Datos personales en reclutamiento: qué puedes tratar de un candidato
Qué datos de un candidato puedes pedir en México según la LFPDPPP 2025 y la LFT: datos sensibles, banco de talento, pruebas automatizadas y envío de terna.
Puedes tratar los datos de un candidato que sean necesarios, adecuados y relevantes para evaluar su candidatura a una vacante concreta, siempre que se lo informes en un aviso de privacidad. Los datos sensibles (salud, origen étnico, creencias, opiniones políticas, preferencia sexual) exigen consentimiento expreso y por escrito y una justificación ligada al puesto, y hay información que no puedes exigir aunque el candidato acepte, como el certificado de no embarazo.
La base legal es la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP), publicada en el DOF el 20 de marzo de 2025 (abrogó la de 2010 conservando nombre y sigla), junto con la Ley Federal del Trabajo (LFT) en materia de no discriminación. En reclutamiento el error caro no suele ser un aviso mal redactado: es el dato que nunca debiste pedir.
Una nota sobre el Reglamento: no se ha publicado uno nuevo para la ley de 2025. Al 25 de octubre de 2026 no localizamos en el DOF otro distinto del Reglamento del 21 de diciembre de 2011, que la Cámara de Diputados publica como vigente y que se aplica en lo que no contradiga la ley nueva. Cuando aquí citamos “el Reglamento”, es ese.
¿Un candidato es un contacto de negocios? No
El artículo 5, fracción III, del Reglamento deja fuera de su aplicación los datos de quien trabaja para una empresa, limitados a nombre, puesto y algunos datos laborales (domicilio, correo, teléfono), pero solo “siempre que esta información sea tratada para fines de representación del empleador o contratista”.
Escribirle a una gerente para tratar un asunto de su empresa encaja en esa representación. Escribirle para ofrecerle otro empleo, no: ahí la tratas como persona. El sourcing y el headhunting quedan fuera de la exclusión desde el primer mensaje, y más todavía cuando armas un perfil, estimas su nivel o le asignas un puntaje de encaje. Desde ese momento aplican todas las obligaciones de la ley.
¿Si el perfil es público puedo usarlo sin avisar?
Puedes no pedir consentimiento si los datos están en una fuente de acceso público, pero sigues obligado a dar el aviso de privacidad. Son obligaciones distintas.
Sobre el consentimiento: el artículo 9, fracción II, lo exceptúa para datos en fuentes de acceso público. El artículo 2, fracción X, define esas fuentes como bases que por disposición de ley pueden consultarse públicamente, y agrega que no lo son cuando la información “sea obtenida o tenga una procedencia ilícita”. El artículo 7 del Reglamento enumera medios electrónicos concebidos para informar al público, directorios telefónicos, diarios oficiales y medios de comunicación social. Una base de CV comprada sin origen claro no entra en ninguna.
Sobre el aviso: el deber de informar está en los artículos 14 a 17, y el 17 regula tu caso. Si los datos no te los dio la persona, tienes que darle a conocer el aviso, y solo cuando eso sea imposible o desproporcionado puedes usar medidas compensatorias previstas en el Reglamento. En la práctica: el primer mensaje de sourcing enlaza tu aviso para candidatos.
¿Qué datos puedes pedir a un candidato?
Los que sean necesarios para decidir sobre esa vacante. El artículo 12 pide que el tratamiento sea “necesario, adecuado y relevante en relación con las finalidades previstas en el aviso de privacidad”. La pregunta no es si el dato es útil, sino si lo necesitas para decidir.
| Encaja con naturalidad | Encaja mal salvo justificación escrita | No lo pidas |
|---|---|---|
| Nombre y contacto | Estado civil | Certificado de no embarazo (LFT, art. 133, fr. XIV) |
| Historial laboral y formación | Número de hijos | Religión, afiliación política o preferencia sexual |
| Competencias y certificaciones | Fotografía en la solicitud inicial | Datos de salud “por si acaso” |
| Pretensión salarial y disponibilidad | Edad exacta (basta confirmar mayoría de edad) | |
| Referencias que la persona te da | Historial crediticio (requiere consentimiento expreso, art. 7) | |
| Resultados de pruebas ligadas al puesto | Antecedentes penales |
Sobre el historial crediticio: el artículo 7, quinto párrafo, exige consentimiento expreso para datos financieros o patrimoniales. Una consulta de buró no es un dato más del expediente.
¿Qué datos exigen consentimiento expreso y por escrito?
Los sensibles. El artículo 2, fracción VI, los define como los que afectan la esfera más íntima o cuyo mal uso puede dar lugar a discriminación o a un riesgo grave, y lista “de manera enunciativa más no limitativa” el origen racial o étnico, el estado de salud presente o futuro, la información genética, las creencias religiosas, filosóficas y morales, las opiniones políticas y la preferencia sexual.
El artículo 8 exige para ellos consentimiento expreso y por escrito, con firma autógrafa, firma electrónica o un mecanismo de autenticación. Su segundo párrafo prohíbe crear bases con datos sensibles sin una justificación ligada a finalidades legítimas y concretas. Un campo de “padecimientos” en tu formulario de vacante “por si acaso” es justo lo que ese párrafo prohíbe; el artículo 58, fracción XVIII, lo tipifica con multa de 200 a 320,000 UMA (artículo 59, fracción III), que puede duplicarse al tratarse de datos sensibles. Con la UMA diaria de 117.31 pesos vigente desde febrero de 2026 (INEGI), el rango base va de 23,462 a 37,539,200 pesos. El artículo 12 agrega que el periodo de tratamiento de los sensibles debe ser el mínimo indispensable.
Lo que la ley laboral prohíbe pedir, aunque el candidato acepte
El consentimiento no vuelve legal una práctica discriminatoria. La LFT lo cierra por su lado:
- Artículo 133, fracción I: prohíbe negarse a aceptar trabajadores por origen étnico o nacional, género, edad, discapacidad, condición social, condiciones de salud, religión, opiniones, preferencias sexuales, estado civil “o cualquier otro criterio que pueda dar lugar a un acto discriminatorio”.
- Artículo 133, fracción XIV: prohíbe exigir certificados médicos de no embarazo para el ingreso, permanencia o ascenso.
- Artículo 133, fracción IX: prohíbe “poner en el índice” a quienes se separan del trabajo para que no se les vuelva a dar ocupación. Compartir listas negras entre empresas o preguntar por ellas cae aquí.
- Artículo 3o., segundo párrafo: no pueden establecerse condiciones discriminatorias por esos motivos, incluida la condición migratoria.
El mismo artículo 3o. deja la puerta legítima en su tercer párrafo: “No se considerarán discriminatorias las distinciones, exclusiones o preferencias que se sustenten en las calificaciones particulares que exija una labor determinada”. Si un requisito de salud es indispensable para el puesto, documenta por qué, limítalo a lo mínimo y trátalo como dato sensible. Si no puedes explicarlo en una línea, no lo pidas. Los antecedentes penales no están en la lista de sensibles de la LFPDPPP, pero esa lista es enunciativa y el riesgo de discriminación es evidente: lo prudente es darles el mismo trato.
El aviso de privacidad para candidatos
Tu aviso de candidatos no es el de clientes ni el de empleados. Necesita el contenido mínimo del artículo 15: identidad y domicilio; los datos que tratarás, identificando los sensibles; las finalidades, separando las que requieren consentimiento; las opciones para limitar el uso; los mecanismos ARCO; y cómo comunicarás cambios. Omitir alguno es infracción (artículo 58, fracción V).
Dónde se muestra:
- Formulario de vacante o bolsa de trabajo en línea: aviso simplificado con las fracciones I a IV del artículo 15 y enlace al integral (artículo 16, fracción II).
- Solicitud en papel en la sucursal: el aviso se entrega en ese momento (artículo 16, fracción I).
- Sourcing: datos que no te dio la persona, artículo 17; el aviso va en el primer contacto.
Los detalles de redacción, con una tabla de qué poner en el aviso de candidatos y en el de empleados, están en la guía de aviso de privacidad en México.
Banco de talento: es otra finalidad, no una prórroga
Guardar el CV de quien no quedó para futuras vacantes es una finalidad distinta a evaluarlo para la vacante a la que aplicó. El artículo 11 lo dice: para una finalidad distinta a las del aviso “se requerirá obtener nuevamente el consentimiento”. La ley de 2010 permitía apoyarse en finalidades análogas; esa salida ya no existe.
En la práctica: declara el banco de talento como finalidad separada con una casilla que el candidato marca o no, fija un plazo de conservación y bórralo al vencer. Si el candidato pide cancelación, aplica el artículo 24, con bloqueo previo a la supresión, como explicamos en la guía de derechos ARCO.
Pruebas psicométricas, filtros automáticos y decisiones sin revisión humana
La ley de 2025 nombra el caso de forma literal. El artículo 26, fracción II, da derecho a oponerse cuando los datos son objeto de un tratamiento automatizado que afecte de manera significativa a la persona y esté destinado a evaluar sin intervención humana o a “analizar o predecir, en particular, su rendimiento profesional, situación económica, estado de salud, preferencias sexuales, fiabilidad o comportamiento”.
El artículo 112 del Reglamento agrega el deber operativo: si una decisión se toma “sin que intervenga la valoración de una persona física”, hay que informarlo, y el candidato puede conocer los datos usados, rectificarlos y pedir que se reconsidere la decisión.
Tres consecuencias prácticas:
- Declara en el aviso qué partes del proceso son automáticas (filtro de CV, corte por puntaje).
- Que ninguna prueba descarte sola. Los resultados se leen junto con la entrevista estructurada y las referencias.
- Conserva qué datos alimentaron cada resultado, por si te piden acceso o reconsideración.
Las pruebas en línea son útiles si se usan así. En Ingrowth evaluamos candidatos con las evaluaciones de Quincenea (64 pruebas en español agrupadas en 61 baterías, que el candidato responde desde el celular) y las leemos junto con la entrevista, nunca como criterio único. Antes de apoyar una contratación en un número, vale leer qué mide de verdad una prueba psicométrica.
Mandar la terna al cliente es una transferencia
Para una agencia o un headhunter, este es el punto de mayor exposición. El artículo 2, fracción XX, define transferencia como la comunicación de datos a alguien distinto del titular, del responsable o de la persona encargada. La persona encargada trata los datos por cuenta tuya (fracción XII), por ejemplo la plataforma donde aplican las pruebas. El cliente que recibe la terna decide por sí mismo: es un tercero receptor.
El artículo 35 obliga a comunicarle el aviso y las finalidades a las que el candidato sujetó el tratamiento, y a que el aviso incluya “una cláusula en la que se indique si la persona titular acepta o no la transferencia de sus datos”. El receptor asume las mismas obligaciones que tú. El artículo 69 del Reglamento pone la carga de la prueba en ambas partes.
Las sanciones están en el rango alto (artículo 59, fracción III): transferir sin comunicar al tercero el aviso (artículo 58, fracción X), fuera de los casos permitidos (XII) o sin consentimiento expreso cuando es exigible (XIII). Una buena práctica es enviar al cliente solo lo que necesita para decidir y quitar del paquete los datos de contacto personales hasta que haya entrevista.
Si se filtra tu base de candidatos
Avisa a cada persona afectada de forma inmediata. El artículo 19 lo exige cuando la vulneración afecta de forma significativa sus derechos patrimoniales o morales, y los artículos 64 y 65 del Reglamento fijan el contenido mínimo: qué pasó, qué datos se comprometieron, qué puede hacer la persona, qué corregiste y dónde obtener más información. La ley no obliga a una empresa a notificar la brecha a la autoridad ni fija un plazo en días, y el artículo 58 no sanciona esa omisión.
Checklist para revisar tu proceso de selección
- ¿Tu aviso de candidatos enumera los datos e identifica los sensibles? Artículo 15, fracción II.
- ¿El formulario de vacante muestra el aviso simplificado con enlace al integral, y el primer mensaje de sourcing enlaza el aviso? Artículos 16 y 17.
- ¿El banco de talento es una finalidad separada, con plazo de conservación? Artículo 11.
- ¿Hay campos de salud, embarazo, religión u opiniones en tu formulario? Artículos 8 y 12 de la LFPDPPP; artículo 133 de la LFT.
- ¿Declaras qué es automático y permites reconsideración? Artículo 26, fracción II; artículo 112 del Reglamento.
- ¿Tu contrato con el cliente dice quién es responsable y quién encargado, y el aviso tiene la cláusula de transferencia? Artículos 2 y 35.
- ¿Puedes responder un acceso o una cancelación en veinte más quince días hábiles? Artículo 31.
Esto es información general y no asesoría legal. Conviene revisar tu caso con un abogado especializado en protección de datos en México.
Lo que no pudimos verificar
No encontramos publicado por la Secretaría Anticorrupción y Buen Gobierno, autoridad para el sector privado desde el 21 de marzo de 2025, un canal oficial para que un candidato presente una solicitud de protección de datos contra una empresa. Tampoco encontramos criterios administrativos sobre reclutamiento bajo la ley de 2025: este análisis se apoya en el texto de la ley, el Reglamento de 2011 y la LFT.
Si necesitas cubrir una vacante y quieres que el proceso pida solo lo necesario, informe bien al candidato y no dependa de una sola prueba, en Ingrowth hacemos reclutamiento, headhunting y evaluación de candidatos para empresas en Venezuela.
Fuentes
Preguntas frecuentes
¿Los datos de un candidato son datos personales protegidos en México?
Sí. El artículo 2, fracción V, de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares, publicada el 20 de marzo de 2025, define dato personal como cualquier información de una persona identificada o identificable. Un CV, una entrevista grabada, un resultado de evaluación o un perfil profesional con nombre entran de lleno, y quien recluta es responsable del tratamiento.
¿La exclusión de datos de contacto laboral me sirve para hacer sourcing?
No. El artículo 5, fracción III, del Reglamento de 2011 excluye nombre, puesto y datos laborales de quien trabaja para una empresa, pero solo cuando se tratan para fines de representación del empleador. Buscar a esa persona para ofrecerle otro empleo no es representar a su empleador, así que la exclusión no aplica.
¿Puedo pedir certificado de no embarazo, exámenes médicos o antecedentes penales?
El certificado de no embarazo está prohibido por el artículo 133, fracción XIV, de la Ley Federal del Trabajo. Los datos de salud son sensibles (artículo 2, fracción VI, de la LFPDPPP) y requieren consentimiento expreso y por escrito según el artículo 8, además de justificarse por el puesto. La lista de sensibles no es cerrada, así que conviene aplicar el mismo estándar a los antecedentes penales.
¿Puedo guardar los currículums de candidatos que no quedaron?
Solo si el banco de talento aparece como finalidad en tu aviso de privacidad. El artículo 11 de la LFPDPPP exige consentimiento nuevo para cualquier finalidad distinta a la informada, y eliminó las finalidades análogas que permitía la ley de 2010. El artículo 12 pide además que el tratamiento sea necesario, adecuado y relevante.
¿Qué exige la ley si uso pruebas psicométricas o filtros automáticos?
El artículo 26, fracción II, de la LFPDPPP permite oponerse a un tratamiento automatizado que evalúe sin intervención humana aspectos como el rendimiento profesional. El artículo 112 del Reglamento obliga a informar cuando una decisión se toma sin valoración de una persona y a permitir que el candidato conozca los datos usados, los rectifique y pida reconsideración.
¿Mandar la terna al cliente cuenta como transferencia de datos?
Sí. El artículo 2, fracción XX, de la LFPDPPP define transferencia como la comunicación de datos a alguien distinto del titular, del responsable o del encargado. El cliente decide sobre esos datos, así que es un tercero receptor. El artículo 35 obliga a comunicarle el aviso y a que el aviso incluya una cláusula donde el candidato acepte o no la transferencia.