Un curriculum vitae contiene dati personali, informazioni professionali e, talvolta, dettagli che non sono necessari per valutare una candidatura. Per questo la privacy recruiting non può essere trattata come un adempimento secondario: riguarda ogni fase della selezione, dalla ricezione del CV alla cancellazione dei dati.
Un errore nella raccolta, nella conservazione o nella condivisione delle informazioni durante il recruitment process può esporre l’azienda a reclami, sanzioni e perdita di fiducia. Serve una procedura chiara, applicata da HR, responsabili di reparto, direzione e consulente del lavoro. Il primo passaggio consiste nel definire quali dati servono davvero e per quale finalità.
Punti Chiave
- Il trattamento dei dati nel recruiting richiede un’informativa chiara e una base giuridica adeguata, anche nel caso di candidature spontanee.
- È fondamentale applicare il principio di minimizzazione, raccogliendo esclusivamente le informazioni strettamente necessarie per valutare le competenze professionali ed evitando domande discriminatorie.
- L’accesso ai curricula e ai dati dei candidati deve essere limitato per funzione e la conservazione non può essere indefinita, pianificando cancellazione o anonimizzazione alla scadenza.
- L’utilizzo di strumenti di intelligenza artificiale e sistemi automatizzati richiede trasparenza, verifica dei criteri e un controllo umano effettivo.
Privacy recruiting: quali regole deve seguire l’azienda
Il data controller, che sia il datore di lavoro o il soggetto che gestisce la selezione per conto dell’impresa, deve stabilire ruoli, finalità, modalità di trattamento e tempi di conservazione per garantire una corretta data protection. La base normativa principale è il GDPR, insieme alla disciplina italiana in materia di lavoro, controlli e non discriminazione.
Il candidato deve ricevere un’informativa comprensibile, con indicazione almeno di:
- identità e contatti del titolare del trattamento;
- finalità della selezione;
- categorie di dati raccolti;
- soggetti autorizzati ad accedere alle informazioni;
- eventuali responsabili esterni, come piattaforme ATS o agenzie;
- periodo di conservazione o criteri utilizzati per determinarlo;
- data subject rights e modalità per esercitarli.
Per la candidatura ordinaria non è sempre necessario raccogliere un consenso separato. La legal basis deve essere valutata in relazione alla finalità concreta, alla fase della selezione e al tipo di personal data trattati, potendo fare affidamento anche sul legitimate interest dell’azienda. Il consenso diventa invece rilevante quando l’azienda vuole conservare il CV per future opportunità, inserirlo in un talent pool o utilizzarlo per scopi diversi da quelli iniziali, garantendo in ogni momento la possibilità del consent withdrawal.
La gestione di una job application spontanea non elimina gli obblighi informativi. Il Garante ha chiarito che ogni job applicant deve ricevere una chiara recruitment privacy policy, poiché anche la raccolta e l’utilizzo dei curricula ricevuti direttamente dall’azienda, insieme ai relativi dati personali, devono essere accompagnati da informazioni sul trattamento e sui diritti del candidato. Un riferimento utile è rappresentato dalle indicazioni del Garante sui dati personali nel rapporto di lavoro.
Un CV può essere ricevuto senza consenso preventivo, ma non può essere gestito senza una finalità documentata e un’informativa adeguata.
Gestire i CV: raccolta, accessi e tempi di conservazione
Il curriculum vitae dovrebbe essere raccolto attraverso canali aziendali controllati, come una casella HR dedicata, il modulo del sito o una piattaforma di recruiting configurata correttamente. L’invio tramite account personali, gruppi di messaggistica o archivi privi di regole rende difficile controllare chi accede ai dati e per quanto tempo.
L’azienda deve applicare il principio di minimizzazione e la data minimisation nei processi di selezione. Non occorre chiedere informazioni che non incidono sulla valutazione del candidate profile. Stato civile, intenzioni familiari, gravidanza, orientamento religioso, opinioni politiche e condizioni di salute non devono entrare nella selezione ordinaria. Lo stesso vale per fotografie e copie di documenti d’identità, quando non siano realmente necessarie.
L’accesso ai candidate data dovrebbe essere assegnato per funzione. Il responsabile HR può consultare il fascicolo completo della candidatura, mentre un responsabile di reparto dovrebbe ricevere soltanto le informazioni utili a valutare competenze ed esperienza. Chi gestisce il payroll non deve necessariamente accedere a tutti i dati personali presenti nell’archivio.
La conservazione non può essere indefinita. Il GDPR non fissa un unico numero di mesi valido per ogni impresa, ma impone la corretta data retention, conservando i dati solo per il tempo necessario alla finalità dichiarata. Una data privacy policy interna può prevedere, per esempio, una durata definita per la selezione in corso e un periodo distinto per il talent pool, subordinato a una base giuridica adeguata.
Il termine deve essere scritto nell’informativa, applicato nei sistemi e verificato con controlli periodici. Alla scadenza, i dati devono essere cancellati o anonimizzati, comprese le copie nelle cartelle condivise, nelle caselle email e nei backup gestibili. Una procedura lasciata sulla carta non protegge l’azienda.
Colloqui di lavoro e raccolta di informazioni personali
Il colloquio inserito nel selection process deve concentrarsi su mansioni, competenze, esperienza, disponibilità e requisiti collegati alla posizione. Le domande devono avere un rapporto diretto con l’attività da svolgere e con l’organizzazione aziendale.
Chiedere se un job applicant ha figli, se intende averne, oppure se una persona appartiene a una determinata categoria religiosa non aiuta a verificare l’idoneità professionale. Può invece creare un rischio discriminatorio e produrre informazioni eccedenti rispetto alla finalità della selezione, inclusi eventuali personality test non necessari o non giustificati.
Gli appunti del colloquio relativi al candidate profile sono dati personali. Devono essere pertinenti, professionali e privi di giudizi offensivi o riferimenti estranei alla candidatura. Scrivere “profilo non adatto per motivi personali” non è una valutazione documentata. È preferibile indicare la mancata corrispondenza con requisiti oggettivi, come esperienza insufficiente su un software richiesto o disponibilità incompatibile con i turni dichiarati.
La registrazione audio o video non dovrebbe essere automatica. Se l’azienda ritiene indispensabile registrare una video interview, deve valutare finalità, necessità, base giuridica, informativa, accessi e periodo di conservazione. Un candidato deve sapere che la conversazione viene registrata e come sarà utilizzata.
Anche i colloqui svolti tramite piattaforme esterne richiedono attenzione per quanto riguarda il trattamento dei personal data. Occorre verificare dove sono trattati i dati, quali soggetti intervengono e quali garanzie contrattuali, come le standard contractual clauses in caso di international transfer, sono previste. Il fornitore del software non può essere scelto soltanto per la comodità dell’interfaccia.
Dati sensibili, controlli e intelligenza artificiale
Nel recruiting possono emergere dati appartenenti a categorie particolari, per esempio informazioni sulla salute o sull’appartenenza sindacale. La loro raccolta deve essere limitata ai casi previsti dalla legge e collegata a una finalità precisa. Un CV che contiene spontaneamente dati non necessari non autorizza l’azienda a utilizzarli nella valutazione, inclusi i delicati dati personali che potrebbero emergere in modo fortuito.
La stessa cautela riguarda i controlli sui candidati. Pratiche come il pre employment screening e ogni successivo background check devono essere proporzionate, pertinenti e coerenti con l’informativa. Non è corretto trasformare il profilo pubblico, o candidate profile, di una persona in un archivio indiscriminato di informazioni.
L’uso di software di screening automatizzato basato sulla artificial intelligence richiede una verifica ulteriore. L’impresa deve sapere quali dati analizza il sistema, quali criteri applica e se produce effetti rilevanti sulla candidatura. Quando una decisione si affida all’automated decision making, il candidato deve ricevere informazioni adeguate e deve essere previsto un controllo umano effettivo.
Un algoritmo non corregge una procedura sbagliata. Se il modello utilizza criteri discriminatori o dati non pertinenti, l’automazione può amplificare il problema e renderne più difficile l’individuazione.
Una procedura interna per proteggere azienda e candidati
Una gestione ordinata della privacy recruiting richiede responsabilità definite e documenti coerenti. La procedura dovrebbe indicare chi riceve i CV, chi conduce i colloqui, chi autorizza gli accessi e chi verifica le cancellazioni.
È utile organizzare il lavoro in cinque passaggi:
- definire la posizione, i requisiti professionali e i dati realmente necessari per il recruitment process;
- predisporre una recruitment privacy policy aggiornata per candidature spontanee e selezioni mirate, garantendo la corretta data protection;
- autorizzare il personale HR e i responsabili che devono partecipare alla valutazione dei candidate data;
- registrare la decisione del data controller e conservare soltanto la documentazione pertinente;
- programmare cancellazione o anonimizzazione alla scadenza del periodo stabilito.
Il fascicolo della selezione dovrebbe contenere la descrizione della posizione, i CV ricevuti, gli appunti essenziali, le comunicazioni rilevanti e l’esito della candidatura. Non deve trasformarsi in un deposito permanente di email e valutazioni personali.
Quando l’azienda utilizza un ATS, un’agenzia per il lavoro o un servizio di videocolloquio, deve verificare i rapporti tra titolare, responsabile del trattamento e soggetti autorizzati, spesso con il supporto del data protection officer. Servono anche password robuste, autenticazione a più fattori, gestione delle credenziali e procedure avanzate di data security per affrontare un eventuale data breach.
Il supporto del consulente del lavoro nella selezione
La privacy dei candidati si collega alla gestione complessiva del personale e a ogni fase del selection process. Una selezione corretta deve essere coerente con contratto applicato, mansioni, livello di inquadramento, orario e costi del lavoro. Se il CV descrive una figura qualificata, ma la lettera di assunzione e il cedolino riportano un ruolo diverso, l’incongruenza può produrre contestazioni.
Il consulente del lavoro può supportare l’azienda nella predisposizione delle procedure, nella verifica dei documenti, nel coordinamento con il payroll e nell’analisi degli obblighi collegati all’assunzione. Il controllo preventivo è utile soprattutto per PMI che non dispongono di un ufficio HR strutturato.
Studio Trotta, con sede a Roma, affianca aziende e professionisti nella gestione del personale in città, nella provincia e su tutto il territorio nazionale. Il supporto può essere organizzato anche per imprese delle Marche, nelle province di Ancona, Pesaro e Urbino, Macerata, Fermo e Ascoli Piceno, attraverso consulenze in presenza o online. Per conoscere le attività disponibili, è possibile consultare I nostri servizi di consulenza del lavoro.
Privacy recruiting, una responsabilità organizzativa
Gestire CV e colloqui nel rispetto della privacy significa raccogliere meno dati, proteggerli meglio e conservarli soltanto quando esiste una ragione documentata. L’informativa deve corrispondere alla procedura reale, mentre accessi, appunti, software e cancellazioni devono seguire regole verificabili per una corretta data protection.
Il rischio non nasce soltanto da una violazione informatica. Può derivare anche da una domanda impropria durante il colloquio, da un CV inoltrato a destinatari non autorizzati o da un archivio mai sottoposto a pulizia.
Una selezione professionale tutela contemporaneamente l’azienda e il candidato, garantendo la massima sicurezza dei dati personali trattati durante tutto l’iter. Se hai bisogno di verificare la procedura interna o la documentazione utilizzata, puoi Richiedi una consulenza con lo Studio Trotta.
Domande frequenti sulla privacy nel recruiting
Il consenso è sempre necessario per trattare un CV?
No. Per la selezione ordinaria la base giuridica può dipendere dalla gestione della candidatura e dalle attività precontrattuali. Serve però un’informativa chiara. Un consenso distinto può essere necessario per conservare i dati nel talent pool o usarli per finalità ulteriori.
Per quanto tempo l’azienda può conservare un curriculum?
Non esiste un termine unico valido per tutti i casi. L’impresa deve stabilire un periodo proporzionato alla finalità, indicarlo nell’informativa e cancellare o anonimizzare i dati alla scadenza. La durata deve essere motivata e applicata in modo concreto.
È possibile chiedere informazioni sulla salute durante il colloquio?
Nella selezione ordinaria le informazioni sanitarie non sono pertinenti e non devono essere richieste. Eventuali dati collegati a obblighi di legge o alla valutazione dell’idoneità devono essere gestiti nei limiti previsti dalla normativa e dai soggetti competenti.
L’azienda può usare un software per selezionare automaticamente i candidati?
Sì, ma deve verificare criteri, finalità, trasparenza, sicurezza e ruolo del controllo umano. Il candidato deve essere informato quando una decisione viene influenzata da un trattamento automatizzato. Il sistema non deve introdurre criteri discriminatori o utilizzare dati eccedenti.
{
"@context": "https://schema.org",
"@type": "FAQPage",
"mainEntity": [
{
"@type": "Question",
"name": "Il consenso è sempre necessario per trattare un CV?",
"acceptedAnswer": {
"@type": "Answer",
"text": "No. Per la selezione ordinaria la base giuridica dipende dalla finalità e dalla fase della candidatura. Serve comunque un'informativa chiara. Per il talent pool o finalità ulteriori può essere necessario un consenso distinto."
}
},
{
"@type": "Question",
"name": "Per quanto tempo l'azienda può conservare un curriculum?",
"acceptedAnswer": {
"@type": "Answer",
"text": "Non esiste un termine unico per tutti i casi. L'azienda deve stabilire un periodo proporzionato alla finalità, indicarlo nell'informativa e cancellare o anonimizzare i dati alla scadenza."
}
},
{
"@type": "Question",
"name": "È possibile chiedere informazioni sulla salute durante il colloquio?",
"acceptedAnswer": {
"@type": "Answer",
"text": "Nella selezione ordinaria le informazioni sanitarie non sono pertinenti e non devono essere richieste. I dati collegati a obblighi di legge devono essere gestiti nei limiti previsti dalla normativa."
}
},
{
"@type": "Question",
"name": "L'azienda può usare un software per selezionare automaticamente i candidati?",
"acceptedAnswer": {
"@type": "Answer",
"text": "Sì, dopo aver verificato criteri, finalità, trasparenza, sicurezza e controllo umano. Il candidato deve essere informato quando una decisione viene influenzata da un trattamento automatizzato."
}
}
]
}
