Prima la distinzione. In Svizzera si applica la legge federale riveduta sulla protezione dei dati (LPD) dal 1° settembre 2023. Il GDPR entra in gioco in aggiunta, quando la Sua azienda tratta dati di persone che si trovano nell’UE e la Sua offerta si rivolge deliberatamente a quel mercato. I due corpi normativi non si escludono a vicenda, possono valere in parallelo. Che cosa significhi questo nel recruiting è oggetto di un articolo a parte. Nella direzione opposta la situazione è distesa: con il rapporto del 15 gennaio 2024 la Commissione europea ha confermato che il diritto svizzero in materia di protezione dei dati corrisponde tuttora allo standard europeo. I dati possono quindi essere trasmessi dall’UE verso la Svizzera senza garanzie aggiuntive.
Il GDPR spiegato in breve
Il Regolamento Generale sulla Protezione dei Dati (GDPR) è la regolamentazione centrale per il trattamento dei dati personali nell’UE. Regola come i dati devono essere trattati, archiviati e cancellati, con l’obiettivo di proteggere la privacy delle persone fisiche. Specialmente nel recruiting, dove si trattano quotidianamente informazioni sensibili, questo è un tema centrale.
Principi importanti del GDPR:
- Diritto di accesso, rettifica e cancellazione
- Privacy by Design: la protezione dei dati è integrata fin dall’inizio nell’architettura del sistema.
- Privacy by Default: la protezione dei dati è attivata di default, senza l’intervento dell’utente.
- Limitazione della finalità e della durata di conservazione: i dati delle candidature possono essere conservati solo per il tempo realmente necessario.
Dati personali
Per dati personali si intendono tutte le informazioni che si riferiscono a una persona fisica identificata o identificabile. Quindi tutti i dati che senza eccezione possono essere assegnati a una persona, come nome, numero di telefono o dati bancari. Si distingue tra dati personali ordinari e dati personali particolari: dati personali particolari come dati genetici, biometrici o etnici godono di un livello di protezione più elevato. I dati personali possono essere conservati solo finché hanno adempiuto al loro scopo. Questo è previsto dal principio della limitazione della conservazione. Questo vale, per esempio, anche per le candidature: quando si conservano candidature di persone fisiche provenienti dall’UE, si trattano dati personali.
Il GDPR in Svizzera: chi è interessato?
In Svizzera si applica in linea di principio la legge svizzera sulla protezione dei dati (LPD). Tuttavia: anche le aziende in Svizzera devono confrontarsi con il GDPR, soprattutto se, secondo il principio del luogo di mercato, intrattengono relazioni commerciali con l’UE. Qui devono essere accuratamente controllati i processi interni, i contratti, le linee guida e le informative sulla privacy. La conseguenza è la seguente: non appena le aziende svizzere acquisiscono e trattano dati personali di persone fisiche dell’UE, devono conformarsi al GDPR dell’UE. In particolare, se si tratta di beni e/o servizi o del comportamento della persona fisica. L’azienda ha una filiale nell’Unione Europea? Viene impiegato un committente nell’UE? O un’azienda svizzera tratta dati personali per conto di un’azienda nell’UE? Anche in questi casi le regole del GDPR valgono per la Sua azienda.
L’azienda svizzera è interessata dal GDPR perché ha una chiara intenzione di commercio? Allora valgono le seguenti obbligazioni:
- Informare la persona interessata e ottenere il suo consenso al trattamento dei dati
- Nominare un rappresentante per la protezione dei dati nell’UE
- Redigere un registro delle attività di trattamento
- Segnalare le violazioni dei dati all’autorità di controllo
- Effettuare una valutazione d’impatto sulla protezione dei dati
Responsabili della protezione dati in Svizzera per il GDPR
Interni o esterni: una persona competente che si occupa della protezione dei dati è molto preziosa, specialmente nel recruiting. Può definire, controllare e coordinare i processi necessari. Se la Sua azienda è soggetta al GDPR, ha inoltre bisogno di un rappresentante ufficiale con sede in uno Stato membro dell’UE come punto di contatto per le autorità di controllo e per le persone interessate.
Violazioni del GDPR: sanzioni elevate possibili
Il GDPR prevede sanzioni severe in caso di violazioni. In caso di violazioni gravi sono previste multe fino al 4% del fatturato annuo mondiale o fino a 20 milioni di euro, a seconda di quale importo sia maggiore.
Non si tratta solo di teoria. Ciò che finora è stato deciso nel recruiting riguardava però meno le grandi multe delle autorità di controllo e più le azioni di risarcimento promosse da singoli candidati.
Due esempi dalla Germania. Nel primo, una banca ha inviato tramite un network professionale un messaggio relativo alla candidatura in corso di un candidato e, per un errore di elaborazione, lo ha trasmesso anche a una persona estranea della stessa branca. La Corte federale di giustizia ha riconosciuto al candidato, in linea di principio, un risarcimento del danno immateriale.[1]
Nel secondo, un’università ha cercato un candidato su Google prima del colloquio, ha trovato informazioni su un procedimento penale e le ha fatte confluire nella decisione senza comunicarglielo. Il Tribunale federale del lavoro gli ha riconosciuto 1000 euro. La ricerca sui candidati era di per sé lecita; è stato violato l’obbligo di informare sui dati così ottenuti.[2]
In entrambi i casi si tratta di sentenze tedesche sul GDPR, che per le aziende svizzere non sono diritto direttamente applicabile. Restano comunque un indizio utile: a mancare non è stata l’informativa sulla privacy, ma un’informazione che non è stata data.
Questo articolo inquadra i principali obblighi e non sostituisce una consulenza legale. Il modo in cui le regole si applicano nella Sua azienda dipende dal caso concreto.
Conclusione: il GDPR riguarda anche le aziende svizzere
Se il GDPR si applichi alla Sua azienda non si decide in base alla sede, ma in base a quali dati tratta e a quale mercato si rivolge la Sua offerta. Non è una domanda da liquidare di sfuggita.
Che cosa portarsi a casa: faccia verificare da un esperto o un’esperta di protezione dei dati se la Sua azienda rientra nel campo di applicazione. Se vi rientra, guardi anzitutto ai processi in cui nascono i dati dei candidati e in cui restano depositati. È lì che si producono gli errori, non nell’informativa sulla privacy.
La nostra soluzione di e-recruiting copre tutti i processi dalla candidatura fino alla cancellazione in conformità con il GDPR: gestione del consenso, comunicazione trasparente e termini di cancellazione automatizzati.
Provi ora quanto può essere semplice il recruiting sicuro dal punto di vista della protezione dei dati!
[1] Risarcimento dopo la trasmissione per errore di una candidatura a un terzo: sentenza della Corte federale di giustizia tedesca del 23 giugno 2026, VI ZR 97/22.
[2] La ricerca online sui candidati è lecita, ma informarne è obbligatorio: sentenza del Tribunale federale del lavoro tedesco del 5 giugno 2025, 8 AZR 117/24.