Qué no puede verificar una empresa: límites legales del background check

Verificar es confirmar hechos relevantes para una relación laboral o comercial: identidad, capacidad, antecedentes pertinentes al puesto. Discriminar es negar oportunidades con base en características protegidas que nada tienen que ver con el desempeño.

La Constitución y la Ley Federal del Trabajo prohíben la discriminación por origen étnico, género, edad, discapacidad, condición social, religión, estado civil u otras categorías análogas. Una verificación que use esos criterios para decidir no solo es injusta: es ilegal. La prueba de fuego es la pertinencia: el dato que revisas debe tener relación directa con el puesto o la operación.

La LFPDPPP define como sensibles aquellos datos que pueden dar origen a discriminación o afectar la esfera más íntima de la persona: origen racial o étnico, estado de salud, información genética, creencias religiosas, opiniones políticas y preferencia sexual, entre otros.

Estos datos tienen protección reforzada. Como regla, una empresa no debe recabarlos ni usarlos en un proceso de contratación, salvo excepciones muy acotadas y con consentimiento expreso. Pedir un examen de embarazo o indagar la salud sin justificación pertinente al puesto es una práctica que expone a la empresa a sanción.

El principio operativo es de minimización: recaba solo lo necesario para el fin. Todo dato adicional es riesgo, no valor.

Antes de verificar, la persona debe saber que se va a tratar su información, para qué y por quién. Eso se comunica con un aviso de privacidad. Para ciertos datos, además, se requiere consentimiento, que en el caso de datos sensibles debe ser expreso.

El consentimiento no es una casilla decorativa. Es la base que hace lícito el tratamiento. Un proceso que verifica sin informar ni recabar consentimiento parte de un vicio de origen, por muy correcta que sea la información obtenida.

Desde 2025, la autoridad en protección de datos del sector privado es la Secretaría Anticorrupción y Buen Gobierno, tras la desaparición del INAI. Esa Secretaría puede verificar, iniciar procedimientos y sancionar.

Las sanciones por infringir la LFPDPPP pueden alcanzar cientos de miles de veces la Unidad de Medida y Actualización, y se agravan cuando se trata de datos sensibles. A eso se suma el daño reputacional y la eventual responsabilidad laboral por prácticas discriminatorias. Excederse en la verificación cuesta más caro que quedarse corto.

La verificación responsable se apoya en tres reglas. Pertinencia: revisa solo lo que se relaciona con el puesto o la operación. Transparencia: informa mediante aviso de privacidad y recaba consentimiento cuando aplique. Trazabilidad: deja registro de qué consultaste y por qué.

Veredicta fue diseñado con esa lógica. V-BG verifica antecedentes en fuentes oficiales con cobertura México y deja constancia de cada consulta en un expediente digital. Eso te da lo que necesitas para decidir y, al mismo tiempo, la evidencia de que verificaste dentro del marco legal.

Cumplir la ley y proteger a la empresa no se contraponen. Con el proceso correcto, conviertes contratos en control sin cruzar ninguna línea.

El caso más repetido es solicitar información de salud sin relación con el puesto, incluyendo pruebas de embarazo. Es una práctica discriminatoria que involucra datos sensibles y expone a la empresa a sanción y a responsabilidad laboral.

Otro caso es indagar creencias, afiliaciones o preferencias personales que nada aportan al desempeño. También lo es conservar documentación del candidato más allá del fin para el que se recabó, o compartirla con terceros sin base legal. Cada uno de estos excesos parte de confundir verificar con investigar la vida privada.

El patrón común es la falta de pertinencia. Cuando el dato no se relaciona con el puesto, recabarlo deja de ser verificación y se convierte en riesgo. La pregunta de control es siempre la misma: ¿este dato tiene relación directa con la función?

Una verificación que resiste escrutinio cumple varios puntos. Existe un aviso de privacidad entregado antes de recabar datos. Se recaba consentimiento cuando corresponde, y expreso para datos sensibles. Se revisa solo lo pertinente al puesto o a la operación.

Además, los datos se resguardan con medidas de seguridad razonables, se conservan solo el tiempo necesario y se deja constancia de qué consultas se hicieron y por qué. Si tu proceso marca todas esas casillas, verificas con solidez jurídica. Si falla alguna, tienes un flanco abierto.

Pasarse de la línea no es un riesgo abstracto. Las sanciones por infringir la LFPDPPP pueden alcanzar cientos de miles de veces la Unidad de Medida y Actualización, y se agravan cuando hay datos sensibles de por medio. A eso se suma la posible responsabilidad laboral por discriminación.

El daño reputacional cierra la cuenta. Una práctica discriminatoria expuesta afecta la marca empleadora y la confianza de clientes y candidatos. Verificar dentro del marco legal no es solo cumplir: es proteger el activo más difícil de reconstruir, que es la reputación.

Los límites legales no impiden verificar; delimitan cómo hacerlo. Hay información que, con aviso de privacidad y pertinencia al puesto, puedes revisar sin conflicto: la identidad de la persona, la validez de sus documentos oficiales, la consistencia de su historial laboral y sus referencias profesionales.

También puedes revisar antecedentes pertinentes al puesto y coincidencias en listas oficiales cuando la operación lo justifica, así como validar la información académica o profesional que el candidato declara para el rol. La clave es siempre la relación directa con la función.

Visto así, el marco legal no ata de manos a la empresa: le da un carril claro. Dentro de ese carril, la verificación es amplia y sólida. Lo que queda fuera son los datos sensibles sin justificación y las categorías protegidas, precisamente lo que no aporta al desempeño.

La LFPDPPP distingue dos figuras. El responsable es quien decide sobre el tratamiento de los datos, típicamente la empresa que contrata. El encargado es quien los trata por cuenta del responsable, como un proveedor de verificación. Entender esta distinción aclara quién responde por qué.

El responsable no se libera de sus obligaciones por delegar la verificación en un tercero. Debe elegir encargados que ofrezcan garantías de seguridad y cumplimiento, y dejar claras las condiciones del tratamiento. La responsabilidad última frente al titular de los datos sigue siendo suya.

Por eso conviene trabajar con una plataforma que trate los datos con medidas de seguridad sólidas y deje trazabilidad de cada consulta. Esa evidencia respalda al responsable si la autoridad revisa cómo se manejó la información.