Invio del curriculum e tutela dei dati personali. Obblighi delle aziende (molti) e diritti dei candidati

L'invio del curriculum è spesso il primo passo per entrare nel mondo del lavoro. In questa fase il lavoratore mette a disposizione del destinatario una quantità significativa di dati personali, talvolta anche sensibili. Per questo motivo, la normativa italiana ed europea

impone regole precise a tutela della riservatezza, regole che vincolano soprattutto i soggetti che ricevono e trattano tali informazioni. Domanda: È obbligatoria l’autorizzazione privacy nel CV? Contrariamente a una prassi molto diffusa, l’inserimento nel curriculum di una formula di autorizzazione al trattamento dei dati personali non è, di per sé, determinante per la liceità del trattamento. La disciplina vigente – contenuta nel Regolamento (UE) 2016/679 e nel D.lgs. 196/2003, come modificato dal D.lgs. 101/2018 – chiarisce che, nel contesto della selezione del personale, il trattamento dei dati può fondarsi su basi giuridiche diverse dal consenso. In particolare, l’art. 6 del GDPR consente il trattamento dei dati quando è necessario all’esecuzione di misure precontrattuali adottate su richiesta dell’interessato. L’invio del CV rientra tipicamente in questa ipotesi: il candidato manifesta volontariamente l’interesse a instaurare un rapporto di lavoro. Di conseguenza l’assenza della formula di autorizzazione nel CV non impedisce automaticamente il trattamento dei dati; resta però fermo l’obbligo, per il datore di lavoro o per l’azienda che riceve il curriculum, di rispettare tutti gli altri adempimenti previsti dalla normativa. L’obbligo di informativa. Il punto centrale non è tanto il consenso, quanto la trasparenza. L’art. 13 del GDPR impone al titolare del trattamento di fornire all’interessato un’informativa chiara e completa, che indichi chi tratta i dati (titolare e eventuali responsabili), le finalità del trattamento, la base giuridica, i tempi di conservazione e i diritti esercitabili (accesso, rettifica, cancellazione, limitazione, opposizione).  Per quanto riguarda i curricula, il Codice Privacy italiano prevede una disciplina specifica: in caso di candidatura spontanea, l’informativa può essere fornita al primo contatto utile con il candidato (art. 13, comma 5-bis, D.lgs. 196/2003); in caso di risposta a un annuncio di lavoro, l’informativa deve essere resa già al momento della raccolta dei dati, poiché è l’azienda a sollecitare l’invio del CV. Il ruolo dei soggetti coinvolti. Nel trattamento dei dati personali relativi ai candidati, la normativa individua figure precise: titolare del trattamento: il soggetto che determina finalità e mezzi del trattamento (es. azienda o agenzia di selezione); responsabile del trattamento: eventuale soggetto esterno che tratta i dati per conto del titolare; **autorizzati/incaricati: persone fisiche che operano sotto l’autorità del titolare o del responsabile. Se la selezione è affidata a terzi (ad esempio società di recruiting), devono essere chiaramente definiti i rapporti e le responsabilità, nel rispetto dell’art. 28 del GDPR.

Quando il trattamento diventa illecito. Il trattamento dei dati contenuti nei curricula diventa illecito quando i dati sono utilizzati per finalità diverse da quelle dichiarate (es. marketing o profilazione commerciale), manca o è inadeguata l’informativa, vengono trattati dati particolari (es. salute, vita sessuale) senza una specifica base giuridica (art. 9 GDPR) e/o si raccolgono informazioni non pertinenti o eccedenti rispetto alla selezione. In tali casi, il lavoratore può rivolgersi al Garante per la protezione dei dati personali, che ha il potere di adottare provvedimenti e irrogare sanzioni anche rilevanti. 

Il principio affermato dalla giurisprudenza. La giurisprudenza ha chiarito con forza i limiti del trattamento dei dati in ambito di selezione del personale. In particolare, la Cassazione n. 13219/2014 ha stabilito che il consenso al trattamento dei dati non può essere presunto o implicito, Il titolare deve sempre indicare chiaramente le finalità del trattamento. È inoltre illecito raccogliere informazioni invasive e non pertinenti, specie se attinenti alla sfera privata o sensibile del candidato. La decisione ha evidenziato che la partecipazione volontaria a una selezione non legittima qualsiasi forma di indagine sulla persona. Diritti del candidato.  Il lavoratore che invia un curriculum mantiene pieno controllo sui propri dati personali. In base agli artt. 15 e ss. del GDPR, può ottenere conferma dell’esistenza di dati che lo riguardano, chiederne la rettifica o l’aggiornamento, richiederne la cancellazione (“diritto all’oblio”) e opporsi al trattamento in determinate circostanze. Le aziende devono mettere a disposizione canali semplici ed efficaci per l’esercizio di tali diritti. Conclusione. L’invio del curriculum, anche senza una formula di autorizzazione privacy, non priva il lavoratore delle tutele previste dalla legge. Al contrario, è proprio chi riceve e gestisce quei dati a essere gravato dai principali obblighi: trasparenza, correttezza e limitazione delle finalità. Per il lavoratore – o aspirante tale – è fondamentale sapere che la ricerca di un impiego non comporta la rinuncia alla propria riservatezza. La normativa vigente garantisce un equilibrio tra esigenze organizzative delle imprese e diritti fondamentali della persona, imponendo limiti chiari a qualsiasi utilizzo improprio delle informazioni personali.

Conoscere i propri diritti è importante ma, ancora di più, è esercitarli nel modo corretto. I dirigenti di Azione Sindacale Udine garantiscono ai propri iscritti una tutela gratuita, qualificata e tempi di attesa che non superano, nella peggiore delle ipotesi, le 48 ore. 

• puoi chiamarci: Linea mobile 351-6688108

• contattarci via e-mail: azionesindacale.fvg@gmail.com