Toezichthouders kijken in 2027 naar automatische selectie van sollicitanten: wat u nu regelt

Stel: u bent privacy officer bij een gemeente. De afdeling HR werkt met een wervingssysteem dat elke sollicitatie een matchscore geeft. Wie onder de drempel blijft of een knock-outvraag verkeerd beantwoordt, krijgt automatisch een afwijzingsmail. Een recruiter kijkt alleen naar de kandidaten die boven de streep komen. Het werkt snel, en tot nu toe heeft niemand er vragen over gesteld.

Dat kan in 2027 anders worden. Op 11 november 2026 kozen de Europese privacytoezichthouders precies dit soort systemen als onderwerp van hun volgende gezamenlijke handhavingsactie.

Wat de EDPB besloot

In de plenaire vergadering van november koos de EDPB het onderwerp voor haar zesde gecoördineerde handhavingsactie. Volgens het nieuwsbericht van 11 november 2026 gaat de actie over geautomatiseerde besluitvorming bij werving, inclusief besluitvorming met AI. Meer specifiek kijken de toezichthouders naar het recht om niet te worden onderworpen aan een besluit dat uitsluitend op geautomatiseerde verwerking berust, en naar het recht op inzage dat daarbij hoort, bij het gebruik van tools die kandidaten automatisch screenen.

Bij zo'n gezamenlijke actie onderzoeken de deelnemende toezichthouders hetzelfde onderwerp in hun eigen land en bundelen ze daarna de uitkomsten. Welke toezichthouders meedoen, staat nog niet vast: zij sluiten zich de komende weken vrijwillig aan. Of de Autoriteit Persoonsgegevens meedoet, is dus nog niet bekend. De actie zelf start in de loop van 2027. Dat geeft u een paar maanden om de drie vragen hieronder te beantwoorden.

Vraag 1: neemt het systeem een besluit zonder mens?

Artikel 22 AVG geeft iedereen het recht om niet te worden onderworpen aan een besluit dat uitsluitend op geautomatiseerde verwerking berust, als dat besluit rechtsgevolgen heeft of iemand anderszins in aanmerkelijke mate treft. De AVG noemt werving zelf als voorbeeld: overweging 71 spreekt van de verwerking van sollicitaties via internet zonder menselijke tussenkomst. De automatische afwijzingsmail uit het voorbeeld past daar precies op.

Ook de score zelf telt mee. Het Hof van Justitie oordeelde in SCHUFA (C-634/21) dat het automatisch berekenen van een kredietscore zelf een geautomatiseerd besluit is als een derde er sterk op leunt bij het aangaan van een overeenkomst. Die zaak ging over een kredietscore van een ander bedrijf; over werving besliste het Hof niet. De redenering ligt wel voor de hand bij een matchscore: als de recruiter alleen kandidaten boven de streep bekijkt, bepaalt de score in feite wie afvalt.

Een mens die meekijkt, moet ook echt iets kunnen veranderen. In haar rapport over de Belastingdienst van 11 november 2026 stelde de AP vast dat de Belastingdienst niet kon aantonen dat er betekenisvolle menselijke tussenkomst is bij algoritmische besluiten waar de wet dat vraagt. U leest het in ons overzicht van AVG-handhaving. Leg dus vast wie de afwijzingen beoordeelt, wat die persoon ziet en hoe vaak hij de uitkomst van het systeem aanpast.

Vraag 2: mag het, en welke waarborgen horen erbij?

Een uitsluitend geautomatiseerd besluit mag alleen in drie gevallen (artikel 22 lid 2 AVG): het is noodzakelijk voor het sluiten of uitvoeren van een overeenkomst, een wet staat het toe met passende waarborgen, of de betrokkene gaf uitdrukkelijke toestemming. In de eerste en de laatste situatie moet u ten minste menselijke tussenkomst bieden, de sollicitant zijn standpunt laten geven en het besluit laten aanvechten (lid 3).

Voor een gemeente is de wettelijke route smal. Artikel 40 UAVG maakt een uitzondering voor geautomatiseerde besluiten die nodig zijn voor een wettelijke plicht of een taak van algemeen belang, maar uitdrukkelijk niet voor besluiten op basis van profilering. Een matchscore die sollicitanten op geschiktheid beoordeelt, is in de regel profilering: de AVG noemt het evalueren van beroepsprestaties, betrouwbaarheid en gedrag met zoveel woorden in de definitie (artikel 4 punt 4 AVG).

Ons advies: laat bij een gemeente elke afwijzing door een mens nemen die de sollicitatie zelf heeft gezien, en gebruik de score hooguit als hulpmiddel. Dan is er geen uitsluitend geautomatiseerd besluit meer. Zorg wel dat dit in de praktijk ook zo werkt en niet alleen in het beleid staat.

Vraag 3: kunt u het uitleggen als een sollicitant erom vraagt?

Een afgewezen sollicitant kan inzage vragen. Bij geautomatiseerde besluitvorming moet u dan ook nuttige informatie geven over de onderliggende logica en over het belang en de verwachte gevolgen (artikel 15 lid 1 onder h AVG). Het Hof van Justitie maakte in Dun & Bradstreet Austria (C-203/22) duidelijk wat dat betekent: u legt de gevolgde procedure en de toegepaste principes begrijpelijk uit. Beroept u zich op een bedrijfsgeheim van de leverancier, dan beslist de toezichthouder of de rechter na een afweging wat er wordt gedeeld.

In de praktijk heeft u die uitleg nodig van uw leverancier. Vraag nu op welke gegevens de score rust, welke factoren het zwaarst wegen en hoe een kandidaat zijn score kan verbeteren, en leg in het contract vast dat u die informatie binnen de termijn van een inzageverzoek krijgt.

De DPIA: waarschijnlijk al verplicht

Een tool die sollicitanten automatisch beoordeelt of rangschikt, valt in de regel onder punt 15 van de DPIA-lijst van de AP: systematische en uitgebreide beoordeling van persoonlijke aspecten op basis van geautomatiseerde verwerking, met als voorbeeld de beoordeling van beroepsprestaties, betrouwbaarheid of gedrag. Dan is een DPIA verplicht (artikel 35 AVG). Heeft u er nog geen, dan is dit de eerste stap. Hoe u een DPIA voor een AI-systeem aanpakt, staat in onze handleiding DPIA voor AI-systemen.

Wat de AI Act daar bovenop legt

AI-systemen die bedoeld zijn voor het werven of selecteren van mensen, met name voor het analyseren en filteren van sollicitaties en het beoordelen van kandidaten, staan in bijlage III, punt 4 onder a. De uitzondering van artikel 6 lid 3 helpt hier niet: een bijlage III-systeem dat profilering uitvoert, is altijd hoog risico. Door Verordening (EU) 2026/1744 gelden die plichten vanaf 2 december 2027.

Voor de gemeente als gebruiksverantwoordelijke betekent dat onder meer:

• Gebruik volgens de instructies en menselijk toezicht door mensen die bekwaam, opgeleid en bevoegd zijn en de nodige ondersteuning krijgen (artikel 26). Gebruik de informatie die de aanbieder moet geven ook voor uw DPIA (lid 9).
• Sollicitanten informeren dat het systeem op hen wordt toegepast (artikel 26 lid 11).
• Een FRIA vóór ingebruikname, omdat een gemeente een publiekrechtelijk orgaan is (artikel 27). Dekt de DPIA al een onderdeel, dan mag u daarnaar verwijzen. Meer daarover in de FRIA voor gemeenten.
• Recht op uitleg voor wie door het besluit wordt getroffen (artikel 86), voor zover het Unierecht daar niet al anders in voorziet. Valt het besluit onder artikel 22 AVG, dan gaat de uitleg van artikel 15 lid 1 onder h AVG uit vraag 3 voor. Neemt een mens het besluit op basis van de score, dan is artikel 86 juist de route naar uitleg.

Draait het systeem al vóór 2 december 2027, dan geldt het overgangsrecht van artikel 111 lid 2: de hoog-risicoplichten gelden pas bij een aanzienlijke wijziging in het ontwerp. Voor systemen die bedoeld zijn voor gebruik door overheidsinstanties geldt in elk geval uiterlijk 2 augustus 2030. Dat is geen reden om te wachten: de AVG-vragen hierboven gelden nu al, en de AI-geletterdheid van wie met het systeem werkt (artikel 4) ook.

Bank en school, kort

Voor een bank gelden dezelfde drie AVG-vragen. Wil een bank automatisch afwijzen, dan moet zij een uitzondering van artikel 22 lid 2 AVG kunnen onderbouwen, bijvoorbeeld dat het besluit noodzakelijk is voor het sluiten van een overeenkomst. Dat moet echt noodzakelijk zijn, niet alleen handig, en dan horen de waarborgen van lid 3 erbij. Een FRIA hoeft een bank voor werving niet te doen: zij is geen publiekrechtelijk orgaan, verleent in de regel geen openbare diensten in de zin van artikel 27, en werving valt niet onder bijlage III punt 5 onder b of c. De DPIA blijft wel nodig.

Voor een school hangt de FRIA af van de rechtsvorm van het bestuur. Is dat een publiekrechtelijk orgaan, zoals een gemeente of een openbare rechtspersoon, dan is een FRIA nodig. Een stichting die bekostigd onderwijs verzorgt, is waarschijnlijk een particuliere entiteit die openbare diensten verleent: overweging 96 van de AI Act noemt onderwijs met zoveel woorden. Ga dus uit van een FRIA, tenzij u goed onderbouwt waarom niet.

Wat u nu doet

1. Breng in kaart welke wervingstools u gebruikt en waar een afwijzing zonder mens valt, ook bij knock-outvragen.
2. Leg vast wie elke afwijzing beoordeelt en wat die persoon ziet.
3. Vraag uw leverancier om de uitleg die u bij een inzageverzoek moet geven, en zet die plicht in het contract.
4. Maak of actualiseer de DPIA, en noteer daarin al de AI Act-classificatie (bijlage III, punt 4 onder a).
5. Pas de privacyverklaring voor sollicitanten aan, zodat het bestaan van geautomatiseerde besluitvorming, de onderliggende logica en de verwachte gevolgen erin staan (artikel 13 lid 2 onder f AVG).

Wilt u voor uw eigen wervingstool nagaan welke plichten onder de AVG en de AI Act gelden, gebruik dan de gratis casus-check. Meer over artikel 22 AVG bij systemen die zelf handelen, leest u in AI-agents en artikel 22 AVG.

Wat open blijft

• Wie meedoet. De toezichthouders sluiten zich de komende weken aan. Of de AP meedoet, is nog niet bekend.
• Hoe de actie eruitziet. De EDPB heeft nog geen vragenlijst of opzet gepubliceerd.
• Verhouding artikel 86 en artikel 15 AVG. Artikel 86 AI Act geldt alleen voor zover het Unierecht niet al anders in het recht op uitleg voorziet. Hoe die twee zich bij werving precies verhouden, heeft het Hof nog niet beslist.