Conservazione dei dati delle candidature

Il GDPR non fissa un numero di mesi per tenere un CV dopo la selezione, e non lo fissa nemmeno il Codice privacy italiano. Il numero lo scegli tu, prima che la selezione cominci, e lo comunichi a chi si candida. Quello che la legge pretende è che tu sappia giustificarlo.

Che cosa dice la regola

Il GDPR, all’articolo 5, paragrafo 1, lettera e) chiede che i dati siano conservati in una forma che consenta di identificare le persone per un tempo non superiore a quello necessario alle finalità del trattamento. Per una candidatura la finalità è scegliere chi assumere per quel ruolo. L’articolo 13, paragrafo 2, lettera a), aggiunge che l’informativa indichi il periodo di conservazione o, se non è possibile, i criteri per determinarlo; l’articolo 17, paragrafo 1, lettera a), dà alla persona il diritto di ottenere la cancellazione quando i dati non servono più.

Se una persona ti scrive di sua iniziativa, l’articolo 111-bis del Codice privacy consente di darle l’informativa al primo contatto utile dopo l’invio del curriculum e precisa che, nei limiti delle finalità dell’articolo 6, paragrafo 1, lettera b), del GDPR, il consenso al trattamento dei dati del CV non è dovuto. Non dice per quanto tempo tenerli.

Che cosa mostrano i provvedimenti del Garante

Il Garante non indica una soglia valida per tutti, ma si vede come ragiona. Nel provvedimento del 4 aprile 2013, contro un’agenzia per il lavoro, giudicò non conforme una formula dell’informativa che autorizzava il trattamento finché l’azienda lo ritenesse utile, e ordinò di indicare il periodo. Ben prima che il GDPR esistesse, il criterio era già questo.

Nel provvedimento del 4 dicembre 2025 Ferrovie dello Stato Italiane dichiarò di conservare CV e dati di selezione fino a 12 mesi dalla chiusura della campagna. È la prassi di una società, non un termine fissato dall’Autorità: la decisione riguardava la richiesta di accesso ai dati di un candidato, non la durata.

Che cosa deve coprire il periodo

Tutto ciò che il processo ha prodotto su quella persona. Il CV è la parte visibile; il fascicolo contiene anche scambi di e-mail, schede di valutazione, commenti interni e quello che il portale di lavoro ha inoltrato. Ci sono poi le copie: il CV scaricato da un responsabile prima del colloquio è un secondo archivio, e cancellare l’originale non lo raggiunge.

È qui che la conservazione si rompe nella pratica. Il problema raramente è la regola scritta, è la dispersione: un periodo applicato in un sistema mentre le candidature vivono anche in tre caselle di posta non è applicato da nessuna parte. Per questo conviene tenere il fascicolo in un posto solo — è anche l’unico modo per cancellarlo davvero.

Che cosa non fa un periodo di conservazione

Non autorizza a tenere i dati fino alla scadenza contro la volontà della persona: una richiesta di cancellazione va valutata alla luce dell’articolo 17. Non vale per scopi nuovi: spostare una persona non assunta nel bacino di candidati richiede un’informativa e una base giuridica sue, non un numero più alto. E non si verifica da solo. Il controllo è semplice: scegli un rifiuto più vecchio del periodo dichiarato e cercalo ovunque transitino le candidature. Se lo trovi, la regola descrive un’intenzione, non una pratica.