Il GDPR e il recruiting hanno un rapporto complicato. Da un lato, i recruiter hanno bisogno di raccogliere e conservare dati personali per fare il loro lavoro. Dall'altro, il regolamento europeo impone regole precise su come quei dati vanno gestiti. E le sanzioni per chi sbaglia non sono simboliche.

Questa guida ti spiega cosa devi sapere — e cosa devi fare concretamente — per gestire i dati dei candidati senza rischiare.

Perche' il GDPR riguarda direttamente il recruiting

Ogni volta che ricevi un CV, stai raccogliendo dati personali: nome, cognome, email, telefono, esperienze lavorative, a volte anche dati sensibili come l'appartenenza a categorie protette. Il GDPR si applica a tutti questi dati, senza eccezioni.

Non importa se sei un'agenzia con 500 candidati in database o un'azienda che riceve 10 candidature al mese. Se tratti dati di persone residenti nell'UE, il GDPR ti riguarda.

E non e' solo una questione legale: una gestione trasparente dei dati dei candidati migliora la tua reputazione come datore di lavoro. I candidati lo notano.

I 5 obblighi fondamentali nel recruiting

1. Base giuridica per il trattamento

Non puoi raccogliere CV "perche' si'". Hai bisogno di una base giuridica valida. Nel recruiting, le piu' comuni sono:

  • Consenso esplicito: il candidato ti autorizza a trattare i suoi dati per finalita' di selezione
  • Interesse legittimo: puoi trattare i dati quando e' ragionevolmente prevedibile (es. un candidato che si candida attivamente)
  • Esecuzione di un contratto: per le fasi pre-contrattuali quando si sta per formalizzare un'assunzione

Il consenso deve essere specifico, informato e revocabile. Nessuna casella pre-spuntata, nessun consenso generico nascosto nelle condizioni generali.

2. Informativa privacy

Prima di raccogliere qualsiasi dato, devi fornire un'informativa chiara che spieghi:

  • Chi sei (titolare del trattamento)
  • Quali dati raccogli e perche'
  • Per quanto tempo li conserverai
  • Con chi li condividerai
  • Come il candidato puo' esercitare i suoi diritti

L'informativa deve essere facilmente accessibile — non sepolta in un PDF di 30 pagine che nessuno leggera' mai.

3. Conservazione limitata nel tempo

Non puoi tenere i CV per sempre. Il GDPR impone il principio di limitazione della conservazione: i dati vanno conservati solo per il tempo strettamente necessario alla finalita' per cui sono stati raccolti.

In pratica:

  • Candidatura specifica: conserva i dati per la durata del processo di selezione, poi cancella o chiedi un nuovo consenso
  • Database candidati: se vuoi conservare il CV per future opportunita', serve un consenso specifico e un periodo definito (tipicamente 12-24 mesi)
  • Candidati non selezionati: cancella i dati entro un termine ragionevole dalla chiusura della posizione

La regola d'oro: se non hai una ragione concreta per conservare un dato, cancellalo.

4. Diritti degli interessati

I candidati hanno diritti precisi sui loro dati, e tu devi essere in grado di soddisfarli:

  • Diritto di accesso: il candidato puo' chiederti quali dati hai su di lui
  • Diritto di rettifica: puo' chiederti di correggere dati inesatti
  • Diritto di cancellazione (diritto all'oblio): puo' chiederti di cancellare tutti i suoi dati
  • Diritto alla portabilita': puo' chiederti di esportare i suoi dati in formato leggibile
  • Diritto di opposizione: puo' opporsi al trattamento in qualsiasi momento

Hai 30 giorni per rispondere a queste richieste. Non 30 giorni lavorativi — 30 giorni calendario.

5. Sicurezza dei dati

I dati dei candidati devono essere protetti con misure tecniche e organizzative adeguate:

  • Crittografia dei dati in transito e a riposo
  • Controllo degli accessi: solo chi ne ha bisogno puo' accedere ai dati
  • Backup regolari e procedure di disaster recovery
  • Notifica di data breach entro 72 ore alle autorita' competenti

Le sanzioni: cosa rischi concretamente

Le sanzioni GDPR non sono teoriche. L'Autorita' Garante per la Protezione dei Dati italiana ha emesso multe significative nel settore HR:

  • Fino a 20 milioni di euro o il 4% del fatturato annuo globale per le violazioni piu' gravi
  • Fino a 10 milioni di euro o il 2% del fatturato per violazioni meno gravi

Anche le PMI sono nel mirino. Non servono violazioni eclatanti: basta un candidato che segnala al Garante di non aver ricevuto risposta alla richiesta di cancellazione dei suoi dati.

Oltre alle sanzioni economiche, c'e' il danno reputazionale. Un'azienda multata per violazione GDPR nel recruiting non attira esattamente i migliori talenti.

Cosa fare praticamente: la checklist

Ecco le azioni concrete da implementare:

Immediatamente:

  • Verifica di avere un'informativa privacy specifica per il recruiting
  • Controlla che il consenso sia raccolto in modo esplicito per ogni candidato
  • Definisci una policy di conservazione dati con tempi precisi

Entro 30 giorni:

  • Implementa un processo per gestire le richieste di accesso, rettifica e cancellazione
  • Forma il team HR sugli obblighi GDPR
  • Verifica che i dati dei candidati siano accessibili solo al personale autorizzato

Entro 90 giorni:

  • Rivedi tutti i CV nel tuo database: hai un consenso valido per ognuno?
  • Cancella i dati per cui non hai piu' una base giuridica
  • Documenta le tue procedure in un registro dei trattamenti

Come un ATS ti semplifica la conformita'

Gestire tutto questo manualmente — con email, cartelle condivise e fogli Excel — e' un incubo operativo. Ed e' proprio dove la maggior parte delle aziende sbaglia.

Un ATS progettato con il GDPR in mente automatizza la conformita':

  • Consensi tracciati automaticamente per ogni candidato
  • Scadenze di conservazione con notifiche e cancellazione automatica
  • Gestione dei diritti con un click: cancellazione, export, rettifica
  • Log di audit completi per dimostrare la conformita'
  • Accessi controllati per ruolo e team

CandyHire, ad esempio, integra la gestione GDPR nativamente: ogni dato dei candidati ha un consenso tracciato, una scadenza di conservazione configurabile e la possibilita' di eseguire cancellazioni complete con un singolo click. Nessun plugin esterno, nessuna configurazione manuale.

Gli errori piu' comuni (e come evitarli)

  • Conservare CV all'infinito "perche' potrebbero servire" — Serve un consenso specifico e un termine
  • Condividere CV via email senza protezione — I dati personali non dovrebbero viaggiare in chiaro
  • Usare una sola informativa generica per tutto — Il recruiting ha bisogno della sua informativa specifica
  • Ignorare le richieste di cancellazione — 30 giorni, non di piu'
  • Non formare il team — La conformita' non e' solo tecnologia, e' cultura

Conclusione

Il GDPR non e' un ostacolo al recruiting: e' un'opportunita' per gestire i dati in modo professionale e guadagnare la fiducia dei candidati. Le regole sono chiare, le sanzioni sono reali e gli strumenti per essere conformi esistono.

Nessuna scusa per rimandare. Inizia dalla checklist, scegli strumenti che ti supportano nella conformita' e fai della protezione dei dati un punto di forza del tuo processo di selezione, non un problema da gestire.

Gestisci il recruiting con CandyHire

CandyHire e' il software ATS pensato per agenzie di recruiting e team HR: candidature, pipeline, colloqui e analytics in un'unica piattaforma.