L’assunzione del personale è un’attività che accomuna tutte le aziende, indipendentemente dalle dimensioni e dall’attività svolta. È il primo trattamento di dati effettuato verso una persona fisica in azienda, eppure spesso risulta ancora non compliant rispetto alla normativa vigente.
Partiamo da quel consenso al trattamento, espresso in una breve frase scritta in calce ad un Curriculum Vitae, in cui si acconsente a un trattamento di dati, in risposta a un’ipotetica necessità normativa, della quale, ancora oggi, c’è poca consapevolezza, sia da parte delle aziende che da parte dei candidati. È davvero necessario?
La risposta è: no, non lo è.
Non solo. Nella quasi totalità dei casi, l’unica base giuridica utilizzata per la raccolta dei curricula, ovvero il “consenso al trattamento” non è adeguata, in quanto si tratta di “esecuzione di misure precontrattuali” (Art. 6 par. 1. lett. b) del Reg. Eu 2016/679).
La base giuridica nel trattamento dei dati personali
Capiamo meglio questo passaggio perché è cruciale nella comprensione delle basi della normativa sulla protezione dei dati personali:
Il candidato che invia il proprio Curriculum Vitae all’azienda non ha la facoltà di decidere se far trattare o meno i propri dati, in quanto sono necessari per assolvere alla funzione per la quale i dati vengono inviati. È un trattamento obbligatorio per il raggiungimento della finalità perseguita, ovvero la valutazione ai fini dell’assunzione.
Quando si parla di consenso è invece importante ricordare che si tratta di una manifestazione di volontà libera, specifica, informata e inequivocabile dell’interessato. Ogni qualvolta un consenso al trattamento non presenti queste caratteristiche non è considerato valido e a norma di legge.
La raccolta e la prestazione di consenso rappresenta spesso un errore grossolano sia delle aziende che selezionano i propri candidati, sia dei candidati che sono sovente inconsapevoli dei principi della normativa privacy e sottoscrivono qualsiasi tipo di consenso gli venga richiesto, senza per altro essere consapevoli del reale oggetto del consenso.
Non è raro infatti che nelle informative delle aziende, quando scritte in modo attento e dettagliato in seguito a una mappatura attenta dei propri trattamenti di dati effettivamente svolti, ci possa essere un consenso riferito non all’attività strettamente oggetto di valutazione, bensì, ad esempio, alla comunicazione ad aziende partner, verso le quali non è detto che il candidato voglia comunicare la ricerca di lavoro in corso.
L’informativa per il trattamento dei dati
Come abbiamo visto poc’anzi, il consenso deve essere oltre che libero, anche specifico, informato e inequivocabile e questo significa quindi che le aziende che stanno provvedendo a una selezione di personale devono precedentemente aver redatto un’idonea informativa, nella quale viene esplicitato tutto il flusso di trattamento di quei dati -:da chi quindi verranno trattati i dati, quali le operazioni di trattamento consentite (Art. 4 c.2 Reg. EU 2016/679) e gli eventuali ambiti di comunicazione a terzi-; dovrà specificare altresì per quanto tempo i dati saranno conservati.
Ci sono ancora molte aziende che purtroppo conservano i dati dei candidati per tempi decisamente troppo lunghi o addirittura per sempre, violando il principio di proporzionalità e di pertinenza e non eccedenza nel trattamento.
Può accadere che alcune selezioni per le organizzazioni risultino particolarmente impegnative e costose in termini di impiego di risorse e anche di tempo lavoro e che il tempo ritenuto “congruo” indicativamente di un anno possa risultare troppo limitato. In casi di questo tipo si potrà valutare di conservare i dati oltre le tempistiche ritenute appunto “congrue” per il Garante, a fronte di una valutazione fatta a monte, mappata e riportata all’interno dell’informativa, da rendere poi nota a ogni candidato, che dovrà sempre dimostrare di averne preso visione.
Recruiting: quali dati vanno inseriti nel trattamento dati
Ma quali sono i dati che è necessario trattare per la valutazione e l’assunzione di personale?
Come sempre, solamente i dati che sono necessari per il raggiungimento di una finalità specifica, in questo caso, appunto, l’assunzione.
E quindi si tratterà di:
- dati anagrafici
- dati relativi al percorso di studi
- dati relativi alle competenze ed esperienze pregresse
- dati che riguardano eventuali condizioni di disabilità (solo appartenenza a categorie protette, senza specificare altri dettagli), in quanto necessari per uno specifico inquadramento giuridico in azienda e oggetto di selezioni specifiche.
Quali sono i dati facoltativi da inserire nell’informativa
Quali quelli eventualmente facoltativi?
Eventuali altre informazioni che il lavoratore volesse inserire per una personalizzazione del proprio Curriculum (come ad esempio dati relativi al credo religioso, politico, appartenenza ad associazioni, passioni, attività extra lavorative o quant’altro) va ricordato che sono facoltative e che, come per l’invio spontaneo di Curriculum a una organizzazione, non è necessario prestare consenso. Neanche in presenza di dati “particolari” o “sensibili”, come erano definiti dal D.lgs 196/03.
Va inoltre ricordato che in forza dell’Art. 8 Legge 300/70 (Statuto dei lavoratori):
“È fatto divieto al datore di lavoro, ai fini dell’assunzione, come nel corso dello svolgimento del rapporto di lavoro, di effettuare indagini, anche a mezzo di terzi, sulle opinioni politiche, religiose o sindacali del lavoratore, nonché su fatti non rilevanti ai fini della valutazione dell’attitudine professionale del lavoratore”.
I due possibili scenari nell’attività di recruiting
Vanno quindi distinte due situazioni:
- l’invio spontaneo di Curriculum Vitae da parte di un candidato;
- la ricerca specifica di personale avanzata dall’azienda, eventualmente anche tramite apposito form di raccolta dati.
In entrambi i casi è appunto necessario che l’organizzazione abbia redatto un’informativa per i candidati dipendenti, nella quale viene specificato tutto il flusso del trattamento dei dati con le finalità, i dati obbligatori e quelli facoltativi e tutti gli altri elementi necessari indicati nell’Art. 13 Reg. Eu 2016/679 ai fini della presa in considerazione del Curriculum Vitae nonché, nel caso in cui fossero presenti trattamenti facoltativi (come ad esempio la comunicazione a terzi), specifici consensi al trattamento che il candidato può avere la facoltà di prestare oppure no, senza che ciò vada a inficiare sulla valutazione del candidato.
Nell’invio del Curriculum Vitae il candidato dovrebbe avere quindi l’accortezza di verificare l’informativa sul sito dell’azienda destinataria, per menzionarne la presa visione sul Curriculum Vitae, prima dell’invio e l’azienda dovrebbe quindi prevedere l’inserimento di un’informativa dettagliata e congruente, soprattutto nel caso in cui esistesse un box specifico per le candidature sul sito aziendale.
Nel caso in cui il candidato invii il Curriculum Vitae di propria iniziativa, in modalità quindi spontanea, l’azienda dovrà avere l’accortezza di fornire idonea informativa al primo contatto.
Non quindi, da parte del candidato, un “Acconsento al trattamento dei dati ai sensi del …”, bensì un “dichiaro di aver preso visione dell’informativa al trattamento dei dati per i candidati dipendenti alla seguente pagina web…” ed, eventualmente, “e acconsento al trattamento di cui al punto XY dell’informativa”.
Il principio di accountability, pilastro del Reg. Eu 2016/679, rimane quindi ancora il cuore di una normativa che mira non soltanto a proteggere dati e informazioni preziosi per le persone e l’organizzazione, bensì a creare consapevolezza e appunto “responsabilizzazione” da parte di ogni interessato e di ogni soggetto che tratta i dati.
Vuoi saperne di più sul trattamento dei dati personali nell’attività di recuiting?
