Articolo a cura di: Redazione - Studio Legale Calvello

Un’azienda può conservare i curriculum dei candidati soltanto per il tempo necessario alle finalità per cui sono stati raccolti. Il GDPR non stabilisce un termine generale di 6, 12 o 24 mesi valido per tutte le imprese: la durata deve essere individuata e giustificata dal titolare del trattamento, considerando il processo di selezione, l’eventuale interesse a valutare i candidati per future posizioni e gli obblighi di tutela dei dati personali.

Il problema riguarda soprattutto le imprese che ricevono numerose candidature, utilizzano software di recruiting o mantengono archivi di curriculum anche dopo la conclusione dei colloqui. Conservare CV per anni senza una finalità attuale e documentata può esporre l’azienda a contestazioni e sanzioni. Per questo è necessario verificare i tempi di conservazione effettivi, le informazioni comunicate ai candidati e le procedure di cancellazione, ricorrendo a una valutazione professionale quando emergono irregolarità o situazioni complesse.

Per quanto tempo l’azienda può conservare i CV dopo una selezione?

Il punto di partenza è l’articolo 5, paragrafo 1, lettera e), del Regolamento (UE) 2016/679, che disciplina il principio di limitazione della conservazione. I dati personali devono essere conservati in una forma che consenta l’identificazione degli interessati per un arco di tempo non superiore a quello necessario al conseguimento delle finalità del trattamento. Applicato alla selezione del personale, questo principio impone all’azienda di collegare la durata della conservazione dei curriculum a uno scopo concreto e legittimo.

Durante una procedura di assunzione, la conservazione dei CV è normalmente giustificata dalla necessità di esaminare le candidature, organizzare i colloqui, confrontare i profili e individuare la persona da assumere. Quando la selezione termina, l’impresa deve verificare se esistano ancora ragioni che rendano necessario mantenere quei dati. La semplice possibilità che in futuro possa presentarsi una nuova esigenza di personale non giustifica automaticamente una conservazione illimitata.

È frequente che le aziende adottino periodi di conservazione di sei, dodici oppure ventiquattro mesi. Queste durate non costituiscono termini generali imposti dal GDPR e non possono essere considerate automaticamente conformi. Un periodo di dodici mesi, ad esempio, potrebbe risultare coerente con un programma documentato di selezioni ricorrenti, mentre potrebbe essere eccessivo per un’impresa che raccoglie candidature esclusivamente per una posizione occasionale e non prevede ulteriori ricerche di personale.

La durata deve essere valutata anche in relazione alla natura dei dati raccolti, al numero di persone che possono consultarli e alle modalità di archiviazione. I curriculum possono contenere informazioni personali molto dettagliate e, talvolta, dati appartenenti a categorie particolari, come informazioni sulla salute. In questi casi occorre verificare anche la necessità di trattare tali informazioni e l’esistenza dei relativi presupposti di liceità, senza presumere che tutto ciò che il candidato inserisce spontaneamente nel CV possa essere conservato indiscriminatamente.

Per le imprese che intendono mantenere un archivio di candidati potenzialmente interessanti, la soluzione consiste nel definire una finalità di conservazione per future selezioni, individuare una base giuridica appropriata e stabilire un termine proporzionato. L’azienda deve poter spiegare perché quel periodo è necessario, evitando di utilizzare formule generiche come «conservazione fino a quando i dati saranno utili».

Conservazione dei curriculum senza consenso: quando è consentita e quali informazioni fornire

La gestione dei curriculum richiede di distinguere la base giuridica del trattamento dalla durata della conservazione. Per i dati contenuti nei CV trasmessi spontaneamente dagli interessati, l’articolo 111-bis del D.Lgs. 196/2003 stabilisce che, nei limiti delle finalità previste dall’articolo 6, paragrafo 1, lettera b), del GDPR, il consenso non è dovuto. Questo consente di trattare i dati necessari alla valutazione della candidatura senza richiedere un’autorizzazione generica al candidato, fermo restando il rispetto degli altri obblighi privacy.

La stessa disposizione prevede che l’informativa di cui all’articolo 13 del GDPR sia fornita al momento del primo contatto utile successivo all’invio del curriculum. Per le candidature raccolte attraverso un modulo online o una piattaforma aziendale, l’impresa deve organizzare l’informazione agli interessati in modo coerente con le modalità effettive di raccolta.

La possibilità di trattare il curriculum senza consenso non attribuisce all’azienda il diritto di conservarlo indefinitamente. Quando la procedura di selezione si conclude, occorre verificare se la finalità originaria sia esaurita oppure se esista un’ulteriore finalità legittima che giustifichi il mantenimento dei dati. La creazione di un archivio per future opportunità lavorative richiede una valutazione autonoma della base giuridica applicabile, delle ragionevoli aspettative del candidato e della compatibilità con le informazioni già fornite.

Se l’azienda decide di basare un trattamento ulteriore sul consenso, questo deve rispettare i requisiti del GDPR, compresa la possibilità di revoca. Se ritiene applicabile il legittimo interesse, deve verificare i presupposti dell’articolo 6, paragrafo 1, lettera f), e svolgere il necessario bilanciamento con i diritti e le libertà degli interessati. Non è corretto considerare il consenso sempre obbligatorio per conservare un CV destinato a future selezioni, né ritenere il legittimo interesse automaticamente sufficiente.

L’informativa privacy deve indicare, tra gli altri elementi richiesti dall’articolo 13, il periodo di conservazione dei dati personali oppure, quando non sia possibile specificarlo, i criteri utilizzati per determinarlo. È quindi opportuno distinguere chiaramente la gestione della candidatura in corso dall’eventuale conservazione per successive opportunità professionali. La comunicazione di un termine nell’informativa deve trovare corrispondenza nelle procedure aziendali e nelle impostazioni dei sistemi informatici. Per gli obblighi informativi applicabili alle imprese è possibile consultare anche il nostro approfondimento sulle informative privacy e sugli elementi che devono contenere.

Un’azienda che dichiara di conservare i CV per dodici mesi ma continua a mantenerli per diversi anni nelle caselle email dei responsabili HR o nei database di recruiting presenta una possibile incoerenza tra quanto comunicato agli interessati e il trattamento effettivamente svolto. La verifica non può quindi limitarsi alla documentazione: deve comprendere anche le modalità con cui vengono archiviati, consultati e cancellati i curriculum. Questo controllo deve essere coordinato con le procedure generali di conservazione dei dati personali in azienda, mantenendo distinti i termini applicabili alle diverse categorie di informazioni.

Obblighi dell’azienda, cancellazione dei CV e rischi di violazione del GDPR

Stabilire un termine di conservazione dei curriculum non è sufficiente se l’azienda non dispone di procedure per rispettarlo. Il principio di responsabilizzazione previsto dall’articolo 5, paragrafo 2, del GDPR impone al titolare del trattamento di essere in grado di dimostrare la conformità delle proprie attività. L’impresa deve quindi poter giustificare per quanto tempo conserva i CV, verificare che i termini siano rispettati e intervenire quando i dati non risultano più necessari.

Il primo controllo riguarda gli archivi effettivamente utilizzati dall’ufficio HR. I curriculum possono trovarsi nelle caselle email aziendali, nei software di recruiting, nelle cartelle condivise, sui computer dei responsabili della selezione oppure presso fornitori esterni. La presenza dello stesso documento in più sistemi rende difficile applicare correttamente le scadenze, soprattutto quando le candidature vengono gestite da diversi reparti. Occorre quindi individuare dove sono conservati i dati, chi può consultarli e quali strumenti consentono di eliminarli alla scadenza del periodo stabilito.

Un problema ricorrente riguarda i curriculum di candidati non assunti, conservati per anni senza che l’azienda abbia verificato la permanenza di una finalità legittima. In queste situazioni non basta aggiornare l’informativa privacy o introdurre una nuova procedura: è necessario esaminare anche i dati già presenti negli archivi, distinguendo quelli ancora necessari da quelli che devono essere cancellati. Eventuali esigenze di conservazione per la tutela di diritti in sede giudiziaria devono essere valutate concretamente, senza trasformarle in una giustificazione generalizzata per mantenere tutti i CV a tempo indeterminato.

La procedura aziendale dovrebbe prevedere una verifica periodica dei curriculum, criteri per individuare la decorrenza dei termini e modalità di cancellazione coerenti con i sistemi utilizzati. Quando l’impresa si avvale di piattaforme esterne o società di selezione, deve verificare anche le responsabilità dei fornitori, le istruzioni impartite e, quando applicabile, gli accordi previsti dall’articolo 28 del GDPR. Particolare attenzione richiedono i backup: la cancellazione dai sistemi operativi deve essere coordinata con i cicli di conservazione delle copie di sicurezza, le limitazioni di accesso e le procedure di ripristino.

Un ulteriore aspetto riguarda le richieste degli interessati. Un candidato può esercitare i diritti previsti dal GDPR, compreso quello alla cancellazione ai sensi dell’articolo 17. L’azienda deve esaminare la richiesta e rispondere, di regola, entro un mese, secondo quanto previsto dall’articolo 12, verificando se ricorrano i presupposti per eliminare i dati oppure se sussistano motivi legittimi che ne consentano ancora la conservazione. Il diritto alla cancellazione non è assoluto, ma un eventuale diniego deve essere giuridicamente motivato e comunicato all’interessato.

La conservazione illecita dei curriculum può determinare reclami al Garante per la protezione dei dati personali, richieste di informazioni, accertamenti e, quando ne ricorrono i presupposti, provvedimenti correttivi o sanzioni amministrative. Le violazioni dei principi fondamentali del trattamento, compresa la limitazione della conservazione, rientrano nel quadro sanzionatorio dell’articolo 83, paragrafo 5, del GDPR. L’applicazione e la quantificazione di un’eventuale sanzione dipendono però dalle circostanze concrete e dai criteri previsti dal Regolamento: il semplice superamento di un termine interno non comporta automaticamente una sanzione di importo predeterminato.

Per valutare la posizione dell’impresa occorre considerare anche la documentazione disponibile, l’effettiva applicazione delle procedure e le misure adottate per correggere eventuali irregolarità. Nei casi in cui gli archivi siano particolarmente estesi o le modalità di conservazione non siano mai state verificate, può essere opportuno effettuare un audit privacy aziendale mirato ai processi di selezione. La verifica deve essere coerente con il sistema di gestione della privacy dell’ufficio HR, evitando che la cancellazione dei CV rimanga affidata esclusivamente all’iniziativa dei singoli dipendenti.

Esempio pratico: un’azienda conserva curriculum per anni senza una procedura di cancellazione

Consideriamo il caso di un’impresa che, nel corso degli anni, abbia ricevuto numerose candidature spontanee e curriculum relativi a selezioni ormai concluse. I documenti sono rimasti archiviati nelle email dei responsabili HR e in un gestionale utilizzato per il recruiting. L’informativa privacy indica un periodo di conservazione di dodici mesi, ma il software non prevede alcuna cancellazione automatica e negli archivi risultano presenti candidature molto più risalenti.

In una situazione di questo tipo, il problema non riguarda soltanto la presenza di vecchi curriculum, ma l’assenza di un controllo effettivo sulla durata del trattamento. L’intervento professionale consiste nell’esaminare le finalità per cui i dati sono stati raccolti, verificare le basi giuridiche applicabili, confrontare le informazioni fornite ai candidati con le modalità operative e individuare i documenti per i quali non sussistono più ragioni di conservazione.

La riorganizzazione può prevedere la definizione di termini distinti per le selezioni in corso e per le eventuali candidature destinate a future opportunità, l’introduzione di scadenze nel gestionale e l’assegnazione di responsabilità precise per la verifica degli archivi. Particolare attenzione deve essere dedicata ai CV presenti nelle caselle email e presso i fornitori esterni, affinché le procedure adottate siano applicabili anche ai dati che non si trovano nel database principale dell’azienda.

Domande frequenti sulla conservazione dei curriculum dei candidati

Un’azienda può conservare i curriculum per 24 mesi?

Sì, purché il periodo sia giustificato dalle finalità del trattamento e rispetti il principio di limitazione della conservazione. Il GDPR non vieta in assoluto una durata di ventiquattro mesi, ma non la autorizza automaticamente. L’impresa deve valutare se tale termine sia proporzionato alle proprie esigenze di selezione, individuare una base giuridica appropriata e informare correttamente i candidati.

È possibile conservare i CV dei candidati non assunti per future selezioni?

Sì, quando esiste una finalità legittima di conservazione per successive opportunità lavorative. L’azienda deve individuare la base giuridica applicabile, stabilire un termine proporzionato e fornire le informazioni richieste dal GDPR. La semplice intenzione di mantenere tutti i curriculum disponibili per eventuali necessità future non giustifica una conservazione senza scadenza.

Da quando decorre il periodo di conservazione di un curriculum?

La decorrenza dipende dalle finalità e dai criteri stabiliti dall’azienda. Può essere collegata alla ricezione della candidatura, alla conclusione della selezione oppure a un altro evento oggettivamente individuabile e giustificato. È importante che il criterio sia documentato e applicato in modo coerente. Un nuovo contatto con il candidato non comporta necessariamente il rinnovo automatico del periodo di conservazione.

Se un candidato invia un curriculum aggiornato, l’azienda può conservare anche quello precedente?

La ricezione di un nuovo CV non giustifica automaticamente il mantenimento delle versioni precedenti. L’impresa deve verificare se i documenti più risalenti siano ancora necessari rispetto alle finalità perseguite. Quando il curriculum aggiornato sostituisce integralmente quello precedente, la conservazione delle vecchie versioni potrebbe risultare superflua, salvo specifiche esigenze legittime e documentate.

È necessario cancellare anche i curriculum conservati nelle email aziendali?

Le regole sulla limitazione della conservazione si applicano indipendentemente dal sistema utilizzato. I CV presenti nelle caselle email dei responsabili HR devono quindi essere considerati nelle procedure di gestione e cancellazione dei dati. L’azienda deve verificare anche le copie eventualmente presenti in cartelle condivise, gestionali e altri archivi, tenendo conto delle caratteristiche tecniche dei sistemi e delle eventuali esigenze legittime di conservazione.

Conservazione dei curriculum: richiedi una valutazione della conformità GDPR della tua azienda

Se la tua azienda conserva curriculum di candidati non assunti, utilizza database di recruiting oppure non ha mai verificato i tempi di cancellazione dei CV, è opportuno accertare che le procedure adottate siano coerenti con il GDPR. Un archivio contenente candidature risalenti, termini di conservazione non documentati o informazioni privacy non corrispondenti alla gestione effettiva dei dati può richiedere un intervento di adeguamento.

Noi dello Studio Legale Calvello, con oltre 25 anni di esperienza professionale, assistiamo le imprese nella valutazione degli obblighi privacy, nella verifica dei tempi di conservazione dei dati personali e nella predisposizione di procedure conformi alle caratteristiche dell’organizzazione aziendale. Esaminiamo anche le situazioni in cui siano già emerse contestazioni, richieste di cancellazione o possibili violazioni del GDPR.

Per sottoporre il caso della tua impresa alla nostra attenzione, richiedi una valutazione sulla conservazione dei curriculum e sulla conformità GDPR della tua azienda attraverso il modulo dedicato. Esamineremo la richiesta per individuare le questioni giuridiche e organizzative che richiedono approfondimento.