A chi non è mai capitato di inviare spontaneamente il proprio curriculum vitae (di seguito anche solo “CV”) ad un’azienda per candidarsi ad una specifica posizione lavorativa?
D’altra parte, come tutelare l’interesse delle aziende ad avere un bacino di possibili candidati per le figure in azienda, a cui attingere qualora avessero bisogno di una nuova risorsa in azienda.
Ma il tema sempre ricorrente è: quanto tempo posso conservare i curricula?
Come spesso accade, il Regolamento (UE) 2016/679 (“GDPR”), ed i relativi principi, sono un riferimento fondamentale per risolvere i quesiti in materia di protezione dei dati personali.
In tema di conservazione dei CV, infatti, non c’è una normativa specifica che indichi tempi certi e precisi, e anche l’art. 111-bis del Codice privacy (d.Lgs. 196/2003), in tema di candidature, si limita a stabilire che:
“Le informazioni di cui all’articolo 13 del Regolamento, nei casi di ricezione dei curricula spontaneamente trasmessi dagli interessati al fine della instaurazione di un rapporto di lavoro, vengono fornite al momento del primo contatto utile, successivo all’invio del curriculum medesimo. Nei limiti delle finalità di cui all’articolo 6, paragrafo 1, lettera b), del Regolamento, il consenso al trattamento dei dati personali presenti nei curricula non è dovuto.”
È sulla stessa azienda che riceve i CV, dunque, a gravare l’onere di stabilire il termine di conservazione, applicando i principi del GDPR.
In particolare, il principio della limitazione della conservazione (art. 5, par. 1, lett. e) del GDPR), in forza del quale i dati personali siano “conservati in una forma che consenta l’identificazione degli interessati per un arco di tempo non superiore al conseguimento delle finalità per le quali sono trattati […]”.
In altri termini, quindi, sarà il titolare a valutare e decidere:
I) innanzitutto la finalità del trattamento
e, conseguentemente,
II) quali dati, e per quanto tempo, debbano essere conservati per il conseguimento di dette finalità.
Naturalmente, il titolare del trattamento dovrà essere in grado di giustificare le scelte sul periodo di conservazione, nonché la logica ed il ragionamento che stanno alla base di tali scelte.
Oltre al principio della limitazione della conservazione, li titolare dovrà preoccuparsi di due ulteriori principi a cui il primo è strettamente connesso.
Il principio di minimizzazione dei dati, secondo cui i dati personali devono essere “adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati”.
Deve rilevarsi che il CV contiene dati personali di diverso tipo, la cui adeguatezza, pertinenza e necessarietà rispetto alla finalità per cui sono raccolti possono variare in maniera diversa nel tempo. A titolo esemplificativo, la conservazione dell’indirizzo e-mail del candidato può risultare necessaria per un determinato tempo, la conservazione dei dati relativi al suo percorso formativo per un tempo differente e così via.
Il principio di esattezza, secondo cui i dati personali devono essere “esatti e, se necessario, aggiornati; devono essere adottate tutte le misure ragionevoli per cancellare o rettificare tempestivamente i dati inesatti rispetto alle finalità per le quali sono trattati”.
A tal proposito, è bene osservare come la mera conservazione dei CV, se non accompagnata da alcuna azione da parte dell’azienda volta a garantire l’aggiornamento dei dati ivi contenuti, determina nella maggior parte dei casi una conservazione di dati che gradualmente perderebbero il requisito dell’esattezza. Possono cambiare, per esempio, la residenza e i dati di contatto del candidato, le informazioni relative al suo percorso professionale e formativo, etc. Rispetto poi al percorso professionale e formativo, occorre tenere conto anche delle peculiarità del profilo: possono esserci profili per i quali l’esattezza delle informazioni di un CV hanno una durata maggiori, altri per i quali l’esattezza ha un termine molto breve.
Ulteriori indicazioni utili in tema di conservazione dei Curriculum si ritrovano nel Parere 2/2017 sul trattamento dei dati sul posto di lavoro adottato l’8 giugno 2017 dal Gruppo di lavoro articolo 29 per la protezione dei dati. Per il Gruppo di Lavoro: “… i dati raccolti durante il processo di assunzione dovrebbero essere cancellati non appena sia evidente che non verrà fatta alcuna offerta di impiego o che l’offerta non sarà accettata dal candidato”, recependo così quanto in precedenza era stato rilevato sempre a livello comunitario la Raccomandazione sul trattamento di dati personali nel contesto occupazionale adottata il 1° aprile 2015, a cui si rimanda il lettore per eventuali approfondimenti.
Quindi, come valutare quanto tempo conservare i curricula?
Facendo un bilanciamento tra le esigenze specifiche per l’azienda al mantenimento di un archivio di curricula e i possibili rischi per gli interessati dalla conservazione degli stessi.
Detto in altre parole, il periodo di conservazione deve essere proporzionato rispetto alle finalità che l’azienda intende perseguire e non eccessivo in relazione ai possibili rischi per gli interessati dei cui dati si tratta. Questa soluzione è coerente con i principi sopra esposti del GDPR.
Dunque:
1. non esiste un termine prestabilito di conservazione dei curricula;
2. il termine potrà differire in base al contesto, ovvero alle circostanze e alle peculiarità delle singole situazioni ed esigenze aziendali, e non si può escludere un diverso periodo di conservazione anche in ragione del profilo e del tipo di dati contenuti;
3. l’azienda, in qualità di titolare del trattamento, dovrà assumere una decisione “giustificata” e nel rispetto dei principi del GDPR, garantendo al contempo che il periodo di conservazione scelto risponda effettivamente al principio di limitazione della conservazione, sia cioè il più breve tempo possibile necessario al conseguimento della finalità di instaurazione di un rapporto di lavoro.
Infine, mai dimenticarsi delle misure di sicurezza e della verifica periodica dell’attuazione delle stesse!
Oltre a decidere quanto tempo conservare i curricula, l’azienda deve incaricare anche il personale che si preoccupi di verificare la cancellazione dei CV decorso il tempo di conservazione stabilito, oltre che di quei CV che non risultano “interessanti” per l’azienda stessa. Oggi spesso queste operazioni sono automatizzate attraverso programmi di recruitment ad hoc o piattaforme dedicate, ma questo è un altro tema, solo in parte.
