EDÖB: L'Incaricato Federale della Protezione dei Dati
L'EDÖB (Incaricato Federale della Protezione dei Dati) è l'autorità federale indipendente svizzera per la protezione dei dati, nominata dal Parlamento. Esamina i reclami dei dipendenti sulla gestione dei loro dati—in particolare durante il reclutamento e l'impiego—e emette decisioni vincolanti. Non è necessario ottenere un permesso prima di elaborare i dati, ma deve notificare immediatamente l'EDÖB in caso di violazione che comprometta le informazioni dei candidati o dei dipendenti.
L'EDÖB esiste perché la legge svizzera sulla protezione dei dati (revLPD—Legge Federale riveduta sulla protezione dei dati) garantisce a ogni lavoratore il diritto di sapere come vengono utilizzati i suoi dati. Lei raccoglie informazioni sensibili: indirizzi personali, cronologia salariale, dichiarazioni di salute, numeri AVS. L'EDÖB assicura che lo faccia legalmente e in sicurezza.
Incontrerà l'EDÖB se un dipendente presenta reclamo per abuso di dati o se subisce una violazione di dati. L'ufficio è piccolo ma ha vera autorità. Ignorare un obbligo di notifica o una decisione dell'EDÖB può comportare sanzioni fino a CHF 250'000.
Quando l'EDÖB diventa rilevante
L'EDÖB interviene solo se qualcuno presenta reclamo o Lei notifica una violazione. Non esiste alcun permesso che debba ottenere prima di reclutare. Tuttavia, la revLPD Le obbliga a notificare le violazioni di dati senza indebito ritardo—generalmente entro 72 ore—se la violazione rischia di causare un danno grave ai diritti o alle libertà di una persona fisica.
I dipendenti e i candidati possono presentare reclamo se sospettano un uso illegittimo dei loro dati. L'EDÖB quindi esamina e può ordinarLe di cessare, correggere o cancellare informazioni.
- Violazioni di dati: notificare l'EDÖB entro 72 ore se rischio di danno grave
- Reclami: i dipendenti possono ricorrere all'EDÖB se sospettano gestione illegittima
- Diritto di accesso: candidati e dipendenti possono richiedere copia dei loro dati
- Nessuna approvazione preliminare: non chiede il permesso all'EDÖB prima di raccogliere dati
- Decisioni vincolanti: le decisioni dell'EDÖB sono esecutive, non può ignorarle
- Si applica a tutti: nessuna esenzione per dimensione, anche i lavoratori autonomi sono coperti
I Suoi Obblighi secondo la revLPD
Può raccogliere solo i dati necessari per il reclutamento o l'impiego. Se chiede la cronologia medica prima di un'offerta di lavoro condizionata, o conserva i CV più a lungo del necessario, viola la legge. Deve inoltre assicurare la sicurezza dell'archiviazione—file non crittografati su server condivisi o moduli stampati lasciati in armadietti non bloccati creano problemi.
Deve informare candidati e dipendenti quali dati raccoglie e perché. Un avviso sulla privacy nel Suo annuncio o nel contratto di lavoro—in linguaggio chiaro—soddisfa questo requisito. Se utilizza un software di reclutamento come zenRecruiting.ai, verifichi che il fornitore abbia sottoscritto un contratto di trattamento dei dati (accordo di elaborazione dati) con Lei.
- Limitazione della finalità: raccogliere dati solo per scopi legittimi di reclutamento o impiego
- Minimizzazione: non richiedere più dati del necessario
- Sicurezza dell'archiviazione: crittografare i file, bloccare gli armadietti, controllare l'accesso
- Trasparenza: informare come utilizza i dati dei candidati e dei dipendenti
- Contratti di trattamento dati: verificare che i fornitori si conformino alla revLPD
- Periodi di conservazione: eliminare CV e candidature dopo il reclutamento o dopo un periodo ragionevole
L'Errore Più Comune
I datori di lavoro conservano abitualmente i CV dei candidati 'per ogni evenienza' per anni. Secondo la revLPD, questa archiviazione senza scopo legittimo è illegale. Se un candidato successivamente si lamenta che Lei conserva i suoi dati illegittimamente, l'EDÖB gli darà ragione. Riceverà un ordine di eliminazione e possibili sanzioni.
Un secondo errore comune: non notificare una violazione perché presume che 'non fosse seria'. L'EDÖB giudica la gravità, non Lei. Se i dati salariali di un dipendente vengono esposti, notifichi. Se archivia password in testo semplice e vengono divulgate, notifichi. Il silenzio aggrava la violazione. Consulti un avvocato se è incerto sulla soglia delle 72 ore.
- Archiviare indefinitamente i CV senza scopo dichiarato viola la revLPD
- Non notificare una violazione è illegale e aggrava la violazione originale
- Presumere 'che non sia grave' costa più della divulgazione tempestiva
- Non decida mai da solo della gravità di una violazione—l'EDÖB decide
- Il software di reclutamento deve avere clausole esplicite di protezione dei dati
- Documenti la Sua politica di conservazione e la rispetti, altrimenti l'EDÖB la troverà non conforme
Domande frequenti
- Ho bisogno dell'approvazione dell'EDÖB prima di iniziare a reclutare?
- No. Non chiede il permesso dell'EDÖB prima di elaborare dati personali. La revLPD è basata su principi: deve rispettare le buone pratiche da solo. L'EDÖB esamina solo dopo un reclamo o una notifica.
- Quanto tempo posso conservare il CV di un candidato rifiutato?
- Secondo la revLPD: non più a lungo del necessario per il reclutamento. Buona pratica: eliminare dopo 6–12 mesi, a meno che il candidato abbia acconsentito a conservarlo per posizioni future. Documenti la Sua politica e la applichi uniformemente.
- Cosa succede se non notifico una violazione di dati all'EDÖB?
- Rischia sanzioni fino a CHF 250'000 e misure di esecuzione. L'EDÖB può anche emettere avvisi pubblici, danneggiando la Sua reputazione. Le persone colpite possono anche citarLa in giudizio separatamente per danni.
Informazioni generali per i datori di lavoro svizzeri, non consulenza legale. Fai verificare da un legale tutto ciò che ha conseguenze giuridiche.