Durante il processo di selezione del personale, un’azienda può verificare soltanto le informazioni strettamente pertinenti alla posizione lavorativa offerta, quali la veridicità delle esperienze professionali dichiarate, dei titoli di studio e delle competenze tecniche. In base al Regolamento Europeo sulla Protezione dei Dati (GDPR – Regolamento UE 2016/679) e all’articolo 8 dello Statuto dei Lavoratori (Legge 300/1970), le verifici non possono mai riguardare la vita privata, le opinioni politiche o religiose, lo stato di salute, l’orientamento sessuale o il patrimonio finanziario del candidato. Ogni attività di reference check deve rispettare i principi di trasparenza, minimizzazione dei dati e basarsi su un’adeguata informativa sulla privacy consegnata preventivamente al candidato.
Cosa significa effettuare un controllo referenze a norma di legge
Il controllo delle referenze (o reference check) è la procedura con cui il dipartimento delle risorse umane o un reclutatore esterno attesta la correttezza del curriculum vitae fornito da un candidato.
Nell’era della trasformazione digitale, questo processo non si limita più alle semplici telefonate ai precedenti datori di lavoro, ma coinvolge strumenti digitali come e-mail certificate (PEC), firme digitali su attestati e controlli su piattaforme professionali. Tuttavia, l’uso della tecnologia e la disponibilità di dati online non autorizzano la raccolta indiscriminata di informazioni.
Sotto il profilo normativo, il GDPR stabilisce che la raccolta dei dati personali debba essere limitata a quanto strettamente necessario per le finalità di instaurazione del rapporto di lavoro (principio di “minimizzazione”). Inoltre, la normativa italiana sancisce il divieto assoluto per il datore di lavoro di effettuare indagini sulle opinioni del lavoratore o su fatti non rilevanti ai fini della valutazione dell’attitudine professionale.
Cause più comuni di violazione della privacy durante il screening
Le contestazioni o le sanzioni amministrative da parte del Garante per la Protezione dei Dati Personali sorgono solitamente da comportamenti scorretti adottati dai selezionatori. Le criticità più frequenti includono:
- Assenza di Informativa Privacy preventiva: Contattare ex datori di lavoro o referenti senza che il candidato sia stato chiaramente informato tramite l’Informativa ex art. 13 del GDPR.
- Raccolta di informazioni extra-professionali: Porre domande sui motivi personali dell’interruzione di un precedente rapporto di lavoro, sulla situazione familiare o sul carattere personale.
- Analisi dei profili social personali: Controllare profili privati (Facebook, Instagram, TikTok) non destinati all’ambito professionale, violando l’aspettativa di riservatezza dell’interessato.
- Richiesta indebita di documenti riservati: Chiedere copie del casellario giudiziale o dei carichi pendenti al di fuori dei casi espressamente previsti dalla legge per specifiche professioni.
- Conservazione prolungata dei dati: Mantenere nei database aziendali le note sui contatti di referenza oltre il tempo necessario al completamento della selezione, senza una policy di data retention definita.
Tabella di sintesi: Errori operativi e correttivi GDPR
| Errore / Criticità | Rischio o Causa Legale | Cosa controllare e come procedere |
| Contatto con referenti non indicati | Violazione del principio di correttezza e liceità (art. 5 GDPR) | Chiedere sempre la lista dei referenti direttamente al candidato o ottenere la sua esplicita autorizzazione. |
| Ispezione dei social network privati | Trattamento eccedente di dati della sfera privata | Limitare la verifica esclusivamente a piattaforme professionali pubbliche (es. LinkedIn) e solo per dati lavorativi. |
| Richiesta informazioni sullo stato di salute | Violazione dell’art. 9 GDPR (dati particolari) e dello Statuto dei Lavoratori | Non formulare mai domande su assenze per malattia, maternità o infortuni passati. |
| Assenza di tracciabilità delle verifiche | Inosservanza del principio di Accountability (art. 24 GDPR) | Utilizzare sistemi di gestione delle candidature che registrino chi ha effettuato la verifica e con quale esito sintotico. |
| Uso di canali informali non sicuri | Rischio di data breach o diffusione indesiderata di dati personali | Effettuare le comunicazioni formali tramite e-mail aziendali o PEC, evitando sistemi di messaggistica istantanea privata. |
Procedura passo passo per un controllo referenze conforme
Per garantire la conformità al GDPR e alle disposizioni lavoristiche italiane, le aziende devono adottare un protocollo operativo standardizzato in sei passaggi.
+-------------------------------------------------------------------+
| 1. Fornire l'Informativa Privacy ai candidati (Art. 13 GDPR) |
+-------------------------------------------------------------------+
│
▼
+-------------------------------------------------------------------+
| 2. Richiedere l'elenco dei referenti direttamente al candidato |
+-------------------------------------------------------------------+
│
▼
+-------------------------------------------------------------------+
| 3. Definire una scheda di contatto con sole domande pertinenti |
+-------------------------------------------------------------------+
│
▼
+-------------------------------------------------------------------+
| 4. Verificare le credenziali con strumenti digitali sicuri |
+-------------------------------------------------------------------+
│
▼
+-------------------------------------------------------------------+
| 5. Documentare il processo rispettando la minimizzazione |
+-------------------------------------------------------------------+
│
▼
+-------------------------------------------------------------------+
| 6. Applicare i tempi stabiliti per la cancellazione dei dati |
+-------------------------------------------------------------------+
Passo 1: Predisporre l’Informativa Privacy (Art. 13 GDPR)
Prima di iniziare qualsiasi colloquio o processo di verifica, il candidato deve ricevere l’informativa contenente la base giuridica del trattamento (solitamente l’esecuzione di misure precontrattuali), l’indicazione che potrano essere effettuati controlli sulla veridicità delle dichiarazioni e i tempi di conservazione delle informazioni.
Passo 2: Richiedere esplicitamente i contatti di referenza
L’azienda deve richiedere al candidato di indicare direttamente le persone di contatto (ex responsabili, direttori HR o colleghi). In assenza di un’indicazione esplicita, è sconsigliato contattare autonomamente i datori di lavoro precedenti emersi dalla lettura della cronologia lavorativa sul CV.
Passo 3: Utilizzare una griglia di intervista standardizzata
Chi effettua la telefonata o invia l’e-mail di verifica deve seguire una scheda preregistrata con domande oggettive.
- Domande ammesse: Conferma delle date di inizio e fine rapporto, qualifica ricoperta, mansioni principali, progetti svolti.
- Domande vietate: Opinioni di carattere morale, aspetti caratteriali non oggettivi, motivi personali di dimissioni, contenziosi legali in corso.
Passo 4: Sfruttare gli strumenti di verifica digitale
Se occorre verificare titoli di studio, certificazioni informatiche o contratti precedenti:
- Richiedere certificati con firma digitale o sigillo elettronico qualificato dell’ente erogatore.
- Per scambi di documenti ufficiali tra enti, privilegiare la Posta Elettronica Certificata (PEC) o il domicilio digitale iscritto negli elenchi ufficiali (es. INAD).
Passo 5: Sintetizzare il riscontro in formato oggettivo
Il selezionatore deve redigere una nota sintetica e fattuale (es. “Incrocio dati confermato: la qualifica di Project Manager dal 2021 al 2023 corrisponde alle registrazioni”). Evitare di annotare commenti soggettivi del referente.
Passo 6: Rispettare la conservazione e la cancellazione (Data Retention)
Se il candidato viene assunto, i dati di verifica pertinenti convergono nel fascicolo personale. Se la candidatura viene scartata, i dati legati al controllo referenze devono essere cancellati o resi anonimi entro il termine indicato nell’informativa (solitamente tra i 6 e i 12 mesi).
Cosa non fare: prassi scorrette ed errori da evitare
- Non effettuare “pescate a strascico”: Evitare di chiedere a conoscenti comuni informazioni ufficiose senza che il candidato ne sia a conoscenza.
- Non raccogliere dati sulla vita privata o finanziaria: Non tentare di verificare la presenza di protesti, ipoteche o debiti, salvo i casi strettamente regolati dalla legge per determinati settori finanziari o bancari.
- Non utilizzare credenziali di terzi o false identità: Qualsiasi tentativo di ottenere informazioni sotto falso nome o tramite inganno configura una violazione deontologica e legale.
- Non automatizzare decisioni escludenti: Non utilizzare sistemi informatici o algoritmi di AI per scartare automaticamente un candidato in base a un controllo referenze privo di intervento umano (Art. 22 GDPR).
Quando rivolgersi all’assistenza o verificare le fonti ufficiali
La materia del diritto del lavoro incrociata con la protezione dei dati presenta sfumature complesse e in continua evoluzione.
- Consultazione del Garante Privacy: È necessario fare riferimento alle Linee guida del Garante per la Protezione dei Dati Personali in materia di selezione del personale e all’uso dei dati sui luoghi di lavoro.
- Supporto del DPO o dell’Ufficio Legale: In presenza di ruoli apicali, incarichi con accesso a dati sensibili o settori regolamentati (es. difesa, finanza, sanità), la procedura di controllo deve essere approvata dal Data Protection Officer aziendale per stabilire i limiti esatti delle verifici di background.
- Verifica dell’autenticità dei documenti: In caso di dubbi sulla validità di certificati digitali forniti dai candidati, occorre utilizzare i verificatori ufficiali di firma digitale messi a disposizione da AgID o dalle Autorità di Certificazione accreditate.
FAQ operative
È legale contattare il datore di lavoro attuale del candidato?
Contattare l’attuale datore di lavoro richiede estrema cautela. Sebbene non sia espressamente vietato dalla legge se il candidato ha dato il proprio consenso, un contatto non autorizzato potrebbe causare un danno professionale al candidato (es. ritorsioni o perdita della posizione attuale). Pertanto, questa verifica va effettuata esclusivamente previo consenso esplicito e scritto da parte dell’interessato.
Il candidato può rifiutarsi di fornire le referenze?
Sì, il candidato ha il pieno diritto di non indicare referenti o di opporsi alla verifica presso determinate aziende. Il rifiuto non costituisce di per sé un illecito. L’azienda potrà comunque valutare autonomamente se la documentazione fornita direttamente dal candidato sia sufficiente ai fini della selezione.
Le informazioni pubblicate su LinkedIn si possono liberamente archiviare?
No. Il fatto che un dato sia reso pubblico su un social network professionale come LinkedIn non significa che sia liberamente archiviabile nei database aziendali. L’azienda può visionare il profilo per confermare il percorso professionale, ma non può estrarre o memorizzare tali dati senza aver fornito l’opportuna informativa privacy al candidato.
Cosa rischia un’azienda che effettua controlli illeciti sulle referenze?
L’azienda rischia sanzioni amministrative pecuniarie comminate dal Garante Privacy (fino a 20 milioni di euro o fino al 4% del fatturato mondiale annuo dell’esercizio precedente), ricorsi per risarcimento danni da parte del candidato in sede civile e possibili contestazioni sindacali per violazione dello Statuto dei Lavoratori.
Giornalista e analista, scrive di economia italiana, innovazione e imprese. Appassionato di tecnologia e finanza, racconta il presente e il futuro delle aziende che fanno muovere il Paese.
