«¿Cuánto tiempo lo guardamos?» Es una de las preguntas RGPD más frecuentes en reclutamiento — y una de las peor respondidas. Spoiler: el RGPD no fija "X años" a lo bruto. Fija un principio, y la AEPD da un punto de referencia. Esta es la respuesta clara, sin aproximación.
Sumario
- La regla base: limitación del plazo de conservación
- La referencia concreta: la doctrina AEPD
- Candidato contratado, no contratado, bolsa de empleo: tres casos
- Qué hacer al final del plazo
- Cómo lo gestiona un ATS conforme
- FAQ
1. La regla base: limitación del plazo de conservación
El RGPD (Reglamento (UE) 2016/679), transpuesto en España por la LOPDGDD (Ley Orgánica 3/2018), no fija un plazo cifrado para los CV. Fija un principio, en el artículo 5 (1) (e): los datos personales deben conservarse durante un periodo no superior al necesario para los fines del tratamiento — es el principio de limitación del plazo de conservación.
Traducción concreta para una consultora o un servicio de RR.HH.: una vez tratada la candidatura, conservar el CV exige una justificación. Y esa justificación no puede ser un cajón de sastre del tipo "por si acaso". El candidato debe saber para qué finalidad (bolsa, futura vacante…) — y esa conservación tiene un límite.
2. La referencia concreta: la doctrina AEPD
El principio es abstracto. La AEPD lo hace operativo. Su orientación de referencia para el reclutamiento:
- Tras una candidatura concreta: si la persona no es contratada, los CV deben suprimirse o bloquearse una vez resuelto el proceso.
- Para incorporarlos a una bolsa de empleo / futuras vacantes: el plazo recomendado es de 6 meses a 1 año, con una base jurídica clara (consentimiento o interés legítimo) y la información correspondiente.
- A los 24 meses, si los CV no se han actualizado, deben bloquearse al menos — para que nadie pueda leerlos en uso operativo.
Este escalonado 6 meses → 1 año → bloqueo a 24 meses es el estándar español. Apartarse sin justificación documental te expone a un riesgo.
Plazos equivalentes en otros países de la UE:
- Francia (CNIL): 2 años desde el último contacto para candidatos no contratados.
- Reino Unido (ICO): 6 meses base; 2-3 años desde el último contacto para bolsa de talento.
3. Candidato contratado, no contratado, bolsa de empleo: tres casos
- Candidato contratado — los datos pasan a la finalidad "gestión de personal". Se aplican reglas de conservación distintas (legislación laboral).
- Candidato no contratado — supresión o bloqueo una vez resuelto el proceso, salvo consentimiento para incorporarlo a la bolsa.
- Bolsa de empleo / candidatethèque — mantener a un candidato más allá de la candidatura concreta exige: información transparente (por qué, cuánto tiempo) y una base jurídica (a menudo el consentimiento, a veces el interés legítimo). El candidato debe poder negarse o pedir su retirada en cualquier momento.
Súmale el principio de minimización (art. 5 §1 c): solo conservas los datos pertinentes para la finalidad — no un expediente completo con mensajes, scoring y comentarios ya no necesarios.
4. Qué hacer al final del plazo
Tres opciones conformes:
- Suprimir los datos.
- Anonimizar (estadísticas, reporting) — los datos ya no permiten identificar a la persona; el RGPD deja de aplicarse.
- Recabar consentimiento explícito del candidato para prolongar la conservación bajo una finalidad clara, con nuevo plazo.
Mala opción: prolongar tácitamente. El candidato debe poder ejercer sus derechos en todo momento (acceso, rectificación, supresión / "derecho al olvido" art. 17, oposición art. 21).
5. Cómo lo gestiona un ATS conforme
Un software de reclutamiento serio no debe dejar esto a la mano. En concreto, debería ofrecer:
- Plazos de conservación parametrizables por finalidad.
- Purga o anonimización automática al vencimiento.
- Una interfaz de ejercicio de derechos (acceso, rectificación, supresión).
- Trazabilidad de estas operaciones.
En Marvin Recruiter, la conservación es configurable por cliente. Por defecto: 1 año para bolsa, con notificaciones de vencimiento y un flujo de supresión en un clic. Objetivo: que la regla se aplique sola, en vez de depender del rigor de cada usuario.
De dónde sale este artículo
Marvin Recruiter integra RGPD y AI Act en el diseño de su producto. Este artículo es el resultado de nuestro trabajo de I+D interno sobre estos temas — lectura del reglamento, seguimiento de la doctrina AEPD/CNIL, vigilancia del Digital Omnibus. Informativo, no asesoramiento jurídico. Aún no revisado por un abogado. Para tus decisiones de cumplimiento, valídalas con tu DPO o un despacho especializado.
FAQ
¿Cuánto tiempo se puede conservar un CV tras un proceso de selección?
Para un candidato no contratado: supresión o bloqueo al cerrar el proceso. Para bolsa de empleo: 6 meses a 1 año (recomendación AEPD), con bloqueo a los 24 meses si no hay actualización.
¿El RGPD fija un plazo preciso para los CV?
No. El RGPD fija un principio (limitación del plazo, art. 5 §1 e). La recomendación AEPD para España es el referente operativo.
¿Puedo mantener a un candidato en mi bolsa indefinidamente?
No. Una bolsa sigue siendo un tratamiento RGPD: finalidad, base jurídica, plazo, información al candidato y posibilidad de oposición o supresión.
¿Un candidato puede pedir la supresión de sus datos?
Sí — derecho de supresión (art. 17) y derecho de oposición (art. 21), absoluto para la prospección. El tratamiento con esa finalidad debe entonces cesar.
¿Es lícito conservar 5 años por prueba de no discriminación?
Conservaciones largas por defensa jurídica son posibles, pero deben hacerse en una base de archivo separada, con acceso restringido, no en la base operativa de reclutamiento. Documenta el razonamiento.
Artículo informativo actualizado al 15 de mayo de 2026. Fuentes: Reglamento (UE) 2016/679 (art. 5, 17, 21); LOPDGDD (Ley Orgánica 3/2018); orientaciones de la AEPD en materia de reclutamiento. No constituye asesoramiento jurídico.
Enlaces internos sugeridos: Guía AI Act y reclutamiento (A1) · Búsqueda en LinkedIn y RGPD artículo 14 (R3) · Solicitar una demo.
