In een grijs verleden heb ik UWV gevraagd of UWV de AVG compliance van 8vance had vastgesteld. Op 27 oktober 2023 kreeg ik het volgende antwoord van UWV:
UWV is niet de verwerkingsverantwoordelijke voor de totstandkoming van het product van 8vance. Ook heeft [UWV] geen signalen dat 8vance zich niet aan de AVG heeft gehouden en begrijpt van 8vance dat zij gebruik maken van geanonimiseerde profielen voor de ontwikkeling van haar product. UWV ziet in deze geen ketenverantwoordelijkheid.
Ketenverantwoordelijkheid is een bestuurskundig berip en komt als zodanig niet voor binnen de AVG. Concrete AVG-begrippen zijn: verantwoordingsplicht (UWV moet actief kunnen aantonen dat het verwerkingsproces rechtmatig is), en: bepalen van de middelen (de keuze voor een specifieke softwaretool (8vance) valt direct onder het bepalen van de “middelen” voor de verwerking. Wie de middelen kiest (UWV), is verwerkingsverantwoordelijke voor het gebruik ervan. Verder stelt UWV zich passief op (begrijpt van 8vance dat…). Het blind varen op mondelinge of schriftelijke beweringen zonder eigen verificatie schendt de wettelijke plicht tot “afdoende waarborgen”. En als laatste is een dubbele negatie altijd een zwaktebod.
UWV was ten tijde van de ontwikkeling, scraping en training van de matchingtool door 8vance vanzelfsprekend geen verwerkingsverantwoordelijke. UWV is dus niet achteraf juridisch aansprakelijk voor de handelingen van 8vance in de ontstaansfase van de software. Maar het feit dat UWV niet verantwoordelijk is voor het verleden van het product, betekent niet dat UWV haar verwerkingsverantwoordelijkheid kan miskennen bij de keuze en inzet van het verwerkingsmiddel (Artikel 4 lid 7 juncto Artikel 25 AVG).
Mijn gewaardeerde kennispartner Gemini geeft maar liefst vier redenen waarom er wel sprake is van een verwerkingsverantwoordelijkheid van UWV:
Zorgplicht en verwerkersselectie (Artikel 28 lid 1 AVG)
Als verwerkingsverantwoordelijke voor de arbeidsbemiddeling is UWV wettelijk verplicht om alleen te werken met leveranciers die aantoonbaar afdoende waarborgen bieden dat hun verwerkingen aan de AVG voldoen. Zodra UWV weet dat 8vance de AVG-conformiteit van haar product niet aannemelijk kan maken, handelt UWV in strijd met Artikel 28 door de tool alsnog af te nemen en te implementeren.
Data Protection by Design (Artikel 25 AVG)
UWV bepaalt de middelen waarmee zij persoonsgegevens van werkzoekenden verwerkt. Kiest UWV voor een softwareproduct dat is gebouwd op een onzekere of onrechtmatige juridische grondslag, dan schendt UWV de verplichting om vanaf het ontwerp privacywaarborgen in te bouwen.
Operationele verantwoordelijkheid bij gebruik
Zodra UWV persoonsgegevens van werkzoekenden (zoals cv’s en profielen) in de matchingtool laadt, is UWV de volledige verwerkingsverantwoordelijke voor die verwerking. UWV kan haar eigen verwerking niet rechtmatig noemen als het instrument dat zij daarvoor gebruikt inherent onrechtmatig is (Artikel 5 lid 1 sub a AVG).
Geen ‘georganiseerde onverantwoordelijkheid’
De Europese privacytoezichthouders (EDPB) en de Autoriteit Persoonsgegevens stellen helder dat een bestuursorgaan zich niet kan vrijpleiten door een AI-tool ‘as a service’ in te kopen. Je kunt je ketenverantwoordelijkheid als overheidsinstantie niet uitbesteden. Het miskennen van de eigen verwerkingsverantwoordelijkhei
Conclusie
UWV heeft gelijk dat zij niet verantwoordelijk is voor hoe 8vance het product ooit heeft gebouwd, maar slaat de plank mis door te stellen dat zij daardoor geen ketenverantwoordelijkheid heeft bij de beslissing om een niet-aantoonbaar compliant product in te zetten voor de verwerking van persoonsgegevens. Maar nu UWV daartoe heeft besloten en voornemens is om 8vance’s matchingstool in productie te nemen is deze situatie volstrekt veranderd en kan UWV haar verantwoordelijkheid niet ontlopen. En daarom mijn vacature voor een persoon met diepgaande juridische kennis en ervaring, een moreel kompas en een ruggengraat die dit alles om niet in wil zetten om UWV ter verantwoording te roepen.