RGPD no fija un plazo concreto para guardar un CV: debe limitarse a lo que exige la finalidad. En Francia, la CNIL recomienda 2 años desde el último contacto para un candidato descartado, con su consentimiento o tras informarle. En toda la UE, además, debes informar a los candidatos, responder a sus solicitudes en un mes y mantener una decisión humana en la criba.
Este artículo repasa cada punto para tu agencia de selección o tu equipo de RR. HH. El RGPD se aplica en toda la Unión Europea; los plazos citados vienen de la CNIL, la autoridad francesa de protección de datos. Si seleccionas en otro país, consulta las guías de tu autoridad.
Artículo verificado el 11 de noviembre de 2026, con la guía de plazos de conservación de la CNIL para recursos humanos (actualizada el 20 de mayo de 2026) y su guía de selección de personal.
Cuánto tiempo guardar un CV: los plazos de la CNIL
El RGPD solo dice que los datos no se guardan más de lo necesario. La CNIL, en Francia, lo concreta en tres usos del expediente de un candidato, cada uno con su plazo: el proceso en curso, la base de talento para volver a contactarlo y el archivo de prueba en caso de litigio. Son recomendaciones, salvo el archivo de prueba, que viene del Código de Trabajo francés.
| Situación | Plazo | Naturaleza |
|---|---|---|
| Candidatura en curso | Hasta la respuesta del proceso | Recomendación CNIL |
| Candidato contratado | El expediente pasa al del empleado | Recomendación CNIL |
| Candidato descartado, para explicarle la decisión | Hasta 3 meses tras el fin del proceso | Guía de selección de la CNIL |
| Candidato descartado guardado en una base de talento | Hasta 2 años desde el último contacto | Recomendación CNIL |
| Prueba en caso de reclamación por discriminación | 5 años desde la fecha en que se cubrió el puesto, archivado | Artículo L1134-5 del Código de Trabajo francés |
Fuentes (en francés): la guía de plazos de conservación de la CNIL para recursos humanos, que menciona expresamente las bases de CV de las agencias de selección, y la guía de la CNIL sobre selección de personal.
Consentimiento o interés legítimo
Para guardar a un candidato descartado en una base de talento, la CNIL recomienda pedirle su consentimiento. También admite el interés legítimo del reclutador, con una condición: el candidato está informado expresamente y puede oponerse con facilidad, sin dar explicaciones. En ambos casos, el plazo sigue limitado a 2 años desde el último contacto.
Al vencer, puedes renovarlo: pregúntale al candidato si acepta que guardes su perfil, 2 años más como máximo. Sin respuesta, el expediente sale de la base. En la práctica, cuenta desde el último intercambio con el candidato (una llamada, una entrevista, una respuesta a un mensaje), no desde la última vez que alguien abrió su ficha.
El archivo de prueba no es una base de talento
Los 5 años del derecho francés sirven para defenderte si un candidato impugna un descarte. Esos expedientes salen de la base activa: nadie los busca, nadie los contacta. Mantenerlos en la base de talento con el argumento de la prueba equivale a conservar 5 años lo que la CNIL limita a 2.
Qué decirle al candidato, y cuándo
El RGPD te obliga a informar a cada candidato de lo que haces con sus datos, en un momento que depende de su origen. Una candidatura enviada por la persona entra en el artículo 13: la información se da antes o en el momento de la recogida. Un perfil encontrado en otro sitio entra en el artículo 14: le informas como máximo un mes después.
Ambos artículos están en el texto del RGPD en EUR-Lex (capítulo III, derechos del interesado).
La candidatura directa (artículo 13)
El candidato que se postula en tu página de empleo o responde a una oferta debe encontrar la información antes de enviar su expediente. La CNIL admite una información en dos niveles: lo esencial junto al formulario o la oferta, con un enlace a la política completa, y el detalle en el acuse de recibo de la candidatura.
El candidato encontrado por ti (artículo 14)
Un headhunter que guarda un perfil de LinkedIn en su base de talento debe informar a esa persona: es el ejemplo que da la CNIL en su guía. La información sale en un plazo razonable, como máximo un mes después de guardarlo, o en el primer mensaje si le contactas antes.
La CNIL hace una excepción para la simple consulta: revisar cientos de perfiles sin guardarlos no exige informar a cada uno, siempre que publiques tus menciones de información, por ejemplo en tu página de la red. En cuanto el perfil entra en tu base, la excepción deja de aplicarse.
Qué contiene la información
La lista viene de los artículos 13 y 14 del RGPD. Una agencia la redacta una vez y la reutiliza en cada mensaje:
- Quién trata los datos: el nombre de la agencia y cómo contactar con su responsable de datos o su DPD.
- Para qué, y con qué base jurídica: seleccionar para un puesto, o guardar el perfil para futuras ofertas.
- Quién los recibe: para una agencia, los clientes a los que se presenta el perfil.
- Cuánto tiempo se conservan.
- Sus derechos (acceso, rectificación, supresión, oposición) y la posibilidad de reclamar ante una autoridad de protección de datos.
- Para un perfil encontrado por ti, el origen de los datos (la red, la base de CV) y sus categorías.
- Una posible criba automatizada que pueda decidir por él.
Los derechos del candidato: acceso, supresión, oposición
El candidato puede pedir una copia de sus datos (artículo 15), su rectificación (artículo 16), su supresión (artículo 17) u oponerse a que lo guardes en una base de talento basada en el interés legítimo (artículo 21). Respondes en el plazo de un mes, ampliable dos meses para una solicitud compleja si le avisas (artículo 12).
El acceso cubre todo el expediente, no solo el CV: notas de entrevista, informes, intercambios con tus clientes sobre él. Una nota que no te atreverías a enseñarle al candidato no debería escribirse.
La supresión tiene un límite: el artículo 17 te permite conservar lo necesario para formular, ejercer o defender reclamaciones. Es la base del archivo de prueba. El resto se va: la ficha, las notas y los documentos.
La oposición debe ser sencilla. En una base de talento basada en el interés legítimo, el candidato no tiene que explicar por qué ya no quiere recibir ofertas.
Criba automatizada y artículo 22: decide una persona
El artículo 22 del RGPD prohíbe, en principio, una decisión basada únicamente en un tratamiento automatizado cuando afecta de forma significativa a la persona. Sacar a un candidato de un proceso de selección es una de ellas, según la CNIL. Las excepciones (contrato, ley, consentimiento explícito) son estrictas; las del contrato y el consentimiento dan al candidato derecho a una intervención humana.
La guía de la CNIL distingue dos casos. Una herramienta que clasifica cientos de candidaturas mientras el reclutador solo lee las primeras puede equivaler a una decisión automatizada: el resto queda descartado por el software. Una herramienta que ayuda al reclutador a puntuar y comentar un perfil, cuando es él quien decide, no lo es.
En la práctica: una persona lee los perfiles que una herramienta deja al final de la lista, y cada descarte se explica por los requisitos del puesto. Para las herramientas de IA, el Reglamento europeo de IA añade sus propias obligaciones, detalladas en nuestro artículo sobre el Reglamento de IA y la selección de personal.
En Marvin
Marvin te ayuda a aplicar estas reglas en el día a día, desde el plazo de conservación hasta la información a los candidatos. No fija tu política por ti ni sustituye el consejo de tu DPD: los ajustes de abajo aplican las decisiones que has tomado.
- Un plazo de conservación que fijas tú. Un administrador elige el tiempo sin actividad a partir del cual un candidato llega al vencimiento (24 meses por defecto, ajustable de 6 a 120 meses) y ve las fichas afectadas antes de activarlo.
- Se consulta al candidato antes de que salga de tu base. Al vencimiento, recibe un correo que le pregunta si acepta que guardes su perfil. Responde desde un enlace, sin cuenta: su consentimiento queda registrado en la ficha y una negativa se aplica. Una ficha vinculada a un proceso activo, una misión o una factura nunca se retira con este ajuste.
- Los perfiles encontrados por ti reciben información. Una vez activada la conservación, los perfiles guardados después sin candidatura reciben un correo informativo con un botón para oponerse.
- Una casilla de consentimiento en el formulario de candidatura. Redactas la casilla de tu página de empleo y puedes hacerla obligatoria; el pie de página enlaza con tu política de privacidad.
- El historial de cada ficha guarda las acciones del equipo, con su autor y su hora: útil para responder a una solicitud de acceso.
Los datos están alojados en Francia, en Scaleway, París. El acuerdo de tratamiento de datos (DPA, artículo 28 del RGPD) y la lista de subencargados, proveedores de IA incluidos, forman parte del Trust Pack. El detalle está en nuestra página de seguridad y Trust Pack, y nuestros compromisos sobre IA en la página de IA responsable.
Cinco gestos para una base de talento en regla
Hazlos una vez y mantenlos en el tiempo. Cada uno corresponde a una regla citada arriba y se puede demostrar si un candidato o una autoridad te pregunta. Para elegir la herramienta que los soporte, consulta nuestra checklist del software de selección conforme.
- Redacta la información una vez, en dos niveles, y colócala en la página de empleo, en el acuse de recibo y en el primer mensaje a los perfiles encontrados por ti.
- Fija el plazo de la base de talento (2 años desde el último contacto en Francia, salvo motivo documentado) y configúralo en tu herramienta.
- Separa el archivo de prueba de la base: los expedientes archivados no aparecen en ninguna búsqueda.
- Nombra a quién responde a las solicitudes de los candidatos, con el plazo de un mes en mente.
- Mantén a una persona en la criba: revisa los perfiles que una herramienta deja de lado y asegúrate de poder explicar cada descarte.
FAQ
¿Cuánto tiempo puedes guardar el CV de un candidato descartado?
El RGPD no fija una cifra: el plazo debe limitarse a lo que exige la finalidad. En Francia, la CNIL recomienda no superar 2 años desde el último contacto con el candidato, para volver a contactarlo o tenerlo en tu base de talento, con su consentimiento o tras informarle. Puedes archivar una copia aparte como prueba.
¿Tienes que avisar a un candidato que encontraste en LinkedIn?
Sí, en cuanto guardas su perfil en tu base. El artículo 14 del RGPD te obliga a informarle en un plazo razonable, como máximo un mes después de obtener los datos, o en tu primer mensaje si le contactas antes. Según la CNIL, consultar un perfil sin guardarlo no activa esta obligación.
¿Qué debe contener la información que das al candidato?
Quién trata sus datos, para qué, con qué base jurídica, quién los recibe (tus clientes, por ejemplo), cuánto tiempo se conservan, sus derechos y la posibilidad de reclamar ante una autoridad de protección de datos. Para un perfil encontrado por ti, añade el origen de los datos y sus categorías. Si una criba automatizada puede decidir por él, dilo.
¿En cuánto tiempo debes responder a una solicitud de acceso o de supresión?
En el plazo de un mes desde la solicitud, según el artículo 12 del RGPD. Puedes ampliarlo dos meses si la solicitud es compleja, siempre que avises al candidato dentro del primer mes. Una negativa debe estar motivada e indicar que puede reclamar ante una autoridad de protección de datos.
¿Puede un software descartar a un candidato automáticamente?
En principio no, si la decisión se toma sin intervención humana y lo saca del proceso: el artículo 22 del RGPD lo prohíbe, salvo excepciones estrictas. La CNIL considera que una clasificación automática puede equivaler a esa decisión cuando el reclutador solo mira los primeros perfiles. Una persona debe poder explicar cada descarte.