El Informe 0206/2008 del Gabinete Jurídico de la Agencia Española de Protección de Datos (AEPD) aborda varias cuestiones relacionadas con el tratamiento de datos personales de currículos enviados a una multinacional, conforme a la Ley Orgánica 15/1999 de Protección de Datos de Carácter Personal.
La primera cuestión trata sobre la necesidad de obtener el consentimiento de los candidatos cuyos currículos se incorporarán a una base de datos centralizada. La AEPD establece que, aunque las empresas del grupo puedan compartir datos, cada sociedad mantiene su personalidad jurídica independiente. Por lo tanto, cualquier comunicación o cesión de datos entre las empresas del grupo requiere el consentimiento del afectado, conforme al artículo 11.1 de la Ley Orgánica 15/1999. Esto implica que cada empresa debe informar a los candidatos y obtener su consentimiento para la incorporación de sus datos a la base de datos central.
La segunda cuestión se refiere a la posibilidad de transferir datos fuera del Área Económica Europea. La AEPD aclara que, para que los datos se consideren disociados o anonimizados, deben ser tratados de manera que no permitan identificar al sujeto. En el caso planteado, los datos de los currículos no están completamente disociados, ya que el sistema permite identificar a los candidatos. Por lo tanto, el tratamiento de estos datos está sujeto a la Ley Orgánica 15/1999, independientemente de cualquier anonimización parcial.
Para transferir los datos a un país fuera del Área Económica Europea, la AEPD establece que se debe cumplir con la regulación sobre transferencias internacionales de datos. Según el artículo 33.1 de la Ley Orgánica 15/1999, no se pueden realizar transferencias a países que no proporcionen un nivel de protección equiparable, salvo que se obtenga autorización previa de la AEPD y se obtengan garantías adecuadas. La AEPD evaluará el nivel de protección del país de destino atendiendo a diversas circunstancias, como la naturaleza de los datos y las normas vigentes en el país de destino.
En resumen, para que la actuación de la empresa consultante sea conforme a la Ley Orgánica 15/1999, es necesario obtener el consentimiento informado de los candidatos tanto para la cesión de datos dentro del grupo empresarial como para la transferencia internacional de los currículos a la base de datos central. La AEPD subraya la importancia de garantizar la protección de los datos personales en todas las etapas del tratamiento y transferencia de información.