Una escena hipotética y una ventana de treinta días

Imaginemos una situación hipotética, aunque reconocible para muchas áreas de Recursos Humanos en México. Una empresa industrial de Monterrey encarga a un headhunter la búsqueda de un gerente de compras. La firma presenta una terna, la empresa entrevista, elige y contrata. Ocho meses después, durante una auditoría interna, alguien intenta confirmar la cédula profesional que figura en el expediente y no la encuentra. La empresa pregunta al headhunter si verificó estudios; el headhunter responde que su mandato era evaluar competencias y ajuste al puesto. Ambas partes creen, de buena fe, que hicieron su parte. Nadie había escrito cuál era.

La escena importa por un dato concreto de la Ley Federal del Trabajo (LFT). Su artículo 47, fracción I, permite rescindir la relación sin responsabilidad para el patrón cuando el trabajador, o el sindicato que lo hubiese propuesto o recomendado, lo engañó con certificados falsos o referencias que le atribuyan capacidades de que carece. Pero la misma fracción aclara que esa causal deja de tener efecto después de treinta días de prestar servicios. La ley, en otras palabras, coloca la verificación de credenciales al inicio de la relación, no meses después. Y cuando la selección se terceriza, ese inicio queda repartido entre dos organizaciones que no siempre se dijeron qué revisaría cada una.


Lo que la LFT dice de las agencias y lo que no dice

Desde la reforma publicada en el Diario Oficial de la Federación el 23 de abril de 2021, el artículo 12 de la LFT prohíbe la subcontratación de personal y, en su segundo párrafo, reconoce expresamente a las agencias de empleo o intermediarios que intervienen en el proceso de contratación: pueden participar en el reclutamiento, la selección, el entrenamiento y la capacitación, y no se consideran patrones, porque ese carácter lo tiene quien se beneficia de los servicios. La misma reforma derogó los artículos 15-A a 15-D, que regulaban el antiguo régimen de subcontratación, y trasladó el tema de los servicios especializados a los artículos 13 a 15 y al registro conocido como REPSE, un asunto distinto que no es objeto de este texto.


La consecuencia práctica es nítida. Un headhunter o una consultora de selección que entrega un candidato no se convierte en empleador de esa persona; la empresa que la contrata sí lo es, con todas sus obligaciones. El artículo 12 resuelve quién es el patrón. No resuelve, ni pretende resolver, quién debe comprobar que la persona es quien dice ser, que estudió lo que declara o que trabajó donde afirma. Esa pregunta queda fuera del texto legal y, por lo tanto, dentro del contrato entre las partes.


El reglamento que sí regula a las agencias de colocación

México cuenta además con el Reglamento de Agencias de Colocación de Trabajadores, publicado en el DOF el 3 de marzo de 2006 y reformado por última vez el 21 de mayo de 2014. Define como servicio de colocación el conjunto de acciones orientadas principalmente al reclutamiento y la selección de personal y a la vinculación entre buscadores de empleo y empleadores. Distingue entre agencias con fines lucrativos, que requieren autorización y registro previos de la Secretaría del Trabajo y Previsión Social (STPS), con una vigencia de cinco años renovable, y agencias sin fines lucrativos, que solo deben dar aviso de su constitución e inicio de operaciones.

El reglamento establece que el servicio debe ser gratuito para quien busca empleo: prohíbe cobrarle de manera directa o indirecta y descontar honorarios de su salario. Prohíbe distinguir entre solicitantes por origen étnico o nacional, género, edad, discapacidad o embarazo, entre otros motivos, salvo cuando se trate de conocimientos o aptitudes que el puesto realmente requiere. Y, tras la reforma de 2014, obliga a las agencias a proteger los datos personales de los solicitantes, poner a su disposición un aviso de privacidad y responder por el mal uso de la información que reciben; también les impide retener documentos personales. La vigilancia corresponde a la Inspección Federal del Trabajo, que puede imponer multas, suspender o revocar la autorización.

Es un marco relevante y poco citado en las conversaciones de compras de servicios de reclutamiento. Antes de contratar a una agencia con fines lucrativos, la empresa usuaria puede preguntar si cuenta con autorización vigente de la STPS. Pero el reglamento, igual que la LFT, se ocupa de proteger al buscador de empleo y de ordenar la actividad de colocación, no de definir qué profundidad de verificación debe aplicarse a cada candidato.


La consultora como encargada de datos personales

Donde la ley sí traza una línea de responsabilidad clara es en los datos personales. La nueva Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP), publicada en el DOF el 20 de marzo de 2025, define en su artículo 2, fracción XII, a la persona encargada como quien trata datos personales por cuenta del responsable. Cuando una empresa encarga una búsqueda y la consultora recaba currículums, referencias o resultados de evaluaciones para ese proceso, la consultora actúa normalmente como encargada y la empresa como responsable. El artículo 18 obliga al responsable a mantener medidas de seguridad administrativas, técnicas y físicas, y el artículo 35 distingue las transferencias a terceros de la comunicación con la persona encargada. La autoridad competente es hoy la Secretaría Anticorrupción y Buen Gobierno.


La nueva ley no desarrolla con detalle la relación entre responsable y encargado. Ese desarrollo sigue en el Reglamento de 2011, que, según la información pública disponible a la fecha, continúa como referencia supletoria en lo que no contradiga la nueva ley mientras se publica uno actualizado. Su artículo 50 obliga al encargado a tratar los datos solo conforme a las instrucciones del responsable, a no usarlos para otras finalidades, a guardar confidencialidad y a suprimirlos al terminar la relación. Su artículo 53 añade que, si el encargado usa los datos para una finalidad distinta a la autorizada, asume las obligaciones de responsable. El matiz es útil: si una consultora incorpora a los candidatos de una búsqueda a su propia base para ofrecerlos a otros clientes, ya no actúa solo por cuenta de la empresa y debe sostener esa finalidad con su propio aviso de privacidad. Delegar la búsqueda, en suma, no delega la responsabilidad sobre los datos de las personas evaluadas.


Proporcionalidad: qué se verifica, quién lo verifica y dónde consta

En la práctica mexicana, la tercerización de la selección convive con frases conocidas: "viene recomendado por el headhunter", "la consultora es de toda la confianza", "siempre se ha hecho así". Ninguna es necesariamente falsa, y la mayoría de las firmas de reclutamiento trabajan con seriedad. El riesgo no está en la confianza, sino en que cada parte suponga que la otra cubrió la verificación. La consultora entiende que su encargo era evaluar idoneidad; la empresa entiende que eso incluía comprobar estudios, empleos anteriores y referencias.


Human Risk Management, entendido como la gestión estructurada de los riesgos asociados a personas, funciones y accesos, y no como desconfianza hacia cada búsqueda externa, ofrece un criterio sencillo: la profundidad de la verificación debe ser proporcional al riesgo y al acceso del puesto, y ese alcance debe constar por escrito en el acuerdo de servicios. No es lo mismo cubrir una vacante administrativa sin acceso a información sensible que una posición con firma sobre pagos, datos de clientes o decisiones de cumplimiento. La proporcionalidad tiene además respaldo legal: el artículo 5 de la LFPDPPP la incluye entre los principios del tratamiento, lo que también pone un límite a pedir información que el puesto no justifica.


"Tercerizar la búsqueda es razonable; lo que no conviene tercerizar sin decirlo es el criterio de riesgo. Si el contrato no dice qué se verificó y con qué alcance, la empresa contrata a una persona y una suposición al mismo tiempo", señala Guido Schenone, Comercial & Growth Manager de Validato. Validato, compañía especializada en Background Screening y Human Risk Management con presencia en México, describe sus procesos como estructurados en función del rol y el nivel de riesgo de cada posición, sin que esto implique que garantice el cumplimiento de ninguna empresa ni que tenga relación con los procesos o actores mencionados en este artículo.


La pregunta que conviene dejar por escrito

La legislación mexicana resolvió con claridad quién es el patrón cuando interviene un intermediario de reclutamiento, ordenó la actividad de las agencias de colocación y fijó quién responde por los datos personales de los candidatos. Lo que dejó, con razón, en manos de cada organización es la definición de qué se verifica de la persona antes de que entre. Con una causal de rescisión que se apaga a los treinta días, esa definición no puede quedar en el aire. Para Recursos Humanos, Compliance, Legal y Seguridad, la pregunta útil no es si el headhunter es confiable, sino si alguien puede mostrar, por escrito, qué se comprobó de quien hoy ocupa el puesto y quién lo comprobó.


Fuentes y marco normativo consultado

  1. Cámara de Diputados, Ley Federal del Trabajo, texto vigente con última reforma publicada en el DOF el 14 de mayo de 2026: art. 12 (prohibición de subcontratación de personal; agencias de empleo o intermediarios no se consideran patrones), arts. 13 a 15 (servicios especializados, contrato escrito, responsabilidad solidaria, registro ante la STPS), arts. 15-A a 15-D (derogados por la reforma publicada en el DOF el 23 de abril de 2021) y art. 47, fracción I (certificados falsos; la causal deja de tener efecto después de treinta días); https://www.diputados.gob.mx/LeyesBiblio/pdf/LFT.pdf
  2. Reglamento de Agencias de Colocación de Trabajadores, publicado en el DOF el 3 de marzo de 2006, última reforma del 21 de mayo de 2014: arts. 2 (definiciones), 4, 19, 20 y 27 (autorización, registro y aviso ante la STPS), 5 y 10 (gratuidad para el buscador de empleo), 6 (no discriminación), 11 (protección de datos y aviso de privacidad) y 30 a 35 Bis (inspección y sanciones); https://tabasco.gob.mx/leyes/federales/reglamento/pdf/1384
  3. Cámara de Diputados, Ley Federal de Protección de Datos Personales en Posesión de los Particulares, publicada en el DOF el 20 de marzo de 2025: arts. 2, fracción XII (persona encargada), 5 (principios, incluida la proporcionalidad), 18 (medidas de seguridad) y 35 (transferencias a terceros distintos de la persona encargada); https://www.diputados.gob.mx/LeyesBiblio/pdf/LFPDPPP.pdf
  4. Reglamento de la LFPDPPP (2011), arts. 50 (obligaciones del encargado) y 53 (remisiones y supuestos en que el encargado asume obligaciones de responsable), referencia supletoria mientras se publica un reglamento actualizado; https://mley.mx/Reg_LFPDPPP/articulo/50/
  5. Validato, descripción de servicios de Background Screening y Human Risk Management con presencia en México; https://validato.ch/mx-es/