Il pre-employment screening è ammesso nelle banche se il trattamento dei dati è necessario per la decisione sulla costituzione del rapporto di lavoro — questo è il parametro del § 26 par. 1 frase 1 BDSG, e il § 26 par. 8 BDSG equipara espressamente i candidati e le candidate ai dipendenti. Per le banche si aggiunge: la verifica di affidabilità dei dipendenti è ai sensi del § 6 par. 2 n. 5 GwG una misura interna di sicurezza definita per legge. Tra prevenzione del riciclaggio e protezione dei dati non esiste quindi alcuna contraddizione, ma un parametro di necessità che un processo di verifica strutturato può rappresentare correttamente.
Obbligo GwG e protezione dei dati seguono lo stesso parametro
Molti dipartimenti HR trattano screening e protezione dei dati come opposti: la compliance richiede una verifica, il responsabile della protezione dei dati frena. Sul piano giuridico il rapporto è più semplice. Chi come soggetto obbligato ai sensi del GwG deve garantire l’affidabilità dei propri dipendenti ha una valida ragione sostanziale per il trattamento dei dati dei candidati — ma solo nella misura necessaria per la posizione concreta. Accanto al § 26 BDSG entrano in considerazione le basi giuridiche generali del GDPR; i dettagli li abbiamo approfonditi nel contributo sulle basi giuridiche del pre-employment screening secondo il GDPR.
La necessità non è in questo senso una carta bianca, ma una ponderazione: quanto più la posizione è vicina a denaro, dati dei clienti e funzioni di controllo, tanto più può — e deve — essere verificata.
Cosa consente il § 26 BDSG
È ammesso ciò che ha un riferimento ricostruibile alla decisione di assunzione e proviene da fonti legalmente accessibili. Nella pratica si sono dimostrate valide categorie di verifica chiaramente definite, ad esempio:
- Verifica di identità e documenti — persona, curriculum e attestazioni coincidono?
- Fonti di registro — registro delle imprese, comunicazioni di insolvenza e analoghi elenchi pubblici, per quanto rilevanti per la posizione.
- Liste di sanzioni e watchlist — per i soggetti obbligati ai sensi del GwG di regola indispensabili.
- Ricerca adverse media — copertura giornalistica attinente all’attività professionale da media pubblicamente accessibili.
- Referenze e attestati — con la conoscenza del candidato o della candidata.
Decisiva è meno la singola fonte che il processo: un flusso di verifica definito, basato su categorie e con motivazione documentata per ogni categoria è sul piano della protezione dei dati nettamente più sicuro del «googlare» informale da parte dell’hiring manager, che non conosce né base giuridica né documentazione.
Dove corre la linea rossa
Altrettanto chiari sono i limiti. Non necessari — e quindi di regola non ammessi — sono in particolare:
- la valutazione senza occasione di profili di social media riconoscibilmente privati,
- ricerche senza riferimento all’attività concreta, ad esempio su rapporti familiari o visioni del mondo,
- metodi occulti che aggirano deliberatamente la persona interessata,
- la raccolta di riserve di dati «per dopo» senza uno scopo di verifica concreto.
Chi supera questi limiti non guadagna sicurezza, ma crea nuovi rischi: i risultati provenienti da fonti non ammesse non possono essere utilizzati nella decisione di assunzione e possono in caso di conflitto deporre contro l’istituto. Nelle aziende con cogestione, inoltre, il consiglio di fabbrica va coinvolto per tempo; come riesca il coinvolgimento lo mostra il nostro contributo sulla cogestione nei background check.
Proporzionalità: profondità di verifica per posizione
L’attuazione pratica riesce attraverso uno scaglionamento basato sul rischio. Una posizione nei pagamenti, nella gestione patrimoniale o con diritti di amministratore giustifica una verifica più profonda rispetto a un ruolo senza accesso a clienti o sistemi. Le banche che suddividono le proprie posizioni in due o tre classi di rischio e assegnano a ogni classe un catalogo fisso di categorie di verifica adempiono insieme entrambe le cose: l’obbligo di sicurezza del GwG e il parametro di necessità del BDSG. La classificazione stessa dovrebbe essere motivata per iscritto — è il documento con cui in seguito spiegherete all’autorità di protezione dei dati e agli interessati perché quale posizione è stata verificata con quale profondità. Come si presenta nel merito la verifica di affidabilità secondo il GwG è illustrato dal nostro contributo di base sul controllo dei dipendenti ai sensi del § 6 par. 2 n. 5 GwG.
Raccomandazione operativa
Se volete impostare il vostro pre-employment screening in modo conforme, si raccomanda il seguente triplice passo:
- Classificare le posizioni: definire le classi di rischio e assegnare a ogni classe un ambito di verifica fisso — documentato, non ad hoc.
- Mappare fonti e basi giuridiche: registrare per ogni categoria di verifica perché è necessaria per la posizione.
- Processo invece di caso singolo: effettuare le verifiche in modo standardizzato e documentare i risultati in modo resistente alla revisione.
Un report strutturato con fonti datate e controllo finale umano (art. 22 GDPR) vi solleva dal lavoro più delicato — Indicium fornisce esattamente questo come report software verificabile, su misura per settori regolamentati.
Questo articolo non costituisce una consulenza giuridica.