Chi fonda il proprio pre-employment screening soltanto sul § 26 par. 1 frase 1 BDSG costruisce su una norma che la Corte di giustizia UE ha ribaltato: con la sentenza del 30.03.2023 (C-34/21) la Corte ha stabilito che una siffatta clausola generale non soddisfa i requisiti dell’art. 88 par. 2 GDPR. Lo screening diventa giuridicamente sicuro quando ogni categoria di verifica è fondata direttamente su una base giuridica dell’art. 6 par. 1 GDPR — lett. b, c o f, a seconda della categoria. Questo contributo mostra il mapping e i punti in cui nella pratica esso fallisce.
Cosa ha deciso la Corte di giustizia UE — e cosa ne resta
L’art. 88 GDPR consente agli Stati membri «norme più specifiche» per la protezione dei dati dei dipendenti. La Corte, in C-34/21, ha chiarito: una norma nazionale che in sostanza ripete soltanto il parametro generale di necessità non è una siffatta norma più specifica e non soddisfa l’art. 88 par. 2 GDPR. È esattamente questa l’obiezione cui è esposto il § 26 par. 1 frase 1 BDSG — la norma è quindi solo limitatamente sostenibile come unica base giuridica per uno screening. Il progetto di legge sulla protezione dei dati dei dipendenti che avrebbe dovuto colmare la lacuna è rimasto fermo e allo stato di luglio 2026 non è stato approvato.
Per la pratica ciò non significa un divieto di verifica, ma un cambiamento del livello di motivazione: le basi giuridiche generali del GDPR sostengono lo screening — purché siano attribuite correttamente a ciascuna categoria di verifica.
Mapping delle basi giuridiche: art. 6 GDPR per categoria di verifica
Un generico «verifichiamo sulla base del BDSG» non è più sufficiente. È sostenibile un mapping che attribuisca a ogni categoria una propria base giuridica:
- Verifica di identità e curriculum — art. 6 par. 1 lett. b GDPR: la verifica delle dichiarazioni rese dal candidato o dalla candidata è parte delle misure precontrattuali.
- Liste sanzionatorie e watchlist — art. 6 par. 1 lett. c GDPR per i soggetti obbligati: dove sussiste un obbligo legale di verifica (ad esempio nel settore finanziario), il trattamento è necessario per adempiere un obbligo legale.
- Ricerca in registri e adverse media — art. 6 par. 1 lett. f GDPR: interesse legittimo con ponderazione degli interessi documentata, motivata in relazione alla posizione.
L’attribuzione è più di una formalità: determina quali informazioni dovete fornire all’interessato e quanto in profondità la verifica può spingersi per ciascuna posizione. Per gli istituti nell’ambito di applicazione del GwG abbiamo approfondito l’interazione con la verifica di affidabilità nel contributo sul pre-employment screening nelle banche.
Problema speciale art. 10 GDPR: dati relativi a condanne penali
Un ostacolo a sé vale per i dati relativi a condanne penali e reati: l’art. 10 GDPR ne consente il trattamento solo sotto il controllo dell’autorità pubblica o sulla base di una norma giuridica con garanzie adeguate. Chi nello screening valuta ad esempio resoconti stampa su procedimenti penali si muove in questo regime speciale e necessita a tal fine di una base sostenibile e di misure di protezione documentate. È proprio qui che lo screening strutturato e basato su categorie si separa dal «googlare» informale dell’HR — quest’ultimo non conosce né base giuridica né garanzie.
Trasparenza ai sensi degli art. 13 e 14 GDPR
Indipendentemente dalla base giuridica vale: l’interessato va informato — in caso di raccolta diretta ai sensi dell’art. 13 GDPR, in caso di raccolta da altre fonti (registri, media, reti) ai sensi dell’art. 14 GDPR. Uno screening che nel merito sarebbe ammissibile diventa attaccabile se manca l’informazione. In pratica ciò significa: informative sulla privacy nel processo di candidatura che menzionino le categorie di verifica, i tipi di fonti e le basi giuridiche. Quali limiti valgano in particolare per i social network è illustrato dal nostro contributo sullo screening dei candidati sui social media; nelle aziende con cogestione si aggiunge il coinvolgimento del consiglio di fabbrica.
Raccomandazione operativa: ponderazione degli interessi in quattro passaggi
Per le categorie della lett. f si raccomanda una ponderazione degli interessi modello documentata, da declinare per ciascuna posizione:
- Individuare l’interesse legittimo: protezione dell’integrità, aspettative regolatorie, tutela di clienti e patrimonio — riferito concretamente alla posizione.
- Verificare la necessità: esiste un mezzo più mite rispetto alla rispettiva categoria di verifica? Perché non è sufficiente?
- Ponderare: gravità dell’interferenza (tipo di fonte, categorie di dati, riferimento all’art. 10) contro l’interesse di verifica — quanto più il ruolo è vicino a denaro, dati e funzioni di controllo, tanto più la ponderazione regge.
- Documentare e informare: fissare per iscritto l’esito, adeguare le informative sulla privacy, definire l’ambito di verifica per classe di rischio.
Un report verificabile con fonti datate e controllo finale umano (art. 22 GDPR) rappresenta esattamente questa struttura — come appaia lo mostra il report software Indicium per i settori regolamentati.
Questo articolo non costituisce una consulenza giuridica.