Als geheugensteuntje, op 15 april heb ik de Autoriteit Persoonsgegevens (AP) een Woo-verzoek per e-mail gestuurd, met daarin de volgende vraag:

Met een beroep op de Wet open overheid (Woo) verzoek ik u om openbaarmaking van alle informatie en documenten met betrekking tot de klachtafhandeling, het toezicht op en de eventuele handhavingsacties jegens het bedrijf 8vance, specifiek met betrekking tot massale en langdurige overtreding van de AVG […]
Mijn verzoek ziet in het bijzonder op de volgende documenten:

• De ‘normerende brief’ die door de Autoriteit Persoonsgegevens aan 8vance is verzonden naar aanleiding van mijn klacht een aanvullende informatie over de gemelde AVG-overtreding.
• Overige correspondentie tussen de Autoriteit Persoonsgegevens en 8vance over dit onderwerp.
• Interne documenten, memo’s of verslagen waarin de besluitvorming over de opvolging van de klacht tegen 8vance is vastgelegd.

In reactie op een herinnering van mijn kant kreeg ik op 4 mei de volgende reactie van de AP:

Dank voor uw bericht. Wij hebben elkaar telefonisch gesproken over uw verzoek. Uw Woo-verzoek is via een onjuiste wijze ingediend. Het is namelijk niet mogelijk om een Woo-verzoek per e-mail bij de Autoriteit Persoonsgegevens (AP) in te dienen. Om die reden heeft u geen ontvangstbevestiging ontvangen. U kunt uw Woo-verzoek uitsluitend via het webformulier of per post bij de AP indienen.
Ik heb u telefonisch aangegeven dat ik de afdeling binnen de AP die AVG-klachten afhandelt zal vragen of zij de normbrief informeel aan u kunnen verstrekken. Via de Woo maken wij geen informatie met betrekking tot AVG-klachten openbaar.

Kijk eens aan! Het lijkt er op dat er een kans is om de normbrief van AP aan 8vance te ontvangen, helaas zonder enige aanvullende informatie.

Op 12 mei viel een kopie van de normbrief op mijn fysieke deurmat. Hieronder is de normbrief weergegeven:

Normbrief AP, 9 juli 2024, pagina 1

Normbrief AP, 9 juli 2024, pagina 2

De zin: Volgens uw website maakt u gebruik van scraping (zie geel gearceerde deel in de normbrief) verwijst, in ieder geval, naar deze situatie:

Homepage – 8vance

En ik heb, ad nauseam, bewezen dat 8vance extreem hebberig is bij het scrapen van (eerst en vooral) LinkedIn. AP stelt ondubbelzinnig in de normbrief:

Blijkt dat u geen grondslag heeft om persoonsgegevens te mogen verwerken met scraping? Of verwerkt u bijzondere persoonsgegevens terwijl u hier geen uitzonderingsgrond voor heeft? Dan zult u al deze verwerkingen moeten staken.

Een do or die paragraaf die ongetwijfeld tot de nodige witte neuzen heeft gezorgd bij 8vance. Hoewel, verwerkingen staken is iets anders dan de gescrapete data verwijderen… Het is in ieder geval duidelijk waarom bovenstaande homepage niet langer zichtbaar is.

Het UWV speelt ook een rol

Ik wil nu de aandacht even richten op het UWV. In een blog posting getiteld Heeft UWV de wet overtreden? Ja, ook een tweede keer ga ik in op de aantoonbare mogelijkheid dat UWV de AVG heeft overtreden als gevolg van de massale scraping van persoonsgegevens door 8vance:

Ten aanzien van de AVG heeft UWV blijkbaar een happy go loose benadering, zoals blijkt uit een e-mail van UWV Woordvoering, (27 oktober 2023):

UWV is niet de verwerkingsverantwoordelijke voor de totstandkoming van het product van 8vance. Ook heeft [UWV] geen signalen dat 8vance zich niet aan de AVG heeft gehouden en begrijpt van 8vance dat zij gebruik maken van geanonimiseerde profielen voor de ontwikkeling van haar product. UWV ziet in deze geen ketenverantwoordelijkheid.

Pontius Pilatus anyone?

Een jaartje later is er sprake van een enigszins gewijzigde situatie. Misschien zijn er nu wel signalen (normbrief?) ontvangen? Hoe dan ook:

In een tweede document (een e-mail, gedateerd 4 december 2024) valt het volgende te lezen:

Ten aanzien van de contractverlenging met [8vance] heb ik in de vergadering van de RvB van 3 september 2024 geadviseerd dat “alle verwerkingen en daarop gebaseerde producten of diensten van [8vance] ten behoeve van UWV aantoonbaar rechtmatig en AVG-compliant moeten zijn.

Het betekent dus dat tot op dat moment (4 december 2024) de producten en diensten van 8vance niet aantoonbaar rechtmatig en AVG-compliant zijn. Laat dat even bezinken…

In het document Projectplan Bemiddelingsservice (BMS) – Fase 1, versie 0.999 van 28-11-2024 (deels openbaar gemaakt naar aanleiding van een ander Woo-verzoek) is onder meer het volgende te lezen:

In september 2024 zijn aanvullende voorwaarden met [8vance] overeengekomen over de contractverlening vanaf maart 2025. De aanvullende voorwaarden betreffen aanscherping en levertijden over het voldoen aan de AVG, de AI Act wet/regelgeving […].

Binnen het BMS-project loopt een onderzoek op de content van de eerste grote dataset. Deze dataset omvat 465K profielen/cv’s […] en is afkomstig uit UWV-databronnen […]. Deze dataset […] is ingelezen in het BMS-systeem.

Hier staat in een tweetal alinea’s dat:

• 8vance niet (aantoonbaar) aan de AVG voldoet en
• dat ondertussen 465.000 persoonsprofielen zijn ingevoerd in 8vance

Hier zegt UWV onrechtmatig persoonsgegevens van UWV cliënten in een software-omgeving te laden zonder te hebben zekergesteld dat deze omgeving en de begeleidende procedures en richtlijnen AVG-compliant zijn. En dan is daar ook nog een heel simpele vraag: Heeft UWV toestemming verkregen van deze 465K personen wiens data wordt gebruikt in een test met een toepassing die (mogelijk) niet AVG-compliant is.

UWV lijkt op basis van bovenstaande informatie zich niets aan de privacy wet- en regelgeving gelegen te laten liggen. En dat klemt eens te meer omdat 8vance een serie-overtreder is van de AVG (en eerdere wetgeving). Tot LinkedIn dit onmogelijk maakte (april 2024) roofde 8vance zo’n 85 miljoen persoonsgegevens van LinkedIn, een massieve overtreding van de AVG. Hiermee voedde 8vance haar database van persoonsgegevens en haar trainingsbestand tbv haar AI-matching engine (de voornaamste reden waarom 8vance de tender van UWV toegekend heeft gekregen).

Slotopmerkingen
Naar aanleiding van de normbrief ga ik mijn Woo-verzoek aanpassen en opnieuw indienen bij de AP, dit keer via het ‘juiste’ kanaal. En er is aanleiding om UWV (via de Woo) nog eens stevig aan de tand te voelen. Een gevalletje van wordt vervolgd…

Voor de rupsjesnooitgenoeg die “alles” willen weten over 8vance UWV en AVG, hierbij wat aanvullend leesvoer.

https://recruitmentmatters.nl/2024/03/12/8vance-en-de-avg-geen-match-made-in-heaven-proloog/

https://recruitmentmatters.nl/2024/03/13/8vance-en-de-avg-geen-match-made-in-heaven-deel-1/

https://recruitmentmatters.nl/2024/03/13/8vance-en-de-avg-geen-match-made-in-heaven-deel-2/