ATS GDPR compliant: guida alla conformità per chi fa recruiting

La gestione dei dati personali dei candidati è uno dei temi più delicati per chi lavora nel recruiting. Il GDPR (General Data Protection Regulation) impone obblighi precisi a chiunque raccolga, elabori o conservi dati personali nell'Unione Europea — e i candidati sono esattamente questo: persone fisiche i cui dati vanno gestiti con cura, trasparenza e nel rispetto della normativa.

Per le agenzie di recruiting e i team HR, un ATS non conforme non è solo un rischio legale: è un problema di fiducia verso i candidati e verso i clienti. Questa guida spiega cosa deve avere un ATS per essere realmente GDPR compliant, e cosa verificare prima di adottarne uno.

Quando un candidato invia il suo CV, sta condividendo dati personali sensibili: nome, indirizzo, storia lavorativa, a volte foto o informazioni su situazioni familiari. Questi dati hanno un ciclo di vita preciso che il GDPR regola in modo dettagliato.

Le principali obbligazioni per chi fa recruiting:

Base giuridica del trattamento: devi avere una ragione legale per raccogliere e trattare quei dati. Nel recruiting, le basi più usate sono il consenso esplicito del candidato o l'esecuzione di misure precontrattuali (processo di selezione in corso).

Informativa privacy: ogni candidato deve ricevere un'informativa chiara su chi tratta i suoi dati, per quale finalità, per quanto tempo e quali sono i suoi diritti.

Limitazione della conservazione: i dati non possono essere conservati indefinitamente. Se un candidato non viene selezionato, i suoi dati devono essere cancellati entro un periodo definito — a meno che non abbia dato consenso esplicito alla profilazione futura.

Diritti degli interessati: i candidati hanno il diritto di accedere ai propri dati, rettificarli, cancellarli, opporsi al trattamento o richiedere la portabilità.

Non basta che il vendor dichiari di essere GDPR compliant — bisogna verificare le funzionalità concrete. Ecco la lista di ciò che un ATS deve supportare:

Raccolta del consenso tracciata

Ogni candidato deve dare un consenso esplicito, informato e inequivocabile al trattamento dei propri dati. L'ATS deve registrare:

Se e quando il consenso è stato fornito
Tramite quale canale (form web, email, portale candidati)
Quale versione dell'informativa privacy era in vigore al momento

Questo log deve essere consultabile in caso di verifica da parte del Garante.

Gestione della durata di conservazione

L'ATS deve permettere di configurare policy di retention: dopo quanti mesi i dati di un candidato non selezionato vengono automaticamente cancellati o anonimizzati. Questa automazione riduce il rischio di conservare dati "per dimenticanza".

Diritto alla cancellazione (right to be forgotten)

Quando un candidato richiede la cancellazione dei propri dati, l'ATS deve permettere di eseguirla in modo completo: profilo, CV, note, email, tracce di sistema. Deve essere possibile certificare che la cancellazione è avvenuta.

Portabilità dei dati

Su richiesta, il candidato ha diritto a ricevere i propri dati in formato leggibile da macchina (tipicamente JSON o CSV). L'ATS deve supportare l'export del profilo di un singolo candidato.

Accesso ai dati registrato

Chi accede ai dati dei candidati, quando e da dove: un ATS GDPR compliant deve mantenere un audit log degli accessi, almeno per i dati considerati sensibili.

Hosting nell'UE

Il GDPR impone requisiti specifici sul trasferimento di dati fuori dall'Unione Europea. Un ATS che ospita i dati su server extra-UE (senza le garanzie appropriate come clausole contrattuali standard) crea rischi di non conformità. Verifica sempre dove vengono fisicamente conservati i tuoi dati.

Come verificare la compliance di un ATS: le domande da fare al vendor

Prima di sottoscrivere un contratto, fai queste domande:

"Dove sono ospitati i dati dei candidati?" — La risposta deve indicare data center nell'Unione Europea.
"Avete un DPA (Data Processing Agreement) standard?" — Il DPA è il contratto che regola il ruolo del vendor come responsabile del trattamento. Deve essere disponibile e conforme all'art. 28 GDPR.
"Come gestite le richieste di cancellazione?" — Deve esserci una procedura chiara, documentata e automatizzabile.
"Supportate la configurazione di policy di retention automatiche?" — La risposta deve essere sì, con possibilità di personalizzare i tempi per tipologia di candidato.
"Come vengono gestiti gli incidenti di sicurezza?" — Il GDPR richiede la notifica al Garante entro 72 ore da una violazione. Il vendor deve avere una procedura definita.
"Avete certificazioni di sicurezza (ISO 27001, SOC 2)?" — Non obbligatorie, ma indicatori di un approccio maturo alla protezione dei dati.

Le agenzie di recruiting hanno una particolarità: trattano dati per conto di clienti (le aziende committenti). In questo schema:

L'agenzia è responsabile del trattamento verso i candidati
Il cliente finale può diventare contitolare del trattamento quando valuta i profili
Devono esistere accordi scritti che regolano questi ruoli

Un ATS pensato per agenzie deve supportare questa struttura: permettere di condividere profili con i clienti in modo tracciato, garantire che i dati condivisi non vengano copiati fuori dal sistema, e documentare la catena di trattamento.

Profilare senza consenso: mantenere il profilo di un candidato nel database per "selezioni future" senza un consenso esplicito a questa finalità è una violazione.

Informativa generica: un'informativa privacy copia-incollata da internet che non specifica le finalità reali, i tempi di conservazione e i soggetti a cui i dati vengono comunicati non è valida.

Invio di CV a clienti senza consenso: condividere il CV di un candidato con un'azienda cliente senza che il candidato lo sappia è una violazione della base giuridica del trattamento.

CV conservati indefinitamente: mantenere curriculum nel database senza una policy di retention attiva è uno dei problemi più diffusi e meno presidiati.

Il vantaggio competitivo della compliance

Un ATS GDPR compliant non è solo un adempimento normativo: è un vantaggio competitivo. I candidati percepiscono un processo trasparente e rispettoso come un segnale di professionalità. I clienti aziendali — spesso soggetti anch'essi a obblighi di compliance — scelgono partner che non creano rischi legali condivisi.

Investire in un ATS che gestisce correttamente la privacy non è un costo: è la base di un rapporto di fiducia duraturo con candidati e clienti.

Gestisci il recruiting con CandyHire

CandyHire è il software ATS pensato per agenzie di recruiting e team HR: candidature, pipeline, colloqui e analytics in un'unica piattaforma.

ATS GDPR compliant: guida alla conformita' per chi fa recruiting