La raccolta dei dati dei candidati avviene generalmente tramite l'invio, spontaneo o sollecitato dall'azienda, del curriculum vitae.
Il trattamento dei dati inseriti nel curriculum non varia con l'avvento del GDPR, in quanto anche il vecchio testo del Codice Privacy prevedeva (art. 24) la possibilità di trattare i dati dei candidati ai fini del'instaurazione di un rapporto di lavoro senza necessità di consenso, nel caso di trasmissione spontanea del curriculum. E tale consenso non era previsto (art. 26) nemmeno per il trattamento dei dati sensibili. Per quanto riguarda l'informativa, il vecchio Codice prevedeva che essa non era dovuta, sempre nel caso di ricezione di curricula spontaneamente trasmessi dagli interessati al fine dell'instaurazione di un rapporto di lavoro. L'informativa, quindi, era dovuta solo nel momento del primo contatto successivo all'invio del curriculum. E' chiaro, però, che i dati possono essere utilizzati solo per la finalità correlata, cioè la valutazione della candidatura, e non per altra finalità.
Con l'entrata in vigore del Regolamento europeo, e quindi il decreto di adeguamento del Codice Privacy, l'art. 111-bis del Codice prevede che “il consenso al trattamento dei dati personali presenti nei curricula non è dovuto” qualora ricorrano le finalità di cui all’articolo 6, paragrafo 1, lettera b), del Regolamento UE, cioé quando “il trattamento è necessario all’esecuzione di un contratto di cui l’interessato è parte o all’esecuzione di misure precontrattuali adottate su richiesta dello stesso”. Si tratta, ovviamente, delle selezioni per l'instaurazione di un rapporto di lavoro.
L'ipotesi che legittima il trattamento di eventuali dati a trattamento speciale (ex art. 9) è dato dal par. 2 lett. b), cioé il trattamento è necessario per assolvere gli obblighi ed esercitare i diritti specifici del titolare del trattamento o dell'interessato in materia di diritto del lavoro e della sicurezza sociale e protezione sociale, nella misura in cui sia autorizzato dal diritto dell'Unione o degli Stati membri o da un contratto collettivo ai sensi del diritto degli Stati membri, in presenza di garanzie appropriate per i diritti fondamentali e gli interessi dell'interessato.
Sempre lo stesso articolo chiarisce, inoltre, che "le informazioni di cui all'articolo 13 del Regolamento, nei casi di ricezione dei curricula spontaneamente trasmessi dagli interessati al fine della instaurazione di un rapporto di lavoro, vengono fornite al momento del primo contatto utile, successivo all'invio del curriculum medesimo". Quindi l'informativa dovrà essere fornita solo in un momento successivo.
Nel caso in cui l'invio del curriculum sia sollecitato direttamente dall'azienda, questa avrà la possibilità di fornire contestualmente l'informativa correlata allo specifico trattamento. Ovviamente anche in questo caso non occorre alcun consenso, purché i dati siano trattati per la finalità correlata all'instaurazione del rapporto di lavoro e non per finalità differenti.
Ricordiamo che a seguito dell'entrata in vigore del decreto trasparenza, l'utilizzo di sistemi automatizzati per lo screening dei currucula determina ulteriori obblighi informativi a carico del datore di lavoro.
