8.4.3 Het opvragen van informatie bij de sollicitant of aspirant-platformwerker

Het voormalige adviesorgaan van de Europese Unie, de zogeheten Artikel 29-werkgroep, voorloper van de huidige European Data Protection Board (EDPB), heeft in 2017 een advies uitgebracht over gegevensverwerking op het werk.2 Daarin zijn een aantal uitgangspunten voor de gegevensverwerking bij sollicitatie opgenomen. De gegevens van sollicitanten mogen alleen worden verzameld en verwerkt voor zover die noodzakelijk en relevant zijn voor de uitvoering van de baan waarvoor zij hebben gesolliciteerd.3 Het daarvoor verzamelen van gegevens van door sollicitanten via internet vrij beschikbaar gestelde informatie vindt het adviesorgaan aanvaardbaar. De persoon moet wel nauwkeurig op de hoogte worden gesteld van de verwerkingen voordat hij met de sollicitatieprocedure begint. Een werkgever kan op geen enkele rechtsgrond de kandidaat-werknemers verplichten dat ze hem toegang verschaffen tot hun internetgebruikersprofiel(en).

De EDPB of diens voorganger hebben zich nog niet specifiek uitgelaten over personeelsselectie met behulp van algoritmes. Uit meer algemene uitlatingen leiden wij af dat dit adviesorgaan het gebruik van ML-algoritmes niet als zodanig in strijd acht met de AVG.4

Naast aanbevelingen van privacyorganen, kan ter invulling van de noodzakelijkheidseis van art. 6 lid 1 sub f AVG, gedacht worden aan de Sollicitatiecode 2020 van de Nederlandse Vereniging voor Personeelsmanagement en Organisatieontwikkeling (NVP), opgesteld in overleg met de Stichting van de Arbeid. In deze code is rekening gehouden met digitale assessments en ML-algoritmes. Deze moeten volgens de code gevalideerd en transparant zijn. De organisatie moet de mogelijke risico’s en tekortkomingen daarvan kennen en de zorgvuldigheid en vertrouwelijkheid waarborgen, en de sollicitant die daarom verzoekt moet na deelname een gemotiveerde uitslag kunnen krijgen (art. 3.4). Ook hieruit is dus af te leiden dat wel gebruikgemaakt kan worden van ML-algoritmes, mits op zorgvuldige wijze.

Naast deze algemene uitgangspunten is van belang dat de verwerking van sommige bijzondere persoonsgegevens verboden is, tenzij een beroep kan worden gedaan op limitatief omschreven uitzonderingen, zoals nader uitgewerkt in nationaal recht. Bijzondere gegevens in de zin van art. 9 lid 1 AVG zijn persoonsgegevens met betrekking tot ras of etnische afkomst, politieke opvattingen, religieuze of levensbeschouwelijke overtuigingen, lidmaatschap van een vakbond, genetische- of gezondheidsgegevens, gegevens over seksueel gedrag of seksuele gerichtheid.5

De mogelijkheden die de AVG biedt om bijzondere gegevensverwerking mogelijk te maken bij personeelsselectie zijn door Nederland nauwelijks benut.6 Er kan sprake zijn van verwerking van bijzondere gegevens door een werkgever met een bepaalde religieuze of politieke identiteit of ‘die op vakbondgebied werkzaam is’ (art. 22 lid 2 sub c UAVG, bedoeld zal zijn ‘vakbonden’) of, voor wat betreft politieke voorkeuren, functies in bestuursorganen of adviescolleges (art. 26 UAVG). Voorts kan de werkgever voorkeursbeleid toepassen op het gebied van ras of etnische afkomst, en de daarvoor noodzakelijke gegevens verwerken, tenzij betrokkene bezwaar maakt (art. 25 sub b UAVG).

In beginsel is de verwerking van genoemde bijzondere gegevens dus niet toegestaan. Dit bemoeilijkt uiteraard het verzamelen van informatie over de kandidaten. Zo mogen foto’s of ander beeldmateriaal in beginsel niet worden verwerkt vanwege de daaruit blijkende afkomst. Beeldopnames zijn volgens de AP echter toch mogelijk als de sollicitant ook een alternatief wordt aangeboden, en voor de sollicitant duidelijk is dat er geen consequenties aan het al dan niet gebruikmaken van de video-opname verbonden zijn.7 Persoonlijkheidstesten en assessments zijn voorts problematisch in verband met het verbod op gegevens over gezondheid te verwerken.8

Nieuw in de AVG ten opzichte van de voormalige privacyrichtlijn is de regulering van ‘profilering’, gedefinieerd als ‘elke vorm van geautomatiseerde verwerking van persoonsgegevens waarbij aan de hand van persoonsgegevens bepaalde persoonlijke aspecten van een natuurlijke persoon worden geëvalueerd, met name met de bedoeling zijn beroepsprestaties, economische situatie, gezondheid, persoonlijke voorkeuren, interesses, betrouwbaarheid, gedrag, locatie of verplaatsingen te analyseren of te voorspellen’ (art. 4 lid 4 AVG). Art. 22 AVG geeft betrokkenen het recht niet te worden onderworpen aan een uitsluitend op geautomatiseerde verwerking, waaronder profilering, gebaseerd besluit. Er moet worden voorzien in enige menselijke tussenkomst. Het nemen van selectiebeslissingen mag dus niet uitsluitend aan een ML-algoritme worden overgelaten. Betoogd wordt dat in dat kader voldoende is om een automatisch tot stand gekomen prioritering of sortering van kandidaten door een medewerker te laten beoordelen, waarbij de medewerker de definitieve beslissing neemt om de kandidaten de beslissing mee te delen.9

Vanwege het hoge privacyrisico stelt art. 35 AVG bij profilering een gegevensbeschermingseffectbeoordeling verplicht. Risico’s moeten worden beperkt, onder andere door betrokkenen uit te leggen hoe het besluit met behulp van profilering tot stand is gekomen. De verplichting om transparant te zijn over het verwerken van gegevens is van groot gewicht in de AVG. Volgens art. 12 lid 1 AVG moet de verwerkingsverantwoordelijke degene van wie gegevens verwerkt worden informeren in een beknopte, transparante, begrijpelijke en gemakkelijk toegankelijke vorm en in een duidelijke en eenvoudige taal. In geval van geautomatiseerde besluitvorming (zoals bij profilering) moet nuttige informatie verschaft worden over de onderliggende logica, alsmede het belang en de verwachte gevolgen van die verwerking voor de betrokkene (art. 13 lid 2 sub f AVG).

Opgemerkt zij dat er discussie is over de mate waarin deze verplichting meebrengt dat de logica van de besluitvorming ook inhoudelijk kan worden gerechtvaardigd.10 De Artikel 29-werkgroep heeft in oktober 2017 een rapport opgesteld over profilering.11 De werkgroep erkent dat uitleg over het gebruik van algoritmes geen substantiële bescherming tegen oneerlijke of discriminerende uitkomsten van profilering waarborgt.12 Volgens de werkgroep moeten organisaties in het kader van de gegevensbeschermingseffectbeoordeling regelmatig controleren of de gebruikte algoritmes geen ‘discriminatoire, foutieve of ongerechtvaardigde resultaten’ opleveren. In de considerans van de AVG is op verschillende plaatsen erkenning voor het belang van een behoorlijk, niet-discriminatoir gebruik van persoonsgegevens bij profilering (bijvoorbeeld nr. 71 en 75). Het Hof van Justitie is bij uitleg van de AVG tot dusver echter terughoudend gebleken in de mate waarin beslissingen over personen moeten worden toegelicht, laat staan gerechtvaardigd moeten worden.13