Enkele dagen geleden vroeg ik mij hardop af in hoeverre 8vance haar (toendertijd) nagelnieuwe klant UWV volledig en juist heeft geinformeerd met betrekking tot de overtredingen van 8vance betreffende de AVG (en daarvoor de Wbp). Naar aanleiding van dit gedachte-experiment heb ik ondertussen een Woo-verzoek bij UWV ingediend. Inderdaad, weer één… Bovengenoemd artikel sloot ik af met deze alinea:
Als afsluiter ook nog een klein gedachtesprongetje; zou The Data Lawyers, na medio 2024 te hebben vastgesteld dat 8vance de wet overtrad, de FG van 8vance/Jobliebe hebben geadviseerd over een melding richting de AP? En als dat zo is, is er dan een melding richting de AP gegaan? En is dat advies ook bij UWV terecht gekomen? Dat is nog een spoortje dat de moeite waard is om op te volgen…
En dat spoortje wil ik in deze blog posting wat verder uitdiepen…
Een explosief rapport. Of toch niet?
Laat ik eerst eens beginnen met een rudimentaire tijdslijn. In de eerste helft van 2024 struikelde ik over wat toen nog een review van/door 8vance werd genoemd, via een contactpersoon bij het ministerie van SZW. De review zou voor/tijdens de vakantieperiode plaatsvinden, in opdracht van 8vance en een rapport zou in de tweede helft van 2024 worden opgeleverd aan UWV. Wie de review zou uitvoeren was op dat moment een mysterie, ook de precieze scope was onbekend. Vervolgens is er een hiatus van bijna 2 jaar, tot ik in een UWV besluit op een Woo-verzoek plotseling de naam The Data Laywers zie opduiken:
Op 23 maart 2026 wijst UWV mijn Woo-verzoek af op de grond dat er sprake is van een herhaald verzoek. Ik bestrijd dit via een bezwaarschrift en er lijkt, op basis van de recent gehouden hoorzitting, alsnog informatie opgeleverd te gaan worden door UWV. In de afwijzing door UWV (23-3-2026) is echter sprake van een nog niet eerder vermelde nieuwe bron: The Data Lawyers. Zover ik heb kunnen nagaan is door UWV nog niet eerder in haar communicatie met mij sprake geweest van document(en) van The Data Lawyers en alleen daarom is er al sprake van nieuwe feiten. En dat niet alleen:The Data Lawyers zegt over zichzelf het volgende: Law firm specialised in Privacy, AI and IT law. En dat maakt de vermelding ineens fascinerend. Niet gehinderd door enige innerlijke remming kom ik vrij associerend (denk VTS) op de niet-verwaarloosbare kans dat The Data Lawyers en de door 8vance uitgevoerde review wel eens heel veel met elkaar te maken kunnen hebben.
En dat hebben ze! The Data Lawyers is de mysterieuze partij die de review van 8vance heeft uitgevoerd. Het rapport draagt de naam Beoordeling matchingstool augustus 2024. En wat zegt UWV over dit rapport (in een beslissing op een Woo-verzoek (2026100), op 14 augustus 2026), zonder overigens de bron te vermelden:
Dit document betreft een beoordeling van de matchingstool. Het rapport bevat volgens de inhoudsopgave onder meer een beschrijving van de feiten , een privacy rechtelijke beoordeling , een beoordeling op het gebied van AI en conclusies. Het rapport bevat naar zijn aard informatie over de werking en toepassing van de dienstverlening en technologie van 8vance [naam bedrijf]. Voor zover hieruit bijzonderheden kunnen worden afgeleid over de bedrijfsvoering, technische werkwijze of andere bedrijfsgegevens van 8vance [naam bedrijf] die vertrouwelijk aan UWV zijn meegedeeld , wordt deze informatie niet openbaar gemaakt op grond van artikel 5.1, eerste lid, onder c, van de Woo. Voor zover het rapport andere concurrentiegevoelige bedrijfsinformatie bevat die niet onder deze absolute uitzonderingsgrond valt , wordt het belang van openbaarmaking afgewogen tegen het belang van 8vance [naam bedrijf] bij bescherming van haar concurrentiepositie. Aangezien laatstgenoemd belang zwaarder weegt , wordt de informatie niet openbaar gemaakt op grond van artikel 5.1 , tweede lid , onder f , van de Woo.
Tegen deze achtergrond is het nu volgende explosief te noemen. Want wat zei de Functionaris voor Gegevensbescherming (FG) van UWV op 3 september 2024 (voorlegger Raad van Bestuur UWV, besluit ‘Contractverlenging 8vance onder voorwaarden’) over het rapport van The Data Lawyers?:
[…] de verwerking van persoonsgegevens door 8vance bij de ontwikkeling van het algoritme voor BMS [was] onrechtmatig. Gebleken is dat 8vance de rechtmatigheid niet kan aantonen en 8vance overtrad daardoor de AVG, respectievelijk de Wbp voor de verwerkingen die plaatsvonden voor invoering van de AVG in 2018. Hoewel de gegevens recent geanonimiseerd zijn en 8vance zich nu inspant om tot een verder rechtmatige verwerking te komen, blijft 8vance naar oordeel van de FG door haar handelswijze in het verleden kwetsbaar en dit betekent ook een risico voor UWV ten aanzien van continuïteit en reputatie.
Laat dat even bezinken… Dus 8vance heeft structureel, gedurende meer dan (8vance is opgericht in 2013) 10 jaar de Wbp en daarna de AVG overtreden, maar UWV weegt het belang van openbaarmaking in het voordeel van deze seriële overtreder. Dit is hetzelfde UWV waaraan miljoenen en miljoenen personen een enorme berg persoonsgegevens hebben toevertrouwd. Is dit wat wordt bedoeld met een betrouwbare overheid?
De FG van UWV zegt nog meer in de betreffende voorlegger:
Daarnaast moet worden benoemd dat het GEB*-proces van BMS aan de zijde van UWV nog loopt. De voorliggende GEB geeft nog onvoldoende informatie en dit leidt tot een aantal vragen over de verwerking door UWV, de inzet van het algoritme van 8vance voor UWV-cliënten, alsmede de werkwijze van 8vance voor het up to date houden van het algoritme. Er kan daardoor nog niet vastgesteld worden welke risico’s de inzet van BMS met zich meebrengt voor de rechten en vrijheden van betrokkenen.
*GEB = Gegevensbeschermingseffectbeoordeling, synoniem met DPIA (Data Protection Impact Assessment)
Het lijkt er ernstig op dat UWV claimt dat zij tot het moment waarop het rapport van The Data Lawyers beschikbaar komt, geen weet had van de AVG overtredingen die 8vance beging. En dat een reeds bestaande GEB niet verder kwam dan een aantal vragen… Ik weet niet welke reputatie het UWV heeft, maar dit maakt het er allemaal niet beter op. Het klopt overigens aardig met de positie van UWV zoals verwoord door haar woordvoerder, op 27 oktober 2023:
UWV is niet de verwerkingsverantwoordelijke voor de totstandkoming van het product van 8vance. Ook heeft [UWV] geen signalen dat 8vance zich niet aan de AVG heeft gehouden en begrijpt van 8vance dat zij gebruik maken van geanonimiseerde profielen voor de ontwikkeling van haar product. UWV ziet in deze geen ketenverantwoordelijkheid.
En dan is er nog dit: Met de contractondertekening in maart 2023 heeft 8vance ook de Beveiligings- en verwerkersovereenkomst (BVO) van UWV getekend; mogelijk heeft de ondertekening van de BVO zelfs al eerder plaatsgevinden. In sectie D van de BVO (Bepalingen ten aanzien van een verwerkingsverantwoordelijke) staat in Artikel 16, lid 2 het volgende:
Opdrachtnemer [8vance] verwerkt de Persoonsgegevens in overeenstemming met de AVG en eventuele andere van toepassing zijnde wet- en regelgeving met betrekking tot het verwerken van Persoonsgegevens
Noemen we dit bedrog of misleiding van de kant van 8vance? Volgens mij wel, maar ik ben geen jurist…
Terug naar The Data Lawyers
Tot op heden heb ik me beperkt tot het noemen van het rapport van The Data Lawyers, maar dat doet geen recht aan de door het bedrijf geconstateerde overtreding(en) door 8vance met betrekking tot de privacy. Want wat is de positie van The Data Laywers in deze? Ze constateert dat 8vance structureel en gedurende meerdere jaren de privacywetten aan haar laars lapt. Die kennis verdwijnt niet op het moment dat de factuur is betaald. Is The Data Lawyers niet op de één of andere manier schatplichtig aan de wet? Ik heb deze vraag voorgelegd aan mijn trouwe compaan Gemini:
Een juridisch adviseur heeft een professionele zorgplicht om een cliënt volledig en correct te informeren over wettelijke verplichtingen, contractuele risico’s en de strategische gevolgen van geconstateerde overtredingen. In deze situatie vallen de verplichtingen van het adviesbureau uiteen in drie onderdelen:
1. De meldplicht aan de Autoriteit Persoonsgegevens (AP)
De AVG vereist geen proactieve zelfrapportage voor elke overtreding. The Data Lawyers is dan ook niet zonder meer verplicht om 8vance te adviseren zichzelf aan te geven, tenzij er sprake is van specifieke wettelijke triggers:
Datalekken: Als de overtreding kwalificeert als een inbreuk in verband met persoonsgegevens (een datalek, art. 33 AVG), moet de adviseur de cliënt wijzen op de strikte termijn van 72 uur om dit bij de AP te melden.
Voorafgaande raadpleging (DPIA): Als uit een Data Protection Impact Assessment blijkt dat het scrapen een hoog risico voor betrokkenen oplevert dat 8vance niet kan mitigeren, stelt art. 36 AVG dat de AP vooraf geraadpleegd moet worden.
Zorgplicht van de adviseur: Bij een algemene constatering van onrechtmatige gegevensverwerking (zoals het ontbreken van een grondslag voor scraping onder de AVG of Wbp) behoort de adviseur 8vance in de eerste plaats te wijzen op de plicht om de verwerking per direct te staken of aan te passen. Het proactief inlichten van de AP is voor algemene overtredingen een strategische afweging, geen keiharde wettelijke meldplicht, tenzij de AP hier actief informatie over vordert.
2. De informatieplicht aan UWV (als klant van 8vance)
The Data Lawyers treedt op voor 8vance, maar moet in haar advies de juridische en commerciële ketenrisico’s meenemen. Zij dient 8vance nadrukkelijk te wijzen op de noodzaak om UWV in te lichten, gebaseerd op de volgende gronden:
Verwerkersovereenkomst / Contractuele plicht: Als 8vance voor UWV optreedt als verwerker of als gezamenlijke verwerkingsverantwoordelijke, bevat de onderlinge overeenkomst vrijwel zeker clausules over naleving van de AVG en informatieplichten bij overtredingen of onderzoeken.
Mede-aansprakelijkheid van UWV: UWV, als overheidsinstantie en afnemer van de dienst, baseert haar eigen besluitvorming of dienstverlening deels op de output van 8vance. Als de input (gescrapete data) onrechtmatig is verkregen, is de verwerking door UWV indirect ook onrechtmatig.
Beperking van aansprakelijkheid: Als 8vance verzwijgt dat het systeem niet AVG-proof is terwijl dit wel is vastgesteld, is 8vance (en mogelijk haar bestuurders) ernstig verwijtbaar handelen te verwijten. De adviseur moet 8vance wijzen op de enorme schadeclaims die UWV kan indienen als UWV door toedoen van 8vance in de problemen komt bij de AP of in de publieke opinie.
3. De impact van de normbrief van de AP (indien The Data Lawyers bekend zijn gemaakt met de normbrief)
De normbrief die de AP medio 2024 aan 8vance heeft gestuurd, verandert de casus van een theoretisch juridisch risico naar een acuut handhavingsrisico.
Opzet en bewuste roekeloosheid: Door de normbrief is 8vance officieel gewaarschuwd dat de toezichthouder scraping in deze context als onrechtmatig beschouwt. Het negeren van dit ‘verzoek’ verhoogt het risico op de maximale AVG-boetes en bestuursrechtelijke maatregelen (zoals een last onder dwangsom).
Verzwaarde adviesplicht: In het licht van deze normbrief moet The Data Lawyers haar cliënt zeer dwingend adviseren het scrapen te staken. Het is tevens de taak van de adviseur om te wijzen op de noodzaak om met zowel de AP als grote afnemers zoals UWV transparant te communiceren over de stappen die 8vance zet om aan de normbrief te voldoen. Doen zij dit niet, dan escaleren de juridische risico’s voor 8vance aanzienlijk.
Ik heb geen enkel idee of en op welke wijze The Data Lawyers acties heeft genomen richting 8vance en/of UWV. Maar deze informatie biedt concrete aanknopingspunten om UWV verder te gaan bevragen.