Aristotelis Zervos
Aristotelis Zervos, direttore editoriale di 2B Advice, unisce competenze giuridiche e giornalistiche in Protezione dei dati, IT-Conformità e la regolamentazione dell'IA.
„Il termine “proctoring” indica la sorveglianza digitale degli esami, in cui i candidati vengono monitorati tramite webcam e microfono durante un test online. L’obiettivo è prevenire le frodi. Il proctoring serve a garantire che i candidati non utilizzino a casa strumenti non autorizzati o l’intelligenza artificiale. I fornitori di questo tipo di software spesso pubblicizzano il GDPR-Conformità di tale monitoraggio. Nella pratica, tuttavia, i candidati devono innanzitutto acconsentire all’utilizzo della videocamera (e, nella maggior parte dei casi, di software aggiuntivo). In teoria è possibile rifiutare il consenso, ma in tal caso sorge la questione se la candidatura verrà comunque presa in considerazione. Il presente articolo esamina se e a quali condizioni il proctoring sia ammissibile dal punto di vista della protezione dei dati nell’ambito delle procedure di selezione e fornisce raccomandazioni pratiche per un utilizzo conforme.
Rischi relativi alla protezione dei dati nel proctoring
In un test online con supervisione sono previsti numerosi Dati personali . Oltre alle registrazioni video e audio del candidato, spesso vengono acquisiti anche i contenuti dello schermo, i dati di input (ad es. i movimenti della tastiera e del mouse) e i dati relativi ai documenti di identità (ad es. mostrando un documento davanti alla telecamera). Alcuni strumenti di sorveglianza intervengono in modo approfondito nel sistema: possono leggere la cronologia del browser, modificare le impostazioni del dispositivo o monitorare i programmi in esecuzione. Tali funzioni consentono di accedere ad ambiti molto personali (ad es. l’arredamento dell’abitazione, i file privati).
Dal punto di vista della protezione dei dati, si tratta di una grave violazione della Privacy e il diritto di Autodeterminazione informativa. Esiste il rischio che anche i dati sensibili ai sensi dell'art. 9 GDPR essere registrati; ad esempio dati biometrici (caratteristiche facciali, movimenti oculari per la verifica dell'identità) o dettagli dell'ambiente domestico che consentono di dedurre l'origine etnica, la religione o lo stato di salute. Secondo la normativa sulla protezione dei dati, tale intervento è considerato altamente rischioso per i diritti delle persone interessate e può comportare una Valutazione d'impatto sulla protezione dei dati (Art. 35 GDPR) necessario.
Inoltre, la natura volontaria della partecipazione viene messa in discussione: i candidati si trovano nelle proprie abitazioni private e difficilmente possono sfuggire alla sorveglianza se vogliono partecipare alla procedura di selezione. Questa situazione solleva questioni fondamentali riguardo alla liceità e alla base giuridica del trattamento dei dati.
Per il Elaborazione di dati personali nel processo di candidatura, ci sono generalmente Base giuridica il GDPR In seguito vengono elencate le norme rilevanti per l'utilizzo del proctoring e le relative insidie.
Trattamento precontrattuale (art. 6, comma 1, lett. b del GDPR)
Si potrebbe valutare se la sorveglianza tramite proctoring sia una parte necessaria del processo di candidatura ai sensi dell'art. 6, comma 1, lett. b). GDPR può essere giustificato (trattamento dei dati per la stipula di un contratto o per misure precontrattuali). Sebbene un test di assunzione rientri fondamentalmente nell'ambito precontrattuale, il monitoraggio digitale di tale test non è „necessario“ in senso stretto per lo svolgimento della procedura di candidatura. Lo scopo, ovvero determinare l'idoneità dei candidati, potrebbe essere raggiunto anche senza la videosorveglianza. Ad esempio, attraverso un test non sorvegliato (con un rischio residuo di frodi) o attraverso un test in presenza in loco. Il proctoring è una misura organizzativa facoltativa e non una parte indispensabile della procedura di selezione. Pertanto, l'art. 6, par. 1, lett. b) GDPR di norma come base giuridica.
Tale interpretazione è in linea con le valutazioni in materia di protezione dei dati, secondo cui, sebbene la procedura di selezione possa di per sé rientrare nell’ambito di applicazione dell’art. 6, lett. b), non è invece il caso delle misure di sorveglianza ad essa associate, che servono esclusivamente al controllo dell’esame.
Interesse legittimo dell'azienda (art. 6, comma 1, lett. f GDPR)
Un'altra possibilità è quella di invocare l'interesse legittimo del responsabile (dell'azienda) ai sensi dell'art. 6, comma 1, lett. f). GDPR. L'azienda ha indubbiamente un interesse legittimo a garantire pari opportunità ed equità nei test e a prevenire le frodi. Tale interesse è stato riconosciuto anche dai tribunali come uno scopo importante, ad esempio per garantire la parità di trattamento dei candidati e la Integrità dei risultati degli esami. Pertanto, il Tribunale amministrativo superiore (OVG) della Renania Settentrionale-Vestfalia (decisione del 4.3.2021 – 14 B 278/21) ha ritenuto che Videosorveglianza ha ritenuto ammissibili gli esami online durante il corso di studi al fine di evitare frodi. Ha addirittura considerato tale misura come di interesse pubblico. Anche il Tribunale amministrativo superiore dello Schleswig-Holstein (decisione del 3 marzo 2021 – 3 MR 7/21) ha ritenuto che la sorveglianza video fosse proporzionata e adeguata, poiché non risultavano disponibili mezzi meno invasivi.
Tuttavia è necessaria cautela. Nell'art. 6 lett. f GDPR è necessario valutare gli interessi in gioco. Gli interessi dell'azienda sono contrapposti ai diritti fondamentali dei candidati, in particolare il diritto a Privacy e Autodeterminazione informativa. Die Eingriffsintensität durch Proctoring ist hoch: Bewerber werden in ihrem Zuhause beobachtet, eventuell sogar aufgezeichnet. Dieses Ungleichgewicht wirkt sich negativ auf die Abwägung aus. Anders als Hochschulen (die hoheitlich mit öffentlichem Bildungsauftrag handeln) können private Arbeitgeber nur schwer ein überwiegendes Interesse geltend machen, das die starken Persönlichkeitsrechte der Betroffenen übertrifft. Zudem existieren meist Alternativen (Präsenzprüfung), wodurch sich die Necessità relativizza la misura. Nella pratica, le autorità garanti della protezione dei dati avvertono che una giustificazione basata sull’art. 6, comma 1, lett. f comporta dei rischi. La valutazione dovrebbe risultare a favore dei candidati, per cui un’azione basata esclusivamente su tale fondamento sarebbe giuridicamente contestabile.
Consenso dei candidati (art. 6, comma 1, lett. a) del GDPR)
Rimane quindi probabilmente l'unica strada percorribile: la Consenso il candidato ai sensi dell'art. 6, comma 1, lettera a) GDPR. Infatti, i fornitori di servizi di proctoring e alcune aziende pubblicizzano il fatto che i candidati possono dare il loro consenso volontario, legittimando così il trattamento dei dati. In linea di principio, la Consenso una base giuridica valida, se soddisfa i requisiti della GDPR corrisponde a: ovvero se avviene in modo volontario, informato, specifico ed esplicito. Tuttavia, proprio la volontarietà nel processo di candidatura rappresenta il punto cruciale (vedi paragrafo successivo).
Senza un valido Consenso l'uso del proctoring non è consentito. Come già illustrato, né la necessità contrattuale né l'interesse legittimo sono sufficienti a garantirne l'affidabilità. Un uso conforme alla normativa sulla protezione dei dati dovrebbe quindi basarsi sul consenso attivo preventivo dei candidati, che devono ricevere tutte le informazioni rilevanti (portata della sorveglianza, scopo, durata, destinatari, tecnologia del software, ecc.). Trasparenza è indispensabile: i candidati devono sapere esattamente a cosa vanno incontro, comprese eventuali valutazioni automatizzate tramite algoritmi di intelligenza artificiale. Quest'ultimo aspetto è tuttavia difficile da garantire, poiché il funzionamento degli algoritmi di proctoring proprietari è spesso poco trasparente. Ciononostante, il garante della protezione dei dati di Berlino, ad esempio, richiede che vengano resi noti anche i criteri della valutazione automatizzata.
Fonte: Relazione annuale 2022 del Garante per la protezione dei dati di Berlino
Carattere volontario del consenso e “autentica” possibilità di scelta
Il GDPR pone requisiti elevati a una volontaria Consenso, in particolare in caso di squilibrio di potere tra il responsabile e la persona interessata. Considerando 43 GDPR sottolinea che in situazioni di evidente squilibrio, ad esempio tra autorità e cittadini o tra datori di lavoro e candidati, è necessario un Consenso di norma non può essere considerato volontario.
Per quanto riguarda la sorveglianza, ciò significa che i candidati devono avere la possibilità concreta di scegliere se partecipare o meno a un test online sorvegliato, senza che ciò comporti conseguenze negative. Le autorità di vigilanza raccomandano espressamente di offrire modalità di esame alternative. In concreto, ciò può significare consentire ai candidati di sostenere un esame in presenza come opzione equivalente, ad esempio presso l’azienda o in un centro di valutazione. Solo se esiste un’alternativa equivalente si può parlare di una decisione volontaria.
Non sussiste invece una vera e propria scelta quando la Consenso può essere formalmente rifiutata, ma ciò significa di fatto la fine della candidatura. Anche una pressione sottile (ad esempio, l'indicazione che si “raccomanda” la partecipazione tramite proctoring) escluderebbe la volontarietà. A questo proposito, si veda anche la decisione della Corte d'appello della Turingia del 17 novembre 2025 (rif.: 3 U 885/24): Elaborazione Il trattamento dei dati biometrici, utilizzati ad esempio per il riconoscimento facciale e quindi per l'identificazione dei candidati, viola l'articolo 9. GDPR, se non esiste una reale possibilità di scelta.
Conclusione a questo punto: una conformità alla normativa sulla protezione dei dati Consenso nella procedura di selezione è possibile, ma solo nel rigoroso rispetto del principio di volontarietà. Ciò impone in pratica al datore di lavoro di offrire un'alternativa equivalente per la procedura di selezione. Solo in questo caso il consenso dei candidati può essere considerato efficace. Consenso che giustifichi il trattamento dei dati.
Raccomandazioni pratiche orientate all'azione
Di seguito trovate alcuni misure orientate alla pratica, al fine di garantire la conformità alle norme sulla protezione dei dati durante il proctoring:
- Offrire un'alternativa al proctoring: Offrite una vera possibilità di scelta. Ad esempio, è possibile proporre parallelamente un test in presenza sotto supervisione, in sede o presso un assessment center. Comunicate chiaramente che il rifiuto del proctoring online non comporta conseguenze negative.
- Consenso ottenere informazioni: Prima del test, richiedete un'esplicita Consenso delle candidate (preferibilmente in forma scritta o elettronica). Assicurati che tutte le informazioni siano fornite in modo comprensibile: quali dati vengono raccolti (video, audio, screenshot, foto della carta d'identità, ecc.), a quale scopo, chi riceve i dati (ad esempio un fornitore di servizi di proctoring in qualità di responsabile del trattamento), durata della conservazione e diritti delle candidate. Indicate il diritto di recesso. I candidati devono sapere esattamente a cosa acconsentono.
- Minimizzazione dei dati e limitazione della sorveglianza: Utilizzate i mezzi meno invasivi per raggiungere l’obiettivo (protezione dalle frodi). Ad esempio, invece di una registrazione completa, si potrebbe ricorrere a una sorveglianza in tempo reale senza archiviazione permanente. Alcuni tribunali hanno ritenuto sufficiente conservare le registrazioni solo in caso di necessità (in presenza di anomalie o su richiesta a fini probatori). Si raccomanda di astenersi dall’utilizzare funzioni invasive del software che vadano oltre il monitoraggio tramite telecamera, come la scansione dell’intero computer o il riconoscimento facciale automatizzato, a meno che ciò non sia assolutamente necessario. Ogni funzione aggiuntiva aumenta l’invasività e rende più difficile la giustificazione. Le funzioni di scansione della stanza dovrebbero essere utilizzate con estrema cautela. Ai candidati dovrebbe essere consentito di mantenere uno sfondo neutro (ad es. uno sfondo virtuale o una stanza vuota).
- Misure tecniche e organizzative di protezione: È indispensabile stipulare un contratto di trattamento dei dati con il fornitore del servizio di proctoring (art. 28 GDPR), che tra le altre cose Riservatezza, Sicurezza dei dati, rigoroso Stanziamento di fondi e Cancellazione regola. Controllare la conservazione dei dati: le registrazioni/i protocolli devono essere conservati solo per il tempo necessario (idealmente in modo automatico). Cancellazione poco dopo la conclusione della procedura, purché non sussistano sospetti di frode). Se il fornitore di servizi ha sede al di fuori dell'UE (ad esempio negli Stati Uniti), sono necessarie misure aggiuntive.
Selezione dell'IA e valutazione d'impatto sulla protezione dei dati
- Nessuna decisione individuale automatizzata: Non è consentito affidarsi esclusivamente alla valutazione AI dello strumento di proctoring per selezionare i candidati. Se il software boccia automaticamente un candidato in caso di sospetto di frode, ciò viola il divieto di decisioni automatizzate (art. 22 GDPR). È preferibile verificare manualmente i risultati sospetti e decidere caso per caso con discernimento umano. In questo modo il processo rimane più trasparente e conforme alla legge per i candidati.
- VVT creare: Documentate l'intero processo nel registro delle attività di trattamento.
- Analisi dei valori soglia e DSFA: Effettuate inoltre un’analisi dei valori soglia per chiarire se l’utilizzo del proctoring nella vostra azienda comporti presumibilmente un rischio elevato per i diritti e le libertà dei candidati. Se così fosse, è necessario un Valutazione d'impatto sulla protezione dei dati necessario.
Suggerimento di lettura: Che cos'è un'analisi dei valori soglia e quando è obbligatoria?
Avete intenzione di utilizzare il proctoring nella procedura di selezione o utilizzate già test di selezione digitali? Allora dovreste agire subito. I requisiti legali sono elevati, così come i rischi in caso di errori.
Ailance vi aiuta a implementare soluzioni di sorveglianza GDPR-conforme alle norme, orientato alla pratica e giuridicamente sicuro da applicare. Con la nostra informativa sulla privacy e Conformità-Con questa piattaforma potrete Trasparenza su Base giuridica, consensi, responsabili del trattamento, periodi di conservazione e rischi. Un'analisi dei valori soglia e una preparazione strutturata a una Valutazione d'impatto sulla protezione dei dati sono anch'essi inclusi.
Saremo lieti di accompagnarvi anche in qualità di responsabile esterno della protezione dei dati (Responsabile della protezione dei dati esterno):
- Valutazione giuridica della vostra configurazione di proctoring
- Verifica delle procedure di consenso e delle offerte alternative
- Supporto per VVT, analisi dei valori soglia e DSFA
- Consigli pratici che funzionano anche nella routine quotidiana delle candidature
Trasformate la protezione dei dati in un vantaggio competitivo nel reclutamento. Contattateci per saperne di più su Ailance e sui nostri servizi in qualità di responsabile della protezione dei dati esterno. Vi aiutiamo a coniugare in modo sicuro innovazione e protezione dei dati.
Aristotelis Zervos è direttore editoriale di 2B Advice, avvocato e giornalista esperto di protezione dei dati, GDPR, IT-Conformità e la governance dell'IA. Pubblica regolarmente articoli approfonditi sulla regolamentazione dell'IA, GDPR-Conformità e la gestione dei rischi. Per saperne di più su di lui, visitate il suo Pagina del profilo dell'autore.
German 
English 
Italian 
French