Il Garante per la Protezione dei Dati Personali ha intensificato i controlli sul recruiting nel 2025, comminando sanzioni per oltre 3,8 milioni di euro a imprese italiane per violazioni nella gestione dei CV dei candidati. Nel 2026, con l'entrata in vigore dell'EU AI Act e nuove linee guida del Garante, la conformità GDPR nel recruiting è diventata un requisito operativo, non una formalità burocratica. Ecco la checklist completa che ogni PMI italiana deve seguire. Perché il Garante sta colpendo duro nel 2026 Tre sviluppi normativi convergono nel 2026: Linee guida del Garante sul recruiting (gennaio 2025) — chiarimenti specifici su CV, video-colloqui, profilazione AI EU AI Act (agosto 2026) — classifica il recruiting come "high-risk" per AI Pacchetto Lavoro UE — diritto alla disconnessione si estende anche ai candidati Le sanzioni recenti più note in Italia: Una nota azienda manifatturiera in Veneto: 650.000 € per conservazione CV oltre i 6 mesi Catena di retail in Lombardia: 420.000 € per uso non documentato di AI screening Studio professionale a Roma: 180.000 € per email con dati candidati su Gmail (non EU server) I 14 punti della checklist GDPR per PMI italiane 1. Base giuridica per ogni raccolta dati I dati dei candidati possono essere trattati solo sulla base dell'Art. 6.1.b GDPR (misure precontrattuali). Il consenso pubblicitario per il talent pool va separato, con opt-in esplicito. 2. Minimizzazione dei dati Chiedi solo ciò che è rilevante per il ruolo. Stato civile, religione, foto NON sono obbligatori — e la loro assenza non deve influenzare la selezione (sennò scatta la discriminazione). 3. Limite di conservazione: i famosi 6 mesi Dopo il rifiuto: massimo 6 mesi di conservazione (per cause di lavoro ex Codice delle Pari Opportunità). Oltre: cancellazione automatica o consenso documentato per il talent pool. 4. Informativa privacy nel form di candidatura Obbligatoria: visibile prima dell'invio del form, con elenco dei destinatari, durata di conservazione, diritti dell'interessato. Linguaggio chiaro, non legalese. 5. Contratto di trattamento dati (DPA) con ogni tool ATS, email provider, video-colloquio — per ognuno serve un Data Processing Agreement ex Art. 28 GDPR. Tool come Flowxtra forniscono il DPA già pronto da firmare. 6. Server in UE Raccomandato: trattamento dati esclusivamente in UE. Tool USA senza chiara soluzione Schrems-II sono un rischio di sanzione nel 2026. Il Garante ha già sanzionato 3 PMI nel 2025 per uso di Gmail come archivio CV. 7. Diritto alla cancellazione — entro 30 giorni Il candidato deve poter cancellare via email o self-service. La cancellazione manuale è possibile ma rischiosa — funzioni ATS automatizzate sono più sicure. 8. Diritto di accesso (Art. 15) Su richiesta, devi consegnare entro 30 giorni tutti i dati salvati — incluse valutazioni, note, scambi email. Il Garante valuta l'efficienza della risposta. 9. Filtri AI non discriminatori Se usi AI screening: documenta la logica (Art. 22 GDPR + AI Act). Tool black-box senza spiegabilità sono altamente rischiosi nel 2026. 10. Registro dei trattamenti Obbligatorio da 1 dipendente. Elenca tutti i processi di recruiting — fonte, scopo, destinatari, durata di conservazione. 11. Valutazione d'impatto (DPIA) per profilazione Se l'AI seleziona automaticamente i candidati: DPIA obbligatoria (Art. 35 GDPR). Necessaria documentazione delle misure di mitigazione del rischio. 12. Formazione del personale Ogni recruiter deve poter dimostrare formazione GDPR. Almeno aggiornamento annuale. 13. Notifica violazioni dati Entro 72 ore al Garante. Modulo di notifica preparato e piano di emergenza fortemente raccomandati. 14. Responsabile della Protezione dei Dati (RPD/DPO) Obbligatorio per imprese con +250 dipendenti o trattamenti di dati sensibili. RPD esterno: ~250-600 €/mese. Le linee guida specifiche del Garante per il recruiting (2025) Sul CV ricevuto via email Il Garante ha chiarito: ricevere un CV non è automaticamente legittimo. Se il candidato manda CV non sollecitato a info@ — devi cancellarlo entro 60 giorni se non c'è un'offerta corrispondente, salvo consenso esplicito. Sui video-colloqui registrati Solo con consenso esplicito e scritto. Il candidato deve poter ottenere copia della registrazione e richiederne la cancellazione. Sui test psicologici online Considerati profilazione automatica → richiede DPIA. Necessaria revisione umana del risultato prima di decisioni di rifiuto. Sui referral check Solo dopo consenso del candidato e con limiti chiari su quali domande possono essere poste al referente. Quali tool semplificano la conformità? La maggior parte degli ATS soddisfa i requisiti di base. Per le PMI italiane, la differenza la fa il dettaglio: Server in UE standard (no trasferimento dati USA) Cancellazione automatica dopo periodi configurabili Portale self-service per richieste di accesso e cancellazione DPA pronto da firmare senza richieste extra Audit log per ogni operazione (chi, quando, cosa) Firma elettronica integrata per accordi di privacy Flowxtra soddisfa tutti i 6 punti standard in ogni piano — incluso il piano gratuito — con documentazione GDPR completa e hosting EU (Germania/Francia). Errori più comuni nelle PMI italiane Email con candidature in caselle Gmail/Outlook personali — nessuna scadenza, nessun audit log, alto rischio sanzioni Conservare CV in cartelle Google Drive aziendali — server USA, mancata Schrems-II Inviare CV a headhunter senza consenso esplicito del candidato Talent pool senza opt-in — salvataggio automatico di candidati rifiutati per future posizioni non è ammesso File Excel con CV su laptop personali — niente cifratura, niente accesso ristretto Registrazione video-colloqui senza consenso scritto — sanzione tipica 50.000-200.000 € Come si articola un'ispezione del Garante in pratica Notifica scritta con 7-14 giorni di preavviso (a volte non avvisato) Richiesta documenti: registro trattamenti, DPA, informative privacy, audit log Sopralluogo o videoconferenza: intervista al RPD/responsabile Verifica tecnica: test sul portale per richieste di accesso/cancellazione Provvedimento provvisorio entro 60-90 giorni Sanzione finale entro 6-12 mesi Le sanzioni si calcolano sul fatturato globale. Mediana per PMI italiana: 80.000 €. Massimo: 4 % fatturato annuo o 20 milioni di euro. Caso reale: e-commerce a Milano (52 dipendenti) E-commerce di moda con 52 dipendenti, contattato dal Garante per ispezione nel 2024. Situazione di partenza: CV in cartelle condivise Google Drive — non conformi Schrems-II Registro trattamenti incompleto Nessun DPA con il portale di video-colloqui Cancellazione candidati: manuale, mai effettuata in 2 anni Sanzione iniziale proposta: 320.000 €. Dopo riorganizzazione documentata (ATS conforme, DPA, formazione, registro completo) e collaborazione attiva: ridotta a 95.000 €. Tempistica per messa in regola: 4 mesi con ATS Flowxtra + formazione DPO esterna. Costo della conformità vs costo dell'inazione ScenarioCosto annuo ATS GDPR-compliant + formazione~1.200-3.000 € RPD esterno (se obbligatorio)~3.000-7.200 € Sanzione media Garante per PMI~80.000-200.000 € Costo legali per gestione ispezione~15.000-40.000 € Danno reputazionale (stima)~50.000-300.000 € Il calcolo è chiaro: la conformità costa una frazione di una sola sanzione. Checklist finale: in 30 minuti sei a metà strada ☐ ATS con server EU configurato ☐ Informativa privacy nel form di candidatura ☐ DPA firmato con ATS e altri tool ☐ Registro trattamenti aggiornato ☐ Cancellazione automatica dopo 6 mesi ☐ Email Gmail/Outlook personali NON usate per CV ☐ Formazione GDPR documentata per tutti i recruiter ☐ Procedura di risposta a richieste di accesso/cancellazione (max 30 giorni) ☐ Procedura di notifica violazioni (max 72 ore) ☐ Per AI screening: DPIA + revisione umana obbligatoria Conclusione Il GDPR nel recruiting nel 2026 non è più teoria — il Garante ispeziona attivamente. Per le PMI italiane, un ATS moderno con funzioni di compliance integrate vale più che mai il suo costo. Prova Flowxtra gratis — 3 posizioni attive, hosting EU, DPA incluso, formazione GDPR documentata, senza carta di credito. Meglio prevenire 80.000 € di sanzione che spendere 100 € al mese di tool conformi.