Consenso della persona candidata

Chi riceve un CV pensa spesso di dover chiedere il consenso prima di leggerlo. In Italia il punto è meno ovvio, e conviene separare tre usi dei dati: la selezione in corso, l’archivio per ricerche future e i profili che non ti sono arrivati dalla persona.

Il CV ricevuto: conta l’informativa

L’art. 111-bis del Codice privacy, in vigore dal 19 settembre 2018, riguarda i curricula inviati spontaneamente dalle persone per un eventuale rapporto di lavoro. Le informazioni dell’art. 13 del regolamento si danno al primo contatto utile dopo l’invio. Nei limiti delle finalità dell’art. 6, paragrafo 1, lettera b), il consenso al trattamento dei dati presenti nel CV non è dovuto.

La base giuridica di quell’uso, insomma, non è il consenso: è la richiesta della persona di essere valutata. Ne seguono due cose. La prima è che l’informativa non si può saltare, e va data presto. La seconda è che il testo parla di curricula inviati spontaneamente: per i profili che raccogli tu, per esempio da una ricerca attiva, la lettura giusta spetta a chi segue la privacy della tua azienda.

Quando il consenso serve davvero

Fuori da quelle finalità serve un’altra base giuridica, e per tenere un profilo in un archivio per ricerche future la scelta di solito è il consenso. Vale lo stesso per i contatti futuri su posizioni diverse da quella a cui la persona si era candidata. Il consenso, da solo, non vale a coprire tutto: deve riferirsi a un uso preciso, scritto in modo comprensibile, separato dal resto delle condizioni.

Che cosa lo rende valido

L’art. 7 del regolamento pone quattro condizioni che si ricordano meglio come domande. Sai dimostrare che la persona ha acconsentito? Se il consenso sta in un testo con altre questioni, è distinguibile e scritto in modo semplice? La persona può ritirarlo in qualsiasi momento, e con la stessa facilità con cui l’ha dato? Il consenso è libero, cioè l’esecuzione di un servizio non dipende da un consenso non necessario?

Il considerando 43 aggiunge che il consenso non è una base valida se tra le parti c’è un evidente squilibrio. Tra azienda e persona candidata lo squilibrio può esserci, e per questo conviene che rifiutare l’archivio non cambi nulla nell’esito della selezione in corso. Per l’interpretazione ufficiale esistono le linee guida 05/2020 dell’EDPB, adottate il 4 maggio 2020.

Stati del consenso e cancellazione dei dati

Secondo la documentazione, per i candidati importati a mano Join invia in automatico una richiesta di consenso. Sul profilo lo stato passa da «Consent requested» a «Consent given» o «Consent rejected»; la tabella delle candidature ha anche una colonna «GDPR Status». Se la persona ritira il consenso o cancella il proprio profilo, i dati vengono eliminati in automatico e definitivamente, e tu ricevi una notifica; quando il consenso manca, decidi tu se rimuovere i dati, e le copie fuori da Join restano sotto la tua responsabilità.

Per le candidature spontanee la documentazione dice che quelle accettate entrano nel Talent Pool in modo permanente e quelle rifiutate vengono eliminate in modo permanente. Non risulta invece che la documentazione indichi quale data e quale testo vengano registrati con il consenso: se la prova ricade su di te, tienine una copia a parte.

Come procedere

Scrivi, prima di raccogliere, per quale scopo tieni il profilo e per quanto tempo. Dai l’informativa al primo contatto e non dopo. Se proponi l’archivio, fallo con una scelta separata dalla candidatura, che si possa rifiutare senza conseguenze. Prevedi un modo semplice per ritirare il consenso e una persona incaricata di cancellare i dati quando arriva la richiesta. Il resto, dai tempi di conservazione alle basi giuridiche di un caso particolare, lo decide chi ti segue sulla privacy.