Ho bisogno del GDPR se assumo solo in Svizzera?

No – se tutti i vostri candidati e dipendenti sono residenti svizzeri e non elaborate dati personali dell'UE. Ma se pubblicate su portali di lavoro dell'UE, accettate candidature da cittadini dell'UE o avete dipendenti nell'UE, il GDPR si applica. In caso di dubbio, consultate un avvocato.

Qual è la differenza tra GDPR e la revDSG svizzera?

Entrambi proteggono i dati personali, ma il GDPR è più rigoroso sul consenso, i diritti dei soggetti e le sanzioni. Se siete conformi al GDPR, in genere lo siete anche alla revDSG. Tuttavia, la revDSG ha regole uniche (ad esempio, sulla sorveglianza dei dipendenti). Un avvocato deve riesaminare entrambe.

Quanto a lungo posso conservare il CV di un candidato rifiutato?

Il GDPR vi richiede di eliminarlo una volta presa la decisione di assunzione finale, a meno che non abbiate il consenso scritto per posizioni future (deve essere opt-in) o un motivo legittimo (ad esempio, difesa da reclami di discriminazione, in genere fino a 6 mesi). Approccio più sicuro: eliminare dopo 3 mesi, a meno che il candidato non consenta una conservazione più lunga.

GDPR per i Datori di Lavoro Svizzeri

Il GDPR (Regolamento Generale sulla Protezione dei Dati) si applica alla vostra azienda svizzera se elaborate dati personali di candidati o dipendenti dello SEE. La vostra ubicazione in Svizzera non vi esonera. Le autorità svizzere riconoscono la conformità al GDPR come soddisfacente della Legge federale sulla protezione dei dati riveduta (revDSG). Un avvocato specializzato in protezione dei dati deve riesaminare le vostre pratiche di reclutamento.

Disponibile anche inEnglish Deutsch Français

Il GDPR è una legge dell'UE che regola il modo in cui le organizzazioni trattano i dati personali dei residenti dello Spazio economico europeo. Se reclutate oltre i confini o impiegate cittadini dell'UE, il GDPR vi si applica – la vostra ubicazione svizzera non vi protegge.

La Svizzera ha la propria Legge federale sulla protezione dei dati (revDSG), approssimativamente equivalente al GDPR. Le autorità svizzere accettano la conformità al GDPR come soddisfacente dei requisiti svizzeri. Tuttavia, le due leggi differiscono nei dettagli; un avvocato deve confermare che il vostro approccio copre entrambe.

Quando il GDPR si Applica al Reclutamento

Gli obblighi del GDPR nascono nel momento in cui ricevete un CV, un profilo LinkedIn o una candidatura da un candidato dell'UE. Ciò include i candidati che non ottengono il lavoro. Dovete avere una base giuridica (consenso, contratto o interesse legittimo) ed essere trasparenti su ciò che raccogliete e perché.

Se utilizzate un software di reclutamento o archiviate dati su server al di fuori della Svizzera, verificate dove risiedono fisicamente i dati. Servizi cloud come Google Workspace o Microsoft 365 potrebbero elaborare dati dell'UE, attivando così i requisiti di conformità al GDPR per la vostra azienda.

Raccogliete solo i dati rilevanti per il ruolo (niente luogo di nascita, religione o foto se non pertinenti al lavoro)
Comunicate a ogni candidato quanto a lungo conservate i suoi dati e chi può accedervi
Cancellate le domande dei candidati rifiutati entro 6–12 mesi, a meno che non abbiate un motivo di conservazione
Se utilizzate un sistema di gestione dei candidati, assicuratevi che il fornitore firmi un accordo di elaborazione dei dati (DPA)
Date ai candidati il diritto di richiedere i loro dati, correggerli o chiederne l'eliminazione
Segnalate le violazioni dei dati all'autorità dell'UE (se la persona è nell'UE) entro 72 ore

I Vostri Obblighi come Datore di Lavoro

Documentate il vostro processo di assunzione: scrivete il motivo per cui raccogliete ciascun dato e quanto a lungo lo conservate. Questo ‚avviso sulla privacy' deve essere fornito ai candidati prima o al momento della candidatura. Le autorità di regolamentazione lo cercano prima di ogni ispezione.

Se esternalizzate il reclutamento a un'agenzia o utilizzate servizi di verifica del background, diventano ‚responsabili del trattamento' secondo il GDPR. Dovete avere un contratto scritto (DPA) che specifichi cosa possono fare con i dati e che richieda loro di cancellarli su richiesta.

Designate un responsabile della protezione dei dati se siete un'autorità pubblica o elaborate dati su larga scala
Formate i vostri responsabili del reclutamento: non ponete mai domande sullo stato civile, la salute o l'iscrizione a sindacati nei moduli di candidatura
Utilizzate password crittografate su qualsiasi piattaforma di reclutamento; attivate l'autenticazione a due fattori
Conducete una valutazione dell'impatto sulla privacy (DPIA) se utilizzate strumenti di screening basati su IA o decisioni automatizzate
Esaminate le vostre pratiche relative ai certificati di lavoro e ai fascicoli personali; il GDPR limita quanto a lungo conservate i dossier di performance
Rispondete alle richieste di accesso ai dati dei candidati entro 30 giorni

L'Errore Più Comune

I datori di lavoro presumono che il GDPR non si applichi perché sono svizzeri. Sbagliato. Se pubblicate un'offerta di lavoro su un sito di lavoro dell'UE o accettate candidature dall'UE, siete vincolati dal GDPR. L'ignoranza non è una difesa; le sanzioni possono raggiungere EUR 20 milioni o il 4% del fatturato globale.

Il secondo errore: conservare i dati dei candidati ‚per sicurezza' senza un motivo documentato. Il GDPR vi richiede di eliminare i dati una volta concluso il processo di assunzione, a meno che non abbiate un motivo legittimo (controversia legale, appello di verifica del background). Accumulare CV viola il principio di conservazione.

Non ripetete sul solo consenso; documentate le ragioni commerciali legittime per ciascun dato
Non archiviate password o dati sensibili in testo semplice in e-mail o fogli di calcolo
Non presumete che esista un DPA con il vostro fornitore di software; richiederlo per iscritto
Non dimenticate che i candidati hanno più diritti secondo il GDPR che secondo la revDSG da sola
Non saltate gli avvisi sulla privacy; sono la vostra prova di trasparenza se contestati
Confermate il vostro approccio con un avvocato svizzero specializzato in protezione dei dati o diritto del lavoro prima di ampliare il reclutamento

Domande frequenti

Ho bisogno del GDPR se assumo solo in Svizzera?: No – se tutti i vostri candidati e dipendenti sono residenti svizzeri e non elaborate dati personali dell'UE. Ma se pubblicate su portali di lavoro dell'UE, accettate candidature da cittadini dell'UE o avete dipendenti nell'UE, il GDPR si applica. In caso di dubbio, consultate un avvocato.
Qual è la differenza tra GDPR e la revDSG svizzera?: Entrambi proteggono i dati personali, ma il GDPR è più rigoroso sul consenso, i diritti dei soggetti e le sanzioni. Se siete conformi al GDPR, in genere lo siete anche alla revDSG. Tuttavia, la revDSG ha regole uniche (ad esempio, sulla sorveglianza dei dipendenti). Un avvocato deve riesaminare entrambe.
Quanto a lungo posso conservare il CV di un candidato rifiutato?: Il GDPR vi richiede di eliminarlo una volta presa la decisione di assunzione finale, a meno che non abbiate il consenso scritto per posizioni future (deve essere opt-in) o un motivo legittimo (ad esempio, difesa da reclami di discriminazione, in genere fino a 6 mesi). Approccio più sicuro: eliminare dopo 3 mesi, a meno che il candidato non consenta una conservazione più lunga.

Informazioni generali per i datori di lavoro svizzeri, non consulenza legale. Fai verificare da un legale tutto ciò che ha conseguenze giuridiche.