GDPR e conservazione dei CV: tempi, base giuridica, talent pool legittimo.
Quanto puoi tenere un CV nel 2026? Durata, base giuridica, talent pool, diritti del candidato, multe Garante. Checklist gratis per HR e DPO.
Conservare CV oltre il necessario è una delle violazioni GDPR più comuni nei processi di selezione. Il Garante italiano ha già sanzionato aziende per pratiche di talent pool non documentate. Qui la guida concreta per non sbagliare.
In questa guida
I 4 punti chiave del GDPR applicato ai CV
- Base giuridica. Per la singola candidatura: misure precontrattuali (art. 6.1.b). Per il talent pool: consenso esplicito separato (art. 6.1.a).
- Limitazione conservazione. Non oltre quanto necessario per la finalità. Linee guida Garante: max 24 mesi senza nuovo consenso.
- Trasparenza. Informativa accessibile prima dell'invio del CV, indicando finalità, durata, diritti e DPO.
- Diritti del candidato. Accesso, rettifica, cancellazione, opposizione. Tempo di risposta: max 30 giorni.
Tempi consigliati per finalità
| Finalità | Durata raccomandata | Base giuridica | Note |
|---|---|---|---|
| Selezione singola posizione | 12 mesi dall'esito | Art. 6.1.b | Anche se rifiutato |
| Talent pool generico | 24 mesi rinnovabili | Art. 6.1.a (consenso) | Riconferma annuale via email |
| Difesa in giudizio | 10 anni | Art. 6.1.f | Solo dato strettamente necessario |
| Reportistica anonimizzata | Indeterminato | N/A (no dato personale) | Aggregato senza re-identifica |
Talent pool fatto bene: 5 step
- Consenso esplicito separato dalla candidatura singola (checkbox non pre flaggata).
- Informativa che cita esplicitamente 'inserimento in database talenti'.
- Email di riconferma del consenso a 12 mesi (mantieni la prova).
- Cancellazione automatica dopo 24 mesi se non riconfermato.
- Log di accesso al database conservato per audit Garante.
Cosa fare oggi se la tua azienda non è compliant
- Audit di tutti i CV in archivio (ATS, email, drive condivisi).
- Classificazione per finalità e data di acquisizione.
- Cancellazione di tutto ciò che è oltre i 24 mesi senza consenso documentato.
- Aggiornamento dell'informativa pubblicata su carriere.azienda.it.
- Form di consenso talent pool separato e tracciabile.
Domande frequenti
Posso conservare CV per 'eventuali future opportunità' senza consenso?
No. La finalità deve essere dichiarata prima e il consenso espresso separatamente. Il Garante è stato chiaro più volte: il talent pool richiede base giuridica del consenso, non legittimo interesse generico.
Cosa rischio se conservo CV oltre i 24 mesi?
Sanzione amministrativa fino a 20M€ o 4% fatturato globale (art. 83 GDPR). In pratica le sanzioni del Garante italiano per casi simili oscillano tra 20.000 e 200.000€ per aziende mid market.
Posso usare AI per fare matching CV-job nel talent pool?
Sì se hai una base giuridica adeguata e applichi i requisiti EU AI Act in vigore da agosto 2026 (sistema ad alto rischio). Serve trasparenza, oversight umano e bias monitoring documentato.
Smetti di combattere col tuo ATS. Inizia ad assumere.
Focus sulle persone, non sulla burocrazia. Analizza i tuoi primi 100 CV gratis. Nessuna carta di credito, nessuna call di setup.