Retención de datos de candidatos conforme a PIPEDA: guía práctica

La retención de datos de candidatos conforme a PIPEDA depende de la finalidad: una organización sujeta a la ley conserva la información personal solo durante el tiempo necesario para cumplir los fines identificados al recogerla. En Canadá no existe una regla universal que obligue a eliminar todos los currículums al cabo de 30 días, un año o dos años. El calendario debe tener en cuenta la jurisdicción del empleador, la finalidad de cada registro, los derechos de acceso del candidato y cualquier obligación legal de preservar los datos.

Esta guía ofrece un marco operativo, pero no constituye asesoramiento jurídico. La normativa canadiense de privacidad aplicable varía según la organización, la provincia, el puesto, el flujo de datos y el tipo de registro. Confirma con especialistas en privacidad y derecho laboral canadienses qué calendario corresponde aplicar a tu empresa.

¿Qué exige PIPEDA para retener datos de candidatos?

PIPEDA exige que las organizaciones sujetas a la ley definan por qué recogen información de los candidatos, limiten su uso a esa finalidad y la conserven solo durante el tiempo que esta requiera. Cuando la información deja de ser necesaria, debe destruirse, borrarse o anonimizarse de forma segura.

La Oficina del Comisionado de Privacidad de Canadá (OPC) traduce ese principio en cinco obligaciones prácticas en sus directrices sobre la limitación del uso, la comunicación y la conservación:

1. Documentar la finalidad de cada recogida y cualquier finalidad nueva que surja con posterioridad.
2. Establecer periodos mínimos y máximos de conservación.
3. Conservar los registros de decisiones durante el tiempo suficiente para que la persona pueda ejercer su derecho de acceso.
4. Revisar los datos almacenados para impedir que la información supere el plazo previsto.
5. Destruir o anonimizar la información con salvaguardas adecuadas a su sensibilidad.

La conservación sigue un ciclo de vida, no una sola cifra. Un currículum sometido a revisión activa responde a una finalidad de contratación vigente. El mismo currículum conservado en una bolsa de talento sirve para encontrar posibles encajes futuros. Las notas de una entrevista también pueden necesitar un breve periodo de conservación tras la decisión para atender solicitudes de acceso o reclamaciones. Tratar los tres registros como un único «perfil de candidato» indefinido oculta esas diferencias.

¿Se aplica PIPEDA a todos los empleadores canadienses?

No. Las normas laborales de PIPEDA se aplican directamente a las empresas, actividades y obras federales, mientras que las leyes provinciales del sector privado pueden aplicarse a otros empleadores. Por tanto, la primera pregunta sobre conservación no es «¿cuántos meses?», sino «¿qué ley rige para esta organización y este registro?».

La guía de la OPC sobre PIPEDA y los registros de empleados enumera sectores regulados por el Gobierno federal, como la banca, las telecomunicaciones, la radiodifusión, la aviación y el transporte interprovincial. Las modificaciones introducidas mediante la Ley de Privacidad Digital (Digital Privacy Act) ampliaron esas disposiciones federales en materia de empleo para que abarcaran tanto a los candidatos como a los empleados.

El resumen de requisitos de PIPEDA de la OPC y sus preguntas y respuestas sobre la relación entre la normativa federal y la provincial explican este entramado. No titules una política nacional «conforme a PIPEDA» dando por hecho que esa etiqueta resuelve la cuestión.

Un registro útil sobre la jurisdicción debe identificar la entidad empleadora, el sector, el lugar de trabajo del candidato, la provincia del empleador, las ubicaciones de almacenamiento, los encargados del tratamiento y los flujos transfronterizos. Así, los asesores jurídicos podrán vincular las normas con los hechos en lugar de hacer suposiciones a partir de la dirección postal del candidato.

¿Qué se considera información personal de un candidato?

La información personal de un candidato comprende tanto los datos que facilita como las opiniones o inferencias que se generan durante la contratación. Una tarea automatizada que elimine únicamente el currículum subido puede dejar intacta la mayor parte del registro sensible.

Según la OPC, la información personal abarca datos objetivos o subjetivos sobre una persona identificable. En un sistema de contratación, puede incluir:

• nombre, datos de contacto, ubicación e identificadores;
• currículum, experiencia laboral, formación y enlaces al portafolio;
• expectativas retributivas y disponibilidad;
• grabaciones y transcripciones de entrevistas, además de metadatos de programación;
• notas, calificaciones, votos y recomendaciones de los entrevistadores;
• ejercicios de código y comentarios de los revisores;
• respuestas de las personas de referencia y resultados de verificaciones de antecedentes;
• correos, motivos de rechazo, información sobre adaptaciones y reclamaciones;
• competencias inferidas, clasificaciones, indicadores de riesgo o resúmenes generados por IA.

Algunos de estos campos son más sensibles que otros, pero ninguno se vuelve inocuo por haberlo creado un reclutador en vez de haberlo facilitado el candidato. Las directrices de la OPC sobre privacidad en el lugar de trabajo recomiendan recoger solo lo necesario para una finalidad declarada y ser transparentes respecto a su uso. Incluso sugieren permitir que los candidatos desenfoquen el fondo del vídeo durante una entrevista para evitar la recogida incidental de información.

Empieza por elaborar un inventario de datos que siga el recorrido del registro por el portal de empleo, el sistema de seguimiento de candidatos (ATS), el correo, el calendario, la plataforma de vídeo, la herramienta de evaluación, los documentos compartidos, las exportaciones, las copias de seguridad y los sistemas de análisis. Si la política solo contempla el registro del ATS, no describe el expediente de selección real.

¿Establece PIPEDA un periodo fijo para conservar los datos de candidatos?

PIPEDA no prescribe un único periodo fijo para todos los registros de candidatos. Exige límites mínimos y máximos razonados y vinculados a la finalidad, los derechos de acceso, los requisitos legales y la eliminación segura.

La herramienta de autoevaluación de PIPEDA de la OPC indica a las organizaciones que establezcan periodos mínimos y máximos y que conserven la información utilizada para tomar una decisión durante el tiempo suficiente para que la persona pueda acceder a ella después. Así se evitan dos errores opuestos:

• Conservarlo todo indefinidamente: «Puede que algún día contratemos a esta persona» no constituye un máximo útil.
• Eliminarlo inmediatamente después del rechazo: el candidato puede conservar el derecho de acceso, mientras que la organización puede tener que atender una reclamación o una investigación, respetar un plazo de prescripción o cumplir otra obligación de conservación.

PIPEDA también impone un bloqueo específico cuando la información ya es objeto de una solicitud de acceso. El apartado 8(8) exige que la organización conserve esa información durante el tiempo necesario para que la persona agote las vías de recurso previstas en la ley. Un proceso de eliminación necesita un mecanismo de bloqueo, no solo un temporizador.

El plazo definitivo debe basarse en una decisión jurídica y operativa documentada. Esa decisión debe explicar por qué la organización necesita un registro, qué hecho pone en marcha el plazo, qué circunstancias suspenden la eliminación y qué sucede al vencer. Copiar los «24 meses» de otra empresa sin ese razonamiento aporta una cifra, no un calendario justificable.

¿Cómo deben separarse los distintos tipos de registros de candidatos?

Separa los registros por finalidad y por hito del ciclo de vida antes de asignarles un periodo. El calendario siguiente utiliza deliberadamente criterios de decisión y desencadenantes, en lugar de plazos canadienses inventados.

La regla de 24 meses para las brechas tiene un alcance limitado. El artículo 6 del Reglamento sobre violaciones de las medidas de seguridad (Breach of Security Safeguards Regulations) exige conservar un registro de cada brecha durante 24 meses desde que la organización determina que se ha producido. No obliga a conservar durante 24 meses el currículum subyacente, la grabación de la entrevista ni el perfil completo del candidato. Diseña el registro de la brecha de modo que demuestre lo sucedido sin crear un segundo archivo de información personal.

¿Cómo se crea un calendario de conservación justificable?

Un calendario justificable de conservación de datos de candidatos vincula cada clase de datos con una finalidad, un responsable, un desencadenante, un periodo, una regla de bloqueo y una acción de eliminación verificada. Debe poder aplicarse en todos los sistemas, no quedarse en un párrafo que nadie pueda ejecutar.

1. Determina la jurisdicción antes de elegir un periodo

Registra la entidad empleadora, el sector, la provincia, el lugar de trabajo, el carácter público o privado del empleador y los flujos transfronterizos. Presta especial atención a los empleadores de Alberta, Columbia Británica y Quebec, así como a los regulados por el Gobierno federal, e identifica qué regímenes específicos corresponden. Incorpora al mismo análisis los requisitos laborales, de derechos humanos, derivados de litigios, fiscales y sectoriales.

2. Haz un inventario del registro completo del candidato

Enumera los sistemas y campos que existen antes, durante y después de una decisión de contratación. Incluye las copias en correos, eventos de calendario, herramientas de evaluación, servicios de vídeo, exportaciones, almacenes de datos, tickets de asistencia y copias de seguridad. Asigna un responsable a cada copia.

3. Define una finalidad para cada clase de registro

La finalidad «contratación» es demasiado amplia. Distingue entre la evaluación para un puesto actual, el encaje con puestos futuros, la gestión de adaptaciones, la prevención del fraude, la constancia de la decisión y el registro de incidentes de seguridad. La finalidad determina tanto el uso como la conservación.

4. Define el inicio del plazo y los bloqueos

Utiliza un evento que el sistema pueda procesar, como rejected_at, withdrawn_at, hired_at, el vencimiento del consentimiento o el cierre del expediente. Identifica los hechos que suspenden la eliminación: una solicitud de acceso, una reclamación, una investigación, un aviso de conservación u otro bloqueo legal. Designa a una persona con autoridad para levantar cada bloqueo.

5. Establece periodos mínimos y máximos

El mínimo debe preservar las necesidades legítimas de acceso y las obligaciones legales. El máximo impide que la conservación «por si acaso» se vuelva permanente. Anota junto a cada cifra el motivo aprobado por los asesores jurídicos y revísalo cuando cambien la ley, la finalidad o el sistema.

6. Especifica con precisión la eliminación y la anonimización

Indica qué se purga, sobrescribe, desvincula, agrega o conserva. Incluye los archivos adjuntos, los datos extraídos de los currículums, las notas de texto libre, los índices de búsqueda, las cachés, las réplicas y las copias de seguridad de los encargados del tratamiento. Documenta si la eliminación se produce de inmediato o sigue un ciclo establecido para las copias de seguridad.

7. Prueba y demuestra el funcionamiento del calendario

Haz pasar un registro de candidato de prueba por todo el proceso hasta el vencimiento. Verifica el registro principal, los archivos adjuntos, los resultados de búsqueda, las exportaciones, las integraciones y los procedimientos de restauración. Conserva pruebas de la comprobación sin reconstruir el perfil del candidato que pretendías eliminar.

Como mínimo, revisa el calendario cada vez que añadas un encargado del tratamiento, recojas un campo nuevo, incorpores análisis con IA, empieces a operar en otra provincia o cambies la finalidad de la contratación. Una política estática no sirve para un mapa de datos en constante evolución.

¿Puedes conservar los datos de candidatos rechazados para puestos futuros?

Solo puedes mantener una bolsa de talento si encontrar posibles encajes futuros es una finalidad clara y lícita con sus propios controles de conservación. No conviertas sin avisar una candidatura rechazada para un puesto en datos de prospección indefinidos para cualquier puesto posterior.

PIPEDA exige identificar las finalidades en el momento de la recogida o antes. En la resolución PIPEDA 2012-003, la OPC concluyó que no se había informado adecuadamente a una persona que buscaba empleo de por qué se recogía su información personal. La lección es directa: una política de privacidad imprecisa no subsana a posteriori que la finalidad no se comunicara al recoger los datos.

Un aviso útil sobre la bolsa de talento explica al candidato:

• qué significa encontrar encajes futuros;
• qué información se conservará y utilizará;
• el periodo de conservación o renovación;
• si los reclutadores, los encargados del tratamiento o las herramientas con ayuda de IA podrán acceder a esa información;
• cómo retirarse de la bolsa o solicitar acceso;
• qué implica la eliminación o anonimización al vencer el plazo;
• cómo contactar con la persona responsable de privacidad.

No limites el análisis a una casilla. Para las relaciones laborales sujetas a la regulación federal, PIPEDA contempla circunstancias en las que no se requiere consentimiento para la información necesaria a fin de establecer, gestionar o poner fin a la relación, aunque sigue siendo importante informar de antemano. Las normas provinciales difieren. El objetivo operativo es contar con una finalidad que el candidato pueda entender y un fundamento que los asesores jurídicos puedan defender.

¿Qué debe hacer tu proveedor de ATS?

Un ATS puede ejecutar tu calendario de conservación, pero externalizar el tratamiento no transfiere la responsabilidad del empleador. Este debe saber adónde van los datos y recurrir a contratos y mecanismos de supervisión que garanticen una protección adecuada.

El principio de responsabilidad de PIPEDA establece que una organización sigue siendo responsable de la información transferida a un tercero para su tratamiento. La resolución de la OPC de 2020 sobre la externalización del tratamiento añade que el tratamiento transfronterizo no está prohibido, pero la organización debe actuar con transparencia, evaluar los riesgos y aplicar controles contractuales y de supervisión.

Pide respuestas concretas al proveedor de ATS:

• ¿Pueden definirse periodos de conservación distintos para candidaturas, perfiles de la bolsa de talento y personas contratadas?
• ¿Qué hito del ciclo de vida pone en marcha cada plazo?
• ¿Puede una solicitud de acceso o un bloqueo legal detener la eliminación de determinados registros?
• ¿Qué ocurre con los currículums, las notas, los correos, los campos extraídos y los eventos de auditoría?
• ¿Cómo se gestionan los subencargados, los índices de búsqueda, las réplicas y las copias de seguridad?
• ¿Permite el sistema exportar y corregir el registro completo de una persona?
• ¿Puede el proveedor demostrar la eliminación o explicar cuánto tardan en caducar las copias de seguridad?
• ¿Qué sucede con todos los datos cuando finaliza el contrato?

El contrato debe limitar el tratamiento a las finalidades documentadas, exigir salvaguardas adecuadas, abarcar los incidentes y los subencargados, y permitir comprobar la devolución o eliminación. Una página de seguridad que se limite a afirmar que todo «está cifrado» no responde a las preguntas sobre conservación.

Esto importa porque los expedientes de selección acumulan un volumen excepcional de información. La brecha de datos de candidatos de Mercor demostró cómo los currículums, los documentos de identidad y el contenido audiovisual de las entrevistas pueden convertir un ATS en un objetivo de gran valor para los atacantes. Es más fácil proteger un conjunto de datos reducido al mínimo justificable que un archivo del que nadie recuerda ser responsable.

¿Basta con eliminar los identificadores para anonimizar los datos de candidatos?

No. Eliminar un nombre o una dirección de correo no basta por sí solo para anonimizar el registro de un candidato. El historial laboral, la ubicación, los enlaces al portafolio, las competencias poco comunes, el texto de las entrevistas y otros conjuntos de datos aún pueden identificar a la persona.

En la resolución PIPEDA 2026-001, la OPC afirmó que una organización que recurre a la anonimización debe poder demostrar que no existe una posibilidad seria de reidentificación, ya sea con esa información por sí sola o combinada con otra disponible. La evaluación debe ser continua, porque tanto las técnicas de reidentificación como los conjuntos de datos disponibles evolucionan.

Decide expresamente qué hacer con cada registro de candidato que haya vencido:

• Eliminar: borra el registro y el contenido asociado cuando no exista ninguna finalidad vigente.
• Anonimizar: transforma los datos de forma irreversible y documenta el análisis del riesgo de reidentificación.
• Agregar: conserva solo estadísticas que ya no permitan identificar a una persona.
• Bloquear: conserva únicamente los registros incluidos en un bloqueo legal o derivado de una solicitud de acceso documentada.

La seudonimización no equivale a la anonimización. Sustituir un nombre por un identificador interno y conservar la clave de correspondencia mantiene el registro como información personal. Del mismo modo, una nota de entrevista en texto libre puede identificar a una persona incluso después de eliminar los campos estructurados.

¿Cómo ayuda Kit a gestionar la retención de datos de candidatos?

Kit ofrece conservación configurable, un aviso para las candidaturas y otro para la bolsa de talento, pruebas del consentimiento, renovación y anonimización automática. Aun así, tú decides qué ley se aplica, eliges el periodo, gestionas los bloqueos y validas la política resultante con asesores jurídicos.

La guía de Kit sobre privacidad y consentimiento de los candidatos explica los controles actuales:

• un periodo de conservación configurable de 1 a 60 meses, con 24 meses como valor predeterminado;
• textos editables para informar sobre las candidaturas y recabar el consentimiento para la bolsa de talento;
• el registro, en el momento de presentar la candidatura, de la fecha y hora, el texto exacto mostrado y la dirección IP cifrada;
• la renovación del consentimiento para la bolsa de talento 30 días antes del vencimiento y un recordatorio 7 días antes;
• la anonimización automática una vez transcurrido el periodo de gracia posterior al vencimiento si no se renueva el consentimiento;
• la anonimización de candidaturas rechazadas o retiradas conforme a su periodo de conservación, mientras que las candidaturas de las personas contratadas quedan excluidas de ese proceso automático.

Estos controles convierten un calendario escrito en eventos que el sistema puede ejecutar. No determinan la jurisdicción canadiense aplicable, ni crean un bloqueo legal, ni garantizan la desaparición de todas las copias en manos de los encargados del tratamiento, ni demuestran que una transformación concreta supera la prueba de reidentificación de la OPC. Configura el producto como una parte de un programa más amplio.

Empieza por separar las candidaturas actuales de la búsqueda de encajes con puestos futuros. Añade un aviso de privacidad claro, un periodo de conservación aprobado por asesores jurídicos, un responsable y un procedimiento de eliminación sometido a prueba. Revisa después el calendario cada vez que cambien la finalidad, la provincia, el encargado del tratamiento o los datos. Si quieres incorporar estos controles directamente al flujo de contratación, Empieza tu prueba gratuita y configura la privacidad de los candidatos antes de publicar tu próximo puesto.