Quali dati può raccogliere

Il criterio non si trova nella legge sulla protezione dei dati, bensì nel codice delle obbligazioni. L'articolo 328b CO stabilisce che il datore di lavoro può trattare dati concernenti il lavoratore soltanto nella misura in cui questi dati riguardino l'idoneità al rapporto di lavoro o siano necessari all'esecuzione del contratto di lavoro.

Il testo parla di lavoratori. L'Incaricato federale della protezione dei dati e della trasparenza (IFPDT), l’autorità federale di vigilanza in materia di protezione dei dati, applica però espressamente lo stesso criterio già alla fase di candidatura: prima del rapporto di lavoro possono essere trattati soltanto i dati personali dei candidati che riguardano l'idoneità al posto.

In concreto: ogni domanda del modulo di candidatura deve reggere questa verifica. Chi cerca una conducente di autocarri può chiedere la licenza di condurre. Nessuno chiede lo stato civile, i progetti familiari o la confessione, a meno che il posto lo esiga imperativamente. Una griglia di criteri fissata prima della pubblicazione dell'annuncio aiuta due volte: contiene la raccolta di dati e rende la selezione tracciabile.

Obbligo di informazione: che cosa devono sapere i candidati

Se richiede documenti di candidatura nell'ambito di una selezione, deve informarne le persone interessate. Vanno comunicati fra l'altro lo scopo del trattamento, chi è il titolare e come lo si può raggiungere.

Nella soluzione di gestione delle candidature Refline, una dichiarazione sulla protezione dei dati si trova direttamente sul modulo di candidatura. In alternativa è pubblicata sul sito web, con un link nel punto in cui inizia la candidatura. Chi omette l'informazione rischia una multa.

Obbligo di cancellazione: per quanto tempo può conservare un dossier

I documenti di candidatura possono essere conservati solo finché sussiste lo scopo originario: coprire questa posizione. Se la posizione viene assegnata a un’altra persona o non viene assegnata affatto, tale scopo decade.

Con questo la domanda non è però ancora risolta. La LPD non fissa alcuna durata di conservazione e l’IFPDT sottolinea espressamente che la durata va stabilita per ogni categoria di dati. Accanto allo scopo originario, altri obblighi e interessi possono giustificare una conservazione più lunga: una possibile azione per rifiuto discriminatorio, giustificativi nei confronti della SECO o dell’URC, oppure un interesse proprio dell’azienda che sia motivabile.

Ciò che ne deriva non è una cifra, ma una decisione: stabilisca per ogni categoria di dati quanto a lungo le serve, annoti il motivo e cancelli dopo. Chi si aggrappa a un singolo numero di mesi senza aver esaminato il proprio caso sbaglia per eccesso o per difetto.

Vi si aggiunge un obbligo che spesso passa inosservato: al termine della procedura di selezione i documenti delle persone scartate vanno restituiti e le eventuali copie distrutte. Può conservare soltanto ciò che le appartiene, ossia la lettera di candidatura, il questionario del personale e le informazioni ottenute dalle referenze.

Perché per e-mail è quasi impossibile

Quando una candidatura arriva per e-mail e viene poi inoltrata internamente, commentata e archiviata da qualche parte, lascia una traccia di dati su più caselle e unità. Ritrovare e cancellare tutto mesi dopo riesce di rado. Ma è esattamente questo che la legge richiede.

Con una soluzione di e-recruiting come Refline ogni candidatura si trova in un unico luogo. I termini di cancellazione che ha stabilito sono automatizzati e archivia candidature e posizioni in modo conforme con un clic. Al posto di cercare e sollecitare resta un termine che si applica da sé.

Talent pool: quando può conservare un dossier più a lungo

Conservare un dossier dopo il rifiuto è consentito, a condizione che la persona vi acconsenta.

Questo consenso deve essere esplicito e richiede un termine chiaro: fino a quando il dossier viene conservato. «Fino a nuovo avviso» non basta. Perché il consenso sia valido deve inoltre essere dato liberamente, per un trattamento determinato e dopo un’informazione adeguata.

In pratica: ogni dossier nel talent pool ha una data di scadenza, e la persona lo sa perché ha acconsentito. Un pool senza data di scadenza è la violazione silenziosa più frequente dell’obbligo di cancellazione.

Diritto d'accesso: 30 giorni, gratuito, irrinunciabile

Ogni persona può chiedere se dati che la riguardano vengono trattati. I candidati hanno diritto a un'informazione completa e corretta. La legge elenca che cosa va comunicato: l'identità e i dati di contatto del titolare del trattamento, i dati personali trattati, lo scopo, la durata di conservazione o i criteri per determinarla, le informazioni disponibili sulla provenienza dei dati, i destinatari e, in caso di decisione individuale automatizzata, la logica su cui si fonda.

Tre punti che nella pratica creano difficoltà:

Il termine. L'informazione va fornita entro 30 giorni dal ricevimento della domanda. Se non ci riesce, deve informare la persona entro lo stesso termine e indicarle quando riceverà l'informazione. Lo stesso vale se intende limitare o rifiutare l'informazione.

I costi. L'informazione è gratuita. Solo in caso di onere sproporzionato può essere richiesta una partecipazione adeguata di al massimo 300 franchi, e ciò va comunicato in anticipo.

La rinuncia. Nessuno può rinunciare in anticipo al diritto d'accesso. Una clausola nel modulo di candidatura che tenti di farlo è priva di effetto.

Se utilizza un sistema di gestione delle candidature di un fornitore, l'obbligo di informare resta comunque suo. Il fornitore è responsabile del trattamento su incarico, non destinatario della domanda.

Dove si trovano i dati dei candidati

Non appena entra in gioco il sistema di gestione delle candidature di un fornitore, quel fornitore tratta i dati per suo conto. Lei resta responsabile e deve accertarsi che il fornitore garantisca la sicurezza dei dati. Se i dati si trovano all’estero, si aggiungono requisiti ulteriori.

La risposta più breve a questa domanda è non doversela porre. Refline gestisce tutte le applicazioni in Svizzera, incluso il modulo CV Parser e le applicazioni di IA. I centri di calcolo sono certificati ISO 27001.

L'IA nella preselezione: che cosa dice la legge, e che cosa no

Non appena un sistema valuta automaticamente le candidature, entrano in gioco due nozioni.

La profilazione è il trattamento automatizzato di dati personali volto a valutare aspetti personali, quali le prestazioni lavorative, l'affidabilità o il comportamento. Uno scoring delle candidature rientra in questa definizione. La profilazione a rischio elevato sussiste quando il collegamento dei dati permette di valutare aspetti essenziali della personalità. Ne derivano due conseguenze: se è necessario un consenso, questo deve essere esplicito. E l'esenzione dall'obbligo di tenere un registro delle attività di trattamento decade, anche per le imprese più piccole.

La decisione individuale automatizzata è la seconda nozione. Se una decisione si fonda esclusivamente su un trattamento automatizzato e ha per la persona una conseguenza giuridica o la tocca in modo significativo, deve informarla. La persona può esporre il proprio punto di vista e chiedere che una persona fisica riesamini la decisione. La parola determinante è «esclusivamente»: se una persona esamina le proposte e decide da sé, la disposizione non si applica secondo il suo tenore.

E ora la parte che molte guide tacciono: non esiste alcuna prescrizione ufficiale svizzera che indichi da quando uno screening con IA nel recruiting costituisca profilazione a rischio elevato. Chi le indica una soglia precisa interpreta anziché citare. Solo il ragionamento inverso è solido: più un sistema decide da sé, e più caratteristiche collega per farlo, più si trova in terreno regolamentato. Chi impiega uno strumento di IA nel processo di candidatura dovrebbe quindi documentare quale ruolo abbia e chi porti la decisione.

Quando qualcosa va storto: obbligo di notifica e multe

Se una violazione della sicurezza dei dati comporta presumibilmente un rischio elevato per la personalità o i diritti fondamentali della persona interessata, deve notificarla all'IFPDT il più rapidamente possibile. A differenza del GDPR, la legge svizzera non fissa un termine di 72 ore. La notifica indica almeno la natura della violazione, le sue conseguenze e i provvedimenti presi o previsti. Informa la persona interessata quando ciò è necessario per la sua protezione o quando lo esige l'IFPDT.

Le multe arrivano fino a 250 000 franchi e colpiscono la persona fisica responsabile, non l'impresa. Presuppongono l'intenzione. Se entra in considerazione una multa di al massimo 50 000 franchi e l'individuazione della persona responsabile richiederebbe un onere sproporzionato, l'autorità può condannare l'azienda al suo posto.

Domande frequenti sulla protezione dei dati nel recruiting

Le domande che i team HR svizzeri ci pongono più spesso sulla protezione dei dati.

Per quanto tempo posso conservare i documenti di candidatura?

La LPD non fissa alcuna durata. Determinante è lo scopo: una volta coperta la posizione, lo scopo originario decade. Accanto a ciò, altri obblighi e interessi possono giustificare una conservazione più lunga, ad esempio una possibile azione per rifiuto discriminatorio, giustificativi nei confronti della SECO o dell’URC, oppure un interesse proprio dell’azienda che sia motivabile. La durata la stabilisce quindi Lei stessa per ogni categoria di dati, annotandone il motivo.

Posso inserire un dossier nel talent pool senza consenso?

Di regola no. La via corretta è il consenso esplicito, unito a un termine chiaro che indichi per quanto tempo il dossier viene conservato. Senza questo consenso, il talent pool non è il posto giusto per il dossier.

Entro quanto devo rispondere a una domanda d'accesso?

Entro 30 giorni dal ricevimento. Se il tempo non basta, deve informare la persona entro lo stesso termine e comunicarle quando arriverà l'informazione. L'informazione è gratuita; solo in caso di onere sproporzionato può essere richiesta una partecipazione di al massimo 300 franchi, annunciata prima di fornire l'informazione.

La mia azienda ha bisogno di un registro delle attività di trattamento?

Le imprese che al 1° gennaio di un anno occupano meno di 250 collaboratori sono esentate da questo obbligo. L'esenzione decade non appena vengono trattati dati personali degni di particolare protezione su larga scala oppure ha luogo una profilazione a rischio elevato.

Conclusione: la protezione dei dati nel recruiting è una questione di processo

Nessuno degli obblighi di questo articolo è difficile di per sé. Diventa difficile quando le candidature sono sparse fra caselle di posta, unità e appunti. Il termine di cancellazione fallisce già nella ricerca, e l'informazione entro 30 giorni si trasforma in un turno di notte. Chi gestisce le candidature in un unico luogo ha svolto la parte maggiore del lavoro prima ancora che scatti il primo termine.

Obblighi di protezione dei dati risolti in modo pulito, con Refline

Con la soluzione di e-recruiting di Refline le funzioni rilevanti per la protezione dei dati si trovano nel processo di candidatura stesso. Dal consenso sul modulo al termine di cancellazione automatizzato. Gestita in centri di calcolo in Svizzera.