Selezione del personale e privacy

Il principio di trasparenza di cui all'art. 5 del GDPR rappresenta un principio cardine per la gestione del personale, anche prima della sottoscrizione del contratto di lavoro. Tuttavia, sulla scorta dell'art. 111-bis del Codice privacy il datore di lavoro non è tenuto a fornire informativa nell'ipotesi in cui il candidato invii spontaneamente la canditura per una determinata posizione. Tale prescrizione viene posticipata nella fase successiva in cui si estrinseca il vero processo di selezione.  

La base giuridica del trattamento si rinviene nell'adozione di misure precontrattuali adottate su richiesta dell'interessato ai sensi dell'art. 6, paragrafo 1, lett. b) del GDPR e non il consenso. La raccolta del consenso da parte del titolare del trattamento presuppone una serie di adempimenti aggiuntivi che pesano sul processo di compliance. Il datore di lavoro, che riceve una candidatura spontanea, è tenuto a consegnare l'informativa al primo contatto utile (in sede di prima convocazione per colloquio), mentre non è obbligato alla raccolta del consenso qualora i dati contenuti nel curriculum si limitino a riportare le sole informazioni necessarie, proporzionate e attinenti a rispondere al soddisfacimento dei requisiti per ricoprire uno specifico ruolo all'interno dell'organizzazione. 

Anche per quanto attiene alla canditura contenente dati particolari del lavoratore di cui all'art. 9 del GDPR, l'art. 111 bis in riferimento alla sole condizioni necessarie alla fase di selezione solleva il datore di lavoro alla raccolta del consenso.

Tuttavia, risulta sempre necessario il rispetto del principio di minimizzazione e di finalità sanciti dall'art. 5 del GDPR. Il titolare del trattamento deve sempre raccogliere i soli dati strettamente necessari alla finalità di selezione del personale. Ogni dato aggiuntivo, superfluo e non coerente alle attività di selezione del personale potrebbe determinare una raccolta illegittima, soprattutto nel contesto della selezione del personale ove vige il divieto di indagini da parte del datore di lavoro, in determinati ambiti dello sviluppo della personalità del lavoratore.

Per tale ragione è sempre bene prestare particolare attenzione ai meccanismi di raccolta dei curricula online, magari attraverso il sito internet dell'azienda. In questo caso, oltre a tutte le misure di sicurezza sancite dall'art. 32 del GDPR e di sicurezza delle informazioni risulterà utile informare chiaramente il candidato di inserire, nella propria canditura, solo i dati strettamente necessari. Oppure fornire un modello precompilato in modo da guidare il candidato all'inserimento dei dati strettamente necessari alle finalità di selezione. 

Nella fase di selezione del personale è molto importante prestare attenzione alla data governance. La corretta mappatura dei soggetti che partecipano al trattamento rappresenta un elemento fondamentale per esprimere l'accountability richiesto a più battute dal GDPR. La mappatura dovrà essere rivolta sia verso l'interno che verso l'esterno. Sarà, pertanto, necessario predisporre singole nomine agli addetti interni ai sensi dell'art. 29 del GDPR. Mentre per quanto riguarda il rapporto con gli esterni come, ad esempio, agenzie di selezione del personale, agenzie interinali e consulenti: l'analisi deve essere rivolta alla corretta titolarità dei dati. A seconda del caso, si potrebbero palesare situazioni di titolarità autonoma, contitolarità ai sensi dell'art. 26 del GDPR o rapporto tra titolare e responsabile del trattamento.

In quest'ultimo caso, si ricorda che è sempre onere del titolare individuare il responsabile esterno in grado di dimostrare le migliori garanzie sui trattamenti dei dati. Oltre agli oneri contrattuali, sarà quindi necessario dimostrare che la scelta del responsabile del trattamento sia ricaduta su un soggetto in grado di garantire la sicurezza del trattamento.

Per quanto attiene il periodo di conservazione dei curricula, invece, questo dovrebbe essere limitato al tempo strettamente necessario a soddisfare la finalità di reclutamento. Qualora, quindi, non emergessero le circostanze positive all'assunzione, si dovrebbe procedere con la cancellazione dei dati.

Nell'ipotesi in cui il datore di lavoro desideri conservare tali dati in previsione di ulteriori opportunità lavorative, l'interessato dovrà essere informato. Come noto il principio di cui all'art. 5 relativo alla limitazione della conservazione dei dati impone l'adozione di una politica di data retention. Il periodo di conservazione dei dati deve essere indicato nelle informative privacy sottoposte al candidato e nel registro delle attività di trattamento di cui all'art. 30 del GDPR. Per alcuni trattamenti la legge individua il periodo di conservazione, per altri, come ad esempio la finalità di selezione del personale è onere del titolare del trattamento individuare il periodo di conservazione. Tale processo deve essere il frutto di un bilanciamento degli interessi in gioco: da un lato garantire il soddisfacimento degli interessi del datore di lavoro dall'altro l'aspettativa dell'interessato unitamente al rispetto delle prescrizioni privacy.

Infine, per quanto riguarda la fase di selezione del personale il datore di lavoro deve prestare attenzione in caso di test attitudinali sottoposti ai candidati ai fini della selezione. Tali test sono utilizzati allo scopo di misurare l'attitudine del candidato, generalmente la finalità è rappresentata ad una miglior integrazione della nuova figura nel contesto dell'organizzazione sulla base delle risultanze emerse dal test.

Tuttavia, occorre prestare specifica attenzione alla natura di tali test. La fase di selezione del personale è soggetta non solo alle prescrizioni privacy, ma anche a quelle contenute nello Statuto dei lavoratori. Come anzidetto, l'art. 8 dello St. Lav. vieta, ai fini dell'assunzione, così come nel corso dello svolgimento del rapporto di lavoro, di effettuare indagini, anche a mezzo di terzi, sulle opinioni politiche, religiose o sindacali del lavoratore, nonché su fatti non rilevanti ai fini della valutazione dell'attitudine professionale del lavoratore.

Ne discende l'illegittimità delle attività prodromiche all'instaurazione dei rapporti di lavoro tese ad indagare sulla vita privata del dipendente o ad acquisire informazioni particolari del candidato non attinenti alla posizione lavorativa.

La questione è stata affrontata dal Garante per la protezione dei dati personali italiano già a partire dagli '90. Il Provvedimento del 21 luglio 2011 ha ritenuto illecito un trattamento basato sulla sottoposizione di domande che indagavano sulla vita sessuale dei candidati.

La portata del divieto contenuto nell'art. 8 dello Statuto dei lavoratori viene richiamata, altresì, dall'art. 10 del D.lgs. 276/2003 il quale vieta alle Agenzie di lavoro o ai soggetti che collaborano con i datori di lavoro per finalità di selezione del personale di effettuare indagini relative alle convinzioni personali, al credo religioso, all'orientamento sessuale, allo stato di gravidanza e allo stato di salute.