Cerere de acces GDPR după un refuz la angajare

De ce o cerere de acces GDPR după un refuz la angajare

Cele mai multe refuzuri vin fără nicio explicație, iar tot mai multe trec mai întâi printr-un software. În octombrie 2026, AFP a relatat că trei foști angajați ai Plus que pro, un startup francez, îl acuză că a construit un software de recrutare ale cărui instrucțiuni AI respingeau femeile, candidații de peste 55 sau sub 27 de ani și persoanele cu nume de familie africane; unul dintre ei spune că a depus plângere la CNIL și la Défenseur des droits. Compania spune că un fost angajat a dezvoltat acea versiune contrar regulilor ei interne și că nu a fost niciodată pusă în funcțiune. În aceeași săptămână, presa turcă a relatat despre un raport al unei comisii parlamentare din Regatul Unit care avertiza că preselecția automată la recrutare îi poate dezavantaja pe candidații din minorități etnice.

Nu poți vedea în interiorul softului de preselecție al unui angajator. Dar în UE poți cere datele pe care le-a produs despre tine. La asta folosește o cerere de acces GDPR — numită și cerere de acces a persoanei vizate sau DSAR. Nu-ți va aduce jobul, dar îți poate spune ce s-a înregistrat, ce instrumente s-au folosit și dacă a fost implicat un om și e punctul de plecare pentru corectarea erorilor sau contestarea unei decizii.

La ce ai dreptul

Conform articolului 15 din GDPR, poți cere angajatorului — și separat oricărei agenții de recrutare — să confirme dacă îți prelucrează datele personale și, dacă da, să-ți dea:

• O copie a datelor în sine. Curtea de Justiție a UE a decis că asta înseamnă o reproducere fidelă și inteligibilă a tuturor datelor tale, inclusiv extrase din documente sau baze de date când e nevoie de ele ca să le înțelegi (cauza C-487/21).
• Scopurile prelucrării și categoriile de date vizate.
• Destinatarii — de exemplu sistemul de urmărire a candidaților, furnizorul de evaluări sau de interviuri video ori o altă companie din grup.
• Cât timp vor fi păstrate datele tale sau criteriile folosite pentru a stabili asta.
• De unde provin datele, dacă nu le-ai furnizat tu — util dacă un recrutor ți-a găsit profilul în altă parte.
• Dacă s-a folosit luarea automată de decizii și, în acest caz, informații pertinente privind logica utilizată și consecințele pentru tine.

Într-un proces de recrutare, datele tale personale pot include CV-ul și formularul de candidatură, scorurile de preselecție sau de clasare, rezultatele la testele online, înregistrările și transcrierile interviurilor AI sau video, notițele și fișele de evaluare ale intervievatorilor despre tine și e-mailurile interne în care s-a discutat candidatura ta.

Respingeri automate și articolul 22

Articolul 22 din GDPR îți dă dreptul să nu faci obiectul unei decizii bazate exclusiv pe prelucrare automată care te afectează semnificativ — iar un refuz poate fi o astfel de decizie. Când un angajator se bazează pe una dintre excepții (de exemplu, că decizia e necesară pentru încheierea unui contract sau consimțământul tău explicit), tot trebuie să-ți permită să obții intervenție umană, să-ți exprimi punctul de vedere și să contești decizia.

Două hotărâri ale Curții UE fac acest drept mai util:

• În cauza SCHUFA (C-634/21, decembrie 2023), Curtea a stabilit că un scor generat automat contează drept decizie automată atunci când compania care îl primește se bazează în mare măsură pe el ca să decidă. Un recrutor care, în practică, respinge pe oricine se află sub un anumit scor AI poate fi într-o situație similară.
• În cauza Dun & Bradstreet Austria (C-203/22, februarie 2025), Curtea a stabilit că „informații pertinente privind logica utilizată” înseamnă o explicație concisă și inteligibilă a procedurii și a principiilor aplicate efectiv datelor tale — nu o formulă complexă. Dacă firma invocă secrete comerciale, trebuie să transmită informațiile autorității pentru protecția datelor sau instanței, care decide cât primești tu.

Regulamentul UE privind inteligența artificială (AI Act) adaugă dreptul la o explicație clară a rolului AI-ului în deciziile bazate pe sisteme cu risc ridicat, printre care și instrumentele de recrutare (articolul 86) — dar numai acolo unde dreptul UE nu oferă deja unul, așa că GDPR rămâne principalul tău instrument. Obligațiile AI Act pentru instrumentele de recrutare cu risc ridicat se aplică de la 2 decembrie 2027, potrivit AI Omnibus.

Cum trimiți cererea

Nu există un formular obligatoriu. Merge și un e-mail, iar nota de informare privind protecția datelor a companiei numește de obicei o persoană de contact sau un responsabil cu protecția datelor. E suficientă o cerere scurtă:

„Subiect: Cerere de acces la date (articolul 15 GDPR). Am aplicat pentru [post, referință] la data de [data]. În temeiul articolului 15 GDPR, vă rog să confirmați dacă îmi prelucrați datele personale și să-mi trimiteți o copie a tuturor datelor personale legate de candidatura mea, inclusiv scorurile sau clasamentele de preselecție, rezultatele la teste și evaluări, înregistrările, transcrierile și notițele de la interviuri. Vă rog să-mi comunicați și scopurile, destinatarii (inclusiv furnizorii de software), perioada de păstrare și, dacă s-a folosit luarea automată de decizii, informații pertinente privind logica utilizată. Vă rog să răspundeți în termen de o lună, conform articolului 12(3). [Nume, adresa de e-mail folosită la candidatură]”

• Trimite-o de pe adresa de e-mail cu care ai aplicat; așa identificarea e simplă. Compania îți poate cere informații suplimentare doar dacă are îndoieli rezonabile cu privire la identitatea ta.
• Păstrează o copie și notează data: termenul de o lună începe să curgă când compania îți primește cererea.
• Dacă ai aplicat printr-o agenție sau o platformă de joburi, trimite o cerere separată fiecăreia — fiecare răspunde de propriile date.

Ce primești înapoi — și ce poate fi reținut

• Termen: un răspuns fără întârzieri nejustificate și în cel mult o lună. Compania poate prelungi termenul cu încă două luni pentru cereri complexe sau numeroase, dar trebuie să te anunțe în prima lună și să-ți explice de ce.
• Cost: prima copie e gratuită. Curtea de Justiție a confirmat că nu trebuie să-ți motivezi cererea (C-307/22). O taxă rezonabilă e posibilă doar pentru copii suplimentare.
• Drepturile altor persoane: copia nu trebuie să-i afecteze negativ pe alții, așa că datele altor candidați sunt eliminate, iar unele detalii, cum ar fi părți din comentariile interne ale colegilor, pot fi mascate. Mascarea trebuie să fie punctuală, nu un motiv de a refuza totul.
• Abuz: o companie poate refuza sau percepe o taxă doar pentru cereri vădit nefondate sau excesive, de exemplu repetate — și trebuie să poată dovedi asta.
• Excepții naționale: țările UE pot restrânge accesul în cazuri specifice, așa că detaliile variază puțin de la o țară la alta.

După ce ai datele, poți cere corectarea erorilor, ștergerea lor când nu mai sunt necesare sau te poți opune păstrării CV-ului tău pentru posturi viitoare.

Dacă nu răspund: plângeri și pașii următori

Dacă o companie refuză, trebuie să-ți spună de ce în termen de o lună și să te informeze despre dreptul de a depune plângere. Dacă te ignoră sau îți dă un răspuns incomplet, trimite o singură revenire, apoi depune plângere la autoritatea pentru protecția datelor din țara ta — CNIL în Franța, de exemplu — sau din țara în care își are sediul angajatorul. Comitetul European pentru Protecția Datelor (CEPD) are lista tuturor autorităților naționale, iar plângerile sunt gratuite.

Dacă datele sugerează discriminare — de exemplu, filtre după vârstă, sex sau origine —, poți contacta și organismul național pentru egalitate, iar în multe țări te poate sfătui un avocat specializat în dreptul muncii sau un sindicat. În Regatul Unit, același drept de acces se aplică în temeiul UK GDPR, iar plângerile merg la ICO.