Screening dei social media dei candidati: cosa è consentito?

Lo screening dei social media delle candidate e dei candidati è ammesso se si limita a reti professionali come LinkedIn o Xing, si fonda su una ponderazione degli interessi documentata ai sensi dell’art. 6 par. 1 lett. f GDPR e l’interessato ne viene informato. La valutazione senza motivo di profili privati, la ricerca occulta o l’elusione delle impostazioni di privacy sono invece illecite – indipendentemente da quanto facilmente reperibili siano i contenuti. La linea rossa non corre quindi tra «pubblico» e «accessibile privatamente», ma tra professionale e privato.

La linea di demarcazione: reti professionali vs. reti private

Le autorità tedesche di protezione dei dati (linea DSK) distinguono in modo coerente in base alla finalità della rete: chi si presenta su LinkedIn o Xing lo fa proprio per essere percepito professionalmente – la valutazione di questa autopresentazione nel contesto della candidatura è di regola sostenibile nell’ambito della ponderazione degli interessi. Le reti private servono invece alla vita privata; che un profilo sia tecnicamente visibile pubblicamente non rende la sua valutazione ancora necessaria o proporzionata. Si aggiunge il principio di minimizzazione dei dati (art. 5 par. 1 lett. c GDPR): può essere raccolto solo ciò che è realmente rilevante per la decisione di assunzione. Per la prassi significa: la domanda non è se potete trovare qualcosa, ma se vi è consentito cercarlo per la posizione concreta – e se in caso di dubbio sapreste giustificare questa ricerca dinanzi all’autorità di controllo.

Cosa è consentito

Dentro questo quadro resta uno spazio di verifica sensato:

• Confrontare i profili professionali – stazioni, titoli e periodi su LinkedIn/Xing corrispondono al curriculum?
• Attività pubblica professionale – contributi specialistici, interventi, citazioni aziendali, nella misura in cui sono rilevanti per la posizione.
• Approfondimento su evento – quando emergono contraddizioni o indizi concreti, documentato e motivato.
• Ricerca adverse media in fonti redazionali – la copertura della stampa non è uno screening dei social media e segue criteri propri; per la sistematica delle basi giuridiche, il nostro contributo sulle basi giuridiche GDPR del pre-employment screening.

Cosa è vietato

Altrettanto chiare sono le zone tabù – valgono anche quando la posizione è sensibile per la sicurezza:

• Ricerca occulta e profili fake per ottenere accesso a contenuti protetti,
• elusione delle impostazioni di privacy, ad esempio tramite terzi con accesso da contatto,
• valutazione senza motivo di profili chiaramente privati senza riferimento all’attività,
• inferenze su categorie particolari di dati ai sensi dell’art. 9 GDPR – salute, opinioni politiche, religione, orientamento sessuale sono onnipresenti nei profili social e non devono influenzare la decisione.

Proprio quest’ultimo punto rende rischiosa la «veloce ricerca su Google» del hiring manager: chi esamina profili privati percepisce inevitabilmente dati dell’art. 9 e difficilmente potrà poi dimostrare che non hanno influenzato la decisione.

Obbligo di informativa: l’art. 14 GDPR vale anche per le fonti pubbliche

Un errore diffuso è ritenere che i dati accessibili pubblicamente possano essere trattati senza formalità. In realtà l’art. 14 GDPR richiede l’informazione dell’interessato anche quando i dati non sono stati raccolti presso di lui – quindi proprio nella ricerca su reti e altre fonti pubbliche. In caso di raccolta diretta si applica l’art. 13 GDPR. In pratica, ogni processo di candidatura deve quindi includere un’informativa sulla privacy che indichi quali tipi di fonti vengono valutati e per quale finalità. Un rinvio generico a «fonti pubblicamente accessibili» non basta; l’informativa dovrebbe indicare concretamente i tipi di fonte, la finalità e la base giuridica. Uno screening senza questa informativa è attaccabile anche se nel merito era irreprensibile.

Raccomandazione operativa

Se volete utilizzare la ricerca sui social media nel recruiting, si raccomanda il seguente quadro:

1. Linea guida scritta: definire le reti consentite, le zone tabù e le occasioni per una ricerca approfondita – ed escludere espressamente la ricerca informale individuale da parte dei manager.
2. Documentare la ponderazione degli interessi: motivare per ciascun gruppo di posizioni perché quali fonti sono necessarie.
3. Creare trasparenza: integrare le informative privacy con le fonti dello screening (artt. 13/14 GDPR).
4. Coinvolgere il consiglio di fabbrica: nelle aziende con cogestione, fin da subito – come riuscirci lo mostra il nostro contributo sulla cogestione nei background check.

Uno screening professionale e documentato con categorie definite, fonti datate e controllo finale umano (art. 22 GDPR) batte la ricerca fai-da-te sotto ogni profilo giuridico – come lo realizza il report software Indicium lo vedete in una demo.

Questo articolo non costituisce una consulenza giuridica.