Solicitud de acceso RGPD si te rechazan

Por qué hacer una solicitud de acceso RGPD tras un rechazo laboral

La mayoría de los rechazos llegan sin explicación, y cada vez más pasan primero por un software. En octubre de 2026, la AFP informó de que tres antiguos empleados de Plus que pro, una startup francesa, la acusan de haber creado un software de selección cuyas instrucciones de IA descartaban a mujeres, a candidatos mayores de 55 o menores de 27 años y a personas con apellidos africanos; uno de ellos afirma haber presentado una reclamación ante la CNIL y el Défenseur des droits. La empresa sostiene que un antiguo empleado desarrolló esa versión en contra de sus directrices y que nunca llegó a ponerse en servicio. Esa misma semana, medios turcos se hicieron eco de un informe de una comisión parlamentaria británica que advertía de que la criba automatizada en la selección puede perjudicar a candidatos de minorías étnicas.

No puedes ver por dentro el software de criba de una empresa. Pero en la UE sí puedes pedir los datos que ha generado sobre ti. Para eso sirve una solicitud de acceso RGPD, también llamada solicitud de acceso del interesado (DSAR, por sus siglas en inglés). No te conseguirá el puesto, pero puede decirte qué se registró, qué herramientas se usaron y si intervino una persona, y es el punto de partida para corregir errores o impugnar una decisión.

A qué tienes derecho

Según el artículo 15 del RGPD, puedes pedir a la empresa —y, por separado, a cualquier agencia de selección— que confirme si trata tus datos personales y, en tal caso, que te facilite:

• Una copia de los propios datos. El Tribunal de Justicia de la UE ha declarado que esto significa una reproducción fiel e inteligible de todos tus datos, incluidos extractos de documentos o bases de datos cuando sea necesario para entenderlos (asunto C-487/21).
• Los fines del tratamiento y las categorías de datos de que se trate.
• Los destinatarios; por ejemplo, el sistema de seguimiento de candidatos, el proveedor de evaluaciones o de entrevistas en vídeo, u otra empresa del grupo.
• Durante cuánto tiempo se conservarán tus datos, o los criterios para decidirlo.
• De dónde proceden los datos, si no los facilitaste tú; útil si un reclutador encontró tu perfil en otro sitio.
• Si se usaron decisiones automatizadas y, en ese caso, información significativa sobre la lógica aplicada y sus consecuencias para ti.

En un proceso de selección, tus datos personales pueden incluir tu CV y el formulario de solicitud, puntuaciones de criba o de clasificación, resultados de pruebas en línea, grabaciones y transcripciones de entrevistas con IA o en vídeo, notas y fichas de evaluación de los entrevistadores sobre ti y correos internos en los que se comenta tu candidatura.

Rechazos automatizados y el artículo 22

El artículo 22 del RGPD te da derecho a no ser objeto de una decisión basada únicamente en un tratamiento automatizado que te afecte de forma significativa, y un rechazo puede ser una decisión de ese tipo. Cuando una empresa se acoge a una de las excepciones (por ejemplo, que la decisión sea necesaria para celebrar un contrato, o tu consentimiento explícito), debe permitirte igualmente obtener intervención humana, expresar tu punto de vista e impugnar la decisión.

Dos sentencias de tribunales de la UE hacen que este derecho sea más útil:

• En SCHUFA (C-634/21, diciembre de 2023), el Tribunal declaró que una puntuación generada automáticamente cuenta como decisión automatizada cuando la empresa que la recibe se basa en gran medida en ella para decidir. Un reclutador que, en la práctica, rechaza a todos los que quedan por debajo de una puntuación de IA fijada podría estar en una situación similar.
• En Dun & Bradstreet Austria (C-203/22, febrero de 2025), el Tribunal declaró que «información significativa sobre la lógica aplicada» significa una explicación concisa e inteligible del procedimiento y de los principios realmente aplicados a tus datos, no una fórmula compleja. Si la empresa alega secretos comerciales, debe facilitar la información a la autoridad de protección de datos o al tribunal, que decide cuánta recibes tú.

El Reglamento de IA de la UE añade el derecho a una explicación clara del papel de la IA en las decisiones basadas en sistemas de alto riesgo, entre los que se incluyen las herramientas de contratación (artículo 86), pero solo cuando el Derecho de la UE no prevea ya ese derecho, así que el RGPD sigue siendo tu herramienta principal. Las obligaciones de alto riesgo del Reglamento para las herramientas de contratación se aplican a partir del 2 de diciembre de 2027, según el Ómnibus de IA.

Cómo enviar la solicitud

No hay ningún formulario obligatorio. Basta con un correo electrónico, y la política de privacidad de la empresa suele indicar un contacto o un delegado de protección de datos. Una solicitud breve es suficiente:

«Asunto: Solicitud de acceso a datos (artículo 15 del RGPD). El [fecha] presenté mi candidatura al puesto de [puesto, referencia]. En virtud del artículo 15 del RGPD, les ruego que me confirmen si tratan mis datos personales y me envíen una copia de todos los datos personales relacionados con mi candidatura, incluidas las puntuaciones o clasificaciones de criba, los resultados de pruebas y evaluaciones, y las grabaciones, transcripciones y notas de las entrevistas. Les ruego asimismo que me indiquen los fines, los destinatarios (incluidos los proveedores de software), el plazo de conservación y, si se utilizaron decisiones automatizadas, información significativa sobre la lógica aplicada. Les ruego que respondan en el plazo de un mes, tal como exige el artículo 12, apartado 3. [Nombre, dirección de correo electrónico con la que presenté la candidatura]»

• Envíala desde la dirección de correo con la que presentaste la candidatura; así es fácil identificarte. La empresa solo puede pedirte más información si tiene dudas razonables sobre tu identidad.
• Guarda una copia y anota la fecha: el plazo de un mes empieza a contar cuando la empresa recibe tu solicitud.
• Si te presentaste a través de una agencia o de un portal de empleo, envía una solicitud aparte a cada uno: cada uno es responsable de sus propios datos.

Qué recibirás y qué se puede retener

• Plazo: una respuesta sin dilación indebida y en el plazo de un mes. La empresa puede prorrogarlo otros dos meses si las solicitudes son complejas o numerosas, pero debe comunicártelo dentro del primer mes y explicar por qué.
• Coste: la primera copia es gratuita. El Tribunal de Justicia confirmó que no tienes que dar ningún motivo para tu solicitud (C-307/22). Solo se puede cobrar un canon razonable por copias adicionales.
• Derechos de terceros: la copia no debe afectar negativamente a otras personas, así que se eliminan los datos de otros candidatos y algunos detalles, como partes de los comentarios internos de compañeros, pueden tacharse. El tachado debe ser selectivo, no una excusa para denegarlo todo.
• Abuso: una empresa solo puede negarse o cobrar cuando la solicitud es manifiestamente infundada o excesiva, por ejemplo si es repetitiva, y debe poder demostrarlo.
• Excepciones nacionales: los países de la UE pueden limitar el acceso en casos concretos, así que los detalles varían ligeramente de un país a otro.

Una vez que tengas tus datos, puedes pedir que se corrijan los errores, solicitar su supresión cuando ya no sean necesarios u oponerte a que conserven tu CV para futuras vacantes.

Si no responden: reclamaciones y próximos pasos

Si una empresa se niega, debe explicarte por qué en el plazo de un mes e informarte de tu derecho a reclamar. Si no te hace caso o te da una respuesta incompleta, envía un recordatorio y, después, presenta una reclamación ante la autoridad de protección de datos de tu país —la CNIL en Francia, por ejemplo— o del país donde tenga su sede la empresa. El Comité Europeo de Protección de Datos (CEPD) publica la lista de todas las autoridades nacionales, y las reclamaciones son gratuitas.

Si los datos apuntan a una discriminación —por ejemplo, filtros por edad, sexo u origen—, también puedes acudir al organismo de igualdad de tu país, y en muchos países un abogado laboralista o un sindicato pueden asesorarte. En el Reino Unido se aplica el mismo derecho de acceso según el UK GDPR, y las reclamaciones se dirigen a la ICO.