Sinds mijn laatste bezoek aan Arbeidsmatchplatform is er iets verbeterd; de privacyverklaring (van 7 december ipv 5 december) is niet langer een vodje (electronisch) papier maar ondertussen een serieuze privacyverklaring. Maar serieus betekent niet dat het nu allemaal in orde is. Integendeel. Zo is Arbeidsmatchplatform bijvoorbeeld vergeten de gegevens van haar beroepentest te vermelden bij de persoonsgegevens die van de werkzoeker worden verzameld. Dat is toch wel zeer bijzonder, gegeven het feit dat dat zo’n beetje het enige is wat een werkzoeker kan doen.

En dan is er nog dit:

Privacyverklaring Arbeidsmatchplatform, detail, dd. 7 december 2023

Het gaat om de in het rood weergegeven zin. Want Arbeidsmatchplatform zegt wel dat ze vraagt akkoord te gaan met deze privacyverklaring, door deze aan te vinken maar er is op de hele site geen mogelijkheid om akkoord te gaan omdat er nergens een checkbox voor een privacyverklaring te vinden is!

En dan is er nog de bewaartermijn die Arbeidsmatchplatform stipuleert in de privacyverklaring:

Privacyverklaring Arbeidsmatchplatform, detail, dd. 7 december 2023

Het gaat hier in principe om sollicitatiegegevens, Arbeidsmatchplatform is in het leven geroepen om werkzoekenden te interesseren voor een baan in de techniek. Bezoekers die zich registreren zijn te zien als sollicitanten. En het is gebruikelijk om gegevens van sollicitanten die niet zijn aangenomen, niet langer dan 4 weken na afloop van de sollicitatieprocedure te bewaren, tenzij de sollicitant toestemming heeft gegeven voor een langere bewaartermijn (vaak maximaal een jaar) voor eventueel toekomstig interessante vacatures. Twee jaar is uitzonderlijk lang, zeer ongebruikelijk en ook nog eens onwenselijk. Maar er is meer…

Arbeidsmatchplatform schrijft zichzelf ook nog eens een blanco check uit door zonder de betreffende gegevens te specificeren aan te geven dat gegevens die persé noodzakelijk zijn voor de continuïteit en kwaliteit van onze dienstverlening en/of bedrijfsvoering blijven ook na genoemde termijnen bewaard. Toe maar! Persoonsgegevens die noodzakelijk zijn voor de continuïteit en kwaliteit van onze dienstverlening en/of bedrijfsvoering. Ik ben zeer benieuwd naar de uitleg van Arbeidsmatchplatform om welke gegevens het hier gaat.

Maar uiteindelijk worden gegevens nooit weggegooid! Want Arbeidsmatchplatform stelt dat na beschreven bewaartermijnen worden persoonsgegevens geanonimiseerd en alleen nog gebruikt voor (interne) rapportages. Er is even vergeten te vermelden welke persoonsgegevens geanonimiseerd worden, maar dit terzijde. En hiermee is de claim in de vorige alinea per direct overbodig geworden. Arbeidsmatchplatform is een Hotel California applicatie (overigens weer op de derde plaats in de Top 2000!) van het ergste soort.

Dit kan natuurlijk allemaal niet door de beugel, en misschien is het een goede zaak als Arbeidsmatchplatform een jurist met operationele kennis van de AVG inhuurt, in plaats van zelf met ChatGPT te gaan zitten spelen.

Welke privacyverklaring is geldig?
Maar er is een nog veel groter issue, want deze privactverklaring van 7 december blijkt een eerste klas fopneus. Niet alleen is er voor de werkzoeker op de hele site geen checkbox te vinden om deze privacyverklaring te accepteren, als je als werkzoeker akkoord gaat met de algemene voorwaarden dan accepteer je impliciet, dus zonder daar iets vanaf te weten, een totaal andere privacyverklaring:

Arbeidsmatchplatform, detail van scherm waar algemene voorwaarden akkoor kunnen worden gegeven

Als ik op de link algemene voorwaarden klik zie ik nonder meer het volgende:

Arbeidsmatchplatform/Jobliebe: algemene voorwaarden

Ik ga met het accepteren van de voorwaarden uitdrukkelijk akkoord met de privacyverklaring van Jobliebe. Ik ben benieuwd hoeveel werkzoekers de algemene voorwaarden lezen, en welk deel van die werkzoekenden ook nog eens de privacyverklaring lezen. Ik denk niet dat ik er arm van zou worden als ik deze groep werkzoekers dagelijks te eten zou moeten geven…

Jobliebe is, zoals trouwe lezertjes weten, een handelsnaam van Flex4Sure bv. En één van de bestuurders van Flex4Sure is 8vance Matching Technologies. Flex4Sure/Jobliebe en 8vance leveren de technologie aan Arbeidsmatchplatform. Hierover staat het volgende op Arbeidsmatchplatform:

Voor de onderliggende AI technologie werken wij samen met Flex4Sure en 8vance. De AI technologie is ontwikkeld op basis van 80 miljoen profielen en 25 miljoen vacatures in West-Europa. Aan het platform zijn grote publieke bronnen gekoppeld, waar enerzijds honderdduizenden kandidaten in staan en anderzijds tienduizenden vacatures. Op deze manier zijn wij in staat om zowel landelijk als regionaal grote doelgroepen te ontsluiten en te matchen met technische werkgevers

De technologieleveranciers worden dus eigenaar van de persoonsgegevens die een nietsvermoedende werkzoekende heeft achtergelaten op Arbeidsmatchplatform.

8vance stelt dat haar AI-based skills-matching technologie is gebaseerd op 80+ (tot 85+) miljoen profielen en 25 miljoen vacatures. Hiermee bedoelt 8vance te zeggen dat zij een AI model heeft getraind met een trainingsset van bovengenoemde aantallen documenten. Dat klinkt indrukwekkend, maar hier zijn zeer veel vragen bij te stellen, één daarvan heeft een privacy karakter: hebben al die 85+ miljoen personen akkoord gegeven dat hun gegevens voor dit doel worden gebruikt?
Volgens 8vance is dat niet nodig, want het gaat om publieke bronnen waar deze profielen uit afkomstig zijn. Maar dat is geen steekhoudend argument. Ten eerste hebben personen hun gegevens bijvoorbeeld achtergelaten op LinkedIn om voor hen moverende redenen. Zij hebben daarmee 8vance geen toestemming gegeven om die gegevens voor eigen gewin te kopieren. En dan is er nog de publieke bron zelf, zo zal LinkedIn hier evenmin positief tegenover staan als zij verneemt dat 8vance zonder hier om te vragen/betalen deze gegevens heeft gekopieerd. Hier valt nog veel meer over te zeggen, maar in dit kader is het vooral van belang hoe een werkzoeker deze situatie ervaart wanneer hij/zij/x denkt persoonsgegevens achter te laten bij Arbeidsmatchplatform om vervolgens te weten te komen dat die gegevens terecht zijn gekomen bij een partij die lichtvaardig met privacy lijkt om te gaan.

Daarnaast claimt 8vance/Flex4Sure/Jobliebe toegang te hebben tot maar liefst 7 miljoen Nederlandse profielen, wederom afkomstig vanuit publieke bronnen, om tegen te kunnen matchen met vacatures. Dit klinkt verdacht sterk als die goeie oude people (en vacature) aggregator, die na een korte bloeiperiode is uitgestorven vanwege het ongevraagd kopieren van persoonsgegevens van publieke bronnen zonder hier toestemming voor te hebben gevraagd. Het enige passende model wat hier in de buurt komt is een federated candidate search waarbij de klant/werkgever voor iedere bron access credentials heeft, waarmee op een rechtmatige wijze naar matchende persoonsprofielen kan worden gekeken. Maar je kan dan worden geconfronteerd met doublures omdat tussen de gebruikte bronnen niet kan worden ontdubbeld. Het werkt, maar lang niet zo fraai als een people aggregator. 

Slotopmerkingen
Arbeidsmatchplatform is het initatief van 7 grote werkgevers in de techniek:

Initiatiefnemers Arbeidsmatchplatform

Elk van de bedrijven heeft een serieuze HR afdeling. En elk van deze bedrijven heeft ongetwijfeld een serieuze werken-bij site met een serieuze privacyverklaring. Zo heeft Alliander bijvoorbeeld een zeer uitgebreide privacyverklaring waaruit Arbeidsmatchplatform cherry-picking had kunnen doen. Maar daar is niet voor gekozen, om voor mij volstrekt onduidelijke redenen.  Want het amateuristische prutswerk wat zich nu schrijnend toont was dan te voorkomen geweest. Bedenk dat Arbeidsmatchplatform ongeveer een jaar heeft getest. God mag weten waarom dat zo lang heeft moeten duren, maar er is in al die tijd blijkbaar geen seconde aandacht geboden aan wet- en regelgeving. Schokkend! En dit straalt negatief af op zeven grote werkgevers.

Veel zorgerlijker is het feit dat de werkzoeker onwetend is van het feit dat hij/zij/x met een totaal andere privacyverklaring akkoord gaat. een privacyverklaring van Flex4Sure, dat samen met (moederbedrijf) 8vance de technologie van Arbeidsmarktplatform levert en waarbij de nodige vragen gesteld kunnen worden hoe zorgvuldig deze bedrijven met persoonsgegevens omgaan, zowel voor het trainen van een AI-model als voor het matchen met persoonsprofielen (in Nederland). Een privacyverklaring, die op veel onderdelen niet overeenkomt met de privacyverklaring van Arbeidsmatchplatform, met als meest in het oog springend de volgende bepaling:

9. Duur van de gegevensopslag

We bewaren uw persoonlijke gegevens totdat uw account wordt verwijderd, tenzij er een wettelijke verplichting is om deze gegevens te bewaren.

Dit betekent dat tenzij de gebruiker het account verwijderd, deze tot het einde der dagen in de database blijft zitten. Toch wat anders dan Arbeidsmatchplatform stelt…

Ik heb recent een blog posting geschreven over het allesoverheersende belang van data-kwaliteit, en ik ga hier in de komende weken dieper op in, te beginnen met de eisen met betrekking tot privacy. Ik ga hierbij partijen op basis van een uitgebreide vragenlijst bevragen naar de kwaliteit van hun privacybeleid, en dit zijn vooral gevestigde partijen in de markt, maar naar aanleiding van het gerotzooi bij Arbeidsmatchplatform zal dit ook Arbeidsmatchplatform, Flex4Sure en 8vance Matching Technologies zijn. Waarbij laatstgenoemde natuurlijk met name mbt haar toekomstige rol als leverancier van matching-technologie aan UWV juist een voorbeeld moet zijn. Maar ik ga er vanuit dat UWV dit al onafhankelijk van mijn projectje heeft gedaan.