La Resolución de la AEPD PD/00015/2025 analiza un supuesto frecuente en la práctica laboral: la conservación por parte del empleador de datos personales contenidos en el currículum vitae una vez iniciada la relación laboral. El pronunciamiento delimita con precisión qué información puede mantenerse y cuándo procede atender una solicitud de supresión formulada por el trabajador.

El caso se inicia cuando un trabajador solicita reiteradamente a su empresa la supresión de determinados datos personales incluidos en su currículum, en concreto titulaciones complementarias, cursos realizados y experiencia profesional previa en otras empresas. La solicitud incluye copia de las certificaciones acreditativas, sin que la empresa dé respuesta en los plazos legalmente previstos.

Ante la falta de contestación, el trabajador presenta reclamación ante la AEPD. Solo tras el requerimiento del organismo de control la empresa responde, y lo hace en sentido negativo. Sostiene que los datos no pueden suprimirse porque resultan relevantes para su modelo de gestión por competencias y para el cumplimiento de obligaciones contractuales y legales.

La AEPD comienza recordando un principio básico del régimen de protección de datos: el interesado no está obligado a justificar el ejercicio de sus derechos de acceso, rectificación, supresión u oposición. Basta con que manifieste su voluntad de ejercerlos, correspondiendo al responsable del tratamiento valorar su procedencia conforme al RGPD.

Desde esta perspectiva, la Agencia subraya que las empresas deben disponer de mecanismos claros, accesibles y gratuitos para facilitar el ejercicio de derechos por parte de los trabajadores. Además, están obligadas a responder a las solicitudes en el plazo máximo de un mes, ofreciendo una respuesta motivada cuando opten por la denegación total o parcial.

Uno de los ejes centrales de la resolución es la distinción entre datos necesarios y datos no necesarios para la relación laboral. Esta diferenciación resulta determinante para resolver si procede o no la supresión solicitada. La AEPD insiste en que el principio de minimización de datos obliga a tratar únicamente los datos adecuados, pertinentes y limitados a lo necesario.

En relación con los datos curriculares no necesarios, la Agencia afirma que el trabajador tiene derecho a solicitar su supresión cuando no guardan relación directa con el puesto que ocupa ni resultan imprescindibles para la ejecución del contrato. La formación complementaria, cursos adicionales o experiencias previas no requeridas para el puesto entran, en principio, en esta categoría.

La resolución destaca que el hecho de que el trabajador aportara voluntariamente esa información en el proceso de selección no legitima su conservación indefinida. Si dichos datos no eran necesarios ni exigidos para el desempeño del puesto, el trabajador puede legítimamente solicitar su eliminación una vez iniciada la relación laboral.

Frente a ello, la empresa no puede ampararse genéricamente en su modelo de gestión por competencias para justificar la conservación de datos excesivos. La AEPD recalca que los intereses organizativos internos no prevalecen sobre los principios del RGPD cuando no existe una base jurídica válida que legitime el tratamiento continuado.

Por el contrario, la Agencia reconoce que existen datos que sí son necesarios para la ejecución del contrato de trabajo y para el cumplimiento de obligaciones legales. Estos datos no pueden suprimirse mientras subsista la relación laboral o mientras resulte exigible su conservación conforme a la normativa aplicable.

Entre estos datos necesarios se encuentran, por ejemplo, la titulación mínima exigida para el puesto cuando constituye un requisito legal o contractual. No obstante, la AEPD matiza que dicha titulación ya debió ser verificada durante el proceso de selección y que la empresa debe conservar únicamente la documentación estrictamente necesaria para acreditar ese cumplimiento.

La resolución pone de relieve que los datos cuya supresión se solicita no se refieren a la formación exigida para el puesto ni a información imprescindible para la relación laboral vigente. Se trata, por el contrario, de datos relativos a etapas profesionales previas y a formación adicional no vinculada directamente con las funciones desempeñadas.

Desde el punto de vista procedimental, la AEPD reprocha a la empresa no solo la denegación indebida de la supresión, sino también la falta de respuesta en tiempo y forma. Este incumplimiento vulnera de manera autónoma las obligaciones del responsable del tratamiento y refuerza la estimación de la reclamación del trabajador.

En consecuencia, la Agencia estima la reclamación y ordena a la empresa suprimir los datos curriculares que no sean necesarios para la relación laboral, con la única excepción de aquellos imprescindibles para el cumplimiento de obligaciones contractuales o legales. Asimismo, impone la obligación de certificar la supresión en un plazo máximo de diez días hábiles.

La certificación debe remitirse tanto al trabajador como a la propia AEPD, garantizando así la trazabilidad del cumplimiento de la resolución. La Agencia advierte expresamente que el incumplimiento de esta orden puede constituir una infracción muy grave, sancionable conforme al RGPD y a la LOPDGDD.

Este pronunciamiento refuerza la aplicación del principio de minimización en el ámbito laboral y delimita con claridad el alcance del derecho de supresión respecto de los datos del currículum vitae. Las empresas no pueden conservar información personal por mera conveniencia organizativa cuando deja de ser necesaria para la relación contractual.

La resolución constituye un recordatorio relevante para los responsables de recursos humanos: la documentación aportada en procesos de selección no se integra automáticamente en un archivo permanente. Su conservación debe revisarse a la luz de la finalidad concreta del tratamiento y del tiempo estrictamente necesario.

En definitiva, la AEPD consolida un criterio garantista para el trabajador, conforme al cual los datos curriculares no necesarios deben suprimirse cuando así se solicita, reforzando el control del interesado sobre su información personal y el deber empresarial de ajustar el tratamiento a los límites impuestos por la normativa de protección de datos.

Resolución de la Agencia Española de Protección de Datos, PD/00015/2025.