=
TL;DR: La conservazione dati curriculum secondo il GDPR deve rispettare tempi di data retention di 12-24 mesi per i candidati non assunti, richiedendo informative chiare e cancellazione sicura dei dati per evitare sanzioni.
Nel panorama del recruiting moderno, la gestione dei dati personali non è solo una questione di efficienza operativa, ma un pilastro della conformità legale. La “data retention” dei CV si riferisce al periodo di tempo durante il quale un’azienda può legittimamente conservare i profili dei candidati nel proprio database. In Italia, questa pratica è strettamente regolata dal GDPR e dalle direttive dell’Autorità Garante, che impongono il rispetto del principio di limitazione della conservazione. L’obiettivo di questa guida è fornire ai responsabili HR e ai recruiter uno strumento operativo per trasformare gli obblighi burocratici in una best practice aziendale, ottimizzando la gestione dei talenti nel pieno rispetto della privacy.
- Il quadro normativo: GDPR e conservazione dati curriculum
- Tempi di data retention CV: quanto tempo conservare i dati?
- L’informativa privacy per i candidati: come strutturarla
- Best practice per la gestione sicura del database HR
- Rischi e sanzioni: cosa succede se non si rispetta la data retention
- Fonti e riferimenti normativi
Il quadro normativo: GDPR e conservazione dati curriculum
La gestione dei curricula in Italia deve rispondere ai requisiti del Regolamento UE 2016/679, meglio noto come GDPR. Al centro della normativa troviamo il Principio di limitazione della conservazione (Art. 5 GDPR) [1], il quale stabilisce che i dati personali devono essere conservati in una forma che consenta l’identificazione degli interessati per un arco di tempo non superiore al conseguimento delle finalità per le quali sono trattati. Per chi si occupa di selezione, ciò significa che un CV non può essere conservato “per sempre”, ma solo finché permane l’esigenza di valutare il candidato per posizioni lavorative attuali o future. Il Garante per la Protezione dei Dati Personali (GPDP) vigila affinché le aziende adottino politiche trasparenti e proporzionate.
Il principio di accountability nel recruiting
Un concetto fondamentale introdotto dal GDPR è quello di accountability, ovvero la responsabilizzazione del titolare del trattamento. Le aziende non devono solo rispettare la legge, ma devono essere in grado di dimostrare come e perché hanno stabilito determinati tempi di conservazione [2]. Nel recruiting, questo si traduce nella necessità di documentare le scelte organizzative: se un’azienda decide di conservare i dati per un periodo specifico, deve poter giustificare tale scelta in base alla natura della ricerca, alla specificità del mercato del lavoro di riferimento e alla frequenza dei cicli di assunzione.
Tempi di data retention CV: quanto tempo conservare i dati?
Determinare con esattezza quanto tempo conservare i dati di un curriculum è una delle sfide principali per gli uffici HR. Sebbene il GDPR non indichi un numero di mesi univoco, gli orientamenti delle autorità di controllo e la prassi consolidata offrono parametri chiari. In Italia, il periodo di conservazione ritenuto congruo per i CV dei candidati non selezionati oscilla generalmente tra i 12 e i 24 mesi. Superato questo termine, i dati devono essere cancellati o resi anonimi in modo irreversibile.
Perché il limite di 24 mesi è lo standard
Il limite dei due anni è diventato il punto di riferimento tecnico a seguito di specifici interventi regolatori. In particolare, il Garante Privacy ha ritenuto che un periodo di conservazione non superiore a 24 mesi sia proporzionato alle finalità di ricerca e selezione del personale [3]. Questo arco temporale permette all’azienda di attingere a un “talent pool” aggiornato per future posizioni aperte, senza però ledere eccessivamente il diritto all’oblio del candidato. Come sottolineato nelle Linee guida del Garante Privacy sul trattamento dati nel lavoro [4], la conservazione oltre questo limite richiederebbe motivazioni eccezionali e difficilmente giustificabili in un normale processo di recruiting.
Differenza tra finalità di selezione e fini amministrativi
È fondamentale distinguere tra la gestione del database candidati e la conservazione dei dati dei dipendenti assunti. Se un candidato supera la selezione e viene contrattualizzato, i suoi dati confluiscono nel fascicolo personale per finalità amministrative, previdenziali e fiscali, seguendo tempi di conservazione molto più lunghi (spesso 10 anni per obblighi di legge). Per i candidati che non instaurano un rapporto di lavoro, la finalità resta esclusivamente quella di “ricerca e selezione”, soggetta ai limiti temporali più ristretti sopra citati. Per approfondimenti su queste distinzioni, è possibile consultare le FAQ del Garante Privacy sul trattamento dati dei dipendenti e candidati [5].
L’informativa privacy per i candidati: come strutturarla
La trasparenza è il requisito cardine per una corretta policy di data retention dei CV. Ai sensi dell’Art. 13 del GDPR [1], l’informativa fornita ai candidati deve indicare esplicitamente il periodo di conservazione dei dati. Non è sufficiente una dicitura generica; occorre specificare che i dati saranno conservati, ad esempio, per 24 mesi dalla ricezione o dall’ultimo aggiornamento, al fine di valutare il profilo per future opportunità professionali. Un’informativa chiara riduce il rischio di reclami e sanzioni, che possono raggiungere il 4% del fatturato globale annuo dell’azienda.
Gestione dei CV spontanei e primo contatto
Una semplificazione importante riguarda i curricula inviati spontaneamente dai candidati. Secondo il Provvedimento del Garante sulle prescrizioni per il trattamento dei dati (2019) [6], le informazioni relative al trattamento dei dati possono essere fornite al candidato al momento del primo contatto utile successivo all’invio del curriculum stesso. Questo significa che l’azienda non è obbligata a inviare immediatamente l’informativa nel momento esatto in cui riceve una mail spontanea, ma deve farlo non appena decide di inserire il profilo in un processo di valutazione o di ricontattare il soggetto.
Best practice per la gestione sicura del database HR
Per garantire una gestione sicura e conforme, le aziende dovrebbero adottare soluzioni tecnologiche come i software ATS (Applicant Tracking System), che permettono di automatizzare la cancellazione dei dati allo scadere dei termini prefissati. Una gestione proattiva del database non solo garantisce la compliance, ma migliora la qualità dei profili a disposizione dei recruiter.
Il rinnovo del consenso: come non perdere i talenti
Per evitare di dover cancellare profili di alto valore allo scadere dei 24 mesi, una strategia efficace è il rinnovo proattivo del consenso. Prima della scadenza del termine di retention, l’azienda può inviare una comunicazione automatizzata al candidato, invitandolo ad aggiornare il proprio CV e a confermare l’interesse a rimanere nel database. Questo approccio dimostra attenzione verso il candidato e permette di mantenere un archivio di talenti sempre attuale e “fresco”.
Checklist per la cancellazione sicura dei dati
Per superare eventuali audit interni o controlli del Garante, è necessario disporre di procedure documentate per l’eliminazione dei dati. Una checklist efficace dovrebbe includere:
- Identificazione periodica dei record in scadenza (es. ogni sei mesi).
- Verifica di eventuali pendenze legali che potrebbero richiedere l’estensione della conservazione.
- Esecuzione della cancellazione definitiva o dell’anonimizzazione irreversibile.
- Registrazione dell’avvenuta cancellazione in un log di sistema protetto.
Rischi e sanzioni: cosa succede se non si rispetta la data retention
Ignorare gli obblighi legali sulla conservazione dei dati espone l’azienda a rischi significativi. Le sanzioni previste dal GDPR sono severe e possono arrivare fino a 20 milioni di euro o al 4% del fatturato annuo globale, a seconda di quale sia il valore maggiore. Oltre all’aspetto economico, va considerato il danno reputazionale: un’azienda che gestisce con leggerezza i dati sensibili dei candidati perde attrattività nel mercato del lavoro (Employer Branding). I controlli del Garante nel settore HR sono diventati sempre più frequenti, focalizzandosi proprio sulla verifica dei tempi di conservazione e sulla correttezza delle informative fornite ai potenziali dipendenti.
In conclusione, la gestione della data retention dei CV non deve essere vista come un mero limite temporale, ma come un’opportunità per mantenere un database di candidati qualificato, aggiornato e sicuro. Rispettare il limite dei 12-24 mesi e fornire informative trasparenti sono segni distintivi di una cultura aziendale orientata alla professionalità e al rispetto dei diritti individuali.
Scarica la nostra checklist gratuita per la gestione della data retention dei CV e metti in sicurezza il tuo database HR.
Le informazioni contenute in questo articolo hanno scopo puramente informativo e non costituiscono consulenza legale professionale. Si consiglia di consultare un esperto DPO per casi specifici.
Fonti e riferimenti normativi
- Parlamento Europeo e Consiglio. (2016). Regolamento (UE) 2016/679 (GDPR) – Art. 5 e Art. 13. Testo ufficiale GDPR.
- Agenda Digitale. (N.D.). Data retention dei CV: tempi e modalità di conservazione a prova di GDPR. agendadigitale.eu.
- Garante per la Protezione dei Dati Personali. (2018). Provvedimento n. 497 del 13 dicembre 2018 [9080227] – E-work S.p.A. gpdp.it.
- Garante per la Protezione dei Dati Personali. (N.D.). Linee guida sul trattamento dati nel contesto lavorativo. gpdp.it.
- Garante per la Protezione dei Dati Personali. (N.D.). FAQ sul trattamento dati nel contesto lavorativo. gpdp.it.
- Garante per la Protezione dei Dati Personali. (2019). Provvedimento n. 146 del 5 giugno 2019 [9124510]. gpdp.it.
Punti chiave
- La conservazione dati curriculum deve rispettare i limiti temporali del GDPR.
- Generalmente, i CV vengono conservati per un massimo di 12-24 mesi per scopi di selezione.
- Fornire un’informativa privacy chiara e completa ai candidati è un obbligo fondamentale.
- La gestione attiva e la cancellazione sicura dei dati evitano rischi e sanzioni legali.