De meeste lezers van RecruitmentMatters zijn ongetwijfeld op de hoogte van de nodige perikelen rondom 8vance. Mocht dit niet het geval zijn, dan is deze artikelenreeks daar een mooie (en uitgebreide) introductie voor. Waar tot dusverre vooral aandacht is geweest voor de zeer merkwaardige manier waarop het bedrijf de UWV tender voor het leveren van een bemiddelingsservice heeft gewonnen en de koddige voorspellingen van 8vance te aanzien van arbeidskrapte start ik vanaf vandaag met een nieuw perspectief, dat overigens al maanden (november 2023) geleden is aangekondigd:
Ik ga me [..] de komende tijd richten op het fundament van 8vance, de (trainings)data van haar AI. Waar 8vance tot op heden bijzonder weinig over heeft willen blootgeven, met name over de herkomst, samenstelling en verwerkingsmethodes van de meer dan 85 miljoen profielen (lees: cv’s) die zijn gebruikt om 8vance’s AI te trainen. En waarom UWV denkt in deze de handen in onschuld te kunnen wassen door geen reden te zien voor een eventuele ketenverantwoordelijkheid. En wat 8vance wel/niet mag doen met ruwweg 2 miljoen profielen van Nederlandse werkzoekenden per jaar. Over de contractperiode (van 14 jaar) zijn dat namelijk grosso modo 24 miljoen profielen. En daar doen AI hopefuls een moord voor…
Waarom zo lang gewacht? Omdat het verzamelen van informatie rondom de data-praktijken van 8vance uitzonderlijk traag en moeizaam verloopt, zoals ook deze serie aan artikelen laat zien, waar 8vance opvallend terughoudend blijkt in het verstrekken van zelfs de meest basale informatie. Na ruim een maand is nog altijd geen bevredigend antwoord ontvangen van het bedrijf. En dat terwijl het bedrijf tegelijkertijd, tegen iedereen die het wil horen, rondtoetert dat het meer dan 85 miljoen persoonsprofielen van het publieke Internet heeft gescraped:
Homepage 8vance
Gek genoeg is dit voor geen enkele partij (lees: in ieder geval UWV) aanleiding geweest om zich eens krachtig achter de oren te krabben en wat kritische vragen te stellen. Eerder het tegendeel, zoals blijkt uit het antwoord van UWV (27 oktober 2023) op de volgende vraag van RecruitmentMatters: “Is het UWV bekend met het privacybeleid, de grondslagen en legitimiteit van de verwerking van persoonsgegevens door 8vance en de impact op het afgeleide gebruik door UWV?” Waarop UWV het volgende antwoord gaf:
In de vraag wordt gesteld dat er sprake is van verwerking van persoonsgegevens voor [MD: typo, UWV bedoeld “door”] 8vance. 8vance geeft aan dat hier geen sprake van is. […] In een zogenaamde Beveiligings Verwerker Overeenkomst is bekrachtigd dat 8Vance verantwoordelijk is dat zij voldoet aan de uit de AVG voortvloeiende rechten van betrokkenen.
Dit is in overeenstemming wat 8vance, bij monde van haar CEO Han Stoffels al in 2021 zei:
Na een flinke inspanning hebben we nu, AVG-proof, een bijna volledige datatransparantie kunnen creëren, voor werk- en talentmobiliteit in Nederland.
UWV verschuilt zich hier dus achter uitspraken van 8vance (er is geen sprake van verwerking van persoonsgegevens) en achter de Beveiligings Verwerker Overeenkomst (8vance voldoet aan de uit AVG voortvloeiende rechten van betrokkenen)). Voor een uitvoeringsorganisatie die de verantwoordelijkheid heeft over persoonsgegevens van miljoenen uitkeringsgerechtigden is dat een zeer bijzondere positie, om het maar heel diplomatiek te stellen.
Maar daar blijft het niet bij. Op een andere vraag van RecruitmentMatters: “Ziet het UWV in een situatie als deze ketenverantwoordelijkheid? In die zin dat
mochten initiële verwerkingen door 8vance (het verzamelen van 85 miljoen
profielen en trainen van de A.I.) niet legitiem blijken te zijn, het UWV de daarop
gebouwde oplossingen niet kan of wil afnemen?” stelt UWV:
UWV is niet de verwerkingsverantwoordelijke voor de totstandkoming van het product
van 8vance. Ook heeft [MD, toevoeging: het] geen signalen dat 8vance zich niet aan de AVG heeft gehouden en
begrijpt van 8vance dat zij gebruik maken van geanonimiseerde profielen voor de
ontwikkeling van haar product. UWV ziet in deze geen ketenverantwoordelijkheid.
UWV stelt dat ze geen signalen heeft ontvangen dat 8vance zich niet aan de AVG heeft gehouden. De vraag is natuurlijk of UWV wel op zoek is gegaan naar dergelijke signalen? En verder doet UWV hier ook nog even een Pontius Pilatusje door enige ketenverantwoordelijkheid te ontkennen. Ik wacht met spanning op de implementatie van de AI Act waarmee ketenverantwoordelijkheid wel een (levensgroot) issue voor UWV gaat worden.
Waarom?
Omdat 8vance, in tegenstelling tot haar publieke uitlatingen en in tegenstelling tot haar (niet geverifieerde) beloften aan een goedgelovige UWV, op basis van onderzoek van RecruitmentMatters wel de AVG “lijkt” te overtreden. En er daarmee een concreet privacyrisico bestaat voor iedere werkzoeker die (zonder medeweten en zonder goedkeuring) opgenomen wordt in de 8vance cv database en trainingsdatabase (om de AI “match”engine te trainen). Een database waar de werkzoeker ook nooit meer uit verwijderd wordt, tenzij hij/zij/x daar expliciet om vraagt. Want het gaat hier natuurlijk niet alleen om UWV, maar bijvoorbeeld ook Arbeidsmatchplatform en andere ‘ecosystemen”.
Om dit in meer detail te onderbouwen, verschijnen er twee vervolgartikelen:
- over het nieuwe privacyverklaring/privacybeleid van 8vance, gepubliceerd op 26 februari 2024, en
- over de resultaten van een recent verzoek aan 8vance onder de AVG (art. 15).