GDPR e dati dei candidati: cosa deve sapere una PMI

Ogni CV che ricevi contiene dati personali, e trattarli significa avere degli obblighi precisi previsti dal GDPR. Per una PMI che seleziona senza un ufficio legale dedicato, la buona notizia è che i principi da rispettare sono pochi e chiari. Vediamo cosa deve sapere chi gestisce le candidature.

Nota: questo articolo ha finalità informative e non costituisce consulenza legale. Per la tua situazione specifica, verifica con un professionista o con il tuo DPO.

I dati dei candidati sono dati personali

Nome, contatti, esperienze, formazione: tutto ciò che è in un CV è un dato personale e ricade sotto il GDPR. Alcuni dati possono rientrare nelle categorie particolari (es. informazioni su salute, appartenenza sindacale, foto che rivelano dati sensibili): questi richiedono cautele maggiori e, in generale, non andrebbero richiesti se non necessari.

La base giuridica: perché puoi trattare quei dati

Ogni trattamento ha bisogno di una base giuridica. Nella selezione le più comuni sono:

• Misure precontrattuali — quando il candidato si candida a una posizione aperta, tratti i suoi dati per valutare la candidatura, su sua richiesta.
• Legittimo interesse — in alcuni casi, per la gestione del processo di selezione, bilanciato con i diritti del candidato.
• Consenso — rilevante soprattutto per le candidature spontanee e per conservare i CV in vista di future opportunità.

Il punto pratico: identifica su quale base tratti i dati e sii coerente con quella base. → Approfondisci nel dettaglio: il consenso al trattamento dati nei CV.

L’informativa privacy va data subito

Al momento della raccolta dei dati (candidatura, form, ricezione del CV) devi fornire al candidato un’informativa privacy chiara che spieghi:

• chi tratta i dati (titolare) e come contattarlo
• per quali finalità e su quale base giuridica
• per quanto tempo li conserverai
• i diritti che il candidato può esercitare

Un modulo di candidatura ben fatto include l’informativa e, dove serve, la raccolta del consenso.

I principi da rispettare sempre

• Minimizzazione: raccogli solo i dati che ti servono davvero per valutare la candidatura. Niente domande non pertinenti.
• Limitazione della conservazione: non tenere i CV a tempo indefinito. → Vedi per quanto tempo conservare i CV.
• Sicurezza: proteggi i dati da accessi non autorizzati (niente CV che girano liberamente via email o su fogli condivisi con tutta l’azienda).
• Trasparenza: il candidato deve sapere cosa fai dei suoi dati.

I diritti del candidato

Il candidato può chiederti in ogni momento di accedere ai suoi dati, rettificarli, cancellarli o opporsi al trattamento. Devi essere in grado di rispondere a queste richieste in tempi ragionevoli — il che significa sapere sempre dove si trovano i dati di ciascun candidato.

Il registro dei trattamenti

Molte aziende devono tenere un registro delle attività di trattamento che documenti finalità, categorie di dati, tempi di conservazione e misure di sicurezza. Anche quando non strettamente obbligatorio, è una buona pratica per dimostrare la propria conformità.

Conformità senza complicazioni

Gestire tutto questo con email e fogli Excel è dove nascono i rischi: consensi non tracciati, CV conservati troppo a lungo, dati accessibili a chi non dovrebbe. Assumi gestisce il consenso al trattamento in modo automatico, con informativa integrata nel modulo di candidatura, registro dei trattamenti e dati centralizzati e protetti — così la conformità è integrata nel processo, non un adempimento a parte.

Assumi è l’ATS per i team HR delle PMI italiane, oggi in closed beta.