Comitetul European pentru Protecția Datelor (EDPB) a anunțat pe 11 noiembrie că selecția automatizată a candidaților va fi tema celei de-a șasea acțiuni coordonate de aplicare a legislației privind protecția datelor. Acțiunea va începe în cursul anului 2027 și va urmări respectarea a două drepturi prevăzute deja de Regulamentul general privind protecția datelor (GDPR). Unul protejează candidații în fața deciziilor luate exclusiv automat care îi afectează semnificativ. Celălalt le permite să obțină informații despre modul în care le-au fost folosite datele.
Pe scurt
-
Acțiunea vizează instrumentele care triază candidaturile, inclusiv cele bazate pe inteligență artificială.
-
Un candidat respins exclusiv pe baza unui scor automat poate beneficia de protecția articolului 22 din GDPR. Articolul 15 îi permite, în cazurile prevăzute de regulament, să afle cum i-au fost folosite datele la luarea deciziei.
-
Participarea autorităților este voluntară. Danemarca și-a confirmat participarea, iar EDPB nu a anunțat o listă completă, o dată exactă de lansare sau organizațiile care vor fi verificate.
Un instrument de recrutare poate sorta CV-uri, compara calificări și recomanda cine ar trebui chemat la interviu. Dacă programul elimină singur o candidatură, decizia poate intra sub incidența articolului 22 din GDPR. Acesta protejează persoanele în cazul deciziilor bazate exclusiv pe prelucrarea automată a datelor, inclusiv prin crearea de profiluri, care produc efecte juridice sau le afectează într-o măsură similară și semnificativă.
Rolul recrutorului contează. Dacă examinează informațiile relevante și are autoritatea de a schimba rezultatul înainte de luarea deciziei, recomandarea programului poate face parte dintr-o evaluare umană. O aprobare formală a rezultatului automat, fără o examinare reală, poate lăsa decizia sub incidența articolului 22.
Regulamentul permite o astfel de decizie în trei situații. Ea poate fi necesară pentru încheierea sau executarea unui contract, autorizată de legislația UE ori de cea națională sau bazată pe consimțământul explicit al persoanei. În cazurile legate de contract sau de consimțământ, operatorul trebuie să îi permită persoanei cel puțin să obțină intervenție umană, să își exprime punctul de vedere și să conteste decizia. Dacă decizia este autorizată prin lege, actul respectiv trebuie să prevadă garanții adecvate.
Dreptul de acces, prevăzut la articolul 15, îi permite candidatului să afle ce date personale au fost folosite. În cazul deciziilor automatizate vizate de articolul 22, acesta include informații relevante despre logica prelucrării, importanța ei și consecințele preconizate. Pentru cineva a cărui candidatură a fost respinsă, explicația poate arăta, de exemplu, cum a folosit sistemul datele despre experiența profesională și cum au influențat ele rezultatul.
Curtea de Justiție a UE a precizat în februarie 2025, în cauza Dun & Bradstreet Austria privind evaluarea bonității, că explicația trebuie să prezinte într-un limbaj inteligibil procedura și principiile folosite efectiv. Comunicarea unui algoritm complex nu este suficientă. Atunci când compania invocă secretul comercial sau protecția datelor altor persoane, autoritatea de supraveghere sau instanța poate examina informațiile și decide ce trebuie comunicat persoanei vizate.
Autoritățile participante își vor coordona activitatea prin cadrul european de aplicare a GDPR. Acesta permite colectarea de informații și, după caz, deschiderea sau continuarea unor investigații. Autoritatea daneză de protecție a datelor a anunțat că va participa și că va începe pregătirea verificărilor naționale. Pentru România, participarea nu a fost confirmată public până la momentul redactării.
Regulamentul european privind inteligența artificială tratează separat anumite sisteme utilizate pentru trierea candidaturilor și evaluarea candidaților, pe care le încadrează, în principiu, în categoria de risc ridicat. Acțiunea EDPB se concentrează pe aplicarea GDPR, ale cărui garanții pot fi relevante și atunci când selecția este automatizată prin reguli informatice fără inteligență artificială. Candidații își pot exercita drepturile în condițiile prevăzute de regulament și înainte ca verificările să înceapă.
