Al jaren analyseer ik (spelers op) de Nederlandse arbeidsmarkt en probeer inzicht te geven in onderliggende werkwijzen en systemen. In verband met de vele vragen die ik krijg naar aanleiding van de reeks artikelen over 8vance en de AVG wil ik deze gelegenheid te baat nemen om ondubbelzinnig duidelijk te maken waarom de handelswijze van 8vance niet is toegestaan en waarom het schadelijk is voor onze sector.

8vance heeft mogelijk een bijdrage te leveren aan een meer diverse en inclusieve arbeidsmarkt. Zij is daarin niet de enige partij. Maar de wijze waarop 8vance in de afgelopen 10 jaar haar diensten heeft ontwikkeld is zo’n structurele en grove schending van de privacy van werkzoekenden dat we waarschijnlijk kunnen spreken van de grootste privacy schending binnen het Nederlandse privacy domein. En mogelijk daarbuiten. En dat dient aan de kaak te worden gesteld.

In het vervolg laat ik de hoofdrolspelers de revue passeren (8vance, LinkedIn, UWV, de recruitment sector, werkzoekenden).

8vance
De positie die 8vance claimt is kort gezegd de volgende:

We hoeven echt niet blind te vertrouwen op alle A.I.-leveranciers, maar in dit stadium valt op het gebied van diversiteit nog zoveel te winnen dat we moeten uitkijken voor te veel regulering, en vooral gas moeten geven op deze ontwikkeling.

Echter, het is de ambitie van de EU om niet de ontwikkeling van AI centraal te stellen maar wel de mens die met deze ontwikkelingen geconfronteerd gaan worden. Vandaar de AI Act en, niet minder belangrijk, de AVG/GDPR. En dat zijn wetten. Die nageleefd dienen te worden. Door iedereen, dus ook door AI bedrijven.

8vance berijdt haar ethische high-horse door diversiteit erbij te betrekken, maar als we kijken naar de manier waarop 8vance aan haar persoonsprofielen komt is daar niets ethisch aan:

Met meer dan 85M (persoons)profielen en 25M banen zijn we de absolute marktleider in AI-based skillsmatching

[…] het mooie is: die [persoonsprofielen] zijn gewoon publiek beschikbaar. We verzamelen bij 8vance al 10 jaar lang publieke profielen in verschillende talen.

en volgens eigen zeggen komen die persoonsprofielen vooral van LinkedIn:

De 85 miljoen gekopieerde persoonsprofielen zijn niet alleen van Nederlandse origine (“wij verzamelen […] publieke profielen in verschillende talen”). En daarmee lijkt 8vance ook persoonsprofielen uit andere landen van LinkedIn te verzamelen. Tenslotte is de Nederlandse beroepsbevolking op dit moment rond de 10 miljoen natuurlijke personen, 7 miljoen daarvan (opgave 8vance) zitten in de kandidatendatabase van 8vance. 

Uit onderzoek van RecruitmentMatters weten we verder dat 8vance zeer, zeer veel persoonsgegevens per persoonsprofiel verzamelt.

LinkedIn
Het verzamelen van persoonsprofielen gebeurt dus vooral via LinkedIn. LinkedIn Terms of Service (8. LinkedIn Do’s and Don’ts) is over het verzamelen van profielen zeer duidelijk. In de de ToS staan onder meer deze twee bepalingen:

2. [Don’t] Develop, support or use software, devices, scripts, robots or any other means or processes (including crawlers, browser plugins and add-ons or any other technology) to scrape the Services or otherwise copy profiles and other data from the Services.

11. [Don’t] Rent, lease, loan, trade, sell/re-sell or otherwise monetize the Services or related data or access to the same, without LinkedIn’s consent;

Op basis van deze bepalingen van LinkedIn verzameld 8vance niet alleen onrechtmatig persoonsprofielen van het zakelijke netwerk maar is ze ook in overtreding omdat die gegevens voor commerciële doeleinden worden ingezet. De persoonsgegevens worden door 8vance op twee manieren gebruikt:

1. Als een kandidatendatabase die door bedrijven kan worden doorzocht middels een zoekfunctie met AI
2. Als data voor het trainen van AI-model(len) tbv zoekfunctie met AI

8vance schendt de privacy van LinkedIn gebruikers wier profiel wordt gescraped. LinkedIn gebruikers zijn niet door 8vance benaderd met de vraag of hun gegevens mogen worden gebruikt voor bovenstaande twee doelen. Maar dat is precies wat er is wel gebeurt. Hiermee is 8vance in overtreding van de Algemene Verordening Gegevensbescherming (AVG). En in overtreding van de AI Act op het moment dat deze wordt ingevoerd.

UWV
En dan is er nog het UWV. 8vance is door UWV geselecteerd voor het leveren van de nieuwe bemiddelingsservice na een gemankeerd verlopen tendertraject. Ten aanzien van de AVG heeft UWV een happy go loose benadering (e-mail UWV Woordvoering, 27 oktober 2023):

UWV is niet de verwerkingsverantwoordelijke voor de totstandkoming van het product van 8vance. Ook heeft [UWV] geen signalen dat 8vance zich niet aan de AVG heeft gehouden en begrijpt van 8vance dat zij gebruik maken van geanonimiseerde profielen voor de ontwikkeling van haar product. UWV ziet in deze geen ketenverantwoordelijkheid.

De houding van UWV is opvallend omdat het uitvoeringsinstituut een kwetsbare groep personen onder haar hoede heeft; werkloze werkzoekenden met een uitkering. En die personen hebben een verplichte winkelnering, er moet een profiel op de UWV site (Werk.nl) worden aangemaakt wil je kans maken op een uitkering. Wat er met dat profiel gebeurt nadat de bemiddelingsdiensten van 8vance in werking treden is reden voor grote bezorgdheid. Hoe dan ook: ik heb het UWV nieuwe informatie ter beschikking gesteld die hopelijk tot nieuwe inzichten gaan leiden.

Overigens kan UWV na inwerkingtreding van de AI Act haar handen niet langer in onschuld wassen, zij is onder deze wet medeverantwoordelijk geworden voor de rechtmatigheid van de producten/diensten van AI leveranciers. En dat betekent dat UWV geen gebruik meer kan maken van de diensten van 8vance in hun huidige vorm. Ter bescherming van haar gebruikers is het misschien beter om er dan maar helemaal niet aan te beginnen.

De recruitment sector
Onze eigen sector wordt ook door deze situatie geraakt. Je kan het LinkedIn gebruikers niet kwalijk nemen als ze zich een willoos onderdeel voelen van een koehandel op nationale schaal. Maar het is niet zo dat de recruitment sector op haar achterste benen staat en eist dat onmiddelijk recht wordt gedaan aan de privacy omdat we anders nog meer moeite moeten doen om het vertrouwen van de steeds schaarser wordende potentiële kandidaten te winnen. Helaas zullen schouderophalen en niet mijn probleem de meest voorkomende reacties van de sector zijn.

Alleen is het precies die houding die er niet alleen voor zorgt dat deze misstand heeft kunnen ontstaan maar tevens is uitgegroeid tot haar huidige morbide-obese omvang.

De bedrijven die gebruikmaken van ‘ecosystemen’ zoals Arbeidsmatchplatform (en daarmee van de kandidatendatabase) van 8vance dienen eens heel nadrukkelijk de eigen privacy richtlijnen naast die van 8vance/Jobliebe te leggen en waar twijfel heerst, onderzoek te doen. En actie te ondernemen.

En het zijn niet alleen intermediairs en corporate recruiters, ook platformen die een stem geven aan 8vance dragen een verantwoordelijkheid. Zij legitimeren daarmee de praktijken van 8vance. Waarom? Omzet? AVG be damned.

Werkzoekenden
In potentie zijn alle werkzoekenden in Nederland (en daarbuiten…) die een publiek (default setting) LinkedIn profiel hebben lijdend voorwerp. Zij zitten in de 8vance kandidatendatabase en kunnen worden bekeken, geïdentificeerd en benaderd door betalende klanten die op zoek zijn naar werknemers. Zolang zij een publiek LinkedIn profiel hebben, bivakkeren zij in deze database. Zij zijn echter onwetend van dit feit en daarmee niet in staat hierop te acteren als zij dat wensen.

En het gaat nog verder, een deel van hun gegevens wordt gebruikt om een AI-model te trainen. 8vance claimt dat het om geanonimiseerde gegevens gaat maar dat is irrelevant. De gegevens zijn afkomstig van 100% identificeerbare persoonsprofielen die van LinkedIn zijn gekopieerd. Downstream reductie van gegevens doet daar niets aan af. En daarnaast is het ter discussie of de gegevens daadwerkelijk niet zijn te identificeren, of dat er toch mogelijkheden toe bestaan omdat het gaat om gegevens van de werkhistorie, oftewel economische persoonsgegevens. Een werkhistorie kan in potentie herleidbaar zijn tot een natuurlijk persoon. Waarmee er op zijn minst vraagtekens kunnen worden gezet bij de anonimiteitsclaim. Maar dit is feitelijk irrelevant omdat het ongevraagd verzamelen van persoonsgegevens van LinkedIn al een overtreding van de AVG betreft. Alle volgende handelingen met deze onrechtmatig verkregen persoonsgegevens zijn dan ook problematisch.

En los van deze handelingen, er is geen toestemming gevraagd aan de eigenaren van deze gegevens, de natuurlijke personen die een publiek profiel op LinkedIn hebben. En daarmee schaadt 8vance het vertrouwen van alle LinkedIn gebruikers met een LinkedIn profiel. In Nederland, maar mogelijk/waarschijnlijk ook in de ons omringende landen. En geschonden vertrouwen zal zich niet beperken tot 8vance, of LinkedIn of UWV of de werkgevers die in zogenaamde “ecosystemen” gebruik maken van de kandidatendatabase van 8vance. Het raakt de volledige recruitment sector.

Tenslotte
Het wordt hoog tijd dat alle betrokken partijen in actie komen. Fouten kunnen worden gemaakt, prima, maar er is nu voortschrijdend inzicht: Ik heb nieuwe informatie aangeleverd, of iig mechanismes laten zien en bewijs geleverd, waardoor een heroverweging van alle partijen niet alleen gerechtvaardigd is, maar ook noodzakelijk.

8vance moet zich simpelweg aan de wet gaan houden en stoppen met onrechtmatig en zonder toestemming verwerken van persoonsgegevens, alsmede de commerciele exploitatie van hun huidige AI engine. AP is aan zet om te toetsen of er daadwerkelijk een overtreding van AVG/Privacy heeft plaatsgevonden of nog plaatsvindt.  Mocht zij van mening zijn dat die overtreding er niet is, dan is dat een rechtstreekse doodsteek voor de AVG en kunnen we onze privacy in Nederland vaarwel zeggen.