Candidatura scartata da un algoritmo: i tuoi diritti

La regola di base: l'articolo 22 del GDPR

Il GDPR pone un principio semplice: hai il diritto di non essere sottoposto a una decisione basata unicamente sul trattamento automatizzato, compresa la profilazione, che produca effetti giuridici che ti riguardano o incida in modo analogo significativamente sulla tua persona.^[1] L'autorità francese CNIL cita, tra gli esempi, il rifiuto automatico di una candidatura a un impiego inviata online.^[2]

Esistono eccezioni: la decisione può essere automatizzata se è necessaria per un contratto, se la legge la autorizza con garanzie adeguate o se hai dato il consenso esplicito.^[1] Anche in questi casi il titolare deve garantire almeno il diritto di ottenere l'intervento umano, di esprimere la tua opinione e di contestare la decisione.^[1] Inoltre l'articolo 15 ti consente di sapere se esiste un processo decisionale automatizzato e di ricevere informazioni significative sulla logica utilizzata, nonché sull'importanza e sulle conseguenze previste del trattamento.^[1]

«Alla fine decide una persona»: basta?

Un selezionatore risponde spesso che una persona convalida sempre il risultato. Conta se quell'esame è reale. La Corte di giustizia dell'Unione europea ha stabilito il 7 dicembre 2023 (causa SCHUFA) che la sola elaborazione automatizzata di un valore di probabilità può essere già una «decisione automatizzata» ai sensi dell'articolo 22 quando un terzo si basa in modo determinante su quel valore.^[3] Applicato alle candidature: una graduatoria che il selezionatore si limita a seguire può rientrare nella regola, anche se qualcuno clicca su «conferma».

L'autorità spagnola per la protezione dei dati (AEPD) lo dice in una nota del 23 settembre 2026 su uno strumento di punteggio delle candidature: chi decide deve poter valutare criticamente il punteggio e prendere una propria decisione, senza limitarsi ad assumere il risultato.^[4]

Cosa devono dirti le aziende

Secondo la CNIL, i candidati devono essere informati dell'esistenza di un processo decisionale automatizzato, per esempio quando un algoritmo seleziona le candidature.^[5] Le stesse regole del GDPR valgono in Italia. Con il diritto di accesso dell'articolo 15 puoi chiedere tu stesso queste informazioni dopo un rifiuto.^[1]

A che punto è il regolamento sull'IA

I sistemi di IA usati per assumere rientrano tra i sistemi ad alto rischio dell'allegato III del regolamento europeo sull'IA. I loro obblighi dovevano applicarsi dal 2 agosto 2026.^[6] Un regolamento pubblicato nella Gazzetta ufficiale dell'Unione europea il 24 luglio 2026 ha spostato questa data: per i sistemi ad alto rischio dell'allegato III si parla ora del 2 dicembre 2027.^[7]

Per te significa due cose. Primo, circolano ancora testi con la data vecchia: controlla quando sono stati pubblicati. Secondo, il rinvio non sospende il GDPR: l'articolo 22 e i tuoi diritti di accesso valgono oggi.

Come far valere i tuoi diritti, passo dopo passo

1. Riconosci i segnali. Un rifiuto pochi minuti dopo l'invio, una fase di punteggio nel portale o un cenno alla selezione automatica nell'informativa privacy.
2. Scrivi al titolare del trattamento. È l'azienda che assume, non solo la piattaforma. Usa il contatto indicato nell'informativa.
3. Fai domande precise. La decisione è stata presa solo con mezzi automatizzati? Con quali criteri? Una persona può riesaminare il caso?
4. Esponi il tuo punto di vista. Se un criterio ti ha escluso per errore, per esempio un anno o un titolo di posizione, spiegalo: è un tuo diritto.^[1]
5. Conserva le prove. Data dell'invio, data e testo del rifiuto, tutte le risposte.
6. Presenta un reclamo. Se la risposta manca o è insufficiente, puoi rivolgerti all'autorità di protezione dei dati; in Italia è il Garante per la protezione dei dati personali.^[8]

Gentili signori,
mi sono candidato il [data] per la posizione di [posizione] e ho ricevuto un rifiuto il [data]. Vi chiedo di indicarmi se la decisione è stata presa unicamente con un trattamento automatizzato.
In caso affermativo, ai sensi degli articoli 15 e 22 del GDPR, chiedo di conoscere la logica e i criteri utilizzati, il riesame della mia candidatura da parte di una persona in grado di modificare la decisione e di tenere conto dei seguenti elementi: [le tue precisazioni].
Cordiali saluti

Aiutare una persona a leggere la tua candidatura

Non ogni rifiuto è una questione legale. Un CV facile da leggere per un software di selezione, un ATS, evita molti scarti ingiusti: titoli di posizione chiari, impaginazione semplice e competenze chiamate come nell'annuncio. La nostra guida sul CV compatibile con gli ATS lo spiega, e la guida sulla corrispondenza con un'offerta ti aiuta a scegliere gli annunci con possibilità reali.

Domande frequenti

Fonti

1. ↑ a b c d e f GDPR, regolamento (UE) 2016/679, articoli 15 e 22 (EUR-Lex) eur-lex.europa.eu
2. ↑ CNIL, «Vos droits à l'intervention humaine face à votre profilage ou à une décision automatisée» cnil.fr
3. ↑ Corte di giustizia dell'Unione europea, sentenza del 7 dicembre 2023, SCHUFA, causa C-634/21 (EUR-Lex) eur-lex.europa.eu
4. ↑ AEPD, comunicato del 23 settembre 2026 sull'IA nell'analisi dei curriculum aepd.es
5. ↑ CNIL, «Recrutement et données personnelles dans les TPE/PME» cnil.fr
6. ↑ Gibson Dunn, «EU AI Act Omnibus Agreement», 27 maggio 2026 gibsondunn.com
7. ↑ Regolamento (UE) 2026/1744 dell'8 luglio 2026, Digital Omnibus sull'IA (EUR-Lex) eur-lex.europa.eu
8. ↑ Comitato europeo per la protezione dei dati, membri edpb.europa.eu