LinkedIn heeft een privacy policy. En met dit gegeven is de gemiddelde Functionaris Gegevensbescherming (FG) afdoende tevreden gesteld. Maar is dat terecht? Of laat ik de vraag anders formuleren: Wat vindt u van de dataverwervingspraktijken van Indeed c.s. (denk aan Stepstone, Totaljobs, ZipRecruiter, Seek)? Of liever gezegd, vindt u het een goed idee dat Indeed c.s. informatie van het sollicitatieproces binnen haar eigen systemen vastlegt om “zoekresultaten te verbeteren” zonder dat de sollicitant hier van op de hoogte is gesteld? Als u dat een goed idee vindt, welterusten en tot nooit. Als dat niet zo is, lees dan vooral verder. Disclaimer: ik ben niet verantwoordelijk voor enig mentaal of fysiek ongemak bij de lezer na lezing van deze blog posting.

LinkedIn zegt in haar privacy verklaring onder meer het volgende:

Privacy Policy, 1.2 Data from Others, Partners – LinkedIn

Of, in goed Nederlands:

Wij ontvangen persoonsgegevens over u (zoals uw functietitel en zakelijke e-mailadres) wanneer u gebruikmaakt van de diensten van onze klanten en partners, waaronder (potentiële) werkgevers en systemen voor sollicitantbeheer die sollicitatiegegevens aan ons verstrekken.

Voor de oppervlakkige lezer klinkt dit allemaal redelijk onschuldig. Toch? Maar ik ben geen oppervlakkige lezer. En daardoor kreeg ik koude rillingen van volstrekt onschuldige woorden als “zoals” en “sollicitatiegegevens”. Koude rillingen moet je nooit negeren, dus ben ik op zoek gegaan naar de precieze betekenis van die woorden binnen het ecosysteem van LinkedIn.

Welke persoonsgegevens ontvangt LinkedIn van mij?
Dit gaat even duren, maar geloof me, het is de moeite meer dan waard:

1.Identificatie- en contactgegevens

Dit zijn de basisgegevens die nodig zijn om een kandidaat in het ATS van de werkgever te ‘matchen’ met een profiel op LinkedIn:

• Volledige naam: Voor- en achternaam.
• E-mailadressen: Zowel zakelijke als privégegevens die in het ATS staan.
• Telefoonnummers: Indien opgeslagen in het sollicitatiedossier.
• Sociale profielen: Links naar LinkedIn-profielen of andere portfolio’s die de kandidaat zelf heeft ingediend

2. Sollicitatie-informatie

LinkedIn ontvangt gegevens over elke interactie die jij met de werkgever hebt gehad, ook voor functies waarop je in het verleden hebt gesolliciteerd:

• Vacaturedetails: Voor welke specifieke functie (Job Requisition ID) je hebt gesolliciteerd.

• Huidige status: Waar bevind je je in het proces? (Bijv. “Nieuw”, “Telefonische screening”, “Eerste gesprek”, “Aanbod gedaan”). Denk aan Indeed.

• Historische data: LinkedIn vraagt bij de installatie van de koppeling om een historische synchronisatie. Dit betekent dat alle eerdere sollicitaties van alle kandidaten in het systeem (vaak jaren terug) naar LinkedIn worden gekopieerd.

• Bron van de sollicitatie: Hoe ben je bij de werkgever terechtgekomen? (Bijv. via Indeed, de eigen werken-bij site, of een referral).

3. Evaluatie- en Feedbackgegevens

Dit is misschien wel de meest privacygevoelige categorie. LinkedIn ontvangt ook de “menselijke” beoordelingen die over jou zijn geschreven:

• Recruiter Notes: Interne aantekeningen die recruiters over je maken in het ATS.

• Interview Feedback: Verslagen en scores van gesprekken met hiring managers.

• Afwijzingsgronden: De specifieke reden waarom je niet bent aangenomen (bijv. “onvoldoende technische kennis”, “geen culturele match”, of “salarisindicatie te hoog”).

4. Metadata en ‘Signals’

Via Apply Connect ontvangt LinkedIn real-time signalen over jouw gedrag:

• View Signals: Of en wanneer een recruiter jouw cv heeft geopend of je profiel heeft bekeken.

• Engagement: Hoe snel de werkgever reageert op jouw sollicitatie (wordt door LinkedIn gebruikt om “responsiviteit” van bedrijven te tonen).

Vergeleken met wat LinkedIn hier uitvreet is Indeed klein bier. Weliswaar klein bier dat nog steeds aan de privacyschandpaal genageld dient te worden, maar niet nadat de strontvlek die LinkedIn heet met veren en pek de tent (lees EU) uit is gejaagd. Zijn er nog fatsoenlijke professionele zakelijke online netwerken die zich willen kandideren?

LinkedIn ontvangt een spiegelbeeld van het volledige dossier van een sollicitant bij de werkgever. Het doel is om van LinkedIn de primaire interface voor de recruiter te maken, waarbij de eigen database van de werkgever slechts fungeert als de “data-leverancier” op de achtergrond. Oftewel, een ATS of CRM is voor LinkedIn een vervelend maar waarschijnlijk tijdelijk obstakel richting world domination.

Hoe lang is deze praktijk aan de gang?

In 2016 lanceerde LinkedIn Recruiter System Connect (RSC) en dat is het startmoment van LinkedIn’s data grab. Inderdaad, deze praktijk is al tien jaar aan de gang! De hoeveelheid informatie die LinkedIn ondertussen moet hebben verzameld is vrijwel onvoorstelbaar. LinkedIn moet op basis van deze praktijken een ongekend rijke persoonsdatabase hebben vergaard waarmee in potentie de arbeidsmarkt voor enig land, regio sector of bedrijf kan worden beinvloed. De praktijken van LinkedIn vormen een schoolvoorbeeld van een systematische uitholling van de AVG door een “Big (HR) Tech”-speler. LinkedIn transformeert hierbij het noodzakelijke proces van solliciteren naar een grootschalige data-extractiemachine, waarbij de rechten van de burger ondergeschikt worden gemaakt aan commerciële algoritmes.

Meest kritieke tekortkomingen
De illegale “schaduwprofielen” door ATS-synchronisatie: Het feit dat LinkedIn via RSC eist dat werkgevers hun volledige database synchroniseren – inclusief kandidaten die nooit een LinkedIn-account hebben aangemaakt – is een flagrante schending van de AVG. Deze mensen hebben geen enkele rechtsverhouding met LinkedIn. Het platform creëert hiermee “schaduwprofielen” en voert “invisible processing” uit op een schaal die doet denken aan de praktijken van Facebook. Er is geen enkele geldige rechtsgrond (geen toestemming, geen noodzaak) om gegevens van een directe sollicitant bij bedrijf X door te sluizen naar een commercieel platform als LinkedIn.

Het omzeilen van Doelbinding (Purpose Limitation): De AVG is duidelijk: data verzameld voor doel A (een sollicitatie) mag niet zomaar worden gebruikt voor doel B (het trainen van een commercieel AI-model of het verrijken van een wereldwijde database). LinkedIn verbreekt deze keten doelbewust. Een kandidaat geeft zijn cv aan een werkgever om een baan te krijgen, niet om als onbetaald trainingsmateriaal te dienen voor de “Hiring Assistant” van LinkedIn, die vervolgens door de concurrent gebruikt kan worden. Dit is een klassiek geval van function creep op industriële schaal.

Accountability Laundering: De verschuiving van verantwoordelijkheid: Een zeer zorgwekkend aspect is de manier waarop LinkedIn de juridische risico’s bij de werkgever dumpt. Door zichzelf in contracten als “verwerker” te positioneren terwijl ze feitelijk dicteren welke data ze willen hebben voor hun eigen winstmaximalisatie, misbruiken ze hun machtspositie. Werkgevers worden gedwongen om de AVG te overtreden om toegang te krijgen tot het platform, terwijl LinkedIn de vruchten plukt van de data zonder de juridische lasten van de “verwerkingsverantwoordelijke” te dragen.

De black box van de Hiring Assistant: De inzet van de “Hiring Assistant” overschrijdt de grenzen van geautomatiseerde besluitvorming. Wanneer een AI-agent kandidaten filtert, is er zelden sprake van een betekenisvolle menselijke tussenkomst, ongeacht wat de marketingteksten van LinkedIn beweren. Kandidaten hebben volgens Artikel 22 AVG het recht om niet onderworpen te worden aan dergelijke besluiten. Omdat de algoritmes van LinkedIn geheim zijn, is er geen sprake van transparantie of de mogelijkheid voor een burger om de logica achter een afwijzing aan te vechten.

Het einde van de “Vrije Toestemming”: Wanneer de grootste professionele netwerksite ter wereld de markt dwingt tot dit soort data-uitwisselingen, vervalt het principe van “vrije keuze”. Als een werkgever Apply Connect móét gebruiken om relevant te blijven, en een kandidaat LinkedIn móét gebruiken om een baan te vinden, is er geen sprake meer van vrijwilligheid. Toestemming die onder dergelijke druk wordt verkregen, is juridisch ongeldig.

Afsluitend
De geschetste ontwikkelingen vragen niet om “dialoog”, maar om handhaving en vervolging. Het is onaanvaardbaar dat een platform de volledige wervingsgeschiedenis van miljoenen Europeanen opeist als “toegangsprijs” voor het gebruik van hun diensten. Alle organisaties die voor hun werving LinkedIn gebruiken doen er goed aan om een grondige DPIA uit te voeren en, waar nodig, klachten in te dienen bij de nationale toezichthouders om deze illegale data-export naar de servers van LinkedIn (en daarmee vaak de VS) te stoppen.