Registerutdrag enligt GDPR efter jobbavslag

Varför begära registerutdrag enligt GDPR efter ett jobbavslag

De flesta avslag kommer utan förklaring, och allt fler av dem passerar först genom ett program. I oktober 2026 rapporterade AFP att tre tidigare anställda på Plus que pro, ett franskt startupföretag, anklagar företaget för att ha byggt ett rekryteringsprogram vars AI-instruktioner sorterade bort kvinnor, sökande över 55 eller under 27 år och personer med afrikanska efternamn; en av dem säger sig ha anmält saken till CNIL och Défenseur des droits. Företaget uppger att en tidigare anställd utvecklade den versionen i strid med företagets riktlinjer och att den aldrig togs i bruk. Samma vecka rapporterade turkiska medier om en rapport från ett brittiskt parlamentsutskott som varnade för att automatiserad gallring i rekrytering kan missgynna kandidater från etniska minoriteter.

Du kan inte se in i en arbetsgivares urvalsprogram. Men i EU kan du begära ut de uppgifter det har tagit fram om dig. Det är vad ett registerutdrag enligt GDPR – även kallat begäran om tillgång eller, på engelska, DSAR (data subject access request) – är till för. Det ger dig inte jobbet, men det kan visa vad som registrerades, vilka verktyg som användes och om en människa var inblandad, och det är utgångspunkten för att rätta fel eller ifrågasätta ett beslut.

Vad du har rätt till

Enligt artikel 15 i GDPR kan du be arbetsgivaren – och separat ett eventuellt rekryteringsföretag – att bekräfta om den behandlar dina personuppgifter och i så fall ge dig:

• En kopia av själva uppgifterna. EU-domstolen har slagit fast att detta innebär en korrekt och begriplig återgivning av alla dina uppgifter, inklusive utdrag ur dokument eller databaser när det behövs för att förstå dem (mål C-487/21).
• Ändamålen med behandlingen och vilka kategorier av uppgifter det gäller.
• Mottagarna – till exempel rekryteringssystemet (ATS), leverantören av tester eller videointervjuer, eller ett annat bolag i koncernen.
• Hur länge dina uppgifter kommer att sparas, eller kriterierna för att bestämma det.
• Varifrån uppgifterna kom, om du inte lämnade dem själv – användbart om en rekryterare hittat din profil någon annanstans.
• Om automatiserat beslutsfattande användes och i så fall meningsfull information om logiken bakom det och vilka följder det får för dig.

I en rekryteringsprocess kan dina personuppgifter omfatta ditt cv och ansökningsformulär, poäng från gallring eller rangordning, resultat från onlinetester, inspelningar och transkriptioner från AI- eller videointervjuer, intervjuarnas anteckningar och bedömningsmallar om dig samt interna mejl där din ansökan diskuteras.

Automatiserade avslag och artikel 22

Artikel 22 i GDPR ger dig rätt att inte bli föremål för ett beslut som enbart grundas på automatiserad behandling och som påverkar dig i betydande grad – och ett avslag kan vara ett sådant beslut. Om en arbetsgivare stöder sig på något av undantagen (till exempel att beslutet är nödvändigt för att ingå ett avtal, eller ditt uttryckliga samtycke) måste den ändå låta dig få mänsklig inblandning, framföra din synpunkt och bestrida beslutet.

Två domar från EU-domstolen gör rättigheten mer användbar:

• I SCHUFA (C-634/21, december 2023) slog domstolen fast att ett automatiskt framtaget poängvärde räknas som ett automatiserat beslut när företaget som tar emot det i hög grad grundar sitt beslut på det. En rekryterare som i praktiken ger avslag till alla under en viss AI-poäng kan befinna sig i en liknande situation.
• I Dun & Bradstreet Austria (C-203/22, februari 2025) slog domstolen fast att ”meningsfull information om logiken bakom” betyder en kortfattad, begriplig förklaring av det förfarande och de principer som faktiskt tillämpats på dina uppgifter – inte en komplicerad formel. Om företaget åberopar affärshemligheter måste det lämna informationen till dataskyddsmyndigheten eller domstolen, som avgör hur mycket du får ta del av.

EU:s AI-förordning lägger till en rätt till en tydlig förklaring av AI:ns roll i beslut som grundas på högrisksystem, där rekryteringsverktyg ingår (artikel 86) – men bara där EU-rätten inte redan ger en sådan rätt, så GDPR förblir ditt viktigaste verktyg. Förordningens högriskskyldigheter för rekryteringsverktyg gäller från den 2 december 2027 enligt AI-omnibusen.

Så skickar du begäran

Det finns inget obligatoriskt formulär. E-post fungerar, och företagets integritetspolicy anger oftast en kontaktperson eller ett dataskyddsombud. En kort begäran räcker:

”Ämne: Begäran om registerutdrag (artikel 15 GDPR). Jag sökte tjänsten [tjänst, referens] den [datum]. Med stöd av artikel 15 GDPR ber jag er bekräfta om ni behandlar mina personuppgifter och skicka mig en kopia av alla personuppgifter som rör min ansökan, inklusive poäng eller rangordning från gallringen, resultat från tester och bedömningar samt inspelningar, transkriptioner och anteckningar från intervjuer. Jag ber er också uppge ändamålen, mottagarna (inklusive programvaruleverantörer), lagringstiden och, om automatiserat beslutsfattande har använts, meningsfull information om logiken bakom det. Vänligen svara inom en månad i enlighet med artikel 12(3). [Namn, e-postadress som användes vid ansökan]”

• Skicka den från e-postadressen du sökte med; då blir det lätt att identifiera dig. Företaget får bara be om mer information om det har rimliga tvivel om vem du är.
• Spara en kopia och notera datumet: tidsfristen på en månad börjar löpa när företaget tar emot din begäran.
• Om du sökte via ett rekryteringsföretag eller en jobbplattform, skicka en separat begäran till var och en av dem – var och en ansvarar för sina egna uppgifter.

Vad du får tillbaka – och vad som får undanhållas

• Tid: ett svar utan onödigt dröjsmål och inom en månad. Företaget får förlänga med ytterligare två månader vid komplicerade eller många begäranden, men måste meddela dig inom den första månaden och förklara varför.
• Kostnad: den första kopian är kostnadsfri. EU-domstolen har bekräftat att du inte behöver ange något skäl för din begäran (C-307/22). En rimlig avgift är möjlig bara för ytterligare kopior.
• Andras rättigheter: kopian får inte inverka negativt på andra, så andra kandidaters uppgifter tas bort och vissa detaljer, till exempel delar av kollegors interna kommentarer, kan maskas. Maskeringen ska vara riktad, inte ett skäl att vägra lämna ut allt.
• Missbruk: ett företag får vägra eller ta betalt bara för begäranden som är uppenbart ogrundade eller orimliga, till exempel upprepade sådana – och måste kunna visa det.
• Nationella undantag: EU-länder får begränsa rätten till tillgång i särskilda fall, så detaljerna skiljer sig något mellan länder.

När du har fått dina uppgifter kan du begära att fel rättas, begära radering när uppgifterna inte längre behövs eller invända mot att ditt cv sparas för framtida lediga tjänster.

Om de inte svarar: klagomål och nästa steg

Om ett företag vägrar måste det tala om varför inom en månad och informera dig om din rätt att klaga. Om det ignorerar dig eller ger ett ofullständigt svar, skicka en påminnelse och klaga sedan hos dataskyddsmyndigheten i ditt land – till exempel CNIL i Frankrike – eller i landet där arbetsgivaren är etablerad. Europeiska dataskyddsstyrelsen (EDPB) listar alla nationella myndigheter, och det kostar ingenting att klaga.

Om uppgifterna tyder på diskriminering – till exempel filter baserade på ålder, kön eller ursprung – kan du också kontakta ditt lands jämlikhetsorgan, och i många länder kan en arbetsrättsjurist eller ett fackförbund ge dig råd. I Storbritannien gäller samma rätt till tillgång enligt UK GDPR, och klagomål görs till ICO.