Il consenso al trattamento dati nei CV: come gestirlo

“Autorizzo il trattamento dei miei dati personali ai sensi del GDPR”: quasi ogni CV la contiene, ma quella frase da sola non basta e spesso non è nemmeno la cosa giusta di cui preoccuparsi. Vediamo quando il consenso serve davvero, come raccoglierlo correttamente e cosa deve fare l’azienda che riceve i dati.

Nota: contenuto informativo, non consulenza legale. Per la tua situazione specifica, verifica con un professionista o con il tuo DPO.

Il consenso non è sempre la base giusta

Un equivoco diffuso è pensare che serva sempre il consenso del candidato. In realtà:

• Per una candidatura a una posizione aperta, la base giuridica è tipicamente costituita dalle misure precontrattuali (tratti i dati su richiesta del candidato per valutarlo): il consenso non è lo strumento centrale.
• Il consenso diventa rilevante soprattutto per le candidature spontanee e per conservare i CV in vista di future opportunità, oltre la singola selezione.

La frase di autorizzazione che i candidati inseriscono nel CV, di per sé, non sostituisce gli obblighi dell’azienda: è quest’ultima, in quanto titolare, a dover impostare correttamente il trattamento.

Quando il consenso serve, deve essere fatto bene

Se raccogli il consenso, il GDPR chiede che sia:

• Libero — non imposto né condizionato in modo scorretto
• Specifico — riferito a finalità precise (es. conservazione per future opportunità)
• Informato — preceduto da un’informativa chiara
• Inequivocabile — con un’azione positiva (es. una spunta non pre-selezionata), mai per silenzio o caselle già barrate

E deve poter essere revocato con la stessa facilità con cui è stato dato.

L’informativa viene prima del consenso

Non può esserci consenso valido senza informativa. Prima di raccogliere i dati, il candidato deve sapere chi tratta i dati, per quali finalità, per quanto tempo e quali diritti ha. → Il quadro completo: GDPR e dati dei candidati.

Gli errori più comuni

• Affidarsi solo alla frase nel CV e non predisporre informativa e trattamento corretti lato azienda.
• Consenso pre-spuntato o “obbligatorio” per candidarsi: non è un consenso libero.
• Consenso generico che non specifica le finalità.
• Nessuna traccia di quando e per cosa il consenso è stato dato: in caso di verifica, non puoi dimostrarlo.
• Ignorare la revoca: se il candidato ritira il consenso, devi cessare quel trattamento e, se del caso, cancellare i dati.

Raccogli e traccia il consenso in automatico

Gestire consensi e informative a mano, per ogni candidatura, è fragile: si perde traccia di chi ha acconsentito a cosa e quando. Assumi integra l’informativa nel modulo di candidatura e raccoglie il consenso in modo automatico e tracciato, con registro dei trattamenti — così hai sempre la prova della conformità e gestisci con facilità revoche e cancellazioni.

Collegato a: per quanto tempo conservare i CV. Assumi è l’ATS per i team HR delle PMI italiane, oggi in closed beta.