8vance heeft jarenlang grootschalig persoonsgegevens (85 miljoen om precies te zijn) gescraped, primair van LinkedIn. Zij heeft daarbij LinkedIn noch de achterliggende 85 miljoen natuurlijke personen ooit om toestemming gevraagd. 8vance heeft zich ‘verdedigd’ met de opmerking dat deze gegevens openbaar vindbaar zijn en dus voor iedereen beschikbaar. Lezertjes die nu instemmend knikken, wil ik graag verwijzen naar mijn recente artikel: OpenAI: fair use of pervasive, systemic, flagrant en egregious abuse?

UWV heeft ondanks deze onrechtmatige daad van 8vance besloten om 8vance’s software aan te schaffen tbv. het ‘matchen’ van werkzoekers met vacatures (want AI…), waarbij ze zich op het standpunt stelt dat 8vance verantwoordelijk is voor haar eigen bedoening en UWV slechts een gebruiker is. Ondertussen kan UWV zich deze houding niet langer permitteren sinds ze kennis heeft genomen van een door The Data Lawyers uitgebracht rapport (in opdracht van 8vance) dat constateert dat 8vance de AVG, en daarvoor de Wbp, heeft overtreden. Dit rapport is in het najaar van 2024 aan UWV aangeboden, kort voordat UWV over de contractverlenging met 8vance moest beslissen.

Rond dezelfde tijd ontving 8vance een brief van de Autoriteit Persoonsgegevens (AP), een zogenaamde normbrief. In dit geval ‘verzoekt’ de AP 8vance het volgende:

Volgens uw website maakt u gebruik van scraping. Gelet op de recente publicatie van de handreiking willen wij u vragen of uw verwerkingen middels scraping nogmaals legen het licht te houden. Heeft u gelet op de handvatten die de AP biedt in de handreiking. inderdaad wel rekening gehouden met alle relevante omstandigheden? En zorgt u er voor dat u geen bijzondere persoonsgegevens verwerkt?

Blijkt dat u geen grondslag heeft om persoonsgegevens te mogen verwerken met scraping? Of verwerkt u bijzondere persoonsgegevens terwijl u hier geen uitzonderingsgrond voor heeft? Dan zult u al deze verwerkingen moet staken.

Daar is geen woord Spaans bij, toch? Nou, wel volgens 8vance die bij monde van CEO Han Stoffels het volgende zegt:

8vance heeft nooit een waarschuwing of formele normstelling van de Autoriteit Persoonsgegevens ontvangen en is door de AP ook niet verzocht om de scraping van persoonsgegevens te staken. Zoals de AP ook in haar jaarverslagen toelicht, voert zij regelmatig thema- of sectorgerichte campagnes waarbij organisaties informatieve brieven kunnen ontvangen om hen te attenderen op of nader te informeren over relevante normen, wet- en regelgeving. 8vance heeft enkel een dergelijke informatiebrief ontvangen zoals vele andere data bedrijven

Tussen de (feitelijke) brief van de AP en de interpretatie van 8vance zit behoorlijk wat licht, en op elk punt klopt het verhaal van 8vance niet. Ik denk overigens wel te snappen wat 8vance hier probeert te doen, speculeert u even met mij mee?: door de indruk te wekken dat de brief uitsluitend een informatief karakter heeft, was er voor 8vance geen reden om deze brief direct per koerier naar het UWV te sturen. Waar (hope springs eternal…) de ambtenaren van het UWV (denk de Functionaris voor Gegevensbescherming (FG)) ongetwijfeld wel de portée van deze brief correct zouden inschatten. Waarna er dus een administratief spoor zou moeten bestaan waarbij de FG de directie van UWV WERKbedrijf en/of RvB adviseert om per omgaande een melding te doen bij de AP. Voel ik hier een nieuw Woo-verzoek opborrelen? Het zou zomaar kunnen, al stelt UWV zich tot op dit moment op het standpunt dat zij pas kennis heeft genomen van de normbrief naar aanleiding van mijn publicatie daarover. Maar UWV is ook bepaald niet in haar eerste leugen gestikt.

Als afsluiter ook nog een klein gedachtesprongetje; zou The Data Lawyers, na medio 2024 te hebben vastgesteld dat 8vance de wet overtrad, de FG van 8vance/Jobliebe hebben geadviseerd over een melding richting de AP? En als dat zo is, is er dan een melding richting de AP gegaan? En is dat advies ook bij UWV terecht gekomen? Dat is nog een spoortje dat de moeite waard is om op te volgen…