La regla de oro, según explica Validato, es no hacerlo nunca sin consentimiento: llamar a un antiguo empleador para preguntar por un candidato sin que este lo sepa y haya dado su conformidad expresa no es solo una descortesía, sino una comunicación ilícita de datos personales a un tercero y una vulneración del derecho a la intimidad del candidato. Es el propio candidato quien debe facilitar la persona de contacto y autorizar expresamente la llamada.

Para Validato, no basta con una autorización genérica y ambigua: el consentimiento debe ser libre, específico, informado e inequívoco, tal como exige el RGPD, y es recomendable documentarlo, especificando qué antiguos empleadores pueden contactarse, con qué finalidad y durante cuánto tiempo se conservará la información obtenida. Una vez autorizada, la conversación con el antiguo responsable debe limitarse, según la compañía, al desempeño y comportamiento profesional del candidato: cómo se integró en el equipo, si alcanzó los objetivos marcados o cuáles fueron sus principales responsabilidades.

Validato advierte de que las preguntas sobre salud, planificación familiar, ideología política, afiliación sindical o vida privada no están permitidas en ninguna circunstancia. Además de vulnerar la intimidad del antiguo empleado, recabar este tipo de datos, categorías especiales según el artículo 9 del RGPD, en un proceso de selección puede constituir, según la compañía, una infracción muy grave por discriminación. Usada de forma consentida y acotada al ámbito profesional, la comprobación de referencias resulta especialmente útil para aclarar incongruencias del currículum, como lagunas en el historial laboral o discrepancias entre el cargo declarado por el candidato y las responsabilidades que realmente ejerció.

«La comprobación de referencias es probablemente el paso más valioso de un background check, pero también el que más fácilmente se convierte en un problema legal si se hace sin el consentimiento expreso del candidato», explica André Naef, CEO de Validato. Validato ayuda a empresas en España y a nivel internacional a diseñar procesos de verificación de referencias conformes con el RGPD, con una plataforma de background checks que combina módulos seleccionables individualmente, certificación ISO 27001 y procesos documentados y defendibles.