Por Leopoldo R. Jacome
Vacantes fantasma, recolección de información personal y la investigación penal que puede comenzar con una denuncia
¿Cuántas veces te has postulado a una vacante y después no pasó absolutamente nada?
Ajustaste el currículum para que coincidiera con el perfil. Llenaste formularios que parecían no terminar nunca. Compartiste tu expectativa salarial, describiste tu trayectoria y respondiste preguntas que, en ocasiones, rozaban la invasión personal.
Después llegó el silencio.
No hubo entrevista. Tampoco una negativa. El reclutador dejó de contestar y la publicación desapareció como si tu información también se hubiera ido al viento.
Muchas veces la explicación será bastante ordinaria: procesos saturados, posiciones canceladas, contrataciones internas o áreas de Recursos Humanos que todavía consideran que desaparecer forma parte de sus competencias profesionales.
Existe otra posibilidad.
Tal vez la vacante nunca estuvo abierta.
El proceso, sin embargo, pudo haber cumplido perfectamente su verdadera función: reunir tus datos.
Desde tu lado, la postulación quedó suspendida en el silencio. Para quien recibió la información, la operación pudo haber sido un éxito.
Un currículum es una identidad dividida en piezas
Dentro de un currículum puede encontrarse el nombre, teléfono, correo electrónico, domicilio, fotografía, edad aproximada, historial académico, experiencia profesional, referencias y relaciones laborales de una persona.
La información crece conforme avanza el supuesto proceso de selección. Algunas organizaciones solicitan CURP, RFC, número de seguridad social, identificaciones oficiales, comprobantes de domicilio, constancias laborales, firmas y datos bancarios antes de que exista siquiera una entrevista formal.
El expediente resultante no es un simple documento de reclutamiento.
Permite identificar, localizar y perfilar a una persona. Combinado con otras fuentes, también puede facilitar suplantaciones, fraudes, extorsiones o ataques dirigidos.
La Ley Federal de Protección de Datos Personales en Posesión de los Particulares define el tratamiento de manera amplia. Incluye prácticamente cualquier operación sobre la información: obtención, registro, organización, conservación, utilización, comunicación, almacenamiento, acceso, aprovechamiento, transferencia o disposición. Recibir un currículum, cargarlo en una plataforma y conservarlo dentro de un sistema corporativo constituyen actos de tratamiento.
Una plataforma de empleo no es territorio neutral.
Publicar una oportunidad laboral tampoco concede a la empresa una facultad irrestricta para tratar la información recibida.
El problema comienza con la finalidad
La primera pregunta jurídica no consiste únicamente en saber qué datos fueron reunidos.
Importa conocer para qué se solicitaron.
Quien entrega su currículum para competir por una plaza concreta no necesariamente autoriza que su información se utilice para medir salarios, identificar perfiles disponibles, entrenar sistemas automatizados, ofrecer servicios comerciales, aparentar crecimiento corporativo o integrar durante años una reserva de candidatos.
El consentimiento se encuentra vinculado con la finalidad informada.
La legislación federal obliga a los responsables a observar los principios de licitud, finalidad, lealtad, consentimiento, calidad, proporcionalidad, información y responsabilidad. También prohíbe obtener o tratar datos mediante medios engañosos o fraudulentos y protege la expectativa razonable de privacidad de la persona titular.
Si una empresa anuncia una posición como disponible, aunque desde el inicio sabe que no pretende contratar a nadie, la voluntad de quienes se postulan se forma sobre una representación falsa.
La información no fue entregada para participar en un estudio de mercado. Nadie aceptó convertirse en insumo de una herramienta de inteligencia empresarial. La persona compartió sus datos porque creyó que existía una posibilidad real de empleo.
Esa diferencia no es retórica.
El tratamiento debe limitarse a las finalidades previstas en el aviso de privacidad. Cuando el responsable pretende utilizar la información con otro propósito, necesita obtener nuevamente el consentimiento. Los datos recabados, además, deben resultar necesarios, adecuados y relevantes para los fines comunicados.
Un aviso de privacidad no funciona como indulgencia plenaria.
La empresa puede colocar veinte páginas de lenguaje corporativo debajo del formulario y seguir ocultando el propósito verdadero de la recolección. La burocracia tiene muchos talentos; convertir una mentira en consentimiento no es uno de ellos.
No todas las vacantes fantasma son iguales
La precisión importa, especialmente cuando se analiza una posible responsabilidad penal.
Una modalidad aparece cuando alguien suplanta a una empresa, agencia o reclutador. Copia logotipos, fabrica perfiles, registra dominios semejantes a los oficiales o dirige a las víctimas hacia formularios que aparentan pertenecer a una organización legítima.
Detrás de esos anuncios pueden existir solicitudes de dinero, documentos, credenciales de acceso o información financiera. También es posible que el objetivo consista en reunir suficientes datos para preparar operaciones posteriores de fraude o suplantación.
Otro escenario se origina dentro de una empresa auténtica.
La organización publica una plaza que no tiene presupuesto, mantiene anuncios de puestos que no pretende cubrir o simula procesos de selección para conocer expectativas salariales, reunir currículums, identificar talento disponible o alimentar bases internas.
Existe una tercera situación bastante menos extraordinaria: la vacante era real, pero fue cancelada, cubierta mediante promoción interna o administrada con una incompetencia casi artística.
El silencio del reclutador puede ser irresponsable. No constituye, por sí mismo, un delito.
La diferencia se encuentra en el engaño, la intención inicial, la forma de obtener la información y el uso posterior de los datos.
Una plaza cancelada durante el proceso no equivale a otra creada desde el principio como instrumento de captación.
El nuevo artículo 231 Bis cambia el análisis
El 22 de julio de 2026 se publicó la adición del artículo 231 Bis al Código Penal para el Distrito Federal. La disposición entra en vigor al día siguiente de su publicación.
El nuevo tipo penal sanciona a quien, mediante engaño digital consistente en la creación o uso de mensajes, páginas electrónicas, dominios, aplicaciones o cualquier interfaz tecnológica que simule ser legítima, induzca a una persona a revelar, capturar o proporcionar datos personales, financieros o de autenticación.
La conducta requiere una finalidad específica: obtener un beneficio indebido para quien la ejecuta o para un tercero, o causar un perjuicio.
La pena prevista es de tres a seis años de prisión y de doscientas a seiscientas unidades de medida y actualización. Puede incrementarse hasta en una mitad cuando la víctima sea una persona con discapacidad, una persona mayor o cuando se afecte a una persona menor de edad.
El artículo no menciona expresamente las vacantes fantasma.
No era indispensable.
Una página clonada puede constituir la interfaz que simula legitimidad. El perfil falso genera confianza, mientras el formulario conduce a la entrega de información. La promesa de empleo explica por qué la víctima proporciona datos que habría protegido en cualquier otro contexto.
El encaje resulta especialmente visible en casos de suplantación empresarial, perfiles apócrifos, dominios falsos o plataformas fabricadas para aparentar un proceso auténtico.
La situación exige más cautela cuando la organización existe y utiliza sus propios canales para anunciar un puesto ficticio. No toda vacante fantasma actualiza automáticamente el artículo 231 Bis. Será necesario analizar si existió el engaño digital previsto por la norma, de qué manera se produjo la inducción y cuál era la finalidad perseguida.
Esa reserva no elimina el riesgo.
Solo evita convertir el derecho penal en una colección de eslóganes, afición bastante popular desde que las redes sociales descubrieron las reformas legislativas.
Una empresa real también puede tratar datos mediante engaño
La autenticidad del logotipo no legitima cualquier conducta.
La legislación federal considera infracciones el tratamiento contrario a sus principios, el cambio sustancial de la finalidad originaria, ciertas transferencias indebidas, la obtención engañosa o fraudulenta y la continuación del uso ilegítimo de la información.
Las sanciones administrativas pueden imponerse sin perjuicio de las responsabilidades civiles o penales que resulten.
Existe, además, un delito federal directamente relacionado con este problema.
El artículo 63 de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares sanciona con prisión de seis meses a cinco años a quien, con el fin de alcanzar un lucro indebido, trate datos personales mediante engaño, aprovechándose del error en que se encuentre la persona titular o quien esté autorizado para transmitirlos.
Esta disposición plantea una ruta de análisis distinta.
El artículo 231 Bis local se concentra en el engaño digital, la apariencia tecnológica de legitimidad y la inducción para revelar información. El delito federal exige tratamiento mediante engaño y una finalidad de lucro indebido.
La selección de la norma aplicable, la competencia y la posible coexistencia de responsabilidades dependerán de los hechos concretos. Una investigación seria debe comenzar por reconstruir la conducta, no por acomodarla a la fuerza dentro del delito que obtuvo más titulares esa semana.
Recursos Humanos podrá llamar “base de talento” al archivo.
La investigación tendrá que averiguar cómo se obtuvo, para qué fue utilizado y quién decidió conservarlo.
Los datos también producen beneficios
Durante años, la oferta falsa de empleo se entendió como una estafa bastante elemental: alguien prometía una contratación, solicitaba un depósito para uniformes, exámenes o trámites y después desaparecía.
La economía de los datos modificó el modelo.
Una base de candidatos puede revelar remuneraciones, disponibilidad, trayectorias, ubicaciones, contactos, especialidades y movimientos dentro de un sector. Esa información puede emplearse para ofrecer servicios de reclutamiento, perfilar mercados laborales, alimentar herramientas automatizadas o realizar campañas dirigidas.
El beneficio no necesariamente aparece como una transferencia inmediata a una cuenta bancaria.
Tampoco cualquier conservación de currículums representa un lucro indebido. Hay procesos legítimos en los que la persona conoce y acepta permanecer dentro de una base para futuras oportunidades.
El conflicto aparece cuando la finalidad verdadera fue ocultada.
Una cosa es preguntar si alguien desea integrar voluntariamente una reserva de talento. Otra muy distinta consiste en inventar una plaza para obtener la misma información sin revelar el propósito.
El primer supuesto puede descansar en un consentimiento informado.
El segundo se parece demasiado a utilizar la necesidad de empleo como mecanismo de extracción.
La persona afectada no tiene que resolver el delito antes de denunciarlo
Quien descubre que sus datos fueron obtenidos mediante una vacante inexistente y terminaron dentro de una base no informada suele creer que todavía no cuenta con elementos suficientes para acudir ante la autoridad.
Desconoce quién ordenó la publicación. No sabe dónde se almacenó la información, cuántas personas accedieron a ella, si fue transferida o cómo terminó aprovechándose.
Precisamente para averiguar eso existe la investigación penal.
El sistema penal acusatorio no exige que la víctima sustituya al Ministerio Público.
El Código Nacional de Procedimientos Penales establece que la investigación inicial comienza con la presentación de la denuncia, la querella u otro requisito equivalente. Una vez que el Ministerio Público conoce la posible existencia de un hecho delictivo, debe dirigir una investigación inmediata, eficiente, exhaustiva, profesional e imparcial, orientada a explorar las líneas necesarias para esclarecerlo.
La investigación tiene por objeto reunir indicios, determinar lo ocurrido y, en su caso, obtener los datos de prueba necesarios para ejercer la acción penal y reclamar la reparación del daño.
Una denuncia no equivale a una sentencia anticipada.
Es la comunicación de hechos que presentan características suficientes para ser investigados.
Cuando una persona advierte que la información entregada exclusivamente durante una candidatura fue incorporada a otra plataforma, compartida con terceros o reutilizada para fines que nunca se le informaron, existe un indicio para poner los hechos en conocimiento de la fiscalía competente.
En lenguaje cotidiano probablemente dirá que le robaron sus datos.
La investigación deberá establecer con precisión si hubo captación engañosa, tratamiento ilícito, transferencia indebida, lucro, beneficio, perjuicio o alguna conducta penalmente relevante.
No corresponde a la persona afectada llegar con toda esa clasificación resuelta.
La denuncia debe identificar al denunciante, narrar circunstanciadamente los hechos y aportar, cuando sea posible, la información disponible sobre quienes intervinieron o tuvieron conocimiento de ellos. También conviene acompañar la publicación, mensajes, correos, formularios, documentos solicitados y cualquier evidencia del uso posterior detectado.
Investigar es tarea de la autoridad.
Documentar lo ocurrido es la mejor forma de impedir que la denuncia sea reducida a una sospecha sin contexto.
La vía penal no sustituye la protección de datos
Presentar una denuncia no impide ejercer los derechos de acceso, rectificación, cancelación y oposición.
La persona titular puede solicitar al responsable que informe qué datos conserva, cuál fue su origen, para qué se utilizan y con quién fueron compartidos. También puede exigir la cancelación cuando la información dejó de ser necesaria u oponerse a determinados tratamientos conforme a la legislación aplicable.
Cuando el responsable no atiende la solicitud o responde de manera insuficiente, la ley contempla un procedimiento de protección de derechos ante la Secretaría Anticorrupción y Buen Gobierno, actual autoridad federal en la materia.
Ambas rutas cumplen funciones diferentes.
La protección de datos busca devolver a la persona control sobre su información y determinar si el responsable incumplió sus obligaciones. El procedimiento penal pretende esclarecer si la captación o utilización actualiza una conducta delictiva e identificar a quienes participaron.
No es necesario elegir una sola puerta cuando los hechos pueden generar responsabilidades distintas.
Lo que una investigación puede encontrar
La falta de respuesta después de una postulación no demuestra por sí misma la existencia de un delito.
El panorama cambia cuando aparecen elementos adicionales.
La empresa puede negar haber publicado la vacante. El dominio utilizado quizá imite su dirección oficial. También es posible que el anuncio permanezca activo durante meses, aunque nadie haya sido contratado, o que el supuesto reclutador solicite documentos innecesarios desde el primer contacto.
Otro indicio aparece cuando la persona comienza a recibir mensajes vinculados con información entregada exclusivamente durante ese proceso. La ausencia de aviso de privacidad, el uso posterior de los datos o la negativa a explicar su destino también merecen atención.
Conviene conservar la publicación original, su dirección electrónica, las fechas, los mensajes, los correos, el formulario y la versión del aviso de privacidad disponible al momento de postularse.
Los archivos originales son preferibles a una colección de capturas aisladas. La evidencia digital tiene la desagradable costumbre de desaparecer justo cuando alguien empieza a preguntar.
Una investigación puede revisar si la plaza tenía autorización y presupuesto, quién ordenó publicarla, qué personas accedieron a los perfiles, si existieron exportaciones o transferencias y cuál fue el destino final de la información.
Las bitácoras de acceso, las comunicaciones internas, los contratos con plataformas y las políticas de conservación dejan de ser simples detalles administrativos cuando ayudan a reconstruir una captación posiblemente engañosa.
La Fiscalía conserva la obligación de investigar y probar. Ninguna empresa tiene que demostrar su inocencia.
Eso no impide que sus propios registros terminen explicando por qué una vacante permaneció abierta, qué se hizo con las candidaturas y quién obtuvo provecho del proceso.
La advertencia que las empresas no deberían ignorar
Publicar una vacante ficticia para obtener información ya no puede analizarse únicamente como una mala práctica de marca empleadora.
Dependiendo de los hechos, la exposición puede abarcar procedimientos de protección de datos, verificaciones administrativas, multas, responsabilidad civil y una investigación penal.
Las agencias externas tampoco funcionan como escudos.
El responsable debe adoptar medidas suficientes para cumplir los principios legales y garantizar que el aviso de privacidad sea respetado por terceros con quienes mantenga una relación jurídica.
Una política seria de reclutamiento necesita explicar quién autorizó la plaza, qué necesidad buscaba cubrir, cuáles datos eran indispensables, dónde fueron almacenados, quién accedió a ellos, cuánto tiempo se conservarán y qué ocurrirá al concluir el proceso.
“Guardamos los perfiles por si surge algo” ya no es una respuesta suficiente.
El “por si acaso” no constituye una finalidad jurídica. Apenas describe la ausencia de controles con una tranquilidad corporativa bastante optimista.
Un currículum continúa vinculado a una persona titular de derechos, aunque permanezca olvidado dentro de un sistema.
La vacante pudo ser ficticia; la recolección no.
Cuando ese rastro llega a una Fiscalía, el silencio del reclutador deja de ser una mala práctica interna y se convierte en una línea de investigación.
Este análisis también está disponible completo en Substack, con el desarrollo jurídico sobre vacantes fantasma, tratamiento de datos personales y las posibles rutas de investigación:
🔗 https://open.substack.com/pub/leopoldorjacome/p/la-vacante-nunca-existio-la-base
Fuente original: LinkedIn.
