Rechazo automático de tu candidatura: tus derechos
Muchas candidaturas las ordena, puntúa o rechaza un programa antes de que las lea una persona. No es un vacío legal: el RGPD ya se aplica y el calendario del Reglamento de IA acaba de aplazarse. Esto es lo que puedes pedir, a quién y cómo redactarlo.
La regla de base: el artículo 22 del RGPD
El RGPD establece un principio sencillo: tienes derecho a no ser objeto de una decisión basada únicamente en el tratamiento automatizado, incluida la elaboración de perfiles, que produzca efectos jurídicos en ti o te afecte significativamente de modo similar.[1] La autoridad francesa CNIL cita como ejemplo el rechazo automático de una candidatura a un empleo presentada en línea.[2]
Hay excepciones: la decisión puede ser automatizada si es necesaria para un contrato, si una norma la autoriza con garantías o si has dado tu consentimiento explícito.[1] Aun así, el responsable debe garantizar como mínimo el derecho a obtener la intervención de una persona, a expresar tu punto de vista y a impugnar la decisión.[1] Además, el artículo 15 te permite saber si existe una decisión automatizada y recibir información significativa sobre la lógica aplicada, así como sobre la importancia y las consecuencias previstas del tratamiento.[1]
La advertencia de la AEPD del 23 de septiembre de 2026
La Agencia Española de Protección de Datos (AEPD) publicó el 23 de septiembre de 2026 una nota sobre una advertencia preventiva a una empresa que estudiaba usar una herramienta de IA para filtrar y puntuar candidaturas, todavía no puesta en marcha. Subrayó tres cosas que te afectan como candidato.[3]
- Protección de datos desde el diseño y evaluación de impacto, si el tratamiento puede suponer un alto riesgo para las personas.
- Transparencia: los candidatos deben recibir información clara, accesible y comprensible sobre el tratamiento de sus datos y sobre el papel de la herramienta, sobre todo cuando genera una puntuación de idoneidad.
- Intervención humana efectiva: la persona que decide debe poder valorar críticamente la puntuación y tomar su propia decisión, sin limitarse a asumir el resultado.
La AEPD aclara que la advertencia no implica que la empresa haya cometido una infracción, y que la aplicación del artículo 22 depende de cómo funcione realmente la herramienta y de cuánta intervención humana haya.[3]
«Al final decide una persona»: ¿basta?
El Tribunal de Justicia de la Unión Europea resolvió el 7 de diciembre de 2023 (asunto SCHUFA) que la elaboración automatizada de un valor de probabilidad puede ser ya una «decisión individual automatizada» del artículo 22 cuando un tercero se apoya de forma determinante en ese valor.[4] Aplicado al empleo: una clasificación de candidatos que el selector se limita a seguir puede entrar en la regla, aunque alguien pulse «validar».
Qué deben decirte las empresas
Según la CNIL, los candidatos deben ser informados de que existe una toma de decisiones automatizada, por ejemplo cuando un algoritmo ordena las candidaturas.[5] Esa información debería figurar en la política de privacidad del proceso de selección. Con el derecho de acceso del artículo 15, puedes pedirla tú mismo tras un rechazo.[1]
Dónde está el Reglamento de IA
Los sistemas de IA usados para contratar son sistemas de alto riesgo del anexo III del Reglamento europeo de IA. Sus obligaciones debían aplicarse desde el 2 de agosto de 2026.[6] Un reglamento publicado en el Diario Oficial de la Unión Europea el 24 de julio de 2026 aplazó esa fecha: para los sistemas de alto riesgo del anexo III, ahora es el 2 de diciembre de 2027.[7]
Para ti significa dos cosas. Primero, todavía circulan textos con la fecha antigua: fíjate en cuándo se publicaron. Segundo, el aplazamiento no suspende el RGPD: el artículo 22 y tus derechos de acceso se aplican hoy.
Cómo ejercer tus derechos, paso a paso
- Detecta las señales. Un rechazo pocos minutos después de enviar, un paso de puntuación en el portal o una mención al cribado automático en la política de privacidad.
- Escribe al responsable. Es la empresa que contrata, no solo la plataforma. Usa el contacto de su política de privacidad.
- Haz preguntas concretas. ¿Se tomó la decisión solo por medios automatizados? ¿Con qué criterios? ¿Puede una persona revisar el caso?
- Expón tu punto de vista. Si un criterio te dejó fuera por error, como un año o un título de puesto, explícalo: es tu derecho.[1]
- Guarda las pruebas. Fecha de envío, fecha y texto del rechazo y todas las respuestas.
- Reclama ante la AEPD. Si no hay respuesta o es insuficiente, puedes acudir a la autoridad de protección de datos; en España es la AEPD.[8]
Estimados señores: Me presenté el [fecha] al puesto de [puesto] y recibí un rechazo el [fecha]. Les ruego que me indiquen si esta decisión se adoptó únicamente mediante tratamiento automatizado. En caso afirmativo, solicito, conforme a los artículos 15 y 22 del RGPD, información sobre la lógica y los criterios aplicados, la revisión de mi candidatura por una persona con capacidad para modificar la decisión y que se tengan en cuenta los siguientes elementos: [tus aclaraciones]. Atentamente,
Facilita que una persona te lea
No todo rechazo es una cuestión legal. Un currículum fácil de leer por un software de cribado, un ATS, evita muchos descartes injustos: títulos de puesto claros, formato sencillo y competencias con los mismos nombres que la oferta. Nuestra guía del currículum compatible con ATS lo detalla, y la guía sobre la adecuación a una oferta te ayuda a elegir las ofertas con opciones reales.
Preguntas frecuentes
¿Un rechazo en pocos minutos es siempre automático?
No necesariamente, pero es una pista. Puedes preguntar por escrito si la decisión fue automatizada y con qué criterios.
¿Puedo exigir que una persona revise mi candidatura?
Cuando se aplica el artículo 22, tienes como mínimo derecho a obtener la intervención de una persona, a expresar tu punto de vista y a impugnar la decisión. No garantiza otro resultado, pero tu caso debe volver a examinarse.
¿El aplazamiento del Reglamento de IA cambia hoy mis derechos?
No. Solo aplaza las obligaciones específicas para los sistemas de alto riesgo. El RGPD ya se aplica.
¿A quién acudo si la empresa no responde?
Primero a la empresa y después a la autoridad de protección de datos.
Fuentes
- a b c d e f RGPD, Reglamento (UE) 2016/679, artículos 15 y 22 (EUR-Lex) eur-lex.europa.eu
- ↑ CNIL, «Vos droits à l'intervention humaine face à votre profilage ou à une décision automatisée» cnil.fr
- a b AEPD, nota de prensa del 23 de septiembre de 2026 sobre garantías al usar IA en el análisis de currículums aepd.es
- ↑ Tribunal de Justicia de la Unión Europea, sentencia de 7 de diciembre de 2023, SCHUFA, asunto C-634/21 (EUR-Lex) eur-lex.europa.eu
- ↑ CNIL, «Recrutement et données personnelles dans les TPE/PME» cnil.fr
- ↑ Gibson Dunn, «EU AI Act Omnibus Agreement», 27 de mayo de 2026 gibsondunn.com
- ↑ Reglamento (UE) 2026/1744 de 8 de julio de 2026, Ómnibus Digital sobre IA (EUR-Lex) eur-lex.europa.eu
- ↑ Comité Europeo de Protección de Datos, miembros edpb.europa.eu