Geachte heer Choho,
Een vrouw verliest haar baan. Ze meldt zich bij het UWV, vraagt een uitkering aan en probeert weer aan het werk te komen. Daarvoor moet ze persoonsgegevens verstrekken. Over haar werkverleden, haar opleiding en haar mogelijkheden. Ze moet erop kunnen vertrouwen dat het UWV zorgvuldig met die gegevens omgaat. Voor haar uitkering kan zij tenslotte geen andere uitvoerder kiezen. Dat schept een bijzondere verantwoordelijkheid van het UWV tegenover de mensen die deze gegevens moeten verstrekken. Zij mogen verwachten dat UWV zorgvuldig onderzoekt welke technologie het hiervoor gebruikt en welke partijken het daarbij inschakelt.
U bent sinds september voorzitter van de Raad van Bestuur, nog van harte gefeliciteerd! Op uw UWV-profiel spreekt u over het bouwen aan betrouwbare dienstverlening. [1] In het dossier rond 8vance en de Bemiddelingsservice (BMS) kunt u laten zien wat die betrouwbaarheid in de praktijk betekent.
UWV heeft besloten te stoppen met de ontwikkeling en implementatie van BMS. UWV heeft onvoldoende vertrouwen in een succesvolle invoering binnen een aanvaardbare termijn en tegen verantwoorde kosten. [2] Maar met het stoppen van het project zijn vragen over persoonsgegevens nog niet beantwoord.
In de voorlegger voor de RvB-vergadering van 3 september 2024 staat een expliciete conclusie van uw Functionaris Gegevensbescherming: “De FG constateert mede op basis van het rapport van The Data Lawyers dat de verwerking van persoonsgegevens door 8vance bij de ontwikkeling van het algoritme voor BMS onrechtmatig was.” [3, p. 1] De FG vermeldt vervolgens overtreding van de AVG en, voor de eerdere verwerkingen, van de Wet bescherming persoonsgegevens (Wbp). Het gaat dus om een vastgelegde conclusie over de ontwikkeling van het algoritme dat door UWV was gekocht.
Dezelfde voorlegger laat zien dat de gegevensbeschermingseffectbeoordeling (GEB) aan UWV-zijde nog onvoldoende informatie bood. Zo’n beoordeling, ook DPIA genoemd, moet de privacyrisico’s van een verwerking in kaart brengen. De FG kon de risico’s van de inzet van BMS voor betrokkenen toen nog niet vaststellen en kon over die verwerking nog geen advies geven. [3, p. 1] Let wel, dit is 1,5 na ondertekening van het contract met 8vance…
Het FG-advies voor voortzetting was bovendien concreet: alle verwerkingen én daarop gebaseerde producten of diensten voor UWV moesten aantoonbaar rechtmatig zijn. Waar dat niet aantoonbaar was, moesten ze worden vervangen. De voorgestelde verlengingsvoorwaarden verlangden opvolging van de AVG-aanbevelingen uiterlijk 1 december 2024, objectief aantoonbaar en door UWV verifieerbaar. [3, p. 2 en 4]
Daarmee ligt er een eenvoudige vraag op uw bureau: welke stukken laten zien dat aan die voorwaarden is voldaan?
Een contract vereist ook controle
De Beveiligings- en verwerkersovereenkomst, de BVO, bevat verplichtingen om de AVG na te leven. Zo’n afspraak is relevant. Maar een handtekening toont nog niet aan dat UWV de rechtmatigheid van de gebruikte technologie daadwerkelijk heeft onderzocht. De AVG verplicht UWV om de eigen gegevensverwerking te beschermen en de naleving te kunnen aantonen. Voor zover een leverancier als verwerker optreedt, moet die voldoende garanties bieden. De Europese privacytoezichthouders legden al vóór de contractering met 8vance uit dat die garanties beoordeeld moeten worden en periodiek moeten worden geverifieerd. [5, 6]
Ook voor de herkomst van een AI-model bestaat relevante Europese uitleg. De EDPB beschrijft in zijn advies van december 2024 hoe bij de inzet van een model door een andere organisatie moet worden gekeken naar de beoordeling van onrechtmatige ontwikkeling. De gevolgen voor later gebruik vragen een beoordeling van de concrete situatie. [7]
Dat laatste onderscheid doet ertoe. De vastgestelde overtredingen bij 8vance bewijzen niet automatisch dat iedere verwerking door UWV onrechtmatig was. Juist daarom wil ik kunnen nagaan welke beoordeling UWV zelf heeft uitgevoerd. Wanneer kende UWV welke feiten? Wat heeft het gecontroleerd? Wat is hersteld of vervangen? En wie heeft beoordeeld dat voortzetting verantwoord was?
De onzekerheid blijft bestaan
De informatie die ik via Woo-2024127 ontving, geeft daarop onvoldoende antwoord. UWV verstrekte drie documenten gedeeltelijk en weigerde een GEB-rapport volledig. De inhoudelijke BMS-paragraaf in de FG-rapportage is grotendeels zwartgelakt. De beschikbare stukken laten mij niet controleren hoe de waarschuwingen zijn opgevolgd en waarop een eventueel later oordeel over rechtmatigheid berustte. [8]
Dat betekent niet dat er geen herstelmaatregelen of vervolgbeoordelingen bestaan. Het betekent dat de verstrekte informatie die controle niet mogelijk maakt. Voor een werkzoekende blijft daardoor onduidelijk welke zekerheid UWV haar kan bieden.
De afbouw brengt daar nieuwe vragen bij. Welke cliëntgegevens zijn feitelijk in BMS verwerkt? Wie had toegang? Welke kopieën en afgeleide profielen blijven bewaard? Wat wordt verwijderd of teruggeleverd? UWV meldt bovendien dat ontwikkelde voorzieningen mogelijk kunnen worden hergebruikt. [2] Als daarbij persoonsgegevens worden hergebruikt, moeten ook de doelen, grondslagen en waarborgen duidelijk zijn.
Een organisatie kan een project stopzetten maar blijft onverminderd met de verantwoordelijkheid voor de gegevens zitten.
Wat ik u vraag
Ik vraag u om de relevante stukken actief openbaar te maken:
het rapport van The Data Lawyers,
de GEB’s en FG-adviezen,
de besluiten over voortzetting en de documenten waarmee UWV het herstel heeft gecontroleerd.
Publiceer daarnaast een begrijpelijke tijdlijn van de controles vóór contractering, de ontvangen waarschuwingen en de daaropvolgende besluiten. Leg uit hoe UWV de aanvullende voorwaarden heeft getoetst en welke conclusies dat opleverde. Een verwijzing naar contractuele garanties is daarvoor onvoldoende.
Geef ten slotte duidelijkheid over de persoonsgegevens bij de afbouw. Welke verwerkingen stoppen, welke gegevens blijven bestaan en onder welke voorwaarden wordt iets hergebruikt? Maak bekend wie dat controleert. Waar onderzoek nog loopt, kunt u aangeven wat nog onzeker is en wanneer een antwoord volgt.
U kunt hiervoor een publiek tijdpad vaststellen en uw organisatie opdracht geven bestaande informatie zo ruim mogelijk te delen. Dat zou een concrete invulling zijn van een open overheid: burgers krijgen inzicht zonder voor ieder volgend stukje onderbouwing een nieuwe procedure te moeten beginnen.
De werkzoekende met wie deze brief begon, hoeft geen privacyjurist te worden om haar gegevens met vertrouwen aan UWV te kunnen geven. Zij heeft al genoeg aan haar hoofd. U kunt ervoor zorgen dat zij begrijpt wat UWV met haar gegevens doet en waarop de bescherming daarvan berust.
Met vriendelijke groet,
Marc Drees
Bronnen
[1] UWV, profiel Abdeluheb Choho. Voorzitter sinds september 2026.
https://www.uwv.nl/nl/over-uwv/raad-van-bestuur/abdeluheb-choho-voorzitter
[2] UWV, bekendmaking over het stoppen met ontwikkeling en implementatie van BMS, oktober 2026.
https://www.uwv.nl/nl/nieuws/uwv-stopt-met-ontwikkeling-van-bemiddelingsservice-ambitie-rond-skillsgerichte-arbeidsbemiddeling-blijft-overeind
[3] UWV, voorlegger 24-315 voor de RvB-vergadering van 3 september 2024, Contractverlenging 8vance onder voorwaarden, p. 1–4. Primair brondocument in dossier Woo-2024127. Het document bevat voorstellen en adviezen; het is niet het verslag van de uiteindelijke RvB-besluitvorming.
[4] Marc Drees, 8vance, The Data Lawyers en UWV, RecruitmentMatters, 29 september 2026. Voor de eerdere bespreking van de voorlegger en de BVO.
https://recruitmentmatters.nl/2026/09/29/8vance-the-data-lawyers-en-uwv/
[5] AVG, Verordening (EU) 2016/679, in het bijzonder artikelen 5 lid 2, 24, 25 en 28.
https://eur-lex.europa.eu/eli/reg/2016/679/oj?locale=nl
[6] EDPB, Guidelines 07/2020 on the concepts of controller and processor in the GDPR, definitieve versie van 7 juli 2021, paragrafen 95–99.
https://www.edpb.europa.eu/system/files/2023-10/EDPB_guidelines_202007_controllerprocessor_final_en.pdf
[7] EDPB, Opinion 28/2024, 17 december 2024, in het bijzonder paragrafen 128–134 over onrechtmatige ontwikkeling en latere inzet. Het betreft uitleg van de AVG, geen afzonderlijke nieuwe wet.
https://www.edpb.europa.eu/system/files/2024-12/edpb_opinion_202428_ai-models_en.pdf
[8] UWV, beslissing op bezwaar Woo-2024127 van 22 mei 2025, p. 3–4, met de gedeeltelijk openbaar gemaakte FG-rapportage en e-mails. De verstrekte stukken en beide versies van het besluit zijn opgenomen in dossier Woo-2024127.