Categorie protette assunzione: Guida alla gestione dei dati sensibili nel Recruiting (GDPR 2026)

Nel panorama delle risorse umane in Italia, la gestione delle categorie protette assunzione rappresenta una delle sfide più delicate per i professionisti HR. Da un lato, le aziende hanno l’obbligo legale di ottemperare alle quote di riserva stabilite dalla Legge 68/1999; dall’altro, il Regolamento UE 2016/679 (GDPR) impone vincoli rigorosi sul trattamento dei dati sanitari, classificati come “categorie particolari di dati”. Questa guida fornisce un framework operativo aggiornato al 2026 per gestire il processo di selezione e assunzione dei lavoratori disabili e delle altre categorie protette, garantendo la piena conformità normativa e riducendo i rischi sanzionatori legati alla privacy.

Il quadro normativo: Legge 68/1999 e Articolo 9 del GDPR

L’intersezione tra l’obbligo di assunzione e la protezione dei dati personali nasce dalla necessità di bilanciare il diritto al lavoro con il diritto alla riservatezza. La Guida normativa al collocamento mirato (Legge 68/99) stabilisce che i datori di lavoro pubblici e privati siano tenuti ad assumere lavoratori appartenenti alle categorie protette in percentuali variabili a seconda delle dimensioni aziendali 4.

Tuttavia, per adempiere a tale obbligo, il recruiter deve necessariamente venire a conoscenza di informazioni riguardanti lo stato di salute del candidato. Qui entra in gioco l’Articolo 9 del GDPR, che vieta in linea di principio il trattamento di dati relativi alla salute, a meno che non ricorrano specifiche deroghe ⁵. Nel contesto lavorativo italiano, il trattamento è lecito quando è “necessario per assolvere gli obblighi e esercitare i diritti specifici del titolare del trattamento o dell’interessato in materia di diritto del lavoro”, nel pieno rispetto del principio di indispensabilità 2.

Cosa si intende per dati sensibili nel recruiting?

Nel recruiting, i dati sensibili (o “particolari”) includono tutte le informazioni idonee a rivelare lo stato di salute, l’origine razziale o etnica, le opinioni politiche, le convinzioni religiose o l’appartenenza sindacale. Secondo le definizioni fornite dal Garante Privacy, i dati relativi all’invalidità o alla diagnosi specifica di una patologia sono considerati dati sanitari 2. Durante la selezione per le categorie protette assunzione, il recruiter deve limitarsi a verificare l’iscrizione alle liste del collocamento mirato, evitando di richiedere dettagli clinici non pertinenti alla valutazione dell’attitudine lavorativa.

Basi giuridiche e informativa: come raccogliere i dati legalmente

Per una corretta privacy recruiting, l’azienda deve identificare la base giuridica appropriata. L’Articolo 111-bis del Codice Privacy italiano chiarisce che le informazioni contenute nei curricula possono essere trattate per finalità connesse all’instaurazione del rapporto di lavoro senza il consenso preventivo dell’interessato, nei limiti delle finalità perseguite 1. Tuttavia, quando si tratta di GDPR recruiting categorie protette, è fondamentale che l’informativa ai sensi dell’Art. 13 GDPR sia trasparente e specifica.

Le aziende devono fornire un’informativa che indichi chiaramente che i dati sanitari saranno trattati esclusivamente per adempiere agli obblighi della Legge 68/1999. Per approfondimenti pratici su cosa sia lecito chiedere, è possibile consultare le FAQ del Garante Privacy sul trattamento dati nel lavoro.

Quando è necessario il consenso esplicito?

Sebbene l’Art. 111-bis semplifichi la raccolta iniziale, gestire dati sensibili candidati GDPR richiede cautela. Il consenso esplicito diventa necessario qualora i dati vengano utilizzati per finalità accessorie non strettamente legate all’obbligo di legge (ad esempio, l’inserimento in un database per future posizioni non riservate alle categorie protette). Il Garante ha più volte ribadito che il consenso nel rapporto di lavoro deve essere libero; pertanto, il candidato non deve subire pregiudizi qualora decida di non fornire dettagli sensibili non indispensabili alla specifica selezione 2.

Procedure operative: dalla ricezione del CV alla conservazione

L’implementazione di una solida sicurezza dati sensibili HR Italia passa per protocolli operativi chiari. Il Codice di condotta per la selezione del personale (Assolavoro), approvato dal Garante l’11 gennaio 2024, rappresenta lo standard di riferimento attuale 1. Una delle novità più rilevanti riguarda i tempi di conservazione: i CV possono essere conservati per un periodo massimo di 48 mesi, salvo diverse esigenze documentate, dopodiché devono essere cancellati o resi anonimi.

Inoltre, le aziende devono adottare una policy dati sensibili assunzioni che preveda la limitazione dell’accesso ai documenti. Solo il personale HR autorizzato e i medici competenti dovrebbero avere accesso alle certificazioni di invalidità, mentre i manager di linea dovrebbero ricevere solo le informazioni necessarie a comprendere le eventuali limitazioni funzionali del candidato in relazione alla mansione 3.

Minimizzazione e Data Masking nel processo di screening

Il principio di minimizzazione impone di raccogliere solo i dati strettamente necessari. Durante lo screening, se un candidato include nel CV dettagli sulla propria patologia che non sono richiesti per la valutazione, l’azienda dovrebbe astenersi dall’utilizzare tali informazioni. È buona norma implementare strumenti gestione privacy HR che permettano di separare la prova dell’appartenenza alle categorie protette dal resto del profilo professionale.

Tecniche di oscuramento automatico negli ATS

L’uso della tecnologia è fondamentale per garantire la Privacy by Design. I moderni software ATS (Applicant Tracking Systems) permettono di applicare tecniche di data masking, oscurando automaticamente i campi sensibili o gli allegati contenenti dati sanitari durante le prime fasi di valutazione tecnica. Questo approccio protegge l’azienda da potenziali accuse di discriminazione e garantisce che solo le figure competenti visualizzino i dati sensibili al momento opportuno.

Rischi e sanzioni: come prevenire le contestazioni del Garante

Ignorare le normative comporta un elevato rischio dati sensibili recruiting. Le sanzioni amministrative previste dal GDPR possono raggiungere i 20 milioni di euro o il 4% del fatturato mondiale annuo dell’esercizio precedente ⁵. Oltre all’aspetto economico, la violazione privacy candidati danneggia gravemente il datore di lavoro in termini di reputazione e può portare a contenziosi per discriminazione, qualora un candidato ritenga di essere stato escluso sulla base di informazioni sanitarie trattate illecitamente.

Checklist per l’audit interno della compliance HR

Per evitare conseguenze dati sensibili non conformi, i responsabili HR dovrebbero condurre audit periodici utilizzando questa checklist:

• L’informativa privacy cita esplicitamente il trattamento dei dati per le categorie protette?
• È stato nominato un Data Protection Officer (DPO) se l’azienda tratta dati su larga scala?
• Il Registro dei Trattamenti è aggiornato con le finalità specifiche della Legge 68/1999?
• I tempi di conservazione dei CV (48 mesi) sono rispettati e automatizzati nell’ATS?
• Il personale coinvolto nella selezione ha ricevuto formazione specifica sulla gestione dei dati particolari?

L’adozione di un approccio “privacy-first” nel recruiting delle categorie protette non è solo un obbligo normativo, ma un segnale di etica aziendale e professionalità. Una gestione trasparente e sicura dei dati sanitari tutela i diritti dei candidati e mette al riparo l’azienda da rischi legali, favorendo un ambiente di lavoro inclusivo e rispettoso delle diversità.

Scarica il nostro modello di informativa privacy aggiornato per il recruiting delle categorie protette o richiedi una consulenza per l’audit del tuo ATS.

Le informazioni contenute in questo articolo hanno scopo puramente informativo e non costituiscono consulenza legale o professionale.