Per quanto tempo posso conservare i dati delle candidature e del personale?

Il periodo di conservazione deriva dall'obiettivo, non da un elenco fisso

La durata della conservazione dei dati di candidatura o dei dati del personale dipende dall'obiettivo per il quale sono stati raccolti — non esiste alcun periodo fisso identico per ogni situazione. Per i dati di candidatura, questo obiettivo è la procedura di selezione stessa: una volta conclusa, con un'assunzione o con un rifiuto, viene meno il motivo per conservare i dati di quel candidato. La conservazione rimane possibile solo se esiste un altro obiettivo concreto, ad esempio perché il candidato ha indicato di voler rimanere nell'elenco dei candidati per una futura posizione vacante.

Per i dati del personale la situazione è diversa, perché l'obiettivo — la relazione di lavoro — persiste finché il rapporto di lavoro continua. I dati necessari per gestire quella relazione possono quindi essere conservati finché la relazione esiste. Al termine del rapporto di lavoro, questo obiettivo viene meno per parte dei dati, ma non per tutto: altra normativa al di fuori del GDPR può imporre un obbligo di conservazione proprio a determinati elementi del fascicolo del personale, indipendentemente da quanto prescrive lo stesso GDPR. Quali dati esattamente e per quanto tempo vige questo obbligo non è stabilito nel GDPR ma in quella altra normativa.

Questo deriva dal principio di limitazione della conservazione

Questo approccio proviene dall'articolo 5 del GDPR, dove è stabilito il principio di limitazione della conservazione: i dati personali non possono essere conservati più a lungo di quanto sia necessario per le finalità per le quali sono stati raccolti. Questo principio si applica direttamente e allo stesso modo in ogni Stato membro, perché il GDPR è un regolamento. Ciò che differisce è chi lo controlla: nei Paesi Bassi è l'Autorità per la protezione dei dati personali, come risulta anche dalla Legge di esecuzione del Regolamento generale sulla protezione dei dati, mentre in Germania l'autorità di vigilanza dello Stato federale dove è stabilita l'azienda è competente.