Wniosek RODO o dostęp po odmowie zatrudnienia

Po co składać wniosek RODO o dostęp po odmowie zatrudnienia

Większość odmów przychodzi bez wyjaśnienia, a coraz więcej z nich najpierw przechodzi przez oprogramowanie. W październiku 2026 roku AFP poinformowała, że troje byłych pracowników Plus que pro, francuskiego startupu, zarzuca mu stworzenie oprogramowania rekrutacyjnego, którego instrukcje dla AI odrzucały kobiety, kandydatów powyżej 55 lub poniżej 27 lat oraz osoby o afrykańskich nazwiskach; jedna z tych osób twierdzi, że złożyła skargę do CNIL i do Défenseur des droits. Firma twierdzi, że tę wersję opracował były pracownik wbrew jej wytycznym i że nigdy nie została wdrożona. W tym samym tygodniu tureckie media relacjonowały raport komisji brytyjskiego parlamentu, który ostrzegał, że zautomatyzowana selekcja kandydatów może stawiać w gorszej sytuacji osoby z mniejszości etnicznych.

Nie zajrzysz do wnętrza systemu, którym pracodawca selekcjonuje kandydatów. Ale w UE możesz poprosić o dane, które ten system o tobie wytworzył. Do tego właśnie służy wniosek RODO o dostęp — nazywany też żądaniem dostępu osoby, której dane dotyczą (ang. DSAR). Nie da ci pracy, ale może pokazać, co zostało zapisane, jakich narzędzi użyto i czy brał w tym udział człowiek, a do tego jest punktem wyjścia do sprostowania błędów lub zakwestionowania decyzji.

Do czego masz prawo

Na podstawie art. 15 RODO możesz poprosić pracodawcę — i osobno każdą agencję rekrutacyjną — o potwierdzenie, czy przetwarza twoje dane osobowe, a jeśli tak, o przekazanie:

• Kopii samych danych. Trybunał Sprawiedliwości UE orzekł, że oznacza to wierne i zrozumiałe odtworzenie wszystkich twoich danych, w tym wyciągów z dokumentów lub baz danych, jeśli są potrzebne do ich zrozumienia (sprawa C-487/21).
• Celów przetwarzania i kategorii danych, których ono dotyczy.
• Informacji o odbiorcach — na przykład systemie do obsługi rekrutacji (ATS), dostawcy testów lub rozmów wideo albo innej spółce z grupy.
• Okresu przechowywania danych albo kryteriów jego ustalania.
• Źródła danych, jeśli nie podałeś ich sam — przydatne, gdy rekruter znalazł twój profil gdzie indziej.
• Informacji, czy stosowano zautomatyzowane podejmowanie decyzji, a jeśli tak — istotnych informacji o zasadach ich podejmowania i o konsekwencjach dla ciebie.

W procesie rekrutacji twoje dane osobowe mogą obejmować CV i formularz aplikacyjny, oceny lub pozycje w rankingach z etapu selekcji, wyniki testów online, nagrania i transkrypcje rozmów z AI lub rozmów wideo, notatki i arkusze ocen rekruterów na twój temat oraz wewnętrzne e-maile omawiające twoją aplikację.

Zautomatyzowane odrzucenia a art. 22

Art. 22 RODO daje ci prawo do tego, by nie podlegać decyzji, która opiera się wyłącznie na zautomatyzowanym przetwarzaniu i istotnie na ciebie wpływa — a odrzucenie kandydatury może być taką decyzją. Jeśli pracodawca powołuje się na jeden z wyjątków (na przykład że decyzja jest niezbędna do zawarcia umowy albo na twoją wyraźną zgodę), i tak musi umożliwić ci uzyskanie interwencji człowieka, wyrażenie własnego stanowiska i zakwestionowanie decyzji.

Dwa wyroki Trybunału Sprawiedliwości UE sprawiają, że to prawo jest bardziej przydatne:

• W sprawie SCHUFA (C-634/21, grudzień 2023) Trybunał orzekł, że automatycznie wygenerowana ocena jest zautomatyzowaną decyzją, gdy firma, która ją otrzymuje, w dużym stopniu opiera na niej swoją decyzję. Rekruter, który w praktyce odrzuca każdego poniżej ustalonego progu oceny AI, może być w podobnej sytuacji.
• W sprawie Dun & Bradstreet Austria (C-203/22, luty 2025) Trybunał orzekł, że „istotne informacje o zasadach podejmowania decyzji” oznaczają zwięzłe, zrozumiałe wyjaśnienie procedury i zasad faktycznie zastosowanych do twoich danych — a nie skomplikowany wzór. Jeśli firma powołuje się na tajemnicę przedsiębiorstwa, musi przekazać te informacje organowi ochrony danych lub sądowi, który zdecyduje, ile z nich otrzymasz.

Unijny akt w sprawie sztucznej inteligencji (AI Act) dodaje prawo do jasnego wyjaśnienia roli AI w decyzjach opartych na systemach wysokiego ryzyka, do których należą narzędzia rekrutacyjne (art. 86) — ale tylko tam, gdzie prawo UE nie zapewnia go już w inny sposób, więc twoim głównym narzędziem pozostaje RODO. Obowiązki AI Act dotyczące wysokiego ryzyka dla narzędzi rekrutacyjnych obowiązują zgodnie z AI Omnibus od 2 grudnia 2027 roku.

Jak wysłać wniosek

Nie ma obowiązkowego formularza. Wystarczy e-mail, a klauzula informacyjna firmy zwykle wskazuje osobę kontaktową lub inspektora ochrony danych. Wystarczy krótki wniosek:

„Temat: Wniosek o dostęp do danych (art. 15 RODO). Dnia [data] złożyłem/złożyłam aplikację na stanowisko [stanowisko, numer referencyjny]. Na podstawie art. 15 RODO proszę o potwierdzenie, czy przetwarzają Państwo moje dane osobowe, oraz o przesłanie kopii wszystkich danych osobowych związanych z moją aplikacją, w tym ocen lub rankingów z etapu selekcji, wyników testów i assessmentów, nagrań, transkrypcji i notatek z rozmów. Proszę również o wskazanie celów przetwarzania, odbiorców (w tym dostawców oprogramowania), okresu przechowywania oraz — jeśli stosowano zautomatyzowane podejmowanie decyzji — istotnych informacji o zasadach ich podejmowania. Proszę o odpowiedź w ciągu miesiąca, zgodnie z art. 12(3). [Imię i nazwisko, adres e-mail użyty przy aplikacji]”

• Wyślij go z adresu e-mail, z którego aplikowałeś; to ułatwia identyfikację. Firma może poprosić o dodatkowe informacje tylko wtedy, gdy ma uzasadnione wątpliwości co do twojej tożsamości.
• Zachowaj kopię i zanotuj datę: miesięczny termin biegnie od dnia, w którym firma otrzyma twój wniosek.
• Jeśli aplikowałeś przez agencję lub portal z ofertami pracy, wyślij osobny wniosek do każdego z nich — każdy odpowiada za własne dane.

Co otrzymasz — i czego mogą ci nie ujawnić

• Czas: odpowiedź bez zbędnej zwłoki i w ciągu miesiąca. Przy skomplikowanych lub licznych wnioskach firma może przedłużyć termin o kolejne dwa miesiące, ale musi poinformować cię o tym w ciągu pierwszego miesiąca i podać powód.
• Koszt: pierwsza kopia jest bezpłatna. Trybunał Sprawiedliwości potwierdził, że nie musisz uzasadniać wniosku (C-307/22). Rozsądna opłata jest możliwa tylko za kolejne kopie.
• Prawa innych osób: kopia nie może niekorzystnie wpływać na innych, więc dane innych kandydatów są usuwane, a niektóre szczegóły, takie jak fragmenty wewnętrznych komentarzy współpracowników, mogą zostać zaczernione. Zaczernianie powinno być punktowe, a nie pretekstem do odmowy wszystkiego.
• Nadużycia: firma może odmówić lub pobrać opłatę tylko przy wnioskach ewidentnie nieuzasadnionych lub nadmiernych, na przykład powtarzających się — i musi umieć to wykazać.
• Wyjątki krajowe: państwa UE mogą w określonych przypadkach ograniczać dostęp, więc szczegóły nieco różnią się w zależności od kraju.

Gdy masz już swoje dane, możesz zażądać sprostowania błędów, usunięcia danych, gdy nie są już potrzebne, albo sprzeciwić się przechowywaniu twojego CV na potrzeby przyszłych rekrutacji.

Jeśli nie odpowiedzą: skargi i dalsze kroki

Jeśli firma odmawia, musi w ciągu miesiąca podać powód i poinformować cię o prawie do wniesienia skargi. Jeśli cię ignoruje albo odpowiada niepełnie, wyślij jedno przypomnienie, a potem złóż skargę do organu ochrony danych w swoim kraju — na przykład do CNIL we Francji — albo w kraju, w którym pracodawca ma siedzibę. Europejska Rada Ochrony Danych (EROD) publikuje listę wszystkich krajowych organów, a skargi są bezpłatne.

Jeśli dane wskazują na dyskryminację — na przykład filtry oparte na wieku, płci lub pochodzeniu — możesz też zwrócić się do krajowego organu ds. równego traktowania, a w wielu krajach doradzi ci prawnik od prawa pracy lub związek zawodowy. W Wielkiej Brytanii to samo prawo dostępu przysługuje na podstawie UK GDPR, a skargi trafiają do ICO.