GDPR nella selezione del personale

Un curriculum, gli appunti di un colloquio e un messaggio a chi si è candidato contengono dati personali, e il GDPR, applicabile dal 25 maggio 2018, vale dal momento in cui li raccogli — non dal momento in cui li usi.

Che cosa prevede la regola

L’articolo 5 fissa i principi che contano di più in una selezione: finalità determinate, esplicite e legittime, dati limitati a quanto serve a quelle finalità, conservazione non oltre il tempo necessario. L’articolo 6 elenca le basi che rendono lecito il trattamento: il consenso, l’esecuzione di misure precontrattuali richieste dalla persona, un obbligo di legge, il legittimo interesse e le altre previste. Una candidatura in corso, un contatto futuro e la conservazione per un eventuale contenzioso sono usi diversi, e non vanno trattati come uno solo.

In Italia c’è una regola in più per il curriculum spontaneo. L’articolo 111-bis del Codice privacy, nel testo in vigore dal 19 settembre 2018, dice che il consenso non è dovuto per i dati contenuti nei curriculum inviati spontaneamente, se il trattamento resta entro le finalità dell’articolo 6, paragrafo 1, lettera b), e che l’informativa dell’articolo 13 va data al primo contatto utile successivo all’invio.

Dove si applica nel lavoro di selezione

Conservare per il futuro. Secondo l’EDPB, il consenso può essere una base valida per conservare i curriculum in vista di selezioni future; la sua risposta indica anche il legittimo interesse, che richiede un bilanciamento, e chiede in ogni caso di informare le persone. Non dà un numero di mesi. Se ti affidi al consenso, anche per un bacino di candidati, le FAQ generali dello stesso Comitato lo vogliono libero, specifico, informato, inequivocabile e revocabile.

Che cosa chiedere. L’articolo 8 dello Statuto dei lavoratori, in vigore dal 1970, vieta al datore di lavoro di indagare sulle opinioni politiche, religiose e sindacali e sui fatti non rilevanti per la valutazione dell’attitudine professionale, anche in fase di assunzione e anche tramite terzi; il Codice privacy lo richiama all’articolo 113. Il GDPR aggiunge il divieto di trattare le categorie particolari di dati, come salute e appartenenza sindacale, salvo le eccezioni dell’articolo 9, e limita il trattamento dei dati su condanne penali ai casi dell’articolo 10.

Chi risponde. Il titolare decide finalità e mezzi; chi tratta i dati per suo conto è responsabile e, per l’articolo 28, il rapporto ha bisogno di un contratto. Nell’informativa di Join, quando una persona si candida a un annuncio di un’azienda Join agisce come responsabile e l’azienda è titolare; per la gestione degli account e dei pagamenti Join è titolare. Il ruolo dipende dall’attività di trattamento, non dal servizio nel suo insieme.

Quando rispondere alle richieste. L’articolo 12, paragrafo 3, chiede una risposta entro un mese dalla richiesta, prorogabile di due mesi se necessario per complessità e numero delle richieste, con comunicazione della proroga e dei motivi entro il primo mese. Assegna a una persona il compito di riceverle e tieni i dati in un posto solo: un curriculum inoltrato per e-mail a tre colleghi diventa tre copie da ritrovare.

Software che decide da solo. Per l’articolo 22, nessuno può essere sottoposto a una decisione fondata solo su un trattamento automatizzato quando questa produce effetti giuridici o incide in modo analogo e significativo. Se una candidatura viene scartata solo da un programma, verifica con chi segue la privacy se rientri in quella regola. Per l’IA c’è anche una norma italiana: l’articolo 11 della legge 132/2025, applicabile dal 10 ottobre 2025, obbliga a informare il lavoratore nei casi dell’articolo 1-bis del d.lgs. 152/1997, che riguarda i sistemi integralmente automatizzati, anche quando danno indicazioni ai fini dell’assunzione.

Che cosa resta fuori

Nessuna delle norme lette fissa un numero di mesi per conservare le candidature: la durata si decide per ogni finalità, e la pagina di Join sul consenso lascia a chi recluta decidere quando cancellare i dati in assenza di consenso, nel rispetto della legge locale. Per i tempi usa la voce sulla conservazione dei dati. Qui non sono esaminati i provvedimenti del Garante, la valutazione d’impatto, i dati del personale già assunto e le regole dei singoli CCNL.

Questa voce è una guida alla lettura delle norme, non un parere legale, e anche la documentazione di Join dichiara di non esserlo. Per un caso concreto serve chi segue la privacy in azienda, o un legale.