Quando uno studio o un’azienda riceve un curriculum spontaneo, deve organizzare informazione, valutazione, accessi e conservazione senza richiedere automaticamente una formula di consenso nel documento. La questione pratica è distinguere l’esame della candidatura da altri utilizzi, come inserimento indefinito in una banca dati, condivisione con soggetti ulteriori o attività non collegate alla selezione.
L’articolo 111-bis del Codice Privacy riguarda i curricula spontaneamente trasmessi: le informazioni dell’articolo 13 sono fornite al primo contatto utile successivo all’invio e, nei limiti delle finalità dell’articolo 6, paragrafo 1, lettera b), GDPR, il consenso per i dati presenti nei CV non è dovuto. La regola non autorizza qualsiasi uso dei dati né elimina gli altri principi del GDPR.
Distinguere candidatura spontanea e procedura organizzata
Descrivete come arriva il CV: email non sollecitata, consegna diretta, modulo di candidatura, risposta a un annuncio o invio tramite un intermediario. La specifica disposizione sui curricula spontanei non deve essere estesa senza esame a tutte le modalità di selezione. Per un modulo progettato dall’organizzazione, l’informazione può essere resa direttamente al momento della raccolta.
Individuate il titolare del trattamento e le funzioni che ricevono la candidatura. Un messaggio inviato al responsabile di reparto può essere inoltrato a HR, mentre un consulente di selezione può operare con un ruolo da valutare nel rapporto concreto. La qualificazione non dipende soltanto dalla denominazione commerciale del servizio.
La guida GDPR alle risorse umane fornisce il contesto generale. Questa procedura deve rispondere a una domanda più precisa: come gestire il CV arrivato senza una raccolta previamente organizzata e come evitare che circoli in archivi non controllati.
Organizzare la ricezione e il primo contatto utile
Definite un punto di ingresso riconoscibile e istruzioni per chi riceve candidature fuori da quel canale. Il personale dovrebbe sapere a chi inoltrare il messaggio e quali copie evitare. Una diffusione del CV a molte caselle «per vedere se interessa» aumenta destinatari e rende difficile applicare una successiva cancellazione.
Preparate l’informazione da fornire al primo contatto utile successivo all’invio, secondo l’articolo 111-bis. Il contenuto deve descrivere titolare, finalità, presupposto, destinatari, conservazione e diritti pertinenti. Non sostituite l’informativa con una richiesta al candidato di aggiungere una frase standard al fondo del documento.
La guida all’informativa privacy aiuta a organizzare gli elementi, ma il testo deve essere specifico per la selezione. Una pagina generica sui visitatori del sito può non descrivere valutazione professionale, colloqui, fornitori e gestione delle candidature non selezionate.
Evitare il consenso come passaggio automatico
Nei limiti richiamati dall’articolo 111-bis, non richiedete il consenso per poter semplicemente esaminare il CV spontaneo. La mancanza della formula «autorizzo il trattamento» non è una ragione automatica per scartare la candidatura. Il presupposto deve essere identificato sulla base della finalità e del contesto, non della presenza di una frase copiata.
Se vengono proposti usi ulteriori, valutateli separatamente. Un archivio per opportunità future, una comunicazione a società diverse o un impiego dei dati per altre attività non devono essere assorbiti indistintamente nella candidatura originaria. Le basi giuridiche dell’articolo 6 e la limitazione delle finalità aiutano a mantenere distinti questi passaggi.
Quando un trattamento richiede una scelta dell’interessato, progettate il processo pertinente e le conseguenze del rifiuto. Evitate una casella unica che copra selezione, conservazione futura e comunicazioni diverse. La procedura deve permettere al candidato di comprendere quale uso sia necessario e quale sia eventuale.
Ridurre dati non pertinenti e informazioni delicate
Il CV può contenere dettagli familiari, foto, documenti identificativi o informazioni sulla salute non necessari alla prima valutazione. Non chiedete di completarli per abitudine. Definite quali informazioni servono per la posizione e in quale fase, considerando eventuali requisiti normativi specifici.
La minimizzazione dei dati può portare a raccogliere documentazione aggiuntiva soltanto quando la candidatura raggiunge una fase pertinente. Un requisito verificabile tramite un esito può non richiedere la conservazione integrale di un documento. La decisione deve essere coerente con l’attività e gli obblighi applicabili.
Per le categorie particolari dell’articolo 9, esaminate condizione e necessità specifiche. Il fatto che il candidato abbia inserito spontaneamente un’informazione non autorizza automaticamente ogni utilizzo. Prevedete istruzioni per non diffondere dettagli non pertinenti ai valutatori che non ne hanno bisogno.
Limitare accessi e copie nella selezione
Indicate chi può consultare il CV e per quale fase. HR, responsabile della posizione e soggetti coinvolti nel colloquio possono necessitare di informazioni differenti. Un archivio aperto a tutti i dirigenti rende difficile dimostrare la pertinenza degli accessi.
La mappatura dei sistemi deve includere caselle email, sistema di selezione, calendari, cartelle condivise e note dei colloqui. Un CV caricato nel sistema centrale può restare anche nelle caselle di chi lo ha ricevuto e nei download dei valutatori.
Per i fornitori, valutate il rapporto dell’articolo 28 quando pertinente e la catena dei servizi utilizzati. Un’integrazione che esporta candidati verso un altro strumento deve essere conosciuta e valutata prima dell’attivazione, non scoperta soltanto quando arriva una richiesta di cancellazione.
Gestire valutazioni e informazioni derivate
Le note del colloquio e i punteggi possono essere dati personali. Scrivete osservazioni pertinenti alla selezione, distinguendo fatti verificati, dichiarazioni e valutazioni. Evitate commenti estranei al ruolo o formule che presentino un’inferenza come una certezza oggettiva.
Il principio di esattezza richiede di considerare fonte e contesto. Se una qualificazione o un’esperienza viene corretta, la modifica deve raggiungere i sistemi che la utilizzano. Una nota sbagliata può continuare a incidere sulla decisione anche dopo l’aggiornamento del CV.
Per sistemi che classificano o selezionano automaticamente i candidati, esaminate il regime delle decisioni automatizzate quando ne ricorrono le condizioni. La presenza di una persona che ratifica l’elenco senza una valutazione effettiva non risolve automaticamente la questione.
Definire conservazione e chiusura
Stabilite una durata motivata per la candidatura e gli eventuali usi ulteriori, tenendo conto della finalità e degli obblighi pertinenti. Il GDPR non fissa un numero unico di mesi valido per ogni CV e ogni organizzazione. Non presentate quindi una durata scelta nel modello come obbligo generale italiano.
Distinguete candidatura attiva, selezione conclusa e conservazione per opportunità successive. Per ciascuna situazione indicate presupposto, informazione e momento di riesame. La presenza di una persona interessante per il futuro non giustifica da sola una conservazione indefinita senza una decisione documentata.
Applicate la regola a copie, allegati e note pertinenti. Se l’organizzazione conserva elementi per una distinta esigenza documentata, delimitateli e limitate gli accessi. La chiusura della posizione nel sistema non dimostra automaticamente la cancellazione di tutti i file collegati.
Esempio di risposta e gestione compilata
In un caso ipotetico, una candidata invia spontaneamente il CV alla casella generale per una posizione amministrativa. Il personale lo inoltra al referente HR autorizzato e non a un gruppo ampio. Al primo contatto utile, HR comunica: «Abbiamo ricevuto la sua candidatura per l’area amministrativa. Le informazioni sul trattamento dei dati nel processo di selezione sono disponibili al collegamento indicato; per richieste relative ai suoi dati può utilizzare il recapito riportato nell’informativa».
La formulazione è un esempio da completare con contenuti e destinazioni reali. Non chiede di reinviare il CV con una formula di consenso e non promette un uso diverso da quello descritto. La scheda interna identifica posizione, destinatari autorizzati, informativa fornita e regola di conservazione scelta dall’organizzazione.
| Voce | Decisione nell’esempio |
|---|---|
| Origine | CV spontaneo ricevuto nella casella generale |
| Finalità | Valutazione per l’area amministrativa indicata |
| Informazione | Fornita nel primo contatto utile |
| Accessi | HR e referente della posizione |
| Copie | Archivio selezione; copie superflue gestite |
| Uso futuro | Da valutare separatamente, senza automatismo |
| Chiusura | Applicazione della regola motivata dell’organizzazione |
Collaudare la procedura con una richiesta di diritti
Utilizzate un candidato di esercitazione e chiedete ai referenti di individuare CV, note e copie. Verificate che il sistema permetta una risposta coerente senza esporre dati di altri candidati. Il diritto di accesso richiede un processo che sappia individuare le informazioni pertinenti, non soltanto il documento originario.
Simulate anche la conclusione della selezione e l’applicazione della conservazione. Se il CV rimane in una casella personale o in un foglio esportato, assegnate la correzione alla causa. La procedura deve raggiungere chi riceve e valuta le candidature, comprese le sostituzioni del personale HR.
Aggiornare il processo quando cambiano strumenti e destinatari
Un nuovo sistema di selezione può introdurre moduli, punteggi, integrazioni o trasferimenti diversi. Rivedete informativa, ruoli e conservazione prima dell’utilizzo con candidati reali. Non presumete che il precedente testo copra automaticamente ogni funzionalità aggiunta dal fornitore.
Conservate una traccia delle decisioni e delle verifiche, senza duplicare inutilmente i CV per dimostrare che il processo esiste. La qualità della procedura si vede quando una candidatura arriva fuori dal percorso previsto: il personale sa dove indirizzarla, quando informare la persona e come limitarne l’uso alla finalità valutata.
Nel collaudo verificate anche che il personale non richieda automaticamente una copia del documento d’identità per ogni comunicazione del candidato. La verifica deve essere adeguata al dubbio effettivo e alla richiesta, utilizzando le informazioni già disponibili quando sufficienti. Un controllo standard eccessivo può introdurre nuovi dati non necessari proprio nel processo destinato a tutelare la persona.