Privacy nel recruiting: guida alla gestione dei dati e disclosure del candidato

Nel panorama del mercato del lavoro del 2025, la gestione della privacy nel recruiting ha smesso di essere un semplice adempimento burocratico per trasformarsi in un pilastro fondamentale dell’employer branding. La protezione dei dati personali non riguarda solo la conformità al GDPR, ma rappresenta il primo punto di contatto etico tra azienda e talento. Una corretta disclosure del candidato e una gestione trasparente delle informazioni non solo mettono al riparo l’organizzazione da pesanti sanzioni, ma migliorano significativamente la candidate experience, costruendo un rapporto di fiducia fin dalle prime fasi della selezione.

Il quadro normativo: GDPR e privacy nel recruiting

La selezione del personale è un’attività ad alta intensità di dati che deve muoversi entro i binari stabiliti dal Regolamento UE 2016/679 (GDPR) e dalla normativa nazionale. In Italia, un riferimento cardine è l’Art. 111-bis del Codice Privacy (D.Lgs. 196/2003), che armonizza le regole europee con le specificità del mercato interno 5.

All’interno di questo processo, è essenziale distinguere i ruoli: l’azienda che ricerca personale agisce come Titolare del trattamento, definendo finalità e mezzi della raccolta dati. Al contrario, i fornitori di software ATS (Applicant Tracking System) o le agenzie di somministrazione agiscono spesso come Responsabili del trattamento (Art. 28 GDPR), dovendo garantire standard di sicurezza elevati e agire esclusivamente su istruzione del titolare. Per approfondire le basi della conformità, è utile consultare le Linee guida del Garante Privacy sul trattamento dati nel lavoro 1.

Basi giuridiche: perché il consenso non è sempre necessario

Uno dei dubbi più frequenti riguarda la necessità di richiedere il consenso esplicito per ogni CV ricevuto. Secondo l’Art. 6(1)(b) del GDPR, il trattamento dei dati contenuti nei curricula inviati spontaneamente o in risposta a un annuncio è lecito senza consenso, in quanto finalizzato all’esecuzione di misure precontrattuali adottate su richiesta dell’interessato ⁶. Questo principio semplifica notevolmente il flusso operativo dei recruiter, eliminando la necessità di firme cartacee o flag digitali per la sola ricezione e valutazione iniziale del profilo. Per una comprensione più ampia delle basi alternative al consenso, si vedano le Linee guida EDPB sul legittimo interesse (Art. 6 GDPR) 4.

Dati sensibili e particolari: cosa è vietato chiedere

L’Art. 9 del GDPR impone restrizioni rigorose sul trattamento dei “dati particolari” (precedentemente noti come sensibili). Durante la selezione, gestire dati sensibili del candidato richiede estrema cautela: è vietato indagare su orientamento religioso, politico, sessuale o sullo stato di salute, a meno che non sia strettamente necessario per valutare l’attitudine professionale in casi specifici previsti dalla legge (es. categorie protette). Domande su progetti di maternità o convinzioni sindacali non sono solo eticamente scorrette, ma costituiscono una violazione diretta della normativa privacy nella selezione del personale.

Gestione operativa dei dati: ATS e Data Retention

L’adozione di strumenti per la privacy nel recruiting, come i software ATS, permette di centralizzare le informazioni e applicare protocolli di sicurezza standardizzati. La nomina a Responsabile del Trattamento (Art. 28 GDPR) per i fornitori di queste piattaforme è un obbligo legale che garantisce che i dati dei candidati siano protetti da accessi non autorizzati e trattati secondo criteri di sicurezza informatica all’avanguardia.

Tempi di conservazione: quanto tenere un CV in database?

La data retention è uno dei punti più critici per la compliance. Non è consentito conservare i curricula a tempo indeterminato. Le indicazioni del Garante Privacy suggeriscono un termine di conservazione dei dati dei candidati non selezionati generalmente fissato tra i 6 e i 12 mesi. Al termine di questo periodo, l’azienda deve procedere alla cancellazione sicura o all’anonimizzazione dei dati, a meno che non venga richiesto un nuovo consenso per prolungare la permanenza nel database. Standard operativi più dettagliati sono contenuti nel Codice di condotta per il settore della ricerca e selezione del personale 3.

Social Recruiting e Privacy: l’uso di LinkedIn e altri canali

Il social recruiting offre opportunità straordinarie, ma comporta rischi legali specifici. Secondo il Parere EDPB sul trattamento dei dati nel contesto lavorativo (Opinion 2/2017), lo screening dei profili social è consentito solo se limitato a reti professionali (come LinkedIn) e se le informazioni raccolte sono strettamente correlate alla posizione lavorativa ricercata 2. È vietato raccogliere dati da profili privati (Facebook, Instagram) o forzare l’accesso a contenuti non pubblici, poiché ciò violerebbe il diritto alla vita privata del candidato, come ribadito anche dal recente Codice di condotta APL approvato dal Garante nel 2024 3.

Note dei selezionatori: sono considerate dati personali?

Un aspetto spesso sottovalutato riguarda le note e i feedback scritti dai recruiter durante o dopo il colloquio. Se queste note sono archiviate nel profilo del candidato (anche in un ATS), diventano dati personali a tutti gli effetti. Ai sensi dell’Art. 15 del GDPR, il candidato ha il diritto di accesso a tali informazioni. Pertanto, i commenti devono essere sempre professionali, oggettivi e focalizzati sulle competenze, evitando giudizi soggettivi o riferimenti a caratteristiche protette.

Migliori pratiche per la disclosure e comunicazione al candidato

Per implementare un protocollo di comunicazione trasparente, l’informativa privacy (Art. 13 GDPR) deve essere chiara e facilmente accessibile. Una buona informativa dovrebbe contenere:

• L’identità del Titolare del trattamento.
• Le finalità del trattamento e la base giuridica.
• Il periodo di conservazione dei dati.
• I diritti dell’interessato (accesso, rettifica, cancellazione).
• I contatti del DPO (Data Protection Officer), se presente.

L’informativa privacy: quando e come fornirla

L’obbligo di informativa scatta al primo contatto utile successivo all’invio del CV. Se il candidato carica il profilo tramite un portale aziendale, l’informativa deve essere visualizzata prima dell’invio. Se il contatto avviene tramite canali terzi, è necessario fornire il link all’informativa completa nella prima email di risposta o durante la convocazione al primo colloquio.

Evitare rischi e sanzioni: errori comuni da non commettere

Ignorare la normativa espone l’azienda a rischi violazione privacy del candidato con conseguenze devastanti. Le sanzioni GDPR possono raggiungere i 20 milioni di euro o il 4% del fatturato globale annuo. Gli errori più comuni includono la mancata nomina dei responsabili esterni, la conservazione dei CV per anni senza aggiornamento e l’uso improprio dei dati per finalità di marketing senza un consenso separato e specifico.

In sintesi, gestire correttamente la privacy nel recruiting significa rispettare i tempi di data retention, utilizzare i social in modo consapevole e garantire una disclosure puntuale. La protezione dei dati non è solo un onere burocratico, ma una dimostrazione di rispetto per il talento che contribuisce a elevare la reputazione aziendale sul mercato.

Scarica la nostra checklist gratuita per l’audit privacy del tuo dipartimento HR o scopri come il nostro ATS può automatizzare la tua compliance.

Le informazioni contenute in questo articolo hanno scopo puramente informativo e non costituiscono consulenza legale. Si raccomanda di consultare un DPO o un esperto legale per casi specifici.