Join vende un software di gestione delle candidature (ATS) e i controlli sul GDPR fanno parte di ciò che proponiamo: leggi queste righe come note di campo di una parte interessata, non come il parere di un legale. Per tutto ciò che ha a che fare con denaro o con un’autorità, chiedi a chi conosce il diritto italiano. Può servire invece come mappa di dove il regolamento tocca un team che assume, vista da dove stanno i dati delle candidature dei nostri clienti. La versione in due minuti è nella voce GDPR nella selezione del personale. Qui c’è il percorso lungo.
La base giuridica risolve quasi tutto
Quando una persona risponde al tuo annuncio, non ti serve una casella di consenso per trattare la sua candidatura. L’articolo 6, paragrafo 1, lettera b), del GDPR copre il trattamento necessario all’esecuzione di misure precontrattuali adottate su richiesta dell’interessato, e una candidatura è esattamente questo: una persona che ti chiede di considerarla per un ruolo. Leggere il CV, farlo girare tra chi decide, scrivere gli appunti del colloquio, registrare l’esito. Tutto poggia su quella base, per quel ruolo, finché dura la selezione.
In Italia c’è una regola in più per i curriculum spontanei. L’articolo 111-bis del Codice privacy dice che l’informativa va data al primo contatto utile dopo l’invio e che, entro le finalità dell’articolo 6, paragrafo 1, lettera b), il consenso non è dovuto. Vale per leggerlo e per valutare la persona. Non dice per quanto tempo tenerlo.
La base finisce dove finisce la candidatura. Tenere il CV di una persona scartata per aperture future, o aggiungerla a un bacino, sono finalità nuove, e nessuna è un passo verso il contratto che la persona aveva chiesto. Per queste, il Comitato europeo per la protezione dei dati (EDPB) nelle sue FAQ per le PMI indica il consenso come base valida e, in alternativa, il legittimo interesse, che richiede di bilanciare il tuo interesse con i diritti delle persone; in ogni caso devi informare le persone. Noi consigliamo il consenso, perché è la strada più facile da dimostrare: l’articolo 7, paragrafo 1, chiede di essere in grado di provarlo. Una casella già spuntata non lo è: il considerando 32 dice che silenzio, inattività o preselezione di caselle non configurano consenso. E l’articolo 7, paragrafo 3, aggiunge un dovere che pesa: revocarlo deve essere facile come darlo.
La parola «necessario» pesa più di quanto sembri. L’articolo 5, paragrafo 1, lettera c), chiede dati «adeguati, pertinenti e limitati»: la minimizzazione. Nello screening il test è se un campo si lega ai requisiti del ruolo. In Italia c’è anche un limite di merito: l’articolo 8 dello Statuto dei lavoratori, richiamato dall’articolo 113 del Codice privacy, impedisce al datore di lavoro di indagare, anche tramite terzi, sulle opinioni politiche, religiose o sindacali e su ciò che non incide sull’attitudine al lavoro. Una domanda sulla patente per un ruolo di consegna regge. Per data di nascita e fotografia sul modulo standard conviene chiedersi quale decisione informino, e se la risposta è nessuna, toglili.
La conservazione dopo il rifiuto non ha un numero
La domanda che i team fanno più spesso non ha una risposta di legge. Il GDPR non fissa un periodo di conservazione per i dati dei candidati: il principio di limitazione dice solo che i dati non vanno conservati oltre il tempo necessario alle finalità (articolo 5, paragrafo 1, lettera e). Nei testi consultati per questa nota non compare un numero nemmeno nel Codice privacy. A riempire il vuoto è la pratica.
Il Garante, per esempio, non indica una soglia, ma si vede come ragiona. Nel provvedimento del 4 aprile 2013, contro un’agenzia per il lavoro, giudicò non conforme una formula dell’informativa che autorizzava a trattare i dati «fino a quando ritenuto utile dall’azienda» e prescrisse di modificare l’informativa fissando il termine di conservazione. Nel provvedimento del 4 dicembre 2025 una società dichiarò di conservare i dati di selezione fino a dodici mesi dalla chiusura della campagna: è la prassi di quella società, non un termine fissato dal Garante, e la decisione riguardava altro, di cui parliamo più sotto.
Tenere il fascicolo per difenderti in una causa è una finalità difendibile: l’articolo 17, paragrafo 3, lettera e), fa salva la conservazione necessaria per accertare, esercitare o difendere un diritto in sede giudiziaria. Per quanto tempo dipende da quali azioni la persona potrebbe avviare, e lo chiedi a un legale. Tenere il CV «per ogni evenienza» è un’altra finalità, e richiede un suo fondamento. La mossa che regge è poco appariscente: scegli un periodo con una consulenza, scrivilo nell’informativa (l’articolo 13, paragrafo 2, lettera a), chiede il periodo o i criteri) e metti la cancellazione in calendario. Un numero dichiarato con una cancellazione periodica dietro vale più di una politica generosa che nessuno applica.
I bacini di candidati cambiano la finalità
Spostare una persona scartata in un bacino di candidati è il momento in cui i suoi dati cambiano finalità, e quindi il momento di chiedere. La richiesta funziona quando è separata dalla candidatura, scritta in modo chiaro e circoscritta: possiamo tenere il tuo profilo per ruoli futuri, per questo periodo, revocabile da qui. Infilata in un’informativa lunga, non risulta informata (l’articolo 7, paragrafo 2, vuole una richiesta distinguibile). Preselezionata, non è libera. E se revocarla richiede una raccomandata, non rispetta l’articolo 7, paragrafo 3. I bacini invecchiano male: chi ha detto sì due anni fa di solito l’ha dimenticato, ed è per questo che la via per revocare deve funzionare anche quando chi ha creato il bacino è passato ad altro.
Che cosa abbiamo costruito per il termine di un mese
I diritti dei candidati hanno l’unica scadenza rigida di questa nota. Per l’articolo 15, una persona può chiedere conferma che tu abbia i suoi dati e una copia; per l’articolo 17, può chiederne la cancellazione quando non servono più o ritira il consenso. L’articolo 12, paragrafo 3, ti dà un mese dal ricevimento, prorogabile di altri due per richieste complesse o numerose, purché tu lo comunichi con i motivi entro il primo mese. Le richieste arrivano spesso da persone scartate, quando il rapporto è già freddo, e il termine non guarda il rapporto. Nel provvedimento del 4 dicembre 2025 un candidato aveva chiesto, il 9 maggio 2022, copia dei suoi dati della selezione, comprese prove e punteggi della preselezione; l’azienda rispose a pezzi, con le categorie di dati e poi, a luglio 2022, il CV e i dati del profilo, e consegnò i punteggi della preselezione e gli esiti finali solo l’11 luglio 2023, circa quattordici mesi dopo; il Garante ritenne violati gli articoli 12, paragrafo 3, e 15.
Questa è la parte del prodotto che si può mostrare in uno screenshot. In Join lo stato del consenso è sulla scheda e nel profilo della persona e c’è una colonna «GDPR Status» nell’elenco delle candidature; alle persone importate a mano parte in automatico una richiesta di consenso, con gli stati «Consent requested», «Consent given» e «Consent rejected». Se una persona ritira la candidatura o cancella il profilo, Join elimina i suoi dati e ti avvisa. Se elimini tu un profilo, vengono rimosse in modo definitivo tutte le candidature, le e-mail, le schede di valutazione e i documenti. Con i piani Advanced ed Enterprise puoi esportare l’elenco in CSV, XLSX o in ZIP con CV e allegati. Lo abbiamo fatto così perché un termine di un mese premia chi risponde a una richiesta con un’azione nello strumento, non con un progetto trimestrale.
Titolare e responsabile: chi risponde di cosa
Usare un ATS sposta l’archiviazione, mai la responsabilità. Tu, che assumi, resti titolare: decidi perché i dati dei candidati vengono trattati e che cosa ne succede. L’ATS è il tuo responsabile e agisce su tue istruzioni. L’articolo 28, paragrafo 3, chiede che il rapporto sia un contratto con contenuti precisi, tra cui il trattamento «soltanto su istruzione documentata del titolare» e, a fine servizio, la cancellazione o la restituzione di tutti i dati a scelta del titolare. In pratica è l’accordo sul trattamento dei dati: il nostro è pubblico. Per il software di gestione delle candidature Join agisce da responsabile; per altri servizi, come l’abbinamento di candidati o le offerte ai candidati, agisce da titolare e l’accordo non li copre. Qualunque fornitore tu usi, la clausola sulla cancellazione o restituzione è quella da leggere prima di firmare, perché decide com’è un’uscita anni dopo.
La divisione decide anche chi risponde alla persona. Una richiesta di accesso arriva al titolare anche quando i dati stanno nei nostri sistemi: il compito del responsabile è renderti possibile rispondere entro il termine.
Cosa faremmo diversamente
Se oggi avviassimo la selezione in un’azienda da venticinque persone, prima del primo annuncio la lista sarebbe breve. Ridurre il modulo di candidatura ai campi che servono a decidere. Scrivere il periodo di conservazione e fissare la cancellazione con una scadenza ricorrente, a mano o automatica a seconda dello strumento: nelle pagine di aiuto di Join non risulta una cancellazione automatica alla scadenza, quindi il termine lo applichi tu. Fare della richiesta per il bacino un sì separato, datato e revocabile: adattare il consenso a un bacino cresciuto per abitudine va da faticoso a impossibile.
Poi una prova: simula una richiesta di accesso al tuo stesso processo e guarda cosa succede. Esporta una candidatura di prova, leggi cosa esce, annota quanto ci hai messo. Il termine di un mese è la parte che un’autorità può misurare al giorno, ed è anche la più economica da preparare.
