Il Regolamento generale sulla protezione dei dati o GDPR, adottato nel 2016 e operativo dal 2018, ha avuto un enorme impatto sull’attività di ricerca e selezione del personale.
La sua introduzione ha messo ordine in processi poco regolamentati, spingendo le aziende a migliorare l’esperienza di candidatura.
Allo stesso tempo ha però moltiplicato le adempienze da assolvere, con un carico di lavoro non indifferente soprattutto per le PMI.
Un tassello fondamentale della compliance è costituito dalla redazione di una informativa sul trattamento dei dati da mostrare ai candidati al momento della candidatura.
Come produttori di ATS (Applicant Tracking System) e fornitori di career site professionali ci siamo soffermati a lungo su questo tema e con il supporto di un importante studio privacy abbiamo realizzato un template affidabile che forniamo a tutti i nostri clienti.
Abbiamo così identificato i 10 passaggi da seguire nella redazione dell’informativa per i candidati da pubblicare sul career site aziendale.
10 step per la redazione dell’informativa per i candidati
1) Identificare l’azienda come titolare del trattamento dei dati
Il primo passo da compiere è quello di identificare l’azienda che opera come titolare del trattamento dei dati dei candidati. Nella maggior parte dei casi sarà la tua azienda. Indicane, per esempio, la ragione sociale, l’indirizzo della sede legale e la partita iva.
2) Citare la normativa di riferimento
Nell’informativa va quindi citata la normativa ai sensi della quale si opera il trattamento (attualmente il Regolamento UE 679/2016, ovvero il GDPR) e inserito un riferimento alla normativa nazionale.
3) Identificare l’oggetto del trattamento
Bisogna specificare quali dati dei candidati – inviati attraverso il form di candidatura del tuo career site – saranno oggetto del trattamento. È quindi buona norma citare alcuni esempi di dati personali identificativi, per esempio, nome, cognome, email, numero telefonico etc.
Considerato, però, che dati di altro tipo potrebbero essere contenuti nel CV allegato, conviene menzionare anche il trattamento di eventuali dati sensibili o particolari che il candidato potrebbe trasmettere, come per esempio l’appartenenza a una categoria protetta.
4) Enumerare le finalità
La maggior parte delle aziende utilizza i dati dei candidati esclusivamente per finalità di servizio/contrattuali, ovvero per svolgere tutti i diversi step del processo di selezione (screening, colloqui, lettere di offerta, contratti ecc.).
Va indicata però anche la finalità legata all’interesse legittimo del Titolare, dato che i dati dei candidati potrebbero essere utilizzati per analisi statistiche o per adempiere all’ordine dell’Autorità.
In questi casi non è necessario chiedere ai candidati il consenso esplicito ad autorizzare il trattamento dei loro dati (per esempio tramite l’attivazione di una casella di controllo), ma è sufficiente mostrare contestualmente un link all’informativa.
Deve essere invece richiesto a parte e in maniera esplicita e facoltativa il consenso per altre finalità di trattamento, come per esempio quella di marketing.
5) Specificare le modalità di trattamento
L’informativa per i candidati del tuo career site deve specificare anche quali saranno le azioni che potranno essere svolte sui loro dati.
Le azioni variano a seconda delle procedure e delle tecnologie usate in azienda. Ecco una lista di esempio: raccolta, registrazione, aggiornamento, organizzazione, conservazione, consultazione, elaborazione, modificazione, selezione, estrazione, raffronto, utilizzo, interconnessione, blocco, cancellazione, distruzione dei dati.
6) Indicare i tempi di conservazione dei dati
Un tassello fondamentale di una informativa per il trattamento dei dati dei candidati è l’indicazione dei tempi di data retention.
Va infatti esplicitato per quanto tempo verranno conservati, al massimo, i dati del candidato prima di richiedere un rinnovo del consenso o di procedere con l’eliminazione.
Lo standard più diffuso tra le aziende italiane è di 24 mesi, ma a seconda delle esigenze il periodo di conservazione dei dati può essere diminuito o aumentato, a patto che la decisione sia giustificata da un valido motivo. Per esempio, per le società di selezione che operano in una nicchia di mercato un periodo di data retention di soli 24 mesi potrebbe essere insufficiente per svolgere al meglio il loro lavoro.
7) Specificare chi avrà accesso ai dati e a chi potranno essere comunicati
Va inoltre indicato che ai dati dei candidati potranno accedere i dipendenti e i collaboratori che ricoprono il ruolo di incaricati del trattamento e/o responsabili interni del trattamento e/o amministratori di sistema e le società terze che agiscono come responsabili esterni del trattamento (per esempio i provider del sito web e del server o i tecnici dell’assistenza IT).
Infine, il candidato va anche informato del fatto che l’azienda avrà l’obbligo di comunicare i suoi dati, anche senza consenso, alle forze dell’ordine per finalità istituzionali e/o in forza di legge.
8) Esplicitare l’ubicazione dei dati e le regole sul trasferimento extra UE
Come sottolineato dal Garante della Privacy, per il rispetto della normativa GDPR è fondamentale che i dati dei candidati siano ospitati su un server che si trovi all’interno dell’UE e che questi non vengano trasferiti o diffusi al di fuori di essa. Il trasferimento dei dati extra UE potrà avvenire solo a seguito di ulteriore consenso dell’interessato.
Se utilizzate un ATS, informatevi sull’ubicazione dei server e sul tema del trasferimento extra UE.
9) Informare sui diritti dell’interessato e sulle modalità di esercizio
Nell’informativa per il trattamento dei dati dei candidati dovrai indicare anche i loro diritti.
Per rispettare la normativa GDPR dovrai garantire agli utenti che si registrano sul tuo career site il diritto a:
- Poter accedere ai loro dati personali registrati sui sistemi aziendali
- Essere messi a conoscenza di tutti i processi di trattamento dei loro dati svolti dalla tua azienda
- Ottenere rapidamente l’aggiornamento o la rettifica dei loro dati
- Ottenere la cancellazione o l’anonimizzazione dei loro dati
- Ottenere la limitazione del trattamento dei loro dati
- Opporsi al trattamento dei dati
- Fare reclamo al Garante della Privacy
Andranno anche indicate le modalità con le quali i candidati potranno esercitare i loro diritti, tipicamente tramite raccomandata, email o telefono.
10) Elencare titolari e responsabili del trattamento ed eventuali subresponsabili
Un ultimo elemento fondamentale di una informativa candidati è l’identificazione dei titolari e dei responsabili del trattamento e di eventuali subresponsabili.
Rispettare l’informativa per i candidati
Redigere una informativa per i candidati è fondamentale per effettuare un corretto trattamento dei dati e non incorrere in sanzioni, ma non basta. Bisogna anche essere in grado di svolgere il trattamento nelle modalità che abbiamo indicato.
Il tema della conservazione dei dati o data retention è l’esempio più lampante. Se i profili dei candidati sono archiviati su fogli Excel, email o carta è inevitabile compiere degli errori nella scadenza dei consensi, esponendosi al rischio di sanzioni.
Al contrario, un ATS può gestirne la scadenza in maniera automatica grazie a un workflow di cancellazione che procede con l’eliminazione dei CV al termine del periodo di consenso dato. In Altamira Recruiting è possibile, inoltre, pianificare delle email di avviso al candidato che precedono la scadenza del consenso in modo che possa rinnovarlo.
Anche garantire i diritti del candidato citati in precedenza è difficile se non ha la possibilità di creare un account sul career site aziendale, modificare i propri dati o cancellarli.
Tra i tanti motivi per cui la tua azienda dovrebbe dotarsi di un ATS moderno c’è quindi anche la compliance con il GDPR.
Richiedi una demo gratuita di Altamira Recruiting per scoprire i nostri strumenti per la gestione della privacy di candidati e dipendenti.
Credito fotografico: ©ra2 studio/Adobe Stock
