Ogni processo di selezione lascia dietro di sé un archivio: centinaia di curriculum, note dei colloqui, test attitudinali, risultati di verifiche, scambi di messaggi con i candidati. Quasi sempre nessuno lo governa. Eppure la privacy nella selezione del personale è uno degli ambiti in cui l’esposizione dell’azienda è più alta, perché i dati riguardano persone che con l’organizzazione non hanno alcun rapporto e che, non essendo state assunte, hanno pochi motivi per soprassedere.
Chi non viene assunto è l’interessato più esposto
Il dipendente in servizio, di fronte a un trattamento irregolare, ha molte ragioni per non sollevare la questione. Il candidato scartato no. È da qui che nascono numerosi reclami al Garante: una persona che chiede quali dati siano stati raccolti sul suo conto, da dove provengano, per quanto tempo saranno conservati e a chi siano stati comunicati.
Il Regolamento UE 2016/679 riconosce all’interessato il diritto di accesso previsto dall’articolo 15, e impone al titolare, con l’articolo 12, di dare riscontro senza ingiustificato ritardo. Una richiesta di questo tipo, se l’azienda non ha una procedura, mette a nudo nel giro di un mese l’intero impianto: chi ha ricevuto i curriculum, su quale casella di posta, con quali finalità, con quale base giuridica, con quali tempi di conservazione. Lo studio ha trattato il tema nell’articolo dedicato al diritto di accesso ai dati personali.
Privacy nella selezione del personale: l’informativa e la base giuridica
Il primo documento che viene chiesto, in ogni verifica, è l’informativa. Gli articoli 13 e 14 del Regolamento impongono di fornire all’interessato un quadro completo di finalità, base giuridica, destinatari, periodo di conservazione e diritti esercitabili, distinguendo il caso dei dati raccolti direttamente da quello dei dati ottenuti da terzi, come avviene con le società di selezione, i portali di annunci o le segnalazioni.
Sulla base giuridica si commette l’errore più ricorrente: ridurre tutto a un modulo di consenso allegato al curriculum. Il consenso, nel contesto lavorativo, è una base giuridica fragile, per l’asimmetria tra le parti che ne compromette la libertà; e nella fase precontrattuale il Regolamento offre basi diverse e più solide, da individuare e da documentare nel registro dei trattamenti. Un consenso usato come scorciatoia non rafforza la posizione dell’azienda: la indebolisce, perché è revocabile in ogni momento.
Le informazioni che non si possono raccogliere
Oltre alla disciplina sulla protezione dei dati opera un divieto più antico e più netto: l’articolo 8 dello Statuto dei lavoratori, la legge 300 del 1970, vieta al datore di lavoro di svolgere indagini, anche a mezzo di terzi, sulle opinioni politiche, religiose o sindacali del lavoratore, nonché su fatti non rilevanti ai fini della valutazione dell’attitudine professionale. Il Codice in materia di protezione dei dati personali, il decreto legislativo 196 del 2003, richiama espressamente quel divieto all’articolo 113.
Il perimetro, quindi, è duplice: ciò che non è pertinente non si raccoglie, e ciò che rientra nelle categorie particolari dell’articolo 9 del Regolamento — salute, convinzioni, appartenenza sindacale, dati biometrici — richiede una condizione di liceità specifica. Una domanda posta in colloquio, una ricerca sui profili social del candidato, un test che indaga aspetti della personalità non collegati alla mansione: sono tutti punti su cui l’azienda deve poter spiegare perché quell’informazione le serviva.
Il curriculum che resta nel cassetto per anni
La conservazione è il secondo fronte critico. Un curriculum ricevuto per una posizione aperta nel 2021 e ancora presente nelle caselle aziendali nel 2026 è un trattamento in corso, non un residuo. Serve un termine definito, coerente con la finalità, e serve che qualcuno lo applichi davvero: il principio di limitazione della conservazione non ammette archivi che nessuno ripulisce. Il tema è stato approfondito nell’articolo sui tempi di conservazione dei dati personali.
A questo si aggiunge il profilo dei fornitori. Portali di recruiting, software di gestione delle candidature, agenzie per il lavoro, società che somministrano test: ciascuno di questi soggetti tratta dati per conto dell’azienda e va inquadrato con l’atto previsto dall’articolo 28 del Regolamento, come illustrato nell’approfondimento sulla nomina del responsabile del trattamento.
Strumenti automatizzati e nuovi rischi
Chi utilizza sistemi di screening automatico dei curriculum o strumenti di analisi basati su intelligenza artificiale apre un fronte ulteriore: il Regolamento dedica l’articolo 22 ai processi decisionali automatizzati che producono effetti giuridici o incidono in modo analogo sulla persona, e la materia si intreccia con il quadro delineato per i sistemi di intelligenza artificiale, di cui lo studio ha scritto nell’articolo sugli obblighi dell’AI Act per le imprese.
Quanto pesa, in concreto
L’articolo 83 del Regolamento colloca la violazione dei principi, delle condizioni di liceità e dei diritti degli interessati nella fascia sanzionatoria più severa. Accanto alla sanzione restano i poteri correttivi dell’Autorità e, su un piano distinto, le azioni risarcitorie dei candidati. Il costo reale, però, è un altro: un’istruttoria sulla selezione del personale apre il registro dei trattamenti dell’intera area risorse umane, e quasi mai si ferma lì.
Da dove iniziare
Serve guardare ciò che accade davvero: dove arrivano i curriculum, chi vi accede, quali strumenti vengono usati, che cosa viene scritto nelle note dei colloqui, quando e da chi i dati vengono cancellati. Un’informativa impeccabile su un processo che funziona diversamente non protegge nessuno.
Lo studio, con sede a Napoli e attività in tutta Italia, affianca aziende ed enti nella verifica dei trattamenti in ambito risorse umane e nella gestione dei reclami e delle richieste degli interessati. Il punto di partenza è la pagina sulla consulenza e compliance privacy; per un primo contatto si può usare la pagina contatti. Per le selezioni pubbliche e il relativo contenzioso amministrativo il riferimento è avvocatoelioerrichiello.it.
Avv. Elio Errichiello
