Europese Commissie pauzeert online selectie: “Aanpak strijdig met eigen privacyregels”

“Kennelijk heeft de Europese Commissie – nota bene de partij achter de Algemene Verordening Gegevensbescherming (AVG) – haar eigen methodiek niet gehanteerd”, constateert Sergej Katus, jurist en partner bij PMP. Wat is er misgegaan en hoe zou het dan wel moeten?

“Kandidaten hebben in dit geval zo te zien wel schade geleden: ze hebben geen test kunnen afleggen toen ze er klaar voor waren”

Wie een vaste baan wil bij de Europese Commissie, moet eerst een lange en zware test – een ‘concours’ heet het in Brussels – zien te overleven. Om de drempel te verlagen, is vorig jaar geswitcht naar een online systeem. Waar kandidaten voorheen naar testcentra in grote steden moesten om mee te doen, is het hele proces het afgelopen jaar volledig online geworden.

Het idee was dat dit zou bijdragen aan een ambtenarenapparaat dat een betere afspiegeling is van de samenleving – sociaal diverser vooral, geografisch beter gespreid en minder ‘wit’. Bovendien is een online selectieprocedure in theorie milieuvriendelijker dan wanneer kandidaten op en neer naar Brussel moeten reizen. Bovendien zou de procedure per kandidaat slechts zes maanden in beslag nemen, minder dan de helft van de 13 maanden die het tot dan toe had gekost. Een veelbelovend initiatief, lijkt het.

Toch is dit systeem nu al ‘on hold’ gezet, meldt het Financieele Dagblad. Er waren technische problemen waardoor kandidaten niet goed getest konden worden. Daarnaast bleek dat sollicitanten hun camera moesten aanzetten zodat hun bewegingen gevolgd kunnen worden, om te voorkomen dat ze konden spieken of hulp inroepen tijdens een test. Het leidde ertoe dat een kandidaat werd gediskwalificeerd, omdat er een kat de kamer kwam binnen lopen. Een andere kandidaat werd gevraagd haar trui omhoog te trekken om te laten zien dat ze echt zwanger was.

Privacyprobleem? Deels

De krant beschouwt dit laatste als een ‘privacyprobleem’, maar als je de Algemene Verordening Gegevensbescherming (AVG) erop naslaat is dat te gemakkelijk, zegt Sergej Katus, partner bij Privacy Management Partners (PMP), een bureau dat organisaties adviseert in de toepassing van de AVG.

“De AVG laat zien dat niet alles meteen een privacyprobleem is. De AVG is de wet op de ‘Mens Centraal Digitaal’. De AVG bevordert de innovatie. Maar niet zonder passende waarborgen. Mensen mogen er niet door gedupeerd worden, zoals in de Toeslagenaffaire is gebeurd. Als een online examen ‘mens centraal’ is gedigitaliseerd, heet dat in de AVG ‘dataprotectie by design’.”

“Een examen dat mens centraal is gedigitaliseerd is, stopt niet vanwege een kat. Je wordt ook niet gevraagd om je trui omhoog te doen. Als er iemand in de kamer is die je helpt tijdens het examen, of je tovert van onder je trui een spiekbriefje vandaan, markeert het systeem hooguit een rode vlag. Dan kan de menselijke online-surveillant aan de hand van de data en beelden vaststellen of je hebt gefraudeerd, waartegen je dan vervolgens ook nog bezwaar kunt aantekenen bij een examencommissie.”

“Slechts gedeeltelijk is privacy hier een issue, vanwege de camera waarmee je waarschijnlijk iemands woning inkijkt – mogelijk zelfs je slaapkamer. Dataprotectie by design houdt in dat geval in dat je bijvoorbeeld wegfiltert welke posters er op de achtergrond hangen.”

DPIA

Uit de berichtgeving kun je opmaken dat de aanpak niet voldoet aan de vereiste van dataprotectie by design. En dat valt de Europese Commissie aan te rekenen, aldus Katus.

De Europese Commissie moet zich immers aan dezelfde basisprincipes houden als in de AVG zijn vastgelegd, en volgens die principes had de Europese Commissie een dataprotectie impact assessment moeten uitvoeren (DPIA) om risico’s te beoordelen en tot beschermende maatregelen te komen.

“Zo’n DPIA doe je om lichamelijke, materiële en financiële schade bij mensen te voorkomen. Kandidaten hebben in dit geval zo te zien wel schade geleden: ze hebben geen test kunnen afleggen toen ze er klaar voor waren. Als het zo is dat je voor de camera je trui omhoog moet doen, schend je ook de menselijke waardigheid (want vrouwonvriendelijk).”

Kans verkeken

Wanneer het dan ook nog eens zo is dat door de gebrekkige digitalisering de kans op je droombaan verkeken is, ontstaat ook echte AVG-aansprakelijkheid. Ook de beoordeling van ‘de noodzaak en de proportionaliteit van de verwerking van gegevens’ maakt onderdeel uit van een DPIA. Zoals in dit geval onder meer de via de camera verkregen gegevens of een sollicitant wel zuiver op de graat is. Op zich is het helemaal niet zo gek dat een werkgever dat doet, zegt Katus.

“Zoals universiteiten dat ook zijn gaan doen in de coronatijd toen ze studenten examineerden. Terecht, want wat was het alternatief? Er kon niet de hele tijd iemand in de nek van studenten staan te kijken om te controleren of ze niet fraudeerden tijdens hun examen. Cameratoezicht was een acceptabele oplossing.” Wel had de Europese Commissie kandidaten hier van tevoren duidelijk over moeten informeren, en in de geest van de AVG transparantie moeten betrachten, aldus Katus.

Voordelen blijven

Al met al heeft de Europese Commissie – nota bene de partij achter de Algemene Verordening Gegevensbescherming (AVG) – haar eigen methodiek kennelijk niet gehanteerd, is de conclusie. Online selectie kan allerlei voordelen bieden, maar dan alleen als die AVG-proof is. “Dat betekent bovenal dat de mens centraal wordt gesteld”, zegt Katus.

Dat kan bijvoorbeeld door in de ontwerpfase al rekening te houden met de wensen van de OR en andere betrokkenen. Door een systeem eerst te testen onder een kleine groep gebruikers – 100 man, niet 10.000 zoals hier schijnbaar is gebeurd – en dan pas groot uitrollen. Door risico’s in te schatten en tegenmaatregelen te nemen en door een goede communicatie. “Kortom: door ‘eigenaarschap’ te tonen.”