Puedes tratar de un candidato los datos que resulten necesarios, adecuados y relevantes para evaluar su candidatura a una vacante concreta, siempre que se lo informes en un aviso de privacidad. Lo que no puedes hacer sin consentimiento expreso y por escrito es tratar datos sensibles como salud, origen étnico, creencias u opiniones políticas, y hay información que directamente no puedes exigir, como el certificado de no embarazo.
La base legal es la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) publicada en el Diario Oficial de la Federación el 20 de marzo de 2025, que abrogó la de 2010 conservando nombre y sigla, más la Ley Federal del Trabajo (LFT) en materia de no discriminación. Vamos artículo por artículo, porque en reclutamiento el error caro no es el aviso mal redactado: es el dato que nunca debiste recolectar.
Un candidato no es un contacto B2B
En prospección B2B existe una exclusión conocida: el artículo 5, fracción III, del Reglamento de la LFPDPPP deja fuera de su aplicación los datos de personas físicas que prestan servicios a una empresa, limitados a nombre y apellidos, funciones o puesto y algunos datos laborales como domicilio, dirección electrónica y teléfono. Pero la fracción termina con una condición que casi nadie cita completa: “siempre que esta información sea tratada para fines de representación del empleador o contratista”.
Escribirle a una gerente de operaciones para proponerle un software que su área evalúa encaja en esa representación. Escribirle para ofrecerle otro empleo, no: ahí la tratas como persona, no como representante de su empleador. El sourcing queda fuera de la exclusión desde el primer mensaje, y se aleja más en cuanto construyes un perfil, infieres seniority o asignas un puntaje de encaje. La fracción III cubre un dato de contacto laboral, no un expediente: al producir una inferencia sobre la persona, tratas datos personales con todas las obligaciones de la ley. El marco general está en si es legal el cold email en México.
Fuente pública no significa vía libre
El segundo malentendido: “su perfil es público, entonces puedo usarlo”. El artículo 9, fracción II, sí releva de recabar el consentimiento cuando los datos figuran en fuentes de acceso público. Pero hay que leer dos cosas con precisión.
La primera es qué cuenta como tal. El artículo 2, fracción X, la define como bases de datos, sistemas o archivos que por disposición de ley puedan consultarse públicamente, y agrega algo que la ley de 2010 no decía: “No se considerará fuente de acceso público cuando la información contenida en la misma sea obtenida o tenga una procedencia ilícita”. El artículo 7 del Reglamento enumera los medios electrónicos cuyo sitio “esté concebido para facilitar información al público”, los directorios telefónicos, los diarios oficiales y los medios de comunicación social. Una base comprada con origen desconocido no entra en ninguna categoría.
La segunda casi nadie la explica: la excepción del artículo 9 aplica al consentimiento, no al deber de informar. Son obligaciones distintas, en artículos distintos. El deber de informar vive en los artículos 14 a 17, y el 17 gobierna tu caso: cuando los datos no se obtuvieron directamente de la persona titular, tienes que darle a conocer el aviso, con medidas compensatorias en términos del Reglamento si la comunicación directa resulta imposible o desproporcionada. Aunque tu base de sourcing califique como fuente pública y no necesites consentimiento previo, sigues teniendo que poner el aviso a disposición del candidato en el primer contacto.
Qué datos sí, con criterio de necesidad
El artículo 12 fija el estándar: el tratamiento debe ser “necesario, adecuado y relevante en relación con las finalidades previstas en el aviso de privacidad”. La pregunta no es si el dato es útil, es si es necesario para decidir sobre esa vacante.
Encaja con naturalidad: nombre, contacto, historial laboral y formación, competencias y certificaciones, pretensión salarial, disponibilidad, referencias profesionales que la persona proporciona y resultados de una prueba técnica ligada al puesto. Encaja mal, salvo justificación documentada: estado civil, número de hijos, fotografía en la solicitud inicial y edad exacta cuando basta confirmar mayoría de edad.
Una categoría merece mención aparte: el artículo 7, quinto párrafo, exige consentimiento expreso para datos financieros o patrimoniales. Una consulta de historial crediticio no es un dato más del expediente.
Qué datos exigen consentimiento expreso y por escrito
El artículo 2, fracción VI, define datos personales sensibles como los que afectan la esfera más íntima o cuya utilización indebida pueda dar origen a discriminación o conllevar un riesgo grave. La lista es “enunciativa mas no limitativa” e incluye origen racial o étnico, estado de salud presente o futuro, información genética, creencias religiosas, filosóficas y morales, opiniones políticas y preferencia sexual.
Para tratarlos, el artículo 8 exige consentimiento expreso y por escrito, mediante firma autógrafa, firma electrónica o un mecanismo de autenticación equivalente. Su segundo párrafo agrega una prohibición que se pasa por alto: no pueden crearse bases de datos con datos sensibles “sin que se justifique la creación de las mismas para finalidades legítimas, concretas y acordes con las actividades o fines explícitos” de la organización. Crear un campo de salud en tu ATS “por si acaso” es justo lo que ese párrafo prohíbe, y el artículo 58, fracción XVIII, lo tipifica, con el rango de multa de 200 a 320,000 veces la UMA del artículo 59, fracción III, incrementable hasta por dos veces tratándose de sensibles. Además, el artículo 12 pide “esfuerzos razonables para limitar el periodo de tratamiento” de esos datos al mínimo indispensable.
Lo que la ley laboral prohíbe pedir, aunque el candidato acepte
El consentimiento no lava una práctica discriminatoria. La LFT lo cierra por otro lado:
- Artículo 133, fracción I: prohibido negarse a aceptar trabajadores por razón de origen étnico o nacional, género, edad, discapacidad, condición social, condiciones de salud, religión, opiniones, preferencias sexuales, estado civil “o cualquier otro criterio que pueda dar lugar a un acto discriminatorio”.
- Artículo 133, fracción XIV: prohibido exigir certificados médicos de no embarazo para el ingreso, permanencia o ascenso en el empleo.
- Artículo 3o., segundo párrafo: no pueden establecerse condiciones discriminatorias por esos mismos motivos, incluida la condición migratoria.
El mismo artículo 3o. deja abierta la puerta legítima en su tercer párrafo: “No se considerarán discriminatorias las distinciones, exclusiones o preferencias que se sustenten en las calificaciones particulares que exija una labor determinada”. Ese es el estándar. Si un requisito de salud es indispensable para el puesto, documenta por qué, limítalo a lo mínimo y trátalo con el régimen de datos sensibles; si no puedes explicarlo en una línea, no lo pidas. Sobre antecedentes penales, la ley de datos no los nombra entre los sensibles, pero esa lista es enunciativa mas no limitativa y el riesgo de discriminación es evidente: lo prudente es aplicarles el estándar más alto.
El aviso de privacidad del proceso de selección
Tu aviso de candidatos no es el de clientes. Necesita el contenido mínimo del artículo 15: identidad y domicilio; los datos que tratarás identificando cuáles son sensibles; las finalidades distinguiendo cuáles requieren consentimiento; las opciones para limitar uso o divulgación; los mecanismos para ejercer derechos ARCO; y el procedimiento para comunicar cambios. Omitir alguno está tipificado en el artículo 58, fracción V.
Y dos momentos concretos: en el formulario de vacante hay captación electrónica, así que aplica el artículo 16, fracción II (aviso simplificado con las fracciones I a IV del artículo 15 y enlace al integral); en el sourcing, datos no obtenidos del titular, artículo 17. Los detalles de redacción están en nuestra guía sobre qué exige la LFPDPPP 2025 en el aviso de privacidad y en nuestro aviso de privacidad para México.
Banco de talento: es otra finalidad, no una prórroga
Guardar el currículum de quien no quedó para futuras vacantes es una finalidad distinta de evaluarlo para la vacante a la que aplicó. El artículo 11 lo cierra: si pretendes tratar los datos para una finalidad distinta a las del aviso, “se requerirá obtener nuevamente el consentimiento”. La ley abrogada de 2010 permitía apoyarse en finalidades análogas; esa salida ya no existe.
En la práctica: declara el banco de talento como finalidad separada, ofrece un mecanismo para limitarla y fija un plazo de conservación con criterio. Cuando el candidato pide cancelación, el artículo 24 aplica con periodo de bloqueo previo a la supresión, como detallamos en nuestra guía de derechos ARCO.
Evaluaciones automatizadas, scoring y filtros de IA
Aquí la ley de 2025 es más explícita que la anterior, y toca justo lo que hace el software de reclutamiento. El artículo 26, fracción II, da derecho a oponerse cuando los datos sean objeto de un tratamiento automatizado que afecte de manera significativa los intereses, derechos o libertades de la persona y esté destinado a evaluar sin intervención humana o a “analizar o predecir, en particular, su rendimiento profesional, situación económica, estado de salud, preferencias sexuales, fiabilidad o comportamiento”. La ley nombra el rendimiento profesional de forma literal.
El artículo 112 del Reglamento agrega el deber operativo: cuando se traten datos como parte de una decisión “sin que intervenga la valoración de una persona física”, hay que informar al titular que esto ocurre, y este puede acceder a los datos usados, rectificarlos y solicitar la reconsideración de la decisión.
Tres consecuencias prácticas: declara en el aviso qué componentes son automatizados; mantén intervención humana real en el descarte, no un sello; y conserva trazabilidad de qué datos alimentaron cada resultado. Sobre el alcance real de estas herramientas, vale la pena leer qué mide de verdad una prueba psicométrica antes de apoyar una contratación en un número.
Mandar la terna al cliente es una transferencia
Para una agencia o un headhunter, este es el punto de mayor exposición. El artículo 2, fracción XX, define transferencia como toda comunicación de datos personales a persona distinta de la titular, del responsable o de la persona encargada. La distinción importa: una persona encargada trata los datos por cuenta tuya (fracción XII), mientras que el cliente que recibe la terna decide por sí mismo. Es un tercero receptor, y eso es una transferencia.
El artículo 35 exige comunicarle el aviso de privacidad y las finalidades a las que la persona sujetó el tratamiento, e incluir en el aviso “una cláusula en la que se indique si la persona titular acepta o no la transferencia de sus datos”. El tercero receptor asume las mismas obligaciones que quien transfirió. El artículo 36 lista los supuestos de transferencia sin consentimiento, y el artículo 69 del Reglamento coloca la carga de la prueba en ambas partes.
Las sanciones están en el rango alto: el artículo 58 castiga transferir sin comunicar al tercero el aviso con sus limitaciones (fracción X), fuera de los casos permitidos (XII) y sin consentimiento expreso cuando sea exigible (XIII).
Si se filtra tu base de candidatos
El artículo 19 obliga a informar de forma inmediata a la persona titular las vulneraciones que afecten de forma significativa sus derechos patrimoniales o morales, y los artículos 63 a 66 del Reglamento fijan el contenido mínimo de ese aviso. Conviene decirlo claro porque circula mucha desinformación: la ley no obliga a notificar la brecha a la autoridad ni fija un plazo en días para hacerlo, y el catálogo del artículo 58 no sanciona esa omisión.
Checklist para revisar tu proceso
- ¿Tu aviso de candidatos enumera los datos que tratas e identifica los sensibles? Artículo 15, fracción II.
- ¿El portal de vacantes muestra aviso simplificado con enlace al integral, y el primer mensaje de sourcing enlaza el aviso? Artículos 16, fracción II, y 17.
- ¿El banco de talento aparece como finalidad separada? Artículo 11.
- ¿Hay algún campo de salud, embarazo, religión u opiniones en tu ATS? Artículos 8 y 12, y artículo 133 de la LFT.
- ¿Declaras los componentes automatizados y permites reconsideración? Artículo 26, fracción II, y artículo 112 del Reglamento.
- ¿Tu contrato con el cliente refleja quién es responsable y quién encargado? Artículo 2, fracciones XII y XX, y artículo 35.
- ¿Puedes responder un acceso o una cancelación en veinte más quince días hábiles? Artículo 31.
Esto es información general y no asesoría legal: conviene revisar tu caso con un abogado especializado en protección de datos en México.
Lo que no pudimos verificar
No localizamos publicado por la Secretaría Anticorrupción y Buen Gobierno un canal oficial para que un candidato presente su solicitud contra una empresa privada, así que preferimos no publicar un contacto sin confirmar. Tampoco encontramos criterio administrativo sobre reclutamiento bajo la ley vigente: el análisis se apoya en el texto de la ley, el Reglamento de 2011 y la LFT.
Cómo lo vemos en Growly
Cumplir depende de responder tres preguntas sobre cada candidato: de dónde salió, para qué finalidad lo tienes y quién más vio su expediente. Growly Hire está construido para que esas respuestas existan sin trabajo extra: el origen y la finalidad viajan con el registro, el consentimiento queda documentado y lo que se comparte con un cliente se registra como lo que es, una transferencia. Puedes ver cómo lo trabajamos con agencias de staffing, y nuestra postura en soberanía de tus datos y en la página de confianza.