panduan praktis pengelolaan data kandidat

Pengelolaan karier mewakili salah satu aspek yang paling rumit pemrosesan data pribadi di bidang sumber daya manusia. Setiap hari perusahaan, badan publik, firma profesional, dan agen tenaga kerja menerima dan mengarsipkan ribuan CV yang berisi informasi pribadi, rincian kontak, pengalaman kerja, kualifikasi dan, dalam beberapa kasus, bahkan kategori data tertentu.

Pada tahun 2026 topik ini menjadi semakin relevan karena semakin banyak perusahaan yang menggunakannya perangkat lunak ATS (Sistem Pelacakan Pelamar), platform cloud dan alat kecerdasan buatan untuk pemilihan personel. Semua ini menjadikannya penting untuk mengetahui kewajiban yang ditetapkan oleh hukum untuk menghindari pelanggaran, sanksi dan perlakuan terlarang.

Hubungan antara GDPR dan CV: dasar-dasar perlindungan data

Pengelolaan dan perlindungan informasi pribadi di Uni Eropa didasarkan pada serangkaian aturan umum, yang sebagian besar dipandu oleh GDPRundang-undang Eropa yang berlaku sejak 2018. Di Italia, teks ini bergabung dengan Kode Privasi nasional, yang telah diperbarui dari waktu ke waktu agar tetap sejalan dengan kebutuhan masyarakat.

Penerapan praktis undang-undang ini senantiasa dipandu oleh keputusan dan pedoman dari pihak berwenang otoritas yang kompeten, termasuk Penjamin Italia dan Komite Perlindungan Data Eropa. Terakhir, untuk menanggapi tantangan yang ditimbulkan oleh teknologi baru, kerangka peraturan baru-baru ini telah diperkaya UU AIperaturan Eropa yang didedikasikan untuk kecerdasan buatan, yang mulai berlaku secara bertahap antara tahun 2025 dan 2026.

Perusahaan dan penyeleksi yang mengumpulkan CV, pada kontak pertama yang berguna (misalnya di halaman “Bekerja dengan kami” di situs web perusahaan atau di email balasan pertama), harus menjelaskan dengan jelas bagaimana, mengapa dan untuk berapa lama mereka akan menggunakan data kandidat.

CV tidak dapat disimpan tanpa batas waktu. Sebagai aturan, jika seleksi tidak berhasil, dokumennya harus dibatalkan dalam jangka waktu tertentu wajar (sering dinyatakan sebagai 12 atau 24 bulan), kecuali terdapat kepentingan spesifik dan diungkapkan dalam memelihara profil dalam database untuk posisi masa depan.

Terakhir, file yang berisi CV harus disimpan arsip digital atau kertas yang dilindungihanya dapat diakses oleh staf seleksi, untuk menghindari penyebaran yang tidak sah.

Bagaimana cara mengelola informasi antara GDPR dan CV

Sesuai aturan yang berlaku saat ini, siapapun yang mengirimkan CV untuk melamar suatu posisi pekerjaan tidak wajib mencantumkan apapun rumus konsensus. Pengiriman dokumen itu sendiri merupakan permintaan calon untuk memulai tahap pra kontrak (seleksi).

Dalam hal seleksi personel, ketika seorang kandidat melamar secara spontan atau menanggapi iklan pekerjaan, perusahaan dapat memproses data pribadi (juga menggunakan perangkat lunak manajemen CV). Itu GDPR menetapkan bahwa, dalam kasus khusus ini, dasar hukumnya bukanlah persetujuan, tetapi pelaksanaan tindakan pra-kontrak yang diambil atas permintaan pihak yang berkepentingan. Mengirim CV sendiri sebenarnya, ini mewakili permintaan untuk memulai negosiasi pekerjaan, dan perusahaan berhak memproses data tersebut secara tepat untuk menanggapi permintaan ini.

Artinya tidak diperlukan lagi otorisasi untuk memproses datasebuah formula yang selama bertahun-tahun muncul di bagian bawah CV dan saat ini sudah ketinggalan zaman.

sakit persetujuan tertulis namun, hal ini menjadi perlu jika informasi yang dilindungi secara khusus dimasukkan secara spontan ke dalam CV, seperti informasi yang termasuk dalam kategori yang dilindungi, rincian tentang kondisi kesehatan (misalnya dalam kasus perekrutan dari kategori yang dilindungi) atau keyakinan agama (misalnya jika seseorang termasuk dalam kelompok minoritas).

Informasi tersebut sekurang-kurangnya harus menunjukkan:

• identitas pengendali data;
• rincian kontak;
• kemungkinan DPO;
• tujuan pengolahan;
• dasar hukum;
• periode retensi;
• penerima data;
• segala transfer ke luar UE;
• hak pihak yang berkepentingan;
• kemungkinan untuk mengajukan pengaduan kepada Penjamin.

Sanksi dan risiko hukum atas kesalahan pengelolaan

Pengelolaan CV yang tidak patuh dapat menimbulkan konsekuensi penting. GDPR menyediakan a sistem sanksi progresifbertujuan untuk menghukum kelalaian dalam penyimpanan informasi pribadi.

Diantaranya kesalahan yang paling sering terjadi meliputi:

• penyimpanan tidak terbatas CV;
• tidak adanya informasibila perlu;
• database yang tidak terlindungi dan akses sembarangan terhadap CV;
• pengiriman yang tidak disengaja CV kepada pihak yang tidak berkepentingan;
• penggunaan data untuk tujuan selain seleksi.

Itu kesalahan formal – seperti kegagalan memberikan informasi privasi kepada kandidat atau menyimpan CV melebihi waktu yang ditentukan tanpa alasan – dapat mengakibatkan denda hingga 10 juta euro atau, untuk bisnis, sampai 2% dari omset global tahunan tahun anggaran sebelumnya, jika lebih tinggi.

Dalam kasus pemrosesan data tertentu secara tidak sah (misalnya informasi kesehatan atau kategori yang dilindungi) tanpa izin, atau penyebaran CV tanpa izin, sanksi dapat mencapai hingga 20 juta euro atau sampai 4% dari omset global tahunan.

Selain denda dari pihak berwajib, perusahaan juga bisa digugat langsung oleh calon. Faktanya, Pasal 82 GDPR menetapkan bahwa siapa pun yang menderita a menyakiti (bahkan hanya moral, seperti stres atau kehilangan kendali atas data seseorang) karena pemrosesan yang melanggar hukum memiliki dampak buruk hak untuk memperoleh kompensasi oleh pengontrol data.

Apapun jenis kesalahan dan/atau pelanggarannya, harus selalu diingat bahwa jika arsip CV perusahaan mengalami serangan cyber atau pencurian data, maka perusahaan wajib untuk memberitahukan kejadian tersebut kepada Penjamin dan, mungkin, kepada para kandidat itu sendiri. Publisitas negatif seperti ini melemahkan kepercayaan pasar dan menjadikan perusahaan kurang menarik bagi talenta masa depan (branding perusahaan).

Alat digital dan kecerdasan buatan

Di tahun 2026 banyak bisnis yang menggunakan sistem kecerdasan buatan untuk mendukung perekrutan. Faktanya, ATS dapat:

• lampu CV secara otomatis;
• menggolongkan aplikasi;
• individu keterampilan;
• melakukan pemeringkatan dari para kandidat;
• menyarankan profil yang paling kompatibel.

Alat-alat ini dapat meningkatkan efisiensi seleksi, namun juga membawa kewajiban peraturan baru. Dengan penerapan progresifUndang-undang AI Eropabahkan di Italia sistem AI yang digunakan dalam bidang ketenagakerjaan dan seleksi personel umumnya tergolong sistem berisiko tinggi.

Oleh karena itu, penerapan teknologi ini memerlukan penerapan teknologi tersebut serangkaian tindakan kepatuhan terstruktur, seperti:

• sistem manajemen risikountuk mengidentifikasi, mengevaluasi dan memitigasi risiko yang terkait dengan penggunaan kecerdasan buatan, baik selama tahap desain dan sepanjang siklus penggunaan alat tersebut;
• dokumentasi teknisyang menjelaskan fungsi sistem, logika algoritmik yang mendasarinya, dan cara pemrosesan keputusan atau evaluasi;
• pengawasan manusiakarena sistem berisiko tinggi tidak dapat beroperasi dalam otonomi penuh tanpa kendali, oleh karena itu mekanisme harus disediakan yang memungkinkan tokoh manusia yang kompeten untuk memahami fungsi AI, memblokirnya, atau memperbaiki keluarannya jika terjadi anomali.
• pemantauan berkesinambungan, untuk menjamin transparansi maksimum dan memungkinkan, jika terjadi pemeriksaan, keterlacakan keputusan atau saran otomatis yang diberikan kepada penyeleksi.

Terakhir, perlu digarisbawahi bahwa penerapan aturan yang diatur dalam UU AI tidak menggantikan atau mengurangi batasan yang telah ditetapkan oleh GDPR. Oleh karena itu, penggunaan kecerdasan buatan dalam seleksi personel harus dilakukan secara paralel dengan kepatuhan terhadap peraturan tentang perlindungan data, memastikan bahwa pengumpulan, analisis, dan penyimpanan informasi pribadi kandidat tetap sah, transparan, dan terbatas hanya pada tujuan terkait posisi pekerjaan yang ditawarkan.

Pertanyaan yang sering diajukan (FAQ)

Berapa lama sebuah perusahaan dapat menyimpan CV?

GDPR tidak memberikan tenggat waktu yang pasti. CV harus disimpan hanya selama diperlukan untuk seleksi. Dalam banyak kasus, jangka waktu antara 12 dan 24 bulan dianggap masuk akal, asalkan ditentukan dalam kebijakan privasi dan dibenarkan oleh kebutuhan organisasi perusahaan.

Bisakah saya meminta penghapusan CV saya dari database perusahaan?

Ya. Pihak yang berkepentingan dapat menggunakan hak pembatalan yang diatur dalam Pasal 17 GDPR, meminta agar CV mereka dihapus ketika ketentuan pemrosesan tidak lagi ada atau ketika ketentuan lain yang ditetapkan oleh hukum terpenuhi. Perusahaan harus mengevaluasi permintaan tersebut dan menanggapinya sesuai ketentuan yang ditetapkan oleh Peraturan.

Apa yang harus dilakukan perusahaan ketika menerima CV melalui email?

Perusahaan harus memproses CV sesuai dengan GDPR. Secara khusus, CV harus mendaftarkan lamaran dengan benar, memberikan informasi privasi jika belum tersedia, membatasi akses hanya kepada individu yang berwenang, menyimpan CV untuk jangka waktu tertentu dan menerapkan langkah-langkah keamanan yang memadai untuk melindungi kerahasiaannya.