Tutt’oggi vediamo annunci di lavoro in cui o le aziende o i selezionatori richiedono di mettere all’interno del CV quella nota (o per meglio dire: famigerata) formula di autorizzazione/consenso al trattamento dei dati personali.
Sia nel caso di CV spontaneamente trasmessi che nel caso dell’invio di CV per rispondere ad un annuncio di lavoro, tale formula autorizzativa è un errore dal punto di vista normativo. Tale errore, è bene notare, causa spesso la discriminazione dei candidati con la loro ingiusta esclusione.
Nel caso di candidature spontanee, già in vigenza del vecchio Codice Privacy, gli artt. 24 (rubricato: “Casi nei quali può essere effettuato il trattamento senza consenso”) e 26 (rubricato: “Garanzie per i dati sensibili”) era prevista espressamente l’esenzione dal consenso dell’interessato per i dati contenuti nei CV, tanto per dati comuni che sensibili. Con la riforma operata dal d.lgs. 101/2018 i citati articoli sono stati abrogati e l’art. 111-bis del Codice Privacy ribadisce semplicemente che «Nei limiti delle finalità di cui all’articolo 6, paragrafo 1, lettera b), del Regolamento, il consenso al trattamento dei dati personali presenti nei curricula non è dovuto».
Di conseguenza, fintanto che i dati saranno impiegati esclusivamente per la valutazione del candidato (e dunque tutta l’attività di selezione) e l’eventuale instaurazione del rapporto di lavoro, non è dovuto alcun consenso in quanto la base giuridica è già riscontrabile in quanto il trattamento dei dati è necessario, per i dati comuni, a dare esecuzione a misure precontrattuali adottate su richiesta dell’interessato.
Quid juris per il trattamento di eventuali dati di categorie particolari contenuti nel CV?
In questo caso, così come nel caso di risposta ad un annuncio di lavoro, la base giuridica è individuabile nel consenso. Non si intende però il consenso/autorizzazione reso mediante alcuna “formula”, bensì l’atto positivo ed inequivocabile che consiste nell’invio del CV. Poiché il consenso è definito (art. 4 GDPR) come «qualsiasi manifestazione di volontà libera, specifica, informata e inequivocabile dell’interessato, con la quale lo stesso manifesta il proprio assenso, mediante dichiarazione o azione positiva inequivocabile, che i dati personali che lo riguardano siano oggetto di trattamento;», quale volontà più manifesta, positiva ed inequivocabile ulteriore va ricercata oltre l’atto di invio del proprio CV, sia esso spontaneo o altrimenti in risposta ad un annuncio?
Vero è che l’art. 9 par. 2 lett. a) chiede un consenso “esplicito” per i dati di categorie particolari, ma anche qui: cosa c’è di più esplicito dell’invio spontaneo di un CV o della risposta ad un annuncio di lavoro per fornire un assenso a trattare i dati entro le finalità della valutazione della propria candidatura e l’eventuale partecipazione ad una procedura di selezione?
È bene ricordare piuttosto che non esiste alcuna esenzione circa le informazioni da rendere ai candidati ai sensi degli artt. 13 (nel caso in cui si ricevano direttamente dagli interessati i CV) e 14 (in tutte le ipotesi in cui i CV sono raccolti presso soggetti diversi dall’interessato) GDPR. Inoltre, dal momento che il consenso per essere valido deve essere informato, una carenza di informativa va ad incidere anche sulla corretta acquisizione della base giuridica.
Nel caso di candidature spontanee, l’art. 111-bis Cod. Privacy consente di fornire le informazioni di cui all’art. 13 GDPR «al momento del primo contatto utile, successivo all’invio del curriculum medesimo», e dunque, ad esempio, o al riscontro con conferma della ricezione del CV o altrimenti unitamente all’invito a partecipare alla procedura di selezione.
Nel caso di un annuncio di lavoro, invece, vige l’obbligo per il titolare del trattamento (ovverosia: il potenziale datore di lavoro) di inserire già all’interno dell’annuncio un’informativa relativa al trattamento dei dati personali dei candidati.
