Hebben (voormalige) leden van de Raad van Bestuur van het UWV op 14 oktober 2026 nog teruggedacht aan die memorabele RvB vergadering, begin september 2024? Laat ik deze cryptische zin toelichten: Op 14 oktober 2026 meldde UWV dat ze de stekker uit haar Bemiddelingsservice project (BMS) had getrokken. Kosten: een slordige EUR 55 miljoen. Begin september 2024 had UWV de kans om het contract met BMS-leverancier 8vance niet te verlengen. Kosten: significant lager dan EUR 55 miljoen. Heeft UWV hier een unieke kans gemist? Tijd voor een deep dive…

Op 3 september 2024 krijgt de RvB van UWV een voorlegger van vier pagina’s tbv een RvB-vergadering om te besluiten de samenwerking met 8vance al dan niet met drie jaar (maart 2025 – maart 2028) te verlengen. Overigens met er wel met stoom en kokend water te worden besloten want het oorspronkelijke contract (2 jaar) is op 8 maart getekend, dus of de dames en heren maar even vóór 8 september willen besluiten.

Het speelveld
De voorlegger heeft één onderwerp: Besluit ‘Contractverlenging 8vance onder voorwaarden’. Op de eerste twee pagina’s staan de perspectieven van verschillende afdelingsdirecteuren en de functionaris gegevensbescherming (FG). Samen geven zij een opmerkelijk beeld van de afweging waar het bestuur voor staat. Als samenvatting:

FEZ wijst op een investering van circa 22 miljoen euro die mogelijk geen waarde oplevert als het contract niet wordt verlengd. Inkoop waarschuwt dat UWV nauwelijks een alternatief heeft. BZ(JZ) en CIO zijn zonder opmerking akkoord met de verlenging van de samenwerking. De FG constateert onrechtmatige verwerking bij de ontwikkeling van het algoritme en verlangt afspraken over aantoonbare rechtmatigheid en vervanging. Werkbedrijf heeft voldoende vertrouwen om door te gaan.

Je zou verwachten dat de directeuren gezamenlijk met een samenhangende analyse voor de RvB zouden komen, inclusief scenario’s (technisch, juridisch, tijdspad, bemensing, kosten en risico-inschatting) op basis waarvan de RvB een geïnformeerde keuze kunnen maken. Bovenstaande samenvatting roept eerder het welbekende beeld op van palingen in een emmer met snot. Waarmee de RvB in een onmogelijke positie wordt geplaatst (of: zich heeft laten plaatsen). Kiezen op basis van kwalitatieve informatie. Laten we de posities van de actoren eens één voor één nader bekijken:

FEZ begint met een duidelijke tekortkoming. Het financiële perspectief ontbreekt volgens deze directie in de risicoafweging. Werkbedrijf schat de kans klein in dat 8vance niet aan de aanvullende voorwaarden kan voldoen. FEZ zet daar de omvang van de mogelijke schade tegenover. UWV staat aan het begin van BMS fase 1, met een waarde van circa 22 miljoen euro tot en met juli 2025. Als het contract tussentijds moet worden beëindigd, kan die investering zonder opbrengst blijven. FEZ vraagt terecht aandacht voor de consequenties van een optimistische kansinschatting. Wie een kleine kans op mislukking veronderstelt, moet nog steeds uitleggen waarom het verantwoord is zo veel geld bloot te stellen aan die kans.
FEZ onderschrijft nergens expliciet de herstelmaatstaf van de FG. De waarschuwing gaat uitlsluitend wat er financieel gebeurt wanneer de voortzetting mislukt.

UWV geeft overigens in haar bericht over het einde van BMS dat “Sinds de start in 2021 is in totaal circa €55 miljoen besteed aan het project BMS.” Hoe dit zich verhoudt tot de EUR 22 miljoen hierboven is mij niet geheel duidelijk. Maar 55 is een groter getal dan 22..

Op naar de volgende directie:

Inkoop geeft akkoord en wil de voorwaarden expliciet maken, goed definiëren en van juiste termijnen voorzien. Daarmee biedt Inkoop een bruikbaar aanknopingspunt voor uitvoering van het FG-advies. Vervolgens komt de zin die de bestuurlijke ruimte zichtbaar beperkt: “We moeten ons realiseren dat er op dit moment ook niet echt een alternatief is.” Tijd wordt hier een argument om met 8vance verder te gaan. Tegelijk ziet Inkoop het gevaar daarvan. Mocht 8vance niet aan de voorwaarden kunnen voldoen, dan moet UWV tijdig een alternatief onderzoeken. Anders staat het over drie jaar opnieuw zonder reële keuze voor een verlenging.

Dat is een waarschuwing voor blijvende afhankelijkheid. Het roept ook een ongemakkelijke vraag op. Hoeveel betekenis hebben scherpe voorwaarden wanneer de opdrachtgever zich nauwelijks kan veroorloven de samenwerking te beëindigen?

En door:

Bij BZ (JZ) en CIO (LM) ontbreekt een zichtbare inhoudelijke afweging. Beide bijdragen bestaan uit een akkoord, bij CIO met vermelding van de vervanger wegens vakantie.

Dat zijn bestuurlijk relevante instemmingen, maar de lezer kan er geen juridische of technische redenering uit reconstrueren. Evenmin blijkt eruit of deze betrokkenen de volledige voorwaarde van de FG onderschrijven. Mogelijk bestaan elders uitgebreidere adviezen. Deze twee pagina’s bevatten ze niet.

En dan is er de bijdrage van de Functionaris Gegevensbescherming (FG):

De FG formuleert de meest verstrekkende inhoudelijke voorwaarde. De verwerking van persoonsgegevens door 8vance was bij de ontwikkeling van het algoritme onrechtmatig, mede gebaseerd op het rapport van The Data Lawyers. De recente anonimisering en de inspanningen van 8vance nemen in haar oordeel de kwetsbaarheid door het eerdere handelen niet weg. Voor UWV noemt zij continuïteits- en reputatierisico’s.
Daarnaast is de GEB aan UWV-zijde onvoldoende uitgewerkt. De FG kan daardoor nog niet vaststellen welke risico’s de inzet van BMS voor de rechten en vrijheden van betrokkenen meebrengt. Zij beperkt haar advies uitdrukkelijk tot het besluit over 8vance. De contractverlenging krijgt daarmee geen inhoudelijke goedkeuring voor de latere verwerking van cliëntgegevens.
Voor voortzetting adviseert zij met 8vance overeen te komen dat alle verwerkingen én daarop gebaseerde producten of diensten ten behoeve van UWV aantoonbaar rechtmatig en AVG-conform zijn. Waar dat niet aantoonbaar is, moet 8vance ze vervangen. Die laatste stap is essentieel. De FG vraagt om een afspraak met gevolgen wanneer bewijs ontbreekt. Haar advies omvat ook de producten die met de gegevensverwerkingen zijn ontwikkeld. Alleen afspraken over toekomstige omgang met persoonsgegevens beantwoorden dus nog niet noodzakelijk aan haar volledige maatstaf.

Tegen deze achtergrond is het opvallend de bijdrage van het Werkbedrijf te lezen:

Werkbedrijf reageert op het advies van JZ (Directie Werkbedrijf heeft met waardering kennisgenomen van het memo van JZ inzake het gebruik van scraping door 8vance). Daaraan geeft het naar eigen zeggen “opvolging” door de verlenging afhankelijk te maken van voorwaarden en afspraken over implementatie van de aanbevelingen van The Data Lawyers. De afspraken, lopende acties, monitoring en leveranciersgaranties vindt Werkbedrijf “afdoende, ook vanuit ethisch oogpunt” om met vertrouwen verder te gaan.

Over het FG-advies volgt één slotzin: “Het advies van de FG neemt Werkbedrijf ter harte.”

Dat is een verklaring van aandacht zonder zichtbare keuze over de volledige voorwaarde. Werkbedrijf schrijft niet hoe de vervanging wordt geregeld wanneer rechtmatigheid onvoldoende aantoonbaar is. Het verklaart evenmin waarom de genoemde garanties die situatie voldoende afdekken. Overigens ben ik bijzonder benieuwd wat Werkbedrijf met een ethisch oogpunt wil zeggen, maar dit terzijde.

Wat moet de Raad van Bestuur besluiten?

In de voorlegger wordt het volgende van de RvB gevraagd:

1. Kennis te nemen van de notitie van JZ inzake het gebruik van scraping door 8vance.
2. Akkoord om de contractueel vastgestelde verlenging (voor de komende drie jaar te weten maart 2025 tot maart 2028) van het contract 8vance niet stilzwijgend te doen, maar onder onderstaande voorwaarden te laten plaatsvinden

1. Kennis te nemen van de notitie van JZ
Voor de notitie van JZ is via Woo-verzoek 2026100 door mij  gevraagd om openbaarmaking. Deze wordt integraal geweigerd door UWV, met daarbij de volgende tekst:

Notitie scraping JZ. Dit document betreft een interne juridische notitie over de rechtmatigheid van het algoritme van [8vance] , waaronder de verwerking van persoonsgegevens, scraping, de AVG en de AI-verordening. De notitie is opgesteld door Juridische Zaken ten behoeve van de interne advisering en besluitvorming binnen UWV. Het document bevat juridische analyses , risico-inschattingen , conclusies , aanbevelingen en adviezen over de door UWV te volgen handelwijze. Het document bevat persoonlijke beleidsopvattingen die ten behoeve van intern beraad zijn opgesteld en daarom wordt deze informatie niet openbaar gemaakt op grond van artikel 5.2 , eerste lid , van de Woo. Daarnaast is beoordeeld of het document informatie bevat over de bedrijfsvoering , technische werkwijze of dienstverlening van [8vance] die vertrouwelijk aan UWV is verstrekt. Voor zover sprake is van vertrouwelijk meegedeelde bedrijfs- en fabricagegegevens , wordt deze informatie niet openbaar gemaakt op grond van artikel 5.1 , eerste lid , onder c , van de Woo.

Voor iedereen die de AVG hoog acht is dit document natuurlijk zeer interessant. UWV wil het onder geen beding openbaar maken.

Verder speelt een tweede document een belangrijke rol: het rapport van The Data Lawyers, zaosl vermeldt door de FG. Ook voor dit rapport is in Woo-verzoek 2026100 door mij gevraagd om openbaarmaking. En ook voor dit rapport wordt door openbaarmaking UWV geweigerd:

Beoordeling matchingstool. Dit document [Rapport beoordeling matchingstool augustus 2024] betreft een beoordeling van de matchingstool. Het rapport bevat volgens de inhoudsopgave onder meer een beschrijving van de feiten, een privacy rechtelijke beoordeling, een beoordeling op het gebied van AI en conclusies. Het rapport bevat naar zijn aard informatie over de werking en toepassing van de dienstverlening en technologie van [8vance]. Voor zover hieruit bijzonderheden kunnen worden afgeleid over de bedrijfsvoering , technische werkwijze of andere bedrijfsgegevens van [8vance] die vertrouwelijk aan UWV zijn meegedeeld , wordt deze informatie niet openbaar gemaakt op grond van artikel 5.1 , eerste lid , onder c , van de Woo. Voor zover het rapport andere concurrentiegevoelige bedrijfsinformatie bevat die niet onder deze absolute uitzonderingsgrond valt , wordt het belang van openbaarmaking afgewogen tegen het belang van [8vance] bij bescherming van haar concurrentiepositie. Aangezien laatstgenoemd belang zwaarder weegt , wordt de informatie niet openbaar gemaakt op grond van artikel 5.1 , tweede lid , onder f , van de Woo.

Wederom, super interessant.

Dan nu door naar de voorwaarden voor een verlenging (onder voorwaarden)

2. Voorwaarden voor verlenging

1. 8vance volgt in ieder geval de aanbevelingen die door The Data Lawyers zijn vastgelegd in het Rapport beoordeling matchingstool augustus 2024 voor wat betreft de AVG uiterlijk 1 december 2024 op. […]
2. 8vance zal zijn dienstverlening uiterlijk 1 augustus 2026 objectief aantoonbaar inrichten conform de Algemene Inkoopvoorwaarden ICT UWV 2024, aangevuld met het deel B VIII AI-systemen met een hoog risico.
3. 8vance levert uiterlijk 1 november 2024 een oplossingsrichting die voldoet aan het PvE-onderdeel autorisatiematrix, zoals beschreven in het contract.
4. 8vance levert gedurende het project ‘BMS fase 1’ met een uiterlijke go-live datum van 1 juni 2025, alle benoemde deliverables voor fase 1 zoals vermeld in het contract.
5. 8vance levert gedurende het project ‘BMS fase 2’ (uiterlijke go-live datum moet nog worden vastgesteld) alle benoemde deliverables voor fase 2 zoals vermeld in het contract.

Voorwaarde 3 is in deze irrelevant, voorwaarde 4 is een lachtertje en het is nooit tot voorwaarde 5 gekomen. Voorwaarden 1 en 2 zijn natuurlijk wel heel interessant. Was 8vance uiterlijk 1 december 2024 AVG-compliant (voor zover benoemd door The Data Lawyers) en wie heeft dat dan vastgesteld? Zo niet, wat zijn dan eventuele vervolgstappen geweest en wanneer zijn deze genomen?

Overigens is wat verderop in de voorlegger het volgende te lezen:

Er waren twijfels aan de mate waaraan de tool van 8vance voldeed aan de AVG en aan de AI ACT. […] Aangezien de PES tool van 8vance valt aan te merken als een hoog risico AI-systeem is in opdracht van 8vance door een onafhankelijk deskundig bureau (The Data Lawyers, hierna: TDL) onderzocht in hoeverre de tool voldoet aan de vereisten van de AVG en de AI Act. TDL heeft op basis van dit onderzoek ook een aantal aanbevelingen gedaan, die zijn vastgelegd in het Rapport beoordeling matchingstool augustus 2024. Deze aanbevelingen houden in dat er nog een aantal acties uitgevoerd moeten worden om de tool aan de AVG en de AI Act te laten voldoen. Aangezien de omschrijving van de bevindingen en aanbevelingen omvangrijk is, volstaan wij met een verwijzing daarnaar. Een eigen vertaling daarvan zou het risico in zich dragen van een onvolledige of incorrecte interpretatie. Ten aanzien van de strijdigheid met de AVG is niet zeker of die volledig kan worden weggenomen voor de inbreuken die in het verleden hebben plaatsgevonden. Dit is voorgesproken door JZ met de portefeuillehouder RvB [].

8vance heeft dus The Data Lawyers opdracht gegeven tot een onderzoek naar AVG en AI Act compliance omdat er (bij UWV?) twijfels waren. De meest voor de hand liggend reactie is natuurlijk: HUH?? Er is begin maart 2023 een contract getekend met een partij waarvan je op dat moment blijkbaar niet weet of zij AVG en AI Act compliant is? En die je vervolgens toegang gaat geven tot persoonsgegevens van miljoenen Nederlanders? Onze overheid kan dat…

De overige vetgedrukte passages maken het verhaal alleen maar erger, ik laat ze aan de verbeelding van de lezer over.

Epiloog
En met deze voorlegger in de hand heeft de Raad van Bestuur besloten tot een verlenging onder voorwaarden. We weten allemaal hoe dat is geeïndigd. Komt er nog een onafhankelijk onderzoek naar deze puinhoop?

Tegen deze achtergrond is het leuk om dit artikel ook nog eens te lezen. Let ook op de datum… 8vance en de AVG, geen match made in heaven. Deel 2