Richiesta di accesso GDPR dopo un rifiuto

Perché una richiesta di accesso GDPR dopo un rifiuto

La maggior parte dei rifiuti arriva senza spiegazioni, e sempre più spesso passa prima da un software. Nell'ottobre 2026 l'AFP ha riferito che tre ex dipendenti di Plus que pro, una startup francese, la accusano di aver creato un software di selezione le cui istruzioni per l'IA scartavano le donne, i candidati con più di 55 anni o meno di 27 e le persone con cognomi africani; uno di loro dice di aver presentato reclamo alla CNIL e al Défenseur des droits. L'azienda sostiene che quella versione sia stata sviluppata da un ex dipendente in violazione delle sue linee guida e che non sia mai stata messa in funzione. La stessa settimana i media turchi hanno parlato di un rapporto di una commissione parlamentare britannica secondo cui la preselezione automatizzata delle candidature può penalizzare i candidati appartenenti a minoranze etniche.

Non puoi vedere dentro il software di preselezione di un datore di lavoro. Ma nell'UE puoi chiedere i dati che ha prodotto su di te. È a questo che serve una richiesta di accesso GDPR — detta anche richiesta di accesso dell'interessato, o DSAR in inglese. Non ti farà ottenere il posto, ma può dirti cosa è stato registrato, quali strumenti sono stati usati e se è intervenuta una persona, ed è il punto di partenza per correggere errori o contestare una decisione.

A cosa hai diritto

In base all'articolo 15 del GDPR puoi chiedere al datore di lavoro — e separatamente a qualsiasi agenzia per il lavoro — di confermarti se tratta i tuoi dati personali e, in caso affermativo, di fornirti:

• Una copia dei dati stessi. La Corte di giustizia dell'UE ha stabilito che si tratta di una riproduzione fedele e comprensibile di tutti i tuoi dati, compresi estratti di documenti o banche dati quando servono a comprenderli (causa C-487/21).
• Le finalità del trattamento e le categorie di dati interessate.
• I destinatari — per esempio il sistema di gestione delle candidature, il fornitore di test di valutazione o di colloqui video, o un'altra società del gruppo.
• Per quanto tempo saranno conservati i tuoi dati, o i criteri usati per stabilirlo.
• Da dove provengono i dati, se non li hai forniti tu — utile se un selezionatore ha trovato il tuo profilo altrove.
• Se è stato usato un processo decisionale automatizzato e, in tal caso, informazioni significative sulla logica utilizzata e sulle conseguenze per te.

In un processo di selezione i tuoi dati personali possono comprendere il CV e il modulo di candidatura, i punteggi di preselezione o di classifica, i risultati dei test online, le registrazioni e trascrizioni dei colloqui video o con l'IA, le note e le schede di valutazione dei selezionatori su di te e le email interne in cui si discute della tua candidatura.

Rifiuti automatizzati e articolo 22

L'articolo 22 del GDPR ti dà il diritto di non essere sottoposto a una decisione basata unicamente sul trattamento automatizzato che incida in modo significativo su di te — e un rifiuto può essere una decisione di questo tipo. Se un datore di lavoro si avvale di una delle eccezioni (per esempio, che la decisione è necessaria per concludere un contratto, oppure il tuo consenso esplicito), deve comunque permetterti di ottenere l'intervento umano, di esprimere la tua opinione e di contestare la decisione.

Due sentenze della Corte di giustizia dell'UE rendono questo diritto più utile:

• Nella causa SCHUFA (C-634/21, dicembre 2023) la Corte ha stabilito che un punteggio generato automaticamente costituisce una decisione automatizzata quando l'azienda che lo riceve vi si basa in misura determinante per decidere. Un selezionatore che in pratica scarta tutti i candidati sotto una certa soglia di punteggio dell'IA potrebbe trovarsi in una situazione simile.
• Nella causa Dun & Bradstreet Austria (C-203/22, febbraio 2025) la Corte ha stabilito che le «informazioni significative sulla logica utilizzata» sono una spiegazione concisa e comprensibile della procedura e dei principi concretamente applicati ai tuoi dati — non una formula complessa. Se l'azienda invoca il segreto commerciale, deve fornire le informazioni all'autorità per la protezione dei dati o al giudice, che decide quanto puoi ottenere.

Il regolamento UE sull'IA (AI Act) aggiunge il diritto a una spiegazione chiara del ruolo dell'IA nelle decisioni basate su sistemi ad alto rischio, tra cui rientrano gli strumenti di selezione del personale (articolo 86) — ma solo dove il diritto dell'UE non preveda già tale diritto, quindi il GDPR resta il tuo strumento principale. Gli obblighi dell'AI Act sull'alto rischio per gli strumenti di selezione si applicano dal 2 dicembre 2027, in base all'Omnibus IA.

Come inviare la richiesta

Non esiste un modulo obbligatorio. Va bene un'email, e l'informativa sulla privacy dell'azienda di solito indica un contatto o il responsabile della protezione dei dati. Basta una richiesta breve:

«Oggetto: Richiesta di accesso ai dati (articolo 15 GDPR). Il [data] mi sono candidato/a per la posizione di [ruolo, riferimento]. Ai sensi dell'articolo 15 del GDPR, vi chiedo di confermarmi se trattate miei dati personali e di inviarmi una copia di tutti i dati personali relativi alla mia candidatura, compresi punteggi o classifiche di preselezione, risultati di test e valutazioni, registrazioni, trascrizioni e note dei colloqui. Vi chiedo inoltre di indicarmi le finalità, i destinatari (compresi i fornitori di software), il periodo di conservazione e, se è stato usato un processo decisionale automatizzato, informazioni significative sulla logica utilizzata. Vi prego di rispondere entro un mese, come previsto dall'articolo 12(3). [Nome, indirizzo email usato per la candidatura]»

• Inviala dall'indirizzo email con cui ti sei candidato; così l'identificazione è semplice. L'azienda può chiederti altre informazioni solo se ha dubbi ragionevoli sulla tua identità.
• Conserva una copia e annota la data: il termine di un mese decorre da quando l'azienda riceve la richiesta.
• Se ti sei candidato tramite un'agenzia o una piattaforma di lavoro, invia una richiesta separata a ciascuna — ognuna è responsabile dei propri dati.

Cosa riceverai — e cosa può essere escluso

• Tempi: una risposta senza ingiustificato ritardo e comunque entro un mese. L'azienda può prorogare di altri due mesi per richieste complesse o numerose, ma deve informarti entro il primo mese e spiegarne il motivo.
• Costi: la prima copia è gratuita. La Corte di giustizia ha confermato che non devi motivare la richiesta (C-307/22). Un contributo spese ragionevole è possibile solo per ulteriori copie.
• Diritti altrui: la copia non deve ledere i diritti di altre persone, quindi i dati degli altri candidati vengono rimossi e alcuni dettagli, come parti dei commenti interni dei colleghi, possono essere oscurati. L'oscuramento deve essere mirato, non un motivo per rifiutare tutto.
• Abusi: un'azienda può rifiutare o chiedere un contributo solo per richieste manifestamente infondate o eccessive, per esempio ripetute — e deve essere in grado di dimostrarlo.
• Eccezioni nazionali: i paesi dell'UE possono limitare l'accesso in casi specifici, quindi i dettagli variano leggermente da paese a paese.

Una volta ottenuti i tuoi dati, puoi chiedere che gli errori vengano corretti, chiederne la cancellazione quando non sono più necessari od opporti alla conservazione del tuo CV per future posizioni.

Se non rispondono: reclami e passi successivi

Se un'azienda rifiuta, deve spiegarti il motivo entro un mese e informarti del tuo diritto di presentare reclamo. Se ti ignora o risponde in modo incompleto, invia un sollecito, poi presenta reclamo all'autorità per la protezione dei dati del tuo paese — per esempio la CNIL in Francia — o del paese in cui ha sede il datore di lavoro. Il Comitato europeo per la protezione dei dati (EDPB) elenca tutte le autorità nazionali, e i reclami sono gratuiti.

Se i dati fanno pensare a una discriminazione — per esempio filtri basati su età, sesso od origine — puoi anche rivolgerti all'organismo nazionale per la parità di trattamento, e in molti paesi un avvocato giuslavorista o un sindacato può consigliarti. Nel Regno Unito lo stesso diritto di accesso si applica in base allo UK GDPR, e i reclami vanno all'ICO.