Speciali
I divieti di indagine sulla persona e i principi di pertinenza e minimizzazione del GDPR - analizzati nel contributo generale - trovano la loro verifica più esigente nelle ipotesi in cui il contenuto digitale si collochi al confine tra identità lavorativa e sfera personale del candidato.
I casi che seguono illustrano, attraverso situazioni concrete, dove passa il confine.
Il profilo misto: portfolio creativo e vita personale sullo stesso account
Legittimo. Sara, candidata per una posizione di art director, indica nel curriculum il proprio profilo Instagram, utilizzato anche come portfolio di campagne grafiche e progetti commissionati.
Il selezionatore esamina quei contenuti per valutarne stile visivo, qualità progettuale e coerenza espressiva.
L’operazione è lecita in quanto il materiale è stato volontariamente offerto come prova di competenza e presenta un nesso funzionale diretto con la posizione, nel rispetto dei principi di pertinenza e minimizzazione di cui all’art. 5, par. 1, lett. c), GDPR.
Illegittimo. Scorrendo lo stesso profilo, il recruiter esamina fotografie di viaggi, post familiari e commenti su temi sociali, traendone conclusioni sull’affidabilità e sulla compatibilità valoriale di Sara.
In quel momento la selezione cessa di riguardare l’attitudine professionale e si trasforma in scrutinio biografico della persona, vietato dall’art. 8 St. lav. indipendentemente dal consenso prestato.
Nei profili misti il criterio si applica al singolo contenuto, non alla piattaforma nel suo complesso, poiché la compresenza di materiali professionali e personali nello stesso account non autorizza l’esplorazione indistinta dell’intera sfera digitale del candidato.
Il rischio reputazionale come formula di copertura
Legittimo. Marco è selezionato per il ruolo di Head of Communications di una società quotata.
Il selezionatore verifica i podcast firmati, le interviste rilasciate e gli articoli pubblicati su testate di settore, trattandosi di materiali che Marco ha consapevolmente collocato nello spazio della propria esposizione lavorativa, la cui valutazione rientra fisiologicamente nel giudizio sull’attitudine professionale per una posizione a forte proiezione pubblica.
Illegittimo. Il selezionatore analizza il profilo Instagram privato di Marco, rilevando ironia estemporanea, frequentazioni digitali e abitudini comunicative quotidiane, utilizzando la nozione di rischio reputazionale come formula di copertura per un controllo generalizzato della personalità.
L’operazione è illecita poiché il legittimo interesse ex art. 6, par. 1, lett. f), GDPR non costituisce una base residuale e presuppone il soddisfacimento cumulativo di tre condizioni, ovvero la legittimità dell’interesse, la stretta necessità del trattamento e la non prevalenza dei diritti fondamentali del candidato
La nozione di rischio reputazionale non soddisfa tale test quando applicata alla sfera privata del candidato.
Le soft skills non si deducono dai commenti su X
Legittimo. Luca è candidato per un ruolo manageriale di coordinamento. La valutazione della sua leadership si fonda su colloqui strutturati, prove situazionali e su un assessment formalizzato; il selezionatore esamina altresì i contributi che Luca ha pubblicato su LinkedIn in materia di gestione dei team, trattandosi di contenuti che Luca ha espressamente destinato alla propria rappresentazione professionale.
Illegittimo. Il recruiter accede all’account X di Luca per osservare discussioni politiche, reazioni a notizie di cronaca e scambi polemici con altri utenti, traendone conclusioni sulla sua capacità di lavorare in gruppo.
L’operazione è illecita, poiché le soft skills richiedono strumenti di accertamento coerenti e dichiarati e non possono essere desunte in modo affidabile da tracce digitali frammentarie e decontestualizzate.
Il richiamo alle competenze relazionali non costituisce base giuridica per un trattamento eccedente i principi di pertinenza e minimizzazione del GDPR, né supera il divieto di indagine sulla persona ex art. 8 St. lav.
Dallo username tecnico alla biografia digitale
Legittimo. Andrea, candidato per una posizione di sviluppatore senior, ha indicato nel curriculum la propria partecipazione a progetti open source su GitHub.
Il selezionatore esamina i repository, i ticket, le revisioni di codice e le interazioni tra contributor e l’analisi è pienamente lecita, poiché investe una prestazione para-lavorativa concretamente osservabile e volontariamente resa disponibile.
Illegittimo. Partendo dallo username tecnico, il recruiter ricostruisce l’account reddit di Andrea, approda a forum su temi politici ed etici e visiona contenuti audiovisivi del tempo libero. L’accesso iniziale a GitHub era giustificato; non legittima però la successiva esplorazione della biografia digitale del candidato.
In questo slittamento laterale si coglie la dinamica tipica del social screening illecito: la catena causale tra accesso tecnico e scrutinio personale è esattamente ciò che l’art. 8 St. lav. e l’art. 10, D.Lgs. 276/2003 intendono recidere. Quando lo slittamento consenta di inferire convinzioni politiche o religiose, si attiva altresì il regime rafforzato dell’art. 9, GDPR.
Il discrimine non passa tra social buoni e social cattivi, né tra profili pubblici e profili privati, ma tra contenuti funzionalmente...
