La privacy dei lavoratori è importante a partire dalla fase di recruiting di un nuovo talento, durante i colloqui per l’assunzione di creativo e per l’eventuale conservazione anche in vista di una futura collaborazione: quali sono le regole GDPR?

La privacy dei lavoratori di un’agenzia di comunicazione

La gestione del trattamento dei dati personali dei lavoratori di un’agenzia di comunicazione, è un’attività fondamentale in quanto la conformità a GDPR non può essere vagliata solo con riguardo a clienti e fornitori ed essere un adeguamento formale.

Il corretto trattamento dei dati personali dei lavoratori, richiede lo svolgimento di un audit approfondito sul flusso dei dati personali interni, l’elaborazione della documentazione aggiornata e corretta in base ai servizi di marketing svolti e l’ideazione di procedure e policy fondamentali per una corretta gestione del lavoro, anche in smart working. Senza contare tutto il problema della sicurezza dei dati e credenziali, backup e strumenti di lavoro.

Peraltro, l’attenzione ai dati personali dei lavoratori può essere vista anche sotto il profilo etico e costruire uno degli impegni costanti nell’ambito degli obiettivi di sostenibilità sociale, uno dei pilastri dei criteri ESG che connotano le società benefit ma che dovrebbero ispirare qualsiasi agenzia di comunicazione.

La privacy nel processo di assunzione di un lavoratore

La fase preliminare all’instaurazione di un rapporto di lavoro richiede comunque un trattamento di dati personali che deve essere impostato dall’agenzia in modo corretto.

Si tratta di dati personali che vengono trattati nell’ambito della ricerca di nuovi talenti creativi, della procedura di recruiting (magari appoggiandosi ad un ente esterno), per la conservazione dei curriculum o anche spediti volontariamente dal freelance all’agenzia di marketing tramite e-mail per una candidatura spontanea.

Ancora più nello specifico, parliamo del caso in cui, come di solito accade, la procedura sia gestita online tramite delle applicazioni che elaborano una notevole mole di dati.

La candidatura del lavoratore tramite sito internet

I form privacy di candidatura in un sito internet

Nei siti web dotati di pagina dedicata al recruiting sono frequenti due situazioni:

• il sito richiede al candidato di apporre al curriculum che allega, il “consenso per il trattamento dei dati personali”;
• il form richiede la spunta alla casella “presto il consenso” con collegamento ipertestuale all’informativa estesa.

Queste sono le situazioni di base. In ragione al tipo di agenzia potrebbero essere aggiunti altri profili. Ad esempio:

• il lavoratore prima di inviare la candidatura dichiara di aver letto il codice etico, preso visione della mission aziendale e dei principi che ispirano l’attività dell’azienda;
• il lavoratore deve inserire i propri dati all’interno di form in quanto la candidatura viene gestita in modo parzialmente automatizzato tramite un gestionale che dovrà quindi certamente essere gestito a livello privacy;
• il lavoratore accetta che i propri dati vengano acquisiti da una società esterna HR che sarà nominata responsabile del trattamento;

Tutte queste attività implicano policy documenti e procedure. Se non sei certo, come agenzia, di star gestendo correttamente i dati, ti suggerisco di fare un audit.

Vecchio codice privacy

Durante il vigore della precedente versione del Codice Privacy (dlgs 196/2003), per quanto afferiva ai dati personali che venivano trattati per le precipue finalità di concludere un contratto di lavoro, non era necessario che il candidato esprimesse preventivamente il consenso. Invero:

• L’art 13 del Codice indicava quali erano gli elementi che doveva possedere un’informativa adeguata. Al comma 5 era prevista un’eccezione con riguardo alle candidature e al momento in cui il candidato dovesse essere informato delle modalità e finalità di trattamento. La disposizione disponeva che L’informativa di cui al comma 1 non è dovuta in caso di ricezione di curricula spontaneamente trasmessi dagli interessati ai fini dell’eventuale instaurazione di un rapporto di lavoro. Al momento del primo contatto successivo all’invio del curriculum, il titolare è tenuto a fornire all’interessato, anche oralmente, una informativa breve contenente almeno gli elementi di cui al comma 1, lettere a), d) ed f);
• L’art 23 del Codice, prevedeva infatti che quando il trattamento riguarda dati contenuti nei curricula, nei casi di cui all’articolo 13, comma 5-bis il consenso non era richiesto.

A seguito dell’entrata in vigore del Regolamento UE 2016/679 e delle modifiche apportate dal D.L. 14 giugno 2019, n. 53, dal D.M. 15 marzo 2019 e dal Decreto Legislativo 10 agosto 2018, n. 101, dette disposizioni sono state abrogate.

È stata tuttavia introdotta una nuova disposizione avente il medesimo tenore e facente espresso riferimento a quanto disposto dal Regolamento Europeo.

L’invio della candidatura tramite form online: cosa dice il GDPR

La normativa comunitaria, prevede infatti che laddove i dati personali vengano trattati al fine di dare esecuzione ad un accordo, non sia necessario l’espresso consenso al trattamento dei dati personali. È invece sufficiente la presa visione delle modalità con cui detti dati verranno trattati.

Per gli addetti ai lavori, la distinzione relativa allo sviluppo di un sito web, si traduce in questo senso:

• l’espresso consenso al trattamento dei dati personali presuppone due caselle: accetto-presto il consenso oppure non accetto-non presto il consenso ;
• la presa visione presuppone un’unica casella: dichiaro di aver letto e compreso quanto indicato nell’informativa sul trattamento dei dati personali.

Peraltro, se ti occupi verticale di costruire siti internet ho parlato varie volte del tuo lavoro, sia in ambito privacy, sia contrattualistica, sia con riferimento alle note legali delle pagine.

La nuova normativa nazionale all’art 111bis prevede: “Le informazioni di cui all’articolo 13 del Regolamento, nei casi di ricezione dei curricula spontaneamente trasmessi dagli interessati al fine della instaurazione di un rapporto di lavoro, vengono fornite al momento del primo contatto utile, successivo all’invio del curriculum medesimo. Nei limiti delle finalità di cui all’articolo 6, paragrafo 1, lettera b), del Regolamento, il consenso al trattamento dei dati personali presenti nei curricula non è dovuto“.

Regole privacy per la recruting page su sito web

Nell’elaborazione di una recruiting page sono da tenere a mente alcune regole.

1) La dicitura privacy nel curriculum del candidato

Non si deve chiedere che il curriculum presenti la dicitura “Autorizzo il trattamento dei miei dati personali presenti nel curriculum vitae ai sensi del Decreto Legislativo 30 giugno 2003, n. 196, del GDPR (Regolamento UE 2016/679)” o simili.

2) Il form del sito internet per l’invio della candidatura

Il form del sito per la trasmissione del curriculum non deve richiedere l’espresso consenso al trattamento dei dati personali; può invece fornire il collegamento ipertestuale all’informativa consentendo al candidato di prenderne visione prima della trasmissione della candidatura;

3) Il trattamento dati per la fase di colloquio

In ogni caso, un’adeguata informativa circa il titolare del trattamento, le finalità del trattamento, eventuali destinatari, il periodo di conservazione dei dati, l’esistenza dei diritti dell’interessato e tutte le indicazioni previste dall’art 13 del GDPR verranno fornire al primo contatto utile (che potrà aversi tramite riscontro e-mail) tra l’azienda e il candidato.

4) La nomina dei soggetti esterni che trattano i dati dei candidati

I soggetti esterni che si occupano di tutta la procedura di candidatura, devono essere nominati responsabili del trattamento. Se poi c’è un gestionale, potrebbe essere necessario svolgere una valutazione d’impatto in quanto i dati personali potrebbero essere molti, in base al tipo di azienda o di agenzia.

5) La privacy nell’archiviazione e nella conservazione dei curriculum

Molte agenzie mi dicono che i curriculum loro li conservano per sempre perchè di fatto le e-mal non le cancellano e perchè comunque hanno una cartella dove pescare i candidati anche in futuro magari per qualche lavoro a spot. Certo, poi aggiungono, dopo un pò di tempo non è attuale il curriculum, ma di fatto rimane all’interno del computer o dei server.

Fondamentale, analizzare il flusso di dati e definire una data retention policy così poi da riportare nell’informativa il periodo di conservazione dei dati, che dovrà comunque rispettare i principi fissati dal regolamento.

Queste regole vanno rispettate sia che sia tu, agenzia a voler arruolare altri lavoratori creativi, sia che tu vada a costruire un sito internet per conto di un tuo cliente. In questo caso sarà lui a veri attivare per definire bene queste procedure, ma potrebbe accadere che chieda a te, che costruisci il sito, di prevedere i flag.

Il Team Privacy di Legal for Creativity lavora per e con le agenzie di comunicazione anche in questi progetti verticali di consulenza legale.

Photo by Emmanuel Kontokalos on Unsplash