Autorizzazione trattamento dati nel CV: la frase GDPR da usare (e perché non è obbligatoria)

In Italia nessuna frase sulla privacy è obbligatoria nel curriculum. L’art. 111-bis del Codice privacy stabilisce che, per i dati del CV usati per una selezione, il consenso «non è dovuto». È invece l’azienda che riceve il curriculum a dover dare l’informativa al candidato. Se vuoi comunque inserire la frase, una formula breve e aggiornata è: «Autorizzo il trattamento dei miei dati personali ai fini della ricerca e selezione del personale, ai sensi del Regolamento UE 2016/679».

Cosa dice la legge sul consenso nel curriculum?

La norma di riferimento è l’art. 111-bis del Codice privacy (D.Lgs. 196/2003). È stato inserito dall’art. 9 del D.Lgs. 101/2018, il decreto che ha adeguato il Codice italiano al GDPR. Il testo pubblicato in Gazzetta Ufficiale dice: «il consenso al trattamento dei dati personali presenti nei curricula non è dovuto».

L’esenzione vale nei limiti dell’art. 6, paragrafo 1, lettera b) del GDPR. Riguarda cioè i trattamenti necessari per eseguire un contratto o per misure precontrattuali chieste dall’interessato. Una candidatura rientra in questo caso: i dati servono a valutare se instaurare un rapporto di lavoro.

Il quadro temporale: il GDPR si applica dal 25 maggio 2018, mentre il D.Lgs. 101/2018 è stato pubblicato nella Gazzetta Ufficiale n. 205 del 4 settembre 2018 ed è in vigore dal 19 settembre 2018.

Il principio non è nuovo. Già ai tempi della vecchia legge 675/1996 il Garante privacy aveva ritenuto non valido il consenso chiesto insieme all’invio del curriculum, e in certi casi superfluo. Chiedeva invece che fossero gli annunci di lavoro a contenere un’informativa chiara.

Allora conviene togliere la frase dal CV?

Non è necessario. La frase è ancora molto usata, alcuni annunci la chiedono espressamente e inserirla non crea problemi. In pratica: se l’annuncio la richiede, mettila; se non la richiede, puoi scegliere. In nessuno dei due casi la tua candidatura è irregolare per legge.

Le formule da copiare

Le versioni brevi sono preferibili a quelle lunghe piene di riferimenti normativi, che spesso contengono errori (vedi più sotto). Queste sono le formule riportate dalle fonti consultate a ottobre 2026; la più precisa è quella con la finalità, suggerita da Informagiovani Parma.

Esistono anche versioni estese che citano il D.Lgs. 196/2003 come modificato dal D.Lgs. 101/2018, l’art. 13 del Regolamento UE 2016/679 e la finalità di selezione. Non aggiungono valore legale alla formula breve e aumentano il rischio di riferimenti sbagliati.

Dove e come inserire la frase nel curriculum

1. Scegli una delle formule brevi della tabella: deve citare il Regolamento UE 2016/679 (GDPR) e, se vuoi, la finalità di ricerca e selezione del personale.
2. Inseriscila in fondo al CV, dopo tutte le sezioni principali (esperienze, formazione, competenze).
3. Usa un carattere un po’ più piccolo rispetto al resto del testo, così non toglie spazio ai contenuti importanti.
4. Non firmarla: la firma non serve.
5. Se usi il modello Europass, aggiungi la frase come dichiarazione in fondo al documento.
6. Se il CV è in inglese, usa la versione inglese della frase, non quella italiana.

Chi deve dare l’informativa privacy, e quando?

L’obbligo è dell’azienda che riceve il curriculum, non del candidato. L’informativa è quella prevista dall’art. 13 del GDPR, cioè le informazioni su come verranno usati i tuoi dati. I tempi cambiano a seconda di come arriva il CV.

• Candidatura spontanea: l’azienda deve dare l’informativa «al momento del primo contatto utile, successivo all’invio del curriculum». Per esempio nell’email che ti convoca al colloquio.
• CV richiesto dall’azienda o candidatura a una posizione aperta: anche qui il consenso non serve, purché i dati siano usati solo per instaurare il rapporto di lavoro. L’azienda può dare l’informativa contestualmente alla richiesta, ad esempio nell’annuncio.

Perché online si trovano indicazioni contrastanti?

Le fonti non sono d’accordo, ed è normale trovarsi confusi. Alcuni siti di modelli di CV e di agenzie per il lavoro scrivono che il candidato deve dare un consenso esplicito, o che senza la frase un’azienda potrebbe non poter valutare la candidatura. Queste posizioni sono in contrasto con il testo dell’art. 111-bis.

All’estremo opposto, alcuni consulenti privacy sostengono che scrivere il consenso in fondo al CV sia addirittura sbagliato. Il motivo: chi invia il curriculum non sa ancora come l’azienda userà i suoi dati, quindi non può davvero acconsentire a qualcosa che non conosce.

Il punto fermo è la norma: per la selezione il consenso non è dovuto. La frase resta un’abitudine, non un requisito.

Errori comuni nelle formule in circolazione

Il riferimento all’art. 13

Molte formule citano «art. 13 D.Lgs. 196/2003» o «art. 13 GDPR». L’art. 13 del GDPR però riguarda le informazioni che l’azienda deve dare all’interessato, non il consenso del candidato. Il vecchio art. 13, comma 5-bis apparteneva invece al Codice nella versione precedente al 2018. Per questo è meglio una formula che citi solo il Regolamento UE 2016/679.

La sigla del decreto scritta male

Capita di leggere «D.Lgs. 2018/101». La forma corretta, usata in Gazzetta Ufficiale, è D.Lgs. 101/2018 (decreto legislativo 10 agosto 2018, n. 101).

Inserire dati sensibili che non servono

L’esenzione dal consenso riguarda i dati comuni. Per i dati sensibili (le cosiddette categorie particolari, come quelli sulla salute) il consenso, secondo il commento giuridico all’art. 111-bis, sembra solo rinviato, non escluso. Le prescrizioni del Garante del 5 giugno 2019 stabiliscono inoltre che chi seleziona non deve usare i dati del CV non pertinenti alla selezione. Il consiglio pratico: non inserirli se non servono.

Cosa cambia con le agenzie per il lavoro?

Le Agenzie per il Lavoro seguono un Codice di condotta approvato dal Garante. In base a questo codice, la diffusione dei dati contenuti nel CV è sempre vietata, salvo consenso esplicito del candidato.

Per quanto tempo l’azienda può conservare il mio CV?

Non esiste un limite generale verificato. Alcuni siti parlano di 12 mesi come regola fissata dal Garante, ma nel provvedimento del 4 dicembre 2025 i 12 mesi sono quelli indicati nell’informativa di una singola azienda (Gruppo FS), non una norma valida per tutti. Il tempo di conservazione va cercato nell’informativa dell’azienda a cui ti candidi.

Queste regole valgono anche all’estero?

No, non automaticamente. Quanto descritto vale per l’Italia, perché l’art. 111-bis fa parte del Codice privacy italiano. Negli altri paesi dell’Unione europea si applica il GDPR, ma le regole nazionali possono essere diverse. Se ti candidi all’estero, usa la formula in inglese e verifica le indicazioni dell’annuncio. Per casi particolari, il riferimento è un consulente esperto di protezione dei dati.

Fonte: Gazzetta Ufficiale – D.Lgs. 196/2003, art. 111-bis · Garante Privacy – Codice privacy, testo coordinato · Garante Privacy – Prescrizioni sulle categorie particolari di dati [9124510] · Garante Privacy – Informativa negli annunci di lavoro [1064553] · Garante Privacy – Provvedimento del 4 dicembre 2025 [10211870] · Lefebvre Giuffrè – Commento all’art. 111-bis · Informagiovani Parma · Ius in itinere · Protezionedatipersonali.it · Unolegal · I Consulenti Privacy · Indeed Italia · Randstad Italia · Adecco Italia · Epimoni30 · Concorsando · CVmaker.it · Zety Italia · Trattare i dati personali nel recruiting, a partire dal CV: ecco il Codice di condotta per le Agenzie per il Lavoro · Autorizzazione Trattamento Dati nel CV 2026: dicitura pronta