Molto spesso, i siti web delle organizzazioni predispongono una sezione o un modulo “lavora con noi” con cui sono raccolti i contatti e il curriculum vitae di candidati, anche eventualmente non collegati ad uno specifico annuncio di lavoro. Esistono però alcuni errori diffusi che è bene non commettere, al fine di non violare la normativa in materia di protezione dei dati personali e il principio di privacy by design per cui il rispetto del GDPR deve essere inserito come elemento di progettazione all’interno di ogni attività di trattamento.
Un primo errore comune consiste nel non rendere disponibili all’interessato le informazioni relative alle attività di trattamento dei dati personali svolte tramite il modulo, ritenendo che l’impiego del modulo possa rientrare nell’ipotesi di ricezione di curricula spontaneamente trasmessi dall’interessato cui all’art. 111-bis Cod. Privacy. Secondo tale disposizione, le informazioni possono essere fornite “al momento del primo contatto utile”. Il Garante ha però chiarito che l’inserimento dei dati del candidato all’interno del modulo “lavora con noi” non costituisce un’attività di mera ricezione di un curriculum vitae, bensì “una richiesta di dati personali posta in essere dal titolare del trattamento, a fronte della quale l’interessato deve ricevere “previamente” l’informativa”.
Al fine di evitare di incorrere in questo tipo di violazione, è opportuno ad esempio valutare l’inserimento di un link all’informativa (o la stessa informativa all’interno di scroll box) nella sezione in cui è presente il modulo. Ovviamente, il contenuto dell’informativa dovrà essere redatto in una forma per quanto possibile chiara, sintetica e concisa (e dunque: non confusionaria, descrivendo tutte le attività di trattamento svolte dall’organizzazione) così da conformarsi alle indicazioni dell’art. 12 GDPR.
Un altro errore è l’inesatta definizione dei tempi di data retention, che comporta una violazione del principio della limitazione della conservazione. Diventa fondamentale collegare dunque il termine di conservazione dei dati dei candidati ai processi di selezione, nonché definire anche il termine massimo oltre il quale il curriculum diventerà inattuale, e dunque non più coerente con le finalità per cui è stato ricevuto (ovverosia: la selezione del personale, per cui sono necessari curricula aggiornati).La richiesta di consenso al trattamento dei dati in calce al modulo, inoltre, rappresenta un ulteriore errore in relazione alla corretta individuazione della base giuridica. In questo caso, se si vuol comunque ricevere il conforto di un’azione positiva da parte dell’interessato, è consigliabile sostituire la richiesta di spunta sul consenso (o sulla famigerata formula: “Autorizzo il trattamento dei dati personali”) con una richiesta di spunta per presa visione dell’informativa.
