Controllo social candidati: cosa può fare l'azienda in fase di selezione
Portfolio, LinkedIn, Instagram personale, software di scoring: dove finisce la verifica delle competenze e dove inizia l'indagine vietata sulla persona. E perché, in caso di contestazione, l'opacità della selezione pesa sull'azienda.
Gratis - PNG alta risoluzione
Social screening: le 5 regole da tenere in ufficio HR
Cosa guardare, cosa evitare e come difendersi in caso di contestazione, in un'unica infografica.
A cura di Elisabetta Baroldi, Consulente del Lavoro presso Studio Baroldi, studio attivo dal 1980 e specializzato in turismo, hospitality e pubblici esercizi. Analisi elaborata sulla base degli approfondimenti di Norme&Tributi Plus Lavoro - Il Sole 24 Ore del 29 settembre 2026 (G. Barbera, A. Romano).
Sintesi rapida
Guardare i social di un candidato non è vietato in sé: il criterio è la destinazione funzionale del singolo contenuto, non la natura pubblica o privata del profilo né il tipo di piattaforma.
È lecito valutare ciò che il candidato offre come rappresentazione della propria identità professionale (portfolio, articoli, podcast, repository, post professionali), nei limiti dei requisiti della posizione.
È illecito trarre giudizi su affidabilità, valori, stile di vita o soft skills da foto private, post familiari od opinioni: è l'indagine vietata dall'art. 8 dello Statuto dei lavoratori, anche con il consenso del candidato.
Il "rischio reputazionale" non giustifica l'esame della sfera privata: il legittimo interesse richiede tre condizioni cumulative (CGUE, C-621/22).
I sistemi di IA usati per selezionare sono ad alto rischio per l'AI Act: serve una sorveglianza umana effettiva e l'art. 22 GDPR si applica anche se la decisione è formalmente presa da una persona, quando l'esito dipende in modo decisivo dall'output algoritmico.
In giudizio vale la coerenza probatoria: chi può documentare l'iter selettivo e non lo fa non può avvantaggiarsi dell'opacità che ha creato.
Perché il tema riguarda anche le piccole e medie imprese
Lo screening dei social prima dell'assunzione non è una pratica da grandi gruppi. Nel turismo e nella ristorazione, dove le selezioni per la stagione si concentrano in poche settimane, può capitare che chi seleziona cerchi il nome del candidato su Instagram o Facebook. Il problema è che questa ricerca, se non è circoscritto, sposta il giudizio dalla professionalità alla persona, ed è proprio questo spostamento che l'ordinamento vieta.
C'è poi un aspetto che le aziende tendono a sottovalutare: un candidato escluso non sa se il suo profilo è stato consultato, ma dispone di strumenti per ricostruirlo. E se la selezione non è documentata, l'assenza di tracce non protegge l'azienda: diventa un indizio a suo carico.
Il criterio decisivo: cosa guardi, non dove lo guardi
Ciò che cambia con lo screening digitale non è la quantità di informazioni disponibili, ma l'oggetto del giudizio: da capacità professionale a persona nella sua intera esposizione online. Per questo la distinzione tra social "professionali" e "personali", o tra profili pubblici e privati, non è risolutiva.
Il test corretto è uno solo: il contenuto è stato offerto dal candidato come rappresentazione della propria identità lavorativa, oppure appartiene alla sua sfera privata, espressiva o ricreativa? Anche il Codice di condotta Assolavoro, strumento di autoregolazione settoriale delle agenzie per il lavoro aderenti, precisa che la semplice accessibilità del profilo non è di per sé un presupposto di liceità del trattamento.
Nei profili misti (lavoro e vita personale sullo stesso account) il criterio si applica al singolo contenuto, non alla piattaforma: la presenza di materiale professionale non autorizza ad esplorare tutto il resto.
✅ Rientra nella valutazione
Portfolio indicato dal candidato nel curriculum
Articoli, interviste e podcast firmati, per ruoli a forte proiezione pubblica
Contributi professionali pubblicati su LinkedIn e destinati alla propria immagine lavorativa
Repository, ticket e revisioni di codice indicati nel CV
❌ Fuori dal perimetro
Foto di viaggi, post familiari, contenuti del tempo libero
Opinioni politiche, religiose, commenti su temi sociali o di cronaca
Account ricostruiti partendo da uno username o da un profilo tecnico
Quattro situazioni di confine
I casi seguenti mostrano come lo stesso gesto (aprire un profilo) possa essere lecito o illecito a seconda di cosa si valuta.
Situazione
Lecito quando
Diventa illecito quando
Profilo misto (candidato art director che usa Instagram anche come portfolio)
Si valutano stile visivo, qualità progettuale e coerenza espressiva dei lavori pubblicati: materiale offerto volontariamente e con nesso diretto con la posizione (art. 5, par. 1, lett. c, GDPR).
Si scorrono foto di viaggi, post familiari e commenti su temi sociali per giudicare affidabilità e compatibilità valoriale: scrutinio biografico vietato dall'art. 8 St. lav., anche con consenso.
Ruolo esposto (Head of Communications di una società quotata)
Si esaminano podcast, interviste ed articoli su testate di settore, che il candidato ha collocato nella propria esposizione lavorativa.
Si analizza il profilo Instagram privato invocando il "rischio reputazionale": il legittimo interesse (art. 6, par. 1, lett. f, GDPR) non supera il test delle tre condizioni cumulative.
Soft skills (ruolo manageriale di coordinamento)
La leadership si valuta con colloqui strutturati, prove situazionali, assessment formalizzato e con i post LinkedIn dedicati alla gestione dei team.
Si leggono discussioni politiche, reazioni alla cronaca e polemiche su X per dedurre la capacità di lavorare in gruppo: tracce frammentarie e decontestualizzate, trattamento eccedente ed indagine vietata.
Profilo tecnico (sviluppatore senior con progetti open source)
Si esaminano repository, ticket, revisioni di codice ed interazioni tra contributor indicati nel CV: prestazione para-lavorativa osservabile.
Dallo username si risale ad altri account, forum su temi politici ed etici e video del tempo libero. È lo "slittamento laterale" che art. 8 St. lav. ed art. 10 D.Lgs. 276/2003 vogliono impedire; se emergono convinzioni politiche o religiose si applica anche l'art. 9 GDPR.
Le regole di riferimento, in breve
Lo screening preassuntivo è presidiato da più livelli di tutela che operano insieme:
Diritto del lavoro: art. 8 L. 300/1970 (divieto di indagini sulle opinioni e su fatti non rilevanti per l'attitudine professionale) ed art. 10 D.Lgs. 276/2003.
Protezione dei dati: principi di pertinenza e minimizzazione (art. 5, par. 1, lett. c, GDPR), legittimo interesse (art. 6, par. 1, lett. f), categorie particolari di dati (art. 9), trasparenza (art. 12, par. 1), accesso (art. 15, par. 1, lett. h), decisioni automatizzate (art. 22).
Antidiscriminazione: art. 40 D.Lgs. 198/2006 ed art. 28, comma 4, D.Lgs. 150/2011, che alleggeriscono il carico probatorio di chi agisce.
Intelligenza artificiale: Reg. (UE) 2024/1689 (AI Act) e L. 23 settembre 2025, n. 132, che consolida trasparenza, proporzionalità, riservatezza, non discriminazione e riserva di controllo umano.
⚠️ Il "rischio reputazionale" non è una base giuridica
Per la Corte di giustizia UE (4 ottobre 2024, C-621/22) il legittimo interesse non è una base residuale e richiede tre condizioni insieme: un interesse lecito, la stretta necessità del trattamento (nessun mezzo meno invasivo per ottenere lo stesso scopo) e la non prevalenza dei diritti del candidato, valutata considerando le sue ragionevoli aspettative e l'impatto del trattamento. La sentenza non riguarda la selezione del personale, ma fissa criteri validi per ogni trattamento basato sul legittimo interesse. Applicandoli alla fase preassuntiva, segnata da una forte asimmetria informativa, il bilanciamento tende a sfavore dell'azienda ogni volta che si va oltre la verifica delle competenze pertinenti alla posizione.
Screening con IA, cybervetting e scoring: cosa cambia
Lo screening si è evoluto da consultazioni occasionali a veri moduli di cybervetting, profilazione e punteggi reputazionali, che aggregano tracce online per formulare giudizi predittivi su comportamento ed attitudini. È un passaggio che entra in conflitto con il nucleo inderogabile dei divieti di indagine preassuntiva, perché i giudizi nascono da contesti estranei alla candidatura.
Cosa deve garantire l'azienda
Sistemi ad alto rischio: l'AI Act (art. 6, par. 2 ed Allegato III, punto 4, lett. a) classifica così i sistemi di IA per assunzione, selezione, filtraggio delle candidature e valutazione dei candidati; il considerando 57 ne motiva la scelta con l'impatto su carriere e sostentamento e con il rischio di perpetuare discriminazioni.
Sorveglianza umana effettiva (art. 14, parr. 1, 3 e 4): chi supervisiona deve comprendere capacità e limiti del sistema, monitorarlo, interpretarne l'output e poter decidere di non usarlo o di ignorarne, annullarne o ribaltarne il risultato. Un controllo di facciata non basta.
Trasparenza sulla logica (art. 15, par. 1, lett. h, GDPR, letto con l'art. 12): il candidato ha diritto a informazioni significative, in forma concisa, su metodo e criteri applicati, tali da verificare il nesso tra parametri ed esito. Non è richiesta la consegna del codice sorgente o dell'algoritmo: l'eventuale tutela come segreto commerciale è rimessa al bilanciamento dell'autorità di controllo o del giudice.
Decisione automatizzata (art. 22 GDPR): si applica anche quando decide formalmente un operatore umano ma l'esito dipende in modo decisivo dall'output algoritmico. Secondo la Corte di giustizia vi rientra anche il calcolo automatizzato di un punteggio o di una probabilità da cui dipenda in misura determinante la stipula, l'esecuzione o la cessazione del rapporto.
Come si prova l'illecito: cosa può usare il candidato escluso
Il social screening è un illecito "opaco": avviene senza contraddittorio ed il candidato di norma non sa se il suo profilo sia stato esplorato. Motivazioni come il mancato "cultural fit" o una generica riorganizzazione rendono ancora più difficile capire le vere ragioni dell'esclusione. Il punto critico, quindi, non è qualificare l'illecito ma dimostrare che il profilo è stato effettivamente consultato. Gli strumenti a disposizione del candidato sono:
Notifiche di visualizzazione: alcune piattaforme professionali mostrano chi ha visitato il profilo e la sua funzione; la notifica vale come prova documentale se estratta con data certa o con metadati verificabili, oppure accompagnata da una relazione tecnica che attesti genuinità e data della schermata.
Ordine di esibizione ex art. 210 c.p.c. di schede di screening, registri delle valutazioni, corrispondenza interna HR e tracciati degli applicativi gestionali, oltre alla nomina di un consulente tecnico d'ufficio, ad esempio per analizzare i log.
Istanza di accesso ex art. 15 GDPR, già in fase stragiudiziale, per conoscere categorie di dati trattati, loro origine e logica di eventuali processi automatizzati.
Due regimi di prova diversi
Emergono fattori protetti
Se lo screening intercetta, anche per deduzione, sesso, maternità, religione, disabilità, origine etnica, orientamento sessuale od opinioni politiche, si applica la tutela antidiscriminatoria: art. 40 D.Lgs. 198/2006 per sesso e maternità, art. 28, comma 4, D.Lgs. 150/2011 per gli altri fattori, come le convinzioni religiose. Non c'è un'inversione automatica dell'onere, ma un'attenuazione: il candidato deve fornire elementi di fatto che rendano plausibile la discriminazione (per l'art. 40, idonei a fondarne la presunzione in termini precisi e concordanti); l'azienda deve provare ragioni oggettive e del tutto estranee al fattore vietato. Se i fattori coinvolti sono più di uno, l'effetto probatorio si rafforza.
Emergono fatti privati "atipici"
Se l'indagine riguarda stili di vita, abitudini o modi di esprimersi, la tutela deriva da art. 8 St. lav. ed art. 10 D.Lgs. 276/2003 e la prova segue le regole ordinarie (art. 2697 c.c.), anche con presunzioni semplici gravi, precise e concordanti (art. 2729 c.c.): vicinanza temporale tra accesso al profilo ed esclusione, curriculum coerente con i requisiti, nessun rilievo tecnico, assenza di una valutazione attitudinale formalizzata, motivazione generica.
❌ Errori che si trasformano in prove contro l'azienda
Escludere il giorno dopo aver visualizzato il profilo personale del candidato, con un'email generica, e ripubblicare poco dopo l'annuncio con identici requisiti: la ripubblicazione contraddice la "revisione del fabbisogno" e riduce lo spazio per una prova liberatoria.
Rispondere a un'istanza ex art. 15 GDPR dichiarando di aver trattato "solo il curriculum", senza indicare altre categorie di dati né la logica di valutazione: il riscontro evasivo diventa elemento indiziario autonomo.
Opporre il segreto commerciale sui criteri di uno scoring automatizzato senza indicare presidi di controllo umano né ragioni oggettive dell'esclusione: l'output dell'algoritmo non può fare da scudo.
Non conservare alcuna traccia dei criteri e delle valutazioni: l'assenza di tracciabilità, determinata dall'azienda, rafforza la presunzione che la selezione sia diventata uno scrutinio della persona.
⚖️ Il principio di coerenza probatoria
Chi è organizzativamente in grado di documentare l'iter selettivo non può trarre vantaggio dall'opacità del procedimento. L'assenza di tracce non è una circostanza neutra: se l'ha causata l'azienda, entra a far parte del quadro indiziario e rafforza l'inferenza che la selezione sia passata dalla verifica professionale al giudizio sulla persona.
Cosa fare in azienda: checklist operativa
Limitare l'esame online ai soli contenuti che il candidato ha indicato o destinato alla propria immagine professionale e pertinenti ai requisiti della posizione.
Nei profili misti, valutare contenuto per contenuto, senza estendersi al resto dell'account né ad altri account collegati.
Accertare soft skills e capacità relazionali solo con strumenti dichiarati: colloqui strutturati, prove situazionali, assessment formalizzati.
Documentare criteri e valutazioni della selezione e motivare l'esito su basi oggettive e professionali, evitando formule generiche.
Rispondere in modo completo alle istanze di accesso ex art. 15 GDPR, indicando dati trattati, origine e logica di eventuali processi automatizzati.
Se si usano software di IA o scoring, garantire una sorveglianza umana effettiva ed essere in grado di esibire criteri, logiche applicate e presidi di controllo.
📚 Normativa e giurisprudenza citate
Art. 8 L. 300/1970 (Statuto dei lavoratori) - divieto di indagini sulle opinioni e su fatti non rilevanti per l'attitudine professionale.
Art. 10 D.Lgs. 276/2003 - divieto di indagini e trattamenti discriminatori in fase di preselezione.
Un'azienda può controllare i profili social di un candidato?
Sì, ma solo sui contenuti che il candidato ha offerto come rappresentazione della propria identità professionale e collegati ai requisiti della posizione. Trarre giudizi su affidabilità, valori o stile di vita da contenuti privati è un'indagine vietata dall'art. 8 dello Statuto dei lavoratori.
Se il profilo social del candidato è pubblico, l'azienda può usarlo per la selezione?
No, la sola accessibilità del profilo non rende lecito il trattamento. Il discrimine è la destinazione funzionale del singolo contenuto: conta solo ciò che è pertinente all'attitudine professionale, come precisa anche il Codice di condotta Assolavoro per le agenzie per il lavoro.
Il consenso del candidato rende lecito l'esame dei suoi social personali?
No. Quando l'esame si estende a foto di viaggi, post familiari o commenti su temi sociali per valutare la persona, si tratta di scrutinio biografico vietato dall'art. 8 dello Statuto dei lavoratori indipendentemente dal consenso prestato.
Si possono valutare le soft skills di un candidato dai suoi post sui social?
No. Le soft skills vanno accertate con strumenti coerenti e dichiarati (colloqui strutturati, prove situazionali, assessment formalizzati) e non possono essere desunte in modo affidabile da tracce digitali frammentarie e decontestualizzate.
Cosa succede se l'azienda risponde in modo evasivo a una richiesta di accesso ex art. 15 GDPR del candidato?
Il riscontro incompleto, evasivo o omesso rafforza il quadro indiziario a carico dell'azienda in un eventuale giudizio, perché la priva dell'unico mezzo con cui avrebbe potuto escludere l'interferenza di fattori estranei alla selezione.
Un software di intelligenza artificiale che filtra le candidature è considerato ad alto rischio?
Sì. L'AI Act (art. 6, par. 2 ed Allegato III, punto 4, lett. a) qualifica ad alto rischio i sistemi di IA per assunzione e selezione, anche mediante filtraggio delle candidature e valutazione dei candidati, con obbligo di sorveglianza umana effettiva ai sensi dell'art. 14.
Come può un candidato dimostrare che l'azienda ha consultato i suoi social?
Con la notifica di visualizzazione del profilo, se la piattaforma la mostra, estratta con data certa o metadati verificabili, oppure con una relazione tecnica sulla schermata. In mancanza, può chiedere l'ordine di esibizione ex art. 210 c.p.c. dei documenti della selezione, la nomina di un CTU e, prima della causa, l'accesso ai dati ex art. 15 GDPR.
Sintesi informativa non esaustiva dei chiarimenti ufficiali: non sostituisce una consulenza personalizzata e potrebbe non riflettere gli ultimissimi aggiornamenti normativi o di prassi. Studio Baroldi non risponde di interpretazioni o utilizzi impropri delle informazioni qui riportate.
