RECRUITING E PRIVACY: FRANCESCA BASSA RACCONTA LE ULTIME NOVITA’ DEL NUOVO REGOLAMENTO UE SULLA PRIVACY

Per quanto tempo è possibile la conservazione ed il trattamento dei dati dei candidati?

Valgono le disposizioni contenute nel Codice della Privacy. Secondo il principio generale, le aziende possono conservare i dati solo per il tempo strettamente necessario alle finalità di raccolta, scaduto tale termine i dati devono essere cancellati o trasformati in forma anonima e i dati personali trattati in violazione di legge non possono essere utilizzati.

Quali sono le misure di sicurezza che servono a proteggere i dati dei candidati?

Negli ultimi anni si registra un aumento di attacchi informatici che colpiscono sia le grandi imprese come le infrastrutture critiche del Sistema Paese, sia le PMI. Le aziende sono tenute a proteggere i sistemi informativi con adeguate misure di sicurezza al fine di prevenire rischi quali le intrusioni, distruzione e perdita. Sono alcune misure di sicurezza adeguate la cifratura dei dati ovvero la loro pseudonomizzazione, la messa in atto di procedure tecniche che assicurino la prevenzione o il contrasto dei rischi informatici. Il Regolamento (UE) rafforza il livello generale delle politiche di sicurezza e prevede l’obbligo per il titolare del trattamento di segnalare all’Autorità Garante le violazioni dei dati personali entro 72 ore dal momento in cui si è venuti a conoscenza della violazione e sarà tenuto a dimostrare l’adozione di tutte le misure necessarie a garantire la sicurezza dei dati.

Cosa prescrive la normativa privacy nel caso di un’azienda multinazionale con sedi in differenti paesi?

Il Regolamento (UE) ha introdotto il principio “one – stop – shop” che consentirà alle aziende presenti in più Stati UE di trattare con l’ Autorità dello Stato in cui l’azienda ha lo stabilimento principale. Ciò agevola l’impresa che, con più sedi, potrà rivolgersi a una singola Autorità di controllo nazionale. Le disposizioni del nuovo Regolamento si applicano anche nel caso in cui il titolare di trattamento non sia stabilito nell’Unione e i suoi beni e servizi siano offerti a cittadini europei.

Sorge l’obbligo di nominare la società sviluppatrice del recruiting software “Responsabile esterno del trattamento dei dati personali”?

La decisione di affidare all’esterno un trattamento è una scelta facoltativa del titolare che riguarda esigenze organizzative e tecniche aziendali. In questo caso, il titolare è tenuto a selezionare preventivamente il soggetto esterno valutandone, in particolare, il sistema di sicurezza delle informazioni adottato. Al fine di garantire una maggiore sicurezza, per le aziende con più di 250 dipendenti o che trattano categorie particolari di dati (e in altri casi specifici), il nuovo Regolamento (UE) introduce la compilazione di appositi registri di attività di trattamento sia per il titolare sia per il responsabile.