Articolo a cura di: Redazione - Studio Legale Calvello

Ricevere curriculum via email, attraverso il sito aziendale o direttamente dai candidati è un’attività ordinaria per molte imprese. Spesso, però, i CV vengono inoltrati ai responsabili di reparto, salvati in cartelle condivise e conservati anche dopo la conclusione delle selezioni, senza che siano state definite regole precise. Il GDPR si applica ai dati personali contenuti nei curriculum fin dal momento della loro ricezione, anche quando la candidatura è spontanea e l’azienda non sta cercando personale.

Per il datore di lavoro il problema non consiste soltanto nel predisporre un’informativa privacy. Occorre individuare una base giuridica appropriata, limitare l’accesso ai dati, stabilire tempi di conservazione giustificabili e assicurare che i curriculum non vengano utilizzati per finalità incompatibili con quelle originarie. Una gestione disordinata può esporre l’impresa a reclami, contestazioni e responsabilità. Quando gli archivi sono numerosi, i CV provengono da canali differenti o vengono utilizzati software di recruiting, può essere opportuno sottoporre l’intero processo a una verifica professionale.

Curriculum ricevuti in azienda: quali obblighi privacy scattano e come gestire le candidature spontanee

Il curriculum contiene normalmente informazioni identificative, recapiti, esperienze lavorative, titoli di studio e competenze professionali. Può comprendere anche fotografie, dati relativi alla salute, appartenenza a categorie protette o altre informazioni particolarmente delicate. La ricezione di un CV costituisce già un trattamento di dati personali ai sensi dell’articolo 4 del Regolamento (UE) 2016/679, indipendentemente dal fatto che il documento venga successivamente esaminato o che il candidato sia convocato per un colloquio.

L’azienda che decide le finalità e le modalità della selezione opera normalmente come titolare del trattamento. Deve quindi rispettare i principi dell’articolo 5 GDPR, in particolare liceità, correttezza, trasparenza, minimizzazione, limitazione delle finalità, limitazione della conservazione e sicurezza. Questi obblighi riguardano anche le piccole imprese prive di un ufficio risorse umane strutturato: il fatto che sia direttamente l’imprenditore a ricevere e valutare le candidature non esclude l’applicazione della normativa.

Una questione ricorrente riguarda i curriculum ricevuti senza consenso privacy o privi della tradizionale dicitura di autorizzazione al trattamento dei dati personali. La mancanza di quella formula non rende automaticamente inutilizzabile il documento. L’articolo 111-bis del D.Lgs. 196/2003 stabilisce che, nei casi di ricezione dei curriculum spontaneamente trasmessi dagli interessati ai fini dell’eventuale instaurazione di un rapporto di lavoro, il consenso al trattamento dei dati personali presenti nel CV non è dovuto. La norma prevede anche che l’informativa venga fornita al momento del primo contatto utile successivo all’invio.

Questo non significa che ogni utilizzo del curriculum sia liberamente consentito. Per le attività ordinarie di selezione, il trattamento può fondarsi, secondo le circostanze, sull’esecuzione di misure precontrattuali richieste dall’interessato ai sensi dell’articolo 6, paragrafo 1, lettera b), GDPR. Per ulteriori trattamenti occorre verificare la finalità concreta e individuare la base giuridica appropriata. I dati appartenenti alle categorie particolari previste dall’articolo 9 richiedono una specifica condizione di liceità e non possono essere trattati indiscriminatamente solo perché il candidato li ha inseriti nel documento.

Le candidature spontanee, quelle presentate in risposta a un annuncio e quelle ricevute attraverso un intermediario possono richiedere modalità informative differenti. Un’impresa che raccoglie curriculum tramite la pagina “Lavora con noi” dovrebbe rendere disponibile un’informativa pertinente già durante l’invio della candidatura. Quando i dati provengono da soggetti terzi, occorre verificare anche gli obblighi informativi dell’articolo 14 GDPR, tenendo conto delle condizioni e delle eventuali eccezioni previste dalla norma.

Il primo intervento organizzativo consiste quindi nell’individuare tutti i canali attraverso i quali entrano i curriculum: caselle email generiche, indirizzi personali dei responsabili, moduli online, portali di lavoro e agenzie di selezione. Senza questa ricognizione, l’azienda rischia di predisporre documenti privacy formalmente corretti ma incapaci di descrivere ciò che avviene realmente nella gestione delle candidature.

Come organizzare la raccolta, l’accesso e l’archiviazione dei curriculum nel rispetto del GDPR

Una volta ricevuto il curriculum, l’impresa deve stabilire chi possa consultarlo, dove venga conservato e per quali attività possa essere utilizzato. Nella pratica, una delle criticità più frequenti è la dispersione dei documenti tra posta elettronica, computer individuali e cartelle condivise. Il responsabile HR può archiviare il CV nel gestionale aziendale mentre il direttore di reparto ne conserva una copia nella propria casella email. Quando la selezione termina, entrambe le copie possono rimanere disponibili senza un controllo effettivo.

L’accesso ai curriculum dovrebbe essere limitato alle persone che ne hanno necessità per svolgere le attività di selezione. Non è sufficiente che un dipendente appartenga all’organizzazione aziendale per poter consultare indistintamente tutte le candidature. L’impresa deve definire autorizzazioni, istruzioni operative e misure di sicurezza proporzionate al trattamento, secondo gli articoli 29 e 32 GDPR e la disciplina nazionale applicabile.

Una procedura interna dovrebbe disciplinare la ricezione dei CV, la loro registrazione nei sistemi utilizzati, l’eventuale trasmissione ai responsabili coinvolti nella selezione e la gestione delle copie. Deve anche prevedere cosa accade quando un dipendente cambia mansione, lascia l’azienda oppure perde la necessità di accedere all’archivio. Per una piccola impresa può essere sufficiente un sistema organizzativo semplice; per una società che gestisce centinaia di candidature attraverso più sedi può risultare necessario un sistema centralizzato con permessi differenziati e tracciamento degli accessi.

L’utilizzo di piattaforme di recruiting, software ATS e servizi cloud richiede ulteriori verifiche. Quando il fornitore tratta i dati per conto dell’azienda, occorre disciplinare il rapporto mediante un contratto conforme all’articolo 28 GDPR, verificando le istruzioni impartite, le misure di sicurezza, il ricorso a sub-responsabili e le condizioni di eventuali trasferimenti verso Paesi terzi. La semplice presenza di una dichiarazione di conformità GDPR sul sito del fornitore non sostituisce queste valutazioni.

Particolare attenzione meritano anche le attività svolte tramite strumenti di intelligenza artificiale. Caricare curriculum su servizi esterni per ottenere riassunti, classificazioni o valutazioni dei candidati può comportare ulteriori trattamenti e comunicazioni di dati personali. Prima di utilizzare tali strumenti, l’azienda deve verificare le condizioni contrattuali, le finalità del trattamento, la sicurezza e le eventuali implicazioni delle decisioni automatizzate. Il ricorso alla tecnologia non elimina la responsabilità del titolare.

Un altro aspetto riguarda la conservazione dei curriculum dopo la conclusione della selezione. Il GDPR non stabilisce un termine generale valido indistintamente per tutte le candidature. L’azienda deve individuare un periodo proporzionato alle finalità perseguite, documentarne i criteri e prevedere la cancellazione o l’anonimizzazione dei dati quando non siano più necessari, salvo che sussista una diversa e legittima ragione di conservazione. Per l’approfondimento dei criteri temporali rinviamo al nostro articolo su quanto tempo può conservare l’azienda i curriculum dei candidati.

La gestione delle candidature deve essere coerente con la documentazione complessiva dell’impresa. Il trattamento relativo alla selezione del personale va valutato ai fini del registro delle attività di trattamento, quando applicabile, e le procedure effettivamente adottate devono corrispondere alle informative e alle istruzioni interne. Per le aziende che utilizzano più canali di raccolta, la verifica di questa corrispondenza permette di individuare archivi dimenticati, accessi eccessivi e trattamenti non adeguatamente disciplinati.

Obblighi, responsabilità e rischi GDPR nella gestione dei curriculum: quali controlli deve effettuare l’azienda

Una gestione corretta dei curriculum richiede che le regole stabilite dall’azienda siano effettivamente applicate. Disporre di un’informativa privacy non è sufficiente quando i dati dei candidati vengono trattati con modalità diverse da quelle dichiarate, conservati senza criteri verificabili oppure resi accessibili a persone non autorizzate. Il principio di responsabilizzazione previsto dall’articolo 5, paragrafo 2, GDPR impone al titolare di rispettare la normativa e di essere in grado di dimostrarlo.

Per questo motivo, una verifica del processo di recruiting dovrebbe partire dalla documentazione effettivamente utilizzata. Occorre controllare che l’informativa descriva correttamente le finalità della raccolta, le basi giuridiche, i destinatari dei dati, i criteri di conservazione e i diritti degli interessati. È altrettanto necessario verificare che il personale incaricato della selezione abbia ricevuto istruzioni appropriate e che eventuali fornitori esterni operino sulla base di rapporti contrattuali coerenti con le rispettive qualificazioni privacy.

Una criticità frequente riguarda i curriculum che continuano a circolare all’interno dell’organizzazione dopo essere stati acquisiti. Il responsabile di un reparto potrebbe inoltrare una candidatura ad altri dirigenti, conservarla nella propria casella email o trasferirla su dispositivi personali. Queste operazioni devono essere valutate rispetto alle finalità originarie e alle autorizzazioni esistenti. La disponibilità tecnica di un documento non equivale alla legittimazione a consultarlo, copiarlo o comunicarlo.

Particolare attenzione richiedono i dati non pertinenti alla selezione. Se un candidato inserisce spontaneamente informazioni sanitarie, convinzioni religiose o altri dati appartenenti alle categorie particolari dell’articolo 9 GDPR, l’azienda deve valutare se sussistano i presupposti per trattarli e se siano realmente necessari. La semplice presenza di queste informazioni nel curriculum non autorizza il datore di lavoro a utilizzarle liberamente nelle valutazioni professionali.

Il controllo deve comprendere anche la gestione dei diritti degli interessati. Un candidato può chiedere di conoscere quali dati personali siano trattati, ottenere le informazioni previste dall’articolo 15 GDPR o richiederne la cancellazione nei casi disciplinati dall’articolo 17. L’impresa deve verificare la richiesta, individuare i dati interessati e rispondere nei termini dell’articolo 12, normalmente entro un mese, salvo le proroghe consentite. L’eventuale diniego deve avere una giustificazione giuridica e non può dipendere dalla semplice difficoltà di recuperare i documenti.

Se un curriculum viene inviato al destinatario sbagliato, reso accessibile a soggetti non autorizzati oppure sottratto da un archivio informatico, può verificarsi una violazione dei dati personali. L’azienda deve accertare le circostanze, contenere l’incidente e valutarne le conseguenze per gli interessati. La notifica al Garante, ai sensi dell’articolo 33 GDPR, è richiesta quando la violazione presenta un rischio per i diritti e le libertà delle persone fisiche, secondo i presupposti previsti dalla norma. Non ogni errore comporta automaticamente una notifica, ma la valutazione deve essere tempestiva e documentata.

Le irregolarità nella gestione dei curriculum possono comportare reclami al Garante per la protezione dei dati personali, richieste di chiarimenti, provvedimenti correttivi e, quando ne ricorrono i presupposti, sanzioni amministrative. La responsabilità dell’azienda dipende dalla natura della violazione, dalle circostanze del trattamento e dagli altri elementi previsti dal GDPR. Anche un’eventuale richiesta risarcitoria richiede la verifica dei presupposti dell’articolo 82, compresa l’esistenza di un danno e del nesso causale.

Quando emergono archivi di candidature non censiti, informative obsolete o procedure mai formalizzate, riteniamo opportuno effettuare una verifica mirata della conformità GDPR del processo di selezione del personale. L’intervento deve individuare le carenze effettive, distinguere gli adempimenti necessari dalle misure organizzative consigliabili e definire le correzioni proporzionate alla struttura aziendale. Il trattamento dei curriculum deve essere coordinato con la più ampia gestione della privacy e del GDPR nell’ufficio HR, senza confondere gli obblighi relativi ai candidati con quelli applicabili ai dipendenti già assunti.

Un esempio pratico: curriculum conservati nelle email aziendali e candidature gestite senza una procedura comune

Consideriamo il caso esemplificativo di un’azienda che riceve candidature attraverso il proprio sito, una casella email generale e gli indirizzi dei responsabili di reparto. I curriculum vengono esaminati per le selezioni in corso, ma numerose copie rimangono nelle caselle di posta e nelle cartelle condivise anche dopo la chiusura delle ricerche. L’azienda dispone di un’informativa privacy, senza avere però definito una procedura uniforme per la gestione dei documenti.

In una situazione del genere, l’intervento professionale dovrebbe iniziare dalla ricostruzione dei flussi di raccolta e consultazione dei CV, verificando le basi giuridiche, le informazioni fornite ai candidati e le persone autorizzate ad accedere agli archivi. L’aspetto più delicato sarebbe individuare tutte le copie dei curriculum e distinguere quelle ancora necessarie da quelle prive di una finalità attuale e legittima.

La riorganizzazione potrebbe prevedere un canale di raccolta centralizzato, istruzioni per i responsabili coinvolti nelle selezioni, criteri documentati di conservazione e procedure per la cancellazione delle copie non più necessarie. Sarebbe inoltre opportuno verificare la coerenza tra le modalità operative e la documentazione privacy. L’obiettivo dell’intervento sarebbe rendere controllabile l’intero percorso dei dati personali, dalla ricezione della candidatura fino alla loro cancellazione o all’eventuale successivo trattamento legittimo.

Domande frequenti sulla gestione dei curriculum aziendali e sul rispetto del GDPR

Un’azienda può conservare il curriculum di un candidato che non è stato assunto?

Sì, purché esista una finalità legittima e il trattamento rispetti i principi del GDPR. Se l’azienda intende conservare il CV per future selezioni, deve individuare una base giuridica appropriata, informare il candidato e stabilire un periodo di conservazione proporzionato. Non è corretto mantenere indefinitamente tutti i curriculum ricevuti senza una valutazione delle finalità e della necessità del trattamento.

È necessario chiedere il consenso privacy quando un candidato invia spontaneamente il curriculum?

No, il consenso non è automaticamente necessario. L’articolo 111-bis del Codice Privacy esclude la necessità del consenso per il trattamento dei dati presenti nei curriculum spontaneamente trasmessi ai fini dell’eventuale instaurazione di un rapporto di lavoro. Rimangono applicabili gli altri obblighi previsti dalla normativa, compresa la necessità di una base giuridica appropriata e di fornire l’informativa al primo contatto utile successivo all’invio.

Il responsabile di reparto può conservare sul proprio computer i curriculum ricevuti dall’ufficio HR?

La conservazione è ammissibile soltanto se coerente con le finalità della selezione, le autorizzazioni ricevute e le misure di sicurezza adottate dall’azienda. L’accesso ai dati per valutare un candidato non comporta automaticamente il diritto di conservarne copie autonome per un periodo indefinito. È preferibile utilizzare archivi aziendali controllati, con permessi di accesso e procedure di cancellazione definite.

Cosa deve fare l’azienda se un candidato chiede la cancellazione del proprio curriculum?

L’impresa deve verificare la richiesta e accertare se sussistano i presupposti dell’articolo 17 GDPR. Quando non esistono ragioni giuridicamente valide per proseguire la conservazione, deve provvedere alla cancellazione dei dati interessati, considerando anche le eventuali copie presenti nei sistemi aziendali. Se una parte dei dati deve essere mantenuta per una diversa finalità legittima, occorre valutarne i presupposti e comunicarli all’interessato. La risposta deve rispettare i termini previsti dall’articolo 12 GDPR.

Quando è opportuno richiedere un audit GDPR sulla gestione dei curriculum?

Una verifica professionale è particolarmente indicata quando l’azienda raccoglie candidature attraverso numerosi canali, utilizza software esterni di recruiting, conserva archivi storici senza criteri documentati oppure non dispone di procedure condivise tra direzione e ufficio HR. L’audit può essere necessario anche dopo un reclamo, un accesso non autorizzato o la scoperta di trattamenti non coerenti con le informative. L’analisi permette di individuare le irregolarità e definire gli interventi correttivi in funzione dei rischi effettivi.

Gestione dei curriculum e conformità GDPR: richiedi una valutazione legale per la tua azienda

La presenza di curriculum distribuiti tra email, archivi condivisi e software di selezione può rendere difficile verificare chi accede ai dati, per quali finalità vengono utilizzati e quando devono essere cancellati. Informative incomplete, procedure non aggiornate e conservazione non controllata delle candidature richiedono una valutazione delle concrete modalità di trattamento adottate dall’impresa.

Presso lo Studio Legale Calvello, con oltre 25 anni di esperienza professionale, assistiamo le aziende nella gestione degli obblighi privacy, nella verifica della conformità GDPR e nella predisposizione di misure correttive adeguate alla loro organizzazione. Possiamo esaminare le procedure di raccolta e archiviazione dei curriculum, i rapporti con i fornitori di software HR e le criticità relative all’accesso, alla conservazione e alla cancellazione dei dati dei candidati.

Se la tua azienda deve organizzare correttamente la gestione delle candidature, verificare un archivio esistente o affrontare una contestazione privacy, richiedi una valutazione legale in materia di GDPR e privacy aziendale attraverso il modulo dedicato. Esamineremo la richiesta per individuare le questioni che richiedono un approfondimento professionale.