Žádost o přístup podle GDPR po odmítnutí

Proč podat žádost o přístup podle GDPR po odmítnutí

Většina odmítnutí přichází bez vysvětlení a stále víc z nich nejdřív projde softwarem. V říjnu 2026 agentura AFP informovala, že tři bývalí zaměstnanci francouzského startupu Plus que pro ho obviňují, že vytvořil náborový software, jehož instrukce pro AI vyřazovaly ženy, uchazeče starší 55 nebo mladší 27 let a lidi s africkými příjmeními; jeden z nich uvádí, že si stěžoval u CNIL a u Défenseur des droits. Firma tvrdí, že tuto verzi vyvinul bývalý zaměstnanec v rozporu s jejími pokyny a že nikdy nebyla uvedena do provozu. Týž týden turecká média informovala o zprávě výboru britského parlamentu, která varuje, že automatizovaný výběr uchazečů může znevýhodňovat uchazeče z etnických menšin.

Do softwaru, kterým zaměstnavatel uchazeče prověřuje, nevidíte. V EU ale můžete požádat o údaje, které o vás vytvořil. Právě k tomu slouží žádost o přístup podle GDPR — označovaná také jako žádost subjektu údajů o přístup (DSAR). Práci vám nezajistí, ale může ukázat, co se zaznamenalo, jaké nástroje se použily a zda se na tom podílel člověk, a je výchozím bodem pro opravu chyb nebo napadení rozhodnutí.

Na co máte nárok

Podle článku 15 GDPR můžete zaměstnavatele — a zvlášť každou personální agenturu — požádat o potvrzení, zda zpracovává vaše osobní údaje, a pokud ano, o:

• Kopii samotných údajů. Soudní dvůr EU rozhodl, že to znamená věrnou a srozumitelnou reprodukci všech vašich údajů, včetně výpisů z dokumentů nebo databází, je-li to k jejich pochopení nutné (věc C-487/21).
• Účely zpracování a kategorie dotčených údajů.
• Příjemce — například systém pro správu uchazečů (ATS), poskytovatele testů nebo video pohovorů či jinou společnost ze skupiny.
• Dobu, po kterou budou údaje uloženy, nebo kritéria pro její určení.
• Zdroj údajů, pokud jste je neposkytli vy — užitečné, pokud náborář našel váš profil jinde.
• Informaci, zda došlo k automatizovanému rozhodování, a pokud ano, smysluplné informace o použitém postupu a o jeho důsledcích pro vás.

V náborovém procesu mohou vaše osobní údaje zahrnovat životopis a přihlášku, skóre nebo pořadí z prověřování, výsledky online testů, nahrávky a přepisy AI nebo video pohovorů, poznámky a hodnoticí formuláře těch, kdo s vámi vedli pohovor, a interní e-maily, které se vaší žádostí zabývají.

Automatizovaná odmítnutí a článek 22

Článek 22 GDPR vám dává právo nebýt předmětem rozhodnutí založeného výhradně na automatizovaném zpracování, které vás významně ovlivňuje — a odmítnutí takovým rozhodnutím být může. Pokud se zaměstnavatel opírá o některou z výjimek (například že rozhodnutí je nezbytné k uzavření smlouvy, nebo váš výslovný souhlas), musí vám přesto umožnit dosáhnout lidského zásahu, vyjádřit svůj názor a rozhodnutí napadnout.

Dva rozsudky Soudního dvora EU dělají toto právo užitečnějším:

• Ve věci SCHUFA (C-634/21, prosinec 2023) Soudní dvůr rozhodl, že automaticky vygenerované skóre se počítá jako automatizované rozhodnutí, pokud se o něj firma, která ho obdrží, při rozhodování ve velké míře opírá. Náborář, který v praxi odmítá každého pod stanovenou hranicí skóre AI, může být v podobné situaci.
• Ve věci Dun & Bradstreet Austria (C-203/22, únor 2025) Soudní dvůr rozhodl, že „smysluplné informace o použitém postupu“ znamenají stručné a srozumitelné vysvětlení postupu a zásad skutečně použitých na vaše údaje — ne složitý vzorec. Pokud se firma odvolává na obchodní tajemství, musí informace předat úřadu pro ochranu osobních údajů nebo soudu, který rozhodne, kolik z nich dostanete.

Evropský akt o umělé inteligenci (AI Act) přidává právo na jasné vysvětlení role AI v rozhodnutích založených na vysoce rizikových systémech, mezi které patří nástroje pro nábor (článek 86) — ale jen tam, kde ho právo EU už nezaručuje jinak, takže vaším hlavním nástrojem zůstává GDPR. Povinnosti AI Act pro vysoce rizikové nástroje pro nábor se podle AI Omnibusu uplatňují od 2. prosince 2027.

Jak žádost odeslat

Žádný povinný formulář neexistuje. Stačí e-mail a informace o zpracování osobních údajů dané firmy obvykle uvádějí kontakt nebo pověřence pro ochranu osobních údajů. Postačí krátká žádost:

„Předmět: Žádost o přístup k osobním údajům (článek 15 GDPR). Dne [datum] jsem se ucházel/a o pozici [pozice, referenční číslo]. Podle článku 15 GDPR Vás žádám o potvrzení, zda zpracováváte mé osobní údaje, a o zaslání kopie všech osobních údajů týkajících se mé žádosti, včetně skóre nebo pořadí z prověřování, výsledků testů a hodnocení, nahrávek, přepisů a poznámek z pohovorů. Dále Vás žádám o sdělení účelů zpracování, příjemců (včetně poskytovatelů softwaru), doby uložení a v případě, že došlo k automatizovanému rozhodování, smysluplných informací o použitém postupu. Žádám o odpověď do jednoho měsíce, jak vyžaduje článek 12(3). [Jméno, e-mailová adresa použitá v žádosti o místo]“

• Odešlete ji z e-mailové adresy, ze které jste se hlásili; usnadní to vaši identifikaci. Firma si může vyžádat další informace jen tehdy, má-li důvodné pochybnosti o vaší totožnosti.
• Uschovejte si kopii a poznamenejte si datum: měsíční lhůta běží ode dne, kdy firma vaši žádost obdrží.
• Pokud jste se hlásili přes agenturu nebo pracovní portál, pošlete samostatnou žádost každému z nich — každý odpovídá za své vlastní údaje.

Co dostanete — a co vám mohou odepřít

• Čas: odpověď bez zbytečného odkladu a do jednoho měsíce. U složitých nebo početných žádostí může firma lhůtu prodloužit o další dva měsíce, musí vám to ale oznámit během prvního měsíce a vysvětlit proč.
• Náklady: první kopie je zdarma. Soudní dvůr potvrdil, že svou žádost nemusíte nijak zdůvodňovat (C-307/22). Přiměřený poplatek je možný jen za další kopie.
• Práva ostatních: kopie nesmí nepříznivě ovlivnit jiné osoby, takže údaje ostatních uchazečů se odstraní a některé podrobnosti, třeba části interních komentářů kolegů, mohou být začerněny. Začernění má být cílené, ne důvodem odmítnout všechno.
• Zneužití: firma může odmítnout vyhovět nebo účtovat poplatek jen u žádostí zjevně nedůvodných nebo nepřiměřených, například opakovaných — a musí to umět doložit.
• Národní výjimky: státy EU mohou v určitých případech přístup omezit, takže podrobnosti se mezi zeměmi mírně liší.

Jakmile máte své údaje, můžete požádat o opravu chyb, o výmaz, když už nejsou potřeba, nebo vznést námitku proti uchovávání svého životopisu pro budoucí volná místa.

Když neodpoví: stížnosti a další kroky

Pokud firma žádost odmítne, musí vám do jednoho měsíce sdělit proč a poučit vás o právu podat stížnost. Pokud vás ignoruje nebo odpoví neúplně, pošlete jednu urgenci a pak podejte stížnost u úřadu pro ochranu osobních údajů ve své zemi — například u CNIL ve Francii — nebo v zemi, kde má zaměstnavatel sídlo. Evropský sbor pro ochranu osobních údajů (EDPB) zveřejňuje seznam všech národních úřadů a stížnosti jsou zdarma.

Pokud údaje naznačují diskriminaci — například filtry podle věku, pohlaví nebo původu — můžete se obrátit i na národní orgán pro rovné zacházení a v mnoha zemích vám poradí advokát specializovaný na pracovní právo nebo odbory. Ve Spojeném království platí stejné právo na přístup podle UK GDPR a stížnosti se podávají u ICO.