D.A.E. Rietveld
SYSTEEM RISICO INDICATIE 2.0
De voorwaarden en beperkingen van het toepassen van risicoprofilering en geautomatiseerde besluitvorming door de Nederlandse overheid ter bestrijding van fraude volgens het recht op
Titel: ‘Systeem Risico Indicatie 2.0: De voorwaarden en beperkingen van het toepassen van risicoprofilering en geautomatiseerde besluitvorming door de Nederlandse overheid ter bestrijding van fraude volgens het recht op privacy en gegevensbescherming’
Auteur: Demi Rietveld
Contactgegevens: demi.rietveld@gmail.com; +31624777608 Studentnummer: 12844594
Mastertrack: Informatierecht Begeleider: Prof. dr. N. Helberger Inleverdatum: 23 juli 2020
‘Sometimes the scandal is not what law was broken, but what the law allows.’ Edward Snowden
ABSTRACT
Begin dit jaar is een risicoprofileringssysteem van de overheid ter bestrijding van fraude, genaamd SyRI (Systeem Risico Indicatie), door de rechter onrechtmatig verklaard. SyRI is niet het enige risicoprofileringssysteem dat door overheidsorganisaties wordt ingezet. Daarnaast heeft Staatssecretaris Van Ark laten weten een nieuw systeem te willen ontwikkelen. Een belangrijke vraag is daarom onder welke voorwaarden de overheid risicoprofileringssytemen wél mag toepassen, specifiek in het licht van het privacy- en gegevensbeschermingsrecht. Het belang van deze vraag wordt benadrukt door het recentelijk ingediende wetsvoorstel gegevensverwerking door samenwerkingsverbanden. In deze scriptie wordt de toepassing van risicoprofilering en daarop gebaseerde geautomatiseerde
besluitvorming in Nederland toegelicht. Er wordt een overzicht geboden van de relevante wet- en regelgeving (bestaande uit het Europees Verdrag voor de Rechten van de Mens, het EU-Handvest, de Grondwet en de Algemene verordening gegevensbescherming) en
jurisprudentie, waaronder de SyRI-uitspraak. Uit dit juridische kader volgen de voorwaarden en beperkingen van het toepassen van risicoprofilering en geautomatiseerde besluitvorming.
Geconcludeerd wordt dat bij het toepassen van risicoprofileringssystemen adequate waarborgen dienen te worden geboden, waaronder transparantie over de risico-indicatoren. Daarnaast moeten betrokkenen actief op de hoogte worden gesteld over het gebruik van hun gegevens. Verder moet de bevoegdheid om een dergelijk systeem in te zetten worden afgebakend, waaronder de doeleinden en de categorieën van persoonsgegevens die kunnen worden gebruikt. Wanneer het systeem leidt tot juridisch bindende gevolgen, zullen meer waarborgen moeten worden ingebouwd vanwege de vergaande impact op betrokkenen. Daarnaast wordt geconcludeerd dat het ingediende wetsvoorstel onvoldoende waarborgen lijkt te bieden om de rechten van betrokkenen te garanderen. De uitwerking van de
beperkingen op het privacy- en gegevensbeschermingsrecht gebeurt namelijk vrijwel volledig bij algemene maatregel van bestuur.
Tot slot wordt aanbevolen om voorafgaand aan het ontwikkelen van een nieuw risico-indicatiesysteem onderzoek te doen naar de wenselijkheid van risicoprofilering voor de samenleving in het geheel en naar de impact op andere rechten van burgers, waaronder het recht op non-discriminatie.
INHOUDSOPGAVE
ABSTRACT 4
LIJST VAN AFKORTINGEN 7
HOOFDSTUK I 8
Inleiding 8
1.1 Introductie 8
1.2 Opzet, methode en afbakening 9
HOOFDSTUK II 12
Risicoprofilering en geautomatiseerde besluitvorming ter bestrijding van fraude door
de Nederlandse overheid 12
2.1 Introductie 12
2.2 Risicoprofilering en geautomatiseerde besluitvorming: wat houdt het in? 12
2.3 Toepassingen door overheidsorganisaties 14
HOOFDSTUK III 16
Het toepassen van risicoprofilering en geautomatiseerde besluitvorming: een juridisch
kader 16
3.1 Introductie 16
3.2 Risicoprofilering en geautomatiseerde besluitvorming in het licht van het fundamentele
recht: het EVRM, het Handvest en de Grondwet 17
3.2.1 Het Europees Verdrag voor de Rechten van de Mens 17 3.2.2 Het Handvest van de Grondrechten van de Europese Unie 20
3.2.3 De Nederlandse Grondwet 21
3.2.4 Tussenconclusie 21
3.3 Risicoprofilering en geautomatiseerde besluitvorming in het licht van het secundaire recht: de Algemene verordening gegevensbescherming 22
3.3.1 Principes uit de AVG 24
3.3.2 Rechten van betrokkenen 26
HOOFDSTUK IV 32
Case study: Systeem Risico Indicatie 32
4.1 Introductie 32
4.2 Achtergrond en werkwijze van SyRI 32
4.2.1 Het Waterproof project en het Black box project 32
4.2.2 Werkwijze van SyRI 34
4.3 Kritiek op SyRI 36
4.4 De bodemprocedure tegen de Nederlandse Staat 37 4.5 De betekenis van de uitspraak voor het toepassen van risicoprofileringssystemen 38
HOOFDSTUK V 41
Wetsvoorstel gegevensverwerking door samenwerkingsverbanden 41
5.1 Introductie 41
5.2 Het wetsvoorstel in het licht van de analyse van het privacy- en
gegevensbeschermingsrecht 41 CONCLUSIE 44 AANBEVELINGEN 46 BRONNENLIJST 47 A. Literatuur 47 B. Wetgeving 50 C. Parlementaire stukken 51 D. Jurisprudentie 52 E. Overig 52
LIJST VAN AFKORTINGEN
AMvB Algemene maatregel van bestuur AP Autoriteit Persoonsgegevens
AVG Algemene verordening gegevensbescherming
Cbp College bescherming persoonsgegevens (sinds 1 januari 2016 ‘Autoriteit Persoonsgegevens’)
CRvB Centrale Raad van Beroep
EHRM Europees Hof voor de Rechten van de Mens EVRM Europees Verdrag voor de Rechten van de Mens Gw Nederlandse Grondwet
LSI Landelijke stuurgroep interventieteams OM Openbaar Ministerie
RvS Raad van State
SIOD Sociale Inlichtingen en Opsporingsdienst SyRI Systeem Risico Indicatie
SZW Sociale Zaken en Werkgelegenheid
UWV Uitvoeringsinstituut Werknemersverzekeringen Wbp Wet bescherming persoonsgegevens
Wet SUWI Wet structuur uitvoeringsorganisaties werk en inkomen
WGS Wet gegevensverwerking door samenwerkingsverbanden (wetsvoorstel) WP29 Article 29 Working Party
HOOFDSTUK I
Inleiding
1.1 Introductie
Profilering en geautomatiseerde besluitvorming worden steeds vaker toegepast, zowel in de private als in de publieke sector.1 Profilering kan betrekking hebben op individuen, groepen personen, objecten en relaties daartussen.2 Het kan worden gebruikt om te classificeren, beschrijven en analyseren wat er gebeurt, maar ook om gegevens zo te clusteren dat
informatie kan worden afgeleid en voorspellingen kunnen worden gedaan over bijvoorbeeld gedrag.3 In de context van veiligheid kan profilering worden omschreven als de techniek die door datamining patronen en profielen kan vast stellen, om daarmee individuen in
verschillende categorieën in te delen.4 Deze (risico)profielen kunnen worden gebruikt bij besluiten om aandacht te vestigen op bepaalde categorieën individuen.5 Een risicoprofiel geeft namelijk aan of een individu een verhoogde kans heeft op bepaalde gedragingen of
problemen.6 De uitkomsten kunnen ook worden gebruikt bij verdere geautomatiseerde besluitvorming.
Systeem Risico Indicatie (hierna: ‘SyRI’) is een voorbeeld van een systeem dat risicoprofielen gebruikt. Met SyRI kunnen gegevens uit databases van overheidsorganisaties worden
gekoppeld om vervolgens – aan de hand van een risicomodel – het risico op bepaalde fraudevormen te bepalen bij individuen. Het systeem werd door de overheid ingezet om fraude te bestrijden op het gebied van uitkeringen, toeslagen en belastingen.7 Op 5 februari jl. heeft de rechter geoordeeld dat SyRI in strijd is met het recht op respect voor het privéleven, dat wordt beschermd door artikel 8 van het Europees Verdrag voor de Rechten van de Mens.8 Staatssecretaris Van Ark van Sociale Zaken en Werkgelegenheid (hierna: ‘SZW’) heeft in een
1 WP29 WP251 2018, p. 5.
2 Hildebrandt & Gutwirth 2010, p. 31; Bayamlioglu e.a. 2018, p. 114-116. 3 Hildebrandt & Gutwirth 2010, p. 31, 32.
4 Fuster, Gutwirth & Ellyne, CEPS 2010, p. 2. 5 Fuster, Gutwirth & Ellyne, CEPS 2010, p. 2. 6 Rapport Cbp 2010, p. 5.
7 ‘SyRI-wetgeving in strijd met het Europees Verdrag voor de Rechten voor de Mens’, rechtspraak.nl 5 februari 2020. 8 Rb. Den Haag 5 februari 2020, ECLI:NL:RBDHA:2020:865 (SyRI).
Kamerbrief laten weten niet in hoger beroep te gaan, maar is wel van plan om een nieuw instrument te ontwikkelen.9 Interessant is daarom de vraag onder welke voorwaarden de overheid een dergelijk systeem wél mag toepassen.
De vraag is voor zowel burgers als voor overheidsorganisaties van belang. Voor burgers is de vraag belangrijk, omdat hun data - waaronder persoonsgegevens - worden gebruikt en omdat zij aan geautomatiseerde processen worden onderworpen met mogelijk juridisch bindende gevolgen. Voor overheidsorganisaties is de vraag ook cruciaal.
Risicoprofileringssytemen kunnen heel nuttig zijn en bijdragen aan het verhogen van efficiëntie en het besparen van kosten en middelen bij het bestrijden van fraude; een maatschappelijk relevant doel.10 Overheidsorganisaties dienen er echter ook voor te zorgen dat het toepassen van dergelijke systemen geen inbreuk maakt op de rechten van burgers, waaronder het recht op respect voor het privéleven (het recht op privacy) en het recht op gegevensbescherming. De vraag is ook relevant gezien de overheid risicoprofilering meer en breder lijkt te willen toepassen. In dit verband verwijs ik naar het recentelijk ingediende wetsvoorstel gegevensverwerking door samenwerkingsverbanden (hierna: ‘WGS’), dat gegevensuitwisseling tussen overheidsorganisaties beoogt te optimaliseren om data-analyses mogelijk te maken ter bestrijding van criminaliteit.11 Kortom: een maatschappelijk relevant en actueel vraagstuk.
1.2 Opzet, methode en afbakening
Opzet
In deze scriptie wordt inzichtelijk gemaakt op welke manier het recht op privacy en het recht op gegevensbescherming een rol speelt bij risicoprofilering en geautomatiseerde
besluitvorming. Aan de hand van dit kader worden de aandachtspunten voor een nieuw risico-indicatiesysteem besproken. De hoofdvraag in deze scriptie luidt daarom als volgt:
Onder welke voorwaarden kan de Nederlandse overheid in overeenstemming met het fundamentele en secundaire recht inzake privacy en gegevensbescherming risicoprofilering en geautomatiseerde besluitvorming toepassen ter bestrijding van fraude en wat zijn in dit licht de aandachtspunten voor een nieuw risico-indicatiesysteem en bijbehorend wettelijk kader?
9 Brief SZW 2020, p. 2. 10 WP29 WP251 2018, p. 5.
11 Wetsvoorstel Regels omtrent gegevensverwerking door samenwerkingsverbanden (Wet gegevensverwerking door
samenwerkingsverbanden), Kamerstukken II 2019/20, 35447, nr. 2; ‘Slimmere aanpak criminaliteit door betere uitwisseling van gegevens’, rijksoverheid.nl 29 april 2020.
Om tot beantwoording van de hoofdvraag te komen, worden allereest de begrippen
‘risicoprofilering’ en ‘geautomatiseerde besluitvorming’ nader uitgelegd en toegelicht aan de hand van een aantal voorbeelden van toepassingen door overheidsorganisaties (Hoofdstuk II). Vervolgens wordt een juridisch kader geschetst, waarbij de relevante bepalingen uit het Europees Verdrag voor de Rechten van de Mens, het Handvest van de Grondrechten van de Europese Unie, de Nederlandse Grondwet en de Algemene verordening gegevensbescherming (hierna: ‘EVRM’, ‘Handvest’, ‘Grondwet’ of ‘Gw’ en ‘AVG’) worden besproken (Hoofdstuk III). Toegelicht wordt waarom zowel het recht op gegevensbescherming als het recht op privacy een rol speelt. Ook wordt de verhouding tussen de verschillende wet- en
regelgevingsinstrumenten besproken. In het daaropvolgende hoofdstuk wordt bij wijze van een case study aandacht besteed aan SyRI, waarmee nog openstaande vragen worden
beantwoord (Hoofdstuk IV). Het Waterproof project en het Black box project – voorgangers van SyRI – worden besproken, evenals de werking van SyRI en de kritiek op het systeem. Ook wordt ingegaan op de rechterlijke beoordeling. In het laatste hoofdstuk wordt aandacht besteed aan het wetsvoorstel WGS (Hoofdstuk V). In de conclusie wordt geconcludeerd onder welke voorwaarden de overheid risicoprofilering en geautomatiseerde besluitvorming in lijn met de genoemde wet- en regelgeving kan toepassen. Ook worden conclusies getrokken over het wetsvoorstel WGS. Tot slot worden aanbevelingen gegeven voor het ontwikkelen van een nieuw risico-indicatiesysteem door risicoprofileringsprocessen in breder perspectief te zetten.
Methode
De hoofdvraag is een combinatie van een beschrijvende vraag (de voorwaarden volgens het privacy- en gegevensbeschermingsrecht) en een ontwerpende vraag (de aandachtspunten voor een nieuw risico-indicatiesysteem en bijbehorend wettelijk kader). Het feitelijke kader is voornamelijk beschrijvend. Het juridische kader is eveneens beschrijvend, maar de vereisten die volgen uit de relevante wet- en regelgeving worden ook kritisch bekeken. Het omvat daarom ook een evaluerend aspect. De case study licht op beschrijvende wijze een deel van het juridische kader toe in een praktisch voorbeeld, waarmee nog openstaande vragen worden beantwoord. Dit is van belang om aandachtspunten in kaart te brengen voor een nieuw risico-indicatiesysteem. Het geheel wordt ook toegepast op het wetsvoorstel WGS. Het wetsvoorstel verdient bespreking, ondanks dat het niet het ‘nieuwe risico-indicatiesysteem’ vormt waar de hoofdvraag op doelt. Het wetsvoorstel biedt namelijk eveneens ruimte voor het delen van gegevens en het verder geautomatiseerd analyseren daarvan, waardoor de analyse van deze scriptie van toepassing is.
Met het oog op de verhouding tussen en de werkingssfeer van de relevante
regelgevingsinstrumenten, die apart worden besproken, worden met name de bepalingen uit het EVRM toegelicht aan de hand van jurisprudentie. De jurisprudentie die wordt gebruikt heeft betrekking op geheime surveillance door nationale inlichtingen- en veiligheidsdiensten. Vergelijkbare jurisprudentie is aangehaald in de SyRI-procedure. Ondanks dat day-to-day gebruik van risico-indicatiesystemen door overheidsorganisaties ter bestrijding van fraude niet per definitie hetzelfde is als geheime surveillance door dergelijke diensten, is de ratio vergelijkbaar. Het gaat om het heimelijk gebruik maken van een systeem, waarmee fraude wordt opgespoord. Daarnaast spelen er vergelijkbare vraagstukken, zoals de toenemende aandacht voor de bescherming van het privacyrecht van individuen.12
Voor dit onderzoek zijn voornamelijk wet- en regelgeving, jurisprudentie, literatuur, Kamerstukken en adviesstukken gebruikt. Voor het feitelijke kader en de case study zijn daarnaast artikelen van kranten en blogs gebruikt. Verder is door middel van interviews met Douwe Linders en Anton Ekker, advocaten in de SyRI-procedure, meer inzicht verkregen in de rechtszaak. Tot slot is meer inzicht verkregen in de discussiepunten omtrent SyRI door het bijwonen van een online paneldiscussie dat op 29 mei werd georganiseerd door het IViR.13
Afbakening
In dit onderzoek wordt uitgegaan van de definitie van risicoprofilering en geautomatiseerde besluitvorming zoals in Hoofdstuk II wordt toegelicht. De focus van dit onderzoek ligt op het privacy- en gegevensbeschermingsrecht. Andere rechtsgebieden worden daarom niet
meegenomen. Bij de bespreking van de AVG wordt ingegaan op de meest relevante
bepalingen uit de verordening, waaronder artikel 5, 6, 9, 13, 14 en 22. Dit sluit echter niet uit dat er in de AVG ook andere bepalingen staan die van toepassing zijn op
risicoprofileringsprocessen. Tot slot wordt in dit onderzoek het EU-overstijgende feitelijke en juridische kader buiten beschouwing gelaten.
12 Eskens, Van Daalen & Van Eijk 2016, p. 7.
HOOFDSTUK II
Risicoprofilering en geautomatiseerde besluitvorming ter bestrijding
van fraude door de Nederlandse overheid
2.1 Introductie
In de inleiding is reeds kort uitgelegd wat (risico)profilering inhoudt. In dit hoofdstuk wordt een nadere toelichting gegeven door in de eerste paragraaf een definitie van risicoprofilering te formuleren, geautomatiseerde besluitvorming toe te lichten en de verhouding tussen beide begrippen te bespreken. In de tweede paragraaf wordt door middel van een aantal voorbeelden van toepassingen door de overheid de praktische uitwerking toegelicht.
2.2 Risicoprofilering en geautomatiseerde besluitvorming: wat houdt het in?
Voor een goed begrip van de impact van risicoprofilering op het privacy- en
gegevensbeschermingsrecht, is van belang om een beeld te hebben bij het achterliggende proces. Daarvoor dient allereerst het begrip ‘big data’ te worden uitgelegd. In de literatuur wordt veelvuldig verwezen naar de zogenoemde drie V’s:
° volume: de grote hoeveelheid data en de snelle toename daarvan;
° velocity: de enorme snelheid waarmee data wordt geproduceerd, geanalyseerd en verwerkt; en
° variety: de verschillende databronnen en type databestanden, al dan niet in ongestructureerde vorm.14
Soms worden veracity, de (on)betrouwbaarheid, en value, de mogelijke waarde die eruit kan worden gehaald, hier nog aan toegevoegd.15 In deze scriptie ligt de focus op big data
gerelateerd aan mensen of menselijk gedrag.
14 FRA e.a. 2018, p. 350; WRR 2016, p. 33. 15 Kool, Timmer & Van Est 2015, p. 5.
De term big data wordt dus gebruikt om datasets van een grote hoeveelheid data én daarop voortbouwende processen en analyses aan te geven.16 De Wetenschappelijke Raad voor het Regeringsbeleid benadrukt het belang van dit tweede kenmerk: het gaat niet om het toetsen van hypotheses, maar om data-gedreven analyses met het vinden van interessante verbanden, correlaties en patronen als doel.17 Met de analyses kunnen (risico)profielen worden gecreëerd. Deze risicoprofielen kunnen vervolgens worden gebruikt om de waarschijnlijkheid op bepaald gedrag te voorspellen bij individuen.18 Dit wordt predictive analytics genoemd. Op basis van het gecreëerde risicoprofiel en de waarschijnlijkheidsscore kan worden besloten om extra aandacht te vestigen op bepaalde individuen.
Het begrip risicoprofilering, zoals het in deze scriptie wordt gebruikt, is op basis van hierboven gegeven uitleg opgedeeld in een tweeledig proces. Enerzijds het verzamelen en analyseren van gegevens om verbanden te ontdekken en het opstellen van risicoprofielen aan de hand van geïdentificeerde kenmerken. Anderzijds het gebruiken van deze risicoprofielen om gedrag te voorspellen en bij het besluitvormingsproces. Schematisch weergegeven ziet dit proces er als volgt uit:
16 FRA e.a. 2018, p. 350. 17 WRR 2016, p. 38.
De waarde van risicoprofilering – en van big data – ligt voornamelijk in de laatste stap.19 Wanneer door de analyses bepaalde correlaties worden ontdekt, kunnen deze worden gebruikt bij het maken van bepaalde keuzes en kan het dus een rol gaan spelen in het
(geautomatiseerde) besluitvormingsproces. Daarmee kan tijd, geld en moeite worden bespaard.20 Er zit echter ook een negatieve kant aan risicoprofilering, doordat zich in het proces verschillende problemen kunnen voordoen. De data zelf kan een probleem vormen, wanneer deze niet accuraat, compleet of representatief is.21 Ook de algoritmen die een rol spelen in het proces en de analyses kunnen zorgen voor problemen, door het leggen van een onjuist verband of geven van een valse uitkomst.22 Tot slot kunnen de gevolgen problematisch zijn door het ontstaan van uitsluiting en vooringenomenheid, onbalans in machtsverhoudingen en informatie, en discriminatie. Risicoprofilering kan daardoor een grote impact hebben op de betrokkenen. Zeker wanneer er juridisch bindende gevolgen zijn gekoppeld aan het
risicoprofileringsproces. Er moet daarom worden gewaakt voor de genoemde problematische aspecten en er zullen maatregelen moeten worden genomen om betrokkenen te beschermen en hun rechten te waarborgen.23 Overigens is, los van de vraag of voldoende waarborgen worden geboden en of risicoprofilering in overeenstemming met de wet- en regelgeving is, ook van belang dat rekening wordt gehouden met mogelijke negatieve effecten voor de overheid. Risicoprofilering kan leiden tot weerstand bij met name de getroffen gemeenschappen en het vertrouwen in de overheid doen afnemen, met als gevolg dat de effectiviteit van methoden die zijn gebaseerd op publieke samenwerking wordt ondermijnd.24
2.3 Toepassingen door overheidsorganisaties
SyRI is een voorbeeld van een systeem van de overheid dat risicoprofilering toepast en komt in Hoofdstuk IV uitgebreid aan bod. Dit is echter niet het enige voorbeeld; het systeem maakt onderdeel uit van een groter geheel van toepassingen van risicoprofilering.25 Zo volgt uit een rapport van Algorithm Watch dat Nederlandse gemeenten (algoritmische) systemen hebben ontwikkeld om welzijnsfraude op te sporen, waarin onder andere gegevens over
gezinssamenstellingen, betaalde premie- en uitkeringshistorie en geboortedata worden gebruikt, alsmede gegevens van de Belastingdienst, het Kadaster en de Rijksdienst voor het 19 Aldus ook Gandomi & Haider, International Journal of Information Management 2015, p. 140.
20 WP29 WP251 2018, p. 5.
21 Zie ook WP29 WP251 2018, p. 12.
22 Zie ook Van Breda, Computerrecht 2017, p. 223. 23 Hierover meer in Hoofdstuk III.
24 FRA 2018, p. 28, 39.
Wegverkeer.26 Specifiek bij de Gemeente Nissewaard is recent gebleken dat data-analyses worden uitgevoerd om fraude op te sporen, waarbij aannemelijk is dat risicoprofilering wordt toegepast.27
Ook het Uitvoeringsinstituut Werknemersverzekeringen (hierna: ‘UWV’) heeft aangegeven gebruik te maken van risicoprofilering. Uit een onderzoek van de NOS onder 54 overheidsorganisaties blijkt dat zelfs op grote schaal gebruik wordt gemaakt van
voorspellende algoritmen.28 De politie zet bijvoorbeeld voorspellende algoritmen in die zich onder meer baseren op demografische en psychologische kenmerken en kenmerken met betrekking tot de sociaaleconomische achtergrond, waarna op basis van het risicoprofiel een waarschijnlijkheidsscore wordt bepaald.29 Eén systeem is ‘RTIgeweld’, een instrument dat wordt gebruikt om het toekomstige risico op geweld in te schatten van alle individuen die in het incidentenregistratiesysteem van de politie voorkomen.30 Een ander voorbeeld is
‘ProKID’, gericht op het identificeren van het risico op recidive onder twaalfjarigen die eerder door de politie zijn verdacht van een strafbaar feit.31 Tot slot heeft de Autoriteit
Persoonsgegevens (hierna: ‘AP’) op 17 juli jl. het onderzoeksrapport gepubliceerd over de afdeling Toeslagen van de Belastingdienst, die al langere tijd onder vuur ligt. Hieruit blijkt dat de afdeling van de Belastingdienst risicoprofilering heeft toegepast en gegevens over dubbele nationaliteit heeft gebruikt als risico-indicator voor fraude.32
Kortom: risicoprofilering en daarop gebaseerde (geautomatiseerde) besluitvorming wordt veelvuldig toegepast door overheidsorganisaties. De vraag is hoe deze toepassingen zich verhouden tot het privacy- en gegevensbeschermingsrecht. In het volgende hoofdstuk wordt daarom het relevante juridische kader geschetst. Verderop in deze scriptie worden nog andere voorbeelden van toepassingen besproken, namelijk het Waterproof project en het Black box project, die hebben geleid tot het instrument SyRI, en het wetsvoorstel gegevensverwerking door samenwerkingsverbanden.33 Deze toepassingen worden vanwege de juridische
uitwerking besproken na de uiteenzetting van het juridische kader.
26 Van Til 2019, p. 101; Andere literatuur over dit onderwerp: Rapport VNG 2018.
27 ‘FNV roept gemeente Nissewaard op te stoppen met geheime data-analyses door Totta’, bijvoorbaatverdacht.nl 10 april
2020.
28 ‘UWV neemt fraudeopsporing onder de loep na privacyrechtzaak’, nos.nl 5 maart 2020; ‘Schimmige algoritmes bij UWV
en SyRI zijn topje van de ijsberg’, nrc.nl 6 maart 2020; ‘Overheid gebruikt op grote schaal voorspellende algoritmes, ‘risico op discriminatie’', nos.nl 29 mei 2019.
29 ‘Overheid gebruikt op grote schaal voorspellende algoritmes, ‘risico op discriminatie’', nos.nl 29 mei 2019. 30 Van Til 2019, p. 100.
31 Van Til 2019, p. 100. 32 Rapport AP 2020, p. 14-18. 33 Hoofdstuk IV en V.
HOOFDSTUK III
Het toepassen van risicoprofilering en geautomatiseerde
besluitvorming: een juridisch kader
3.1 Introductie
Risicoprofilering en geautomatiseerde besluitvorming raken zowel het recht op privacy als het recht op gegevensbescherming. Het recht op gegevensbescherming speelt een rol vanwege de verwerking van persoonsgegevens. Zowel bij het toepassen van risicoprofielen kunnen persoonsgegevens worden verwerkt, als bij het opstellen daarvan. De rol van het gegevensbeschermingsrecht blijkt duidelijk uit de AVG, waarin specifieke regels voor
profilering en geautomatiseerde besluitvorming zijn opgenomen. Daarnaast speelt het recht op privacy een rol. Hoewel het uiteindelijk aan de rechter is om te bepalen of er daadwerkelijk privacybelangen op het spel staan, kan wel degelijk worden gezegd dat het recht op privacy wordt geraakt. Bij risicoprofilering kunnen technieken worden toegepast die de autonomie van personen aantasten, zonder dat personen daadwerkelijk worden geïdentificeerd en er dus sprake is van verwerking van persoonsgegevens.34 Zo stellen Barocas en Nissebaum dat inzichten op basis van big data aanvullende feiten kunnen opleveren over een persoon – ook over personen die niet in de database zitten – zonder enige identificerende informatie.35 Het gegevensbeschermingsrecht is alleen van toepassing wanneer sprake is van verwerking van persoonsgegevens. Voornamelijk in de eerste fase van het risicoprofileringsproces, waar gebruik wordt gemaakt van big data, kan het gegevensbeschermingsrecht daarom niet altijd voldoende bescherming bieden. Gezien de impact van risicoprofilering en geautomatiseerde besluitvorming is bescherming echter wel nodig. In Hoofdstuk II is reeds gewezen op de mogelijke gevolgen van risicoprofilering, namelijk het ontstaan van uitsluiting en
vooringenomenheid, onbalans in machtsverhoudingen en informatie, en discriminatie. Daarnaast wijst Hildebrandt er terecht op dat we geen idee hebben over hoe opgestelde
34 Aldus ook Hildebrandt & Gutwirth 2010, p. 37. 35 Barocas & Nissebaum 2014, p. 55.
(risico)profielen de kansen in ons leven beïnvloeden.36 Juist het privacyrecht beoogt
inmenging door de overheid in de autonomie van burgers te voorkomen, door een bepaalde mate van on(door)zichtbaarheid te bieden tegenover de overheid.37
Kortom, zowel het recht op gegevensbescherming als het recht op privacy is van belang. In dit hoofdstuk wordt daarom ingegaan op beide rechtsgebieden. In de eerste paragraaf worden de relevante bepalingen uit het EVRM, het Handvest en de Grondwet besproken. In de tweede paragraaf wordt het secundaire recht besproken, specifiek de AVG.
3.2 Risicoprofilering en geautomatiseerde besluitvorming in het licht van het fundamentele recht: het EVRM, het Handvest en de Grondwet
3.2.1 Het Europees Verdrag voor de Rechten van de Mens
Het EVRM is een verdrag dat alle lidstaten van de Raad van Europa, waaronder alle EU-lidstaten, hebben ondertekend. Eén van de rechten die het EVRM beschermt, is het recht op privacy. Op grond van artikel 8 EVRM heeft iedereen een recht op respect voor zijn
privéleven, zijn familie- en gezinsleven, zijn woning en zijn correspondentie. Dit recht heeft een ruime reikwijdte, maar is niet absoluut. Volgens het tweede lid is inmenging namelijk toegestaan wanneer dit is voorzien bij wet en als de inmenging noodzakelijk is in een democratische samenleving in het belang van een legitiem doel. Burgers worden dus
beschermd tegen disproportionele en willekeurige inmenging in het privéleven door publieke autoriteiten.38 De overheid heeft ook een positieve verplichting om de rechten uit het EVRM te waarborgen.39 Door nalaten kan de overheid daardoor ook een inbreuk maken.
Inmenging
Van inmenging op het recht op privacy is snel sprake. Zo heeft het Europees Hof voor de Rechten van de Mens (hierna: ‘EHRM’) geoordeeld dat de enkele opslag van gegevens met betrekking tot het privéleven van individuen al onder artikel 8 EVRM valt.40 De
achterliggende gedachte daarbij is dat de gegevens later alsnog tegen de betrokkene kunnen worden gebruikt. Ook de overdracht van dergelijke gegevens aan andere autoriteiten,
36 Hildebrandt, Digital Enlightenment Yearbook 2012, p. 49, 50. 37 Hildebrandt & Gutwirth 2010, p. 36.
38 Aldus ook Pleitnotities NJCM c.s. 2019, p. 9. 39 De Jong 2017, p. 147, 148.
40 EHRM 16 februari 2000, 27798/95 (Amann t. Zwitserland), r.o. 65; EHRM 26 maart 1987, 9248/81 (Leander t. Zweden),
waardoor onderzoek tegen betrokkenen kan worden ingesteld, vormt een inmenging.41 De gegevens kunnen mogelijk verder worden gebruikt, wat een grote impact kan hebben op betrokkenen. De term ‘privéleven’ moet breed worden geïnterpreteerd volgens het EHRM, en omvat onder meer de sociale en psychische identiteit van een persoon en gegevens die een persoon kunnen identificeren.42 Daarnaast is sprake van inmenging op het recht op privacy wanneer – zelfs zonder dat individuen worden geïdentificeerd – de autonomie van individuen wordt aangetast, zoals aan het begin van dit hoofdstuk is toegelicht. Het
risicoprofileringsproces kan dus een inmenging vormen op het recht op privacy door de opslag of uitwisseling van (persoons)gegevens, de impact van eventuele besluitvorming en de aantasting van de autonomie.
Legitiem doel
Artikel 8 lid 2 EVRM bevat een opsomming van legitieme doeleinden, namelijk “de nationale veiligheid, de openbare veiligheid of het economisch welzijn van het land, het voorkomen van wanordelijkheden en strafbare feiten, de bescherming van de gezondheid of de goede zeden of voor de bescherming van de rechten en vrijheden van anderen”. Alleen een beroep op één van deze doeleinden kan inmenging rechtvaardigen. Bij risicoprofilering en geautomatiseerde besluitvorming ter voorkoming van fraude zal doorgaans een beroep kunnen worden gedaan op het belang van het economisch welzijn van het land en het voorkomen van strafbare feiten. De vraag of een inmenging leidt tot een inbreuk is afhankelijk van de voorzienbaarheid en de noodzakelijkheid van de risicoprofilering en geautomatiseerde besluitvorming voor het genoemde doel.
Voorzienbaarheid en noodzakelijkheid
Het vereiste van voorzienbaarheid eist dat de wet de omstandigheden en voorwaarden omschrijft die nodig zijn voor autoriteiten om de bevoegdheden en maatregelen die een inmenging vormen op het privacyrecht in te zetten. Volgens het EHRM houdt dit in dat de wet voldoende toegankelijk en voldoende nauwkeurig geformuleerd moet zijn, zodat burgers in redelijke mate kunnen voorzien onder welke voorwaarden de overheid bepaalde
maatregelen mag nemen en wat de gevolgen kunnen zijn van bepaalde handelingen.43 In jurisprudentie over geheime surveillance door nationale inlichtingen- en veiligheidsdiensten
41 EHRM 29 juni 2006, 54934/00 (Weber en Saravia t. Duitsland), r.o. 79. 42 EHRM 4 december 2008, 30562/04 en 30566/04 (S. en Marper t. VK), r.o. 66.
43 EHRM 26 april 1979, 6538/74 (Sunday Times t. VK), r.o. 49; EHRM 2 augustus 1984, 8691/79 (Malone t. VK), r.o. 67;
zijn een aantal minimumwaarborgen genoemd waar de wet aan moet voldoen. Zo moet de wet omschrijven wanneer de maatregelen mogen worden ingezet, tegen wie, voor hoe lang, welke procedure moet worden gevolgd bij onderzoek, gebruik en opslag van de data, welke
voorzorgsmaatregelen moeten worden genomen bij het delen van de data met anderen en onder welke omstandigheden de data moeten worden verwijderd.44 In ieder geval zal de wet de inzet van de bevoegdheden moeten afbakenen om ervoor te zorgen dat de maatregelen voor burgers voorzienbaar zijn. Daarbij kan ook worden gedacht aan het afbakenen van de categorieën van (persoons)gegevens die kunnen worden gebruikt.
Tot slot moeten – om te voldoen aan het noodzakelijkheidsvereiste en om een
inmenging te rechtvaardigen – de redenen van de inmenging relevant en toereikend zijn, moet een dringende maatschappelijke behoefte bestaan en moet worden voldaan aan de
proportionaliteitstoets.45 Het antwoord op de vraag of de maatregelen noodzakelijk zijn in een democratische samenleving hangt af van de omstandigheden, zoals de aard, reikwijdte en duur van de maatregelen en bevoegdheden, de grondslag die nodig is voor het inzetten daarvan (en of deze een redelijke verwachting biedt), de autoriteiten die competent zijn om toezicht te houden en de openstaande rechtsmiddelen in het nationale recht.46 Daarnaast kan binnen de proportionaliteitstoets ook meespelen tegen wie de bevoegdheden kunnen worden ingezet, welke gegevens worden gebruikt en voor welke specifieke doeleinden. Eveneens moet worden gekeken of een minder zwaar middel mogelijk is dat hetzelfde doel kan bereiken. Wanneer er een vergaande inmenging op het recht op privacy is, zal het EHRM hogere eisen stellen aan de rechtvaardiging van de inmenging en zal meer nodig zijn om te voldoen aan het noodzakelijkheidsvereiste.47 Overigens hebben lidstaten wel een
beoordelingsruimte om te bepalen of aan deze toets wordt voldaan.48 Wanneer de maatregelen een ruime reikwijdte hebben of wanneer de maatregelen betrekking hebben op een grote hoeveelheid gegevens is deze beoordelingsruimte beperkter.49
De waarborgen genoemd bij de voorzienbaarheidstoets en de (proportionele) omstandigheden genoemd bij de noodzakelijkheidstoets zullen extra belangrijk zijn wanneer risicoprofilering en geautomatiseerde besluitvorming in het geheim worden uitgevoerd, om voldoende
bescherming te bieden tegen misbruik van bevoegdheden. In de jurisprudentie over geheime 44 EHRM 4 december 2015, 47143/06 (Zakharov t. Rusland), r.o. 231; EHRM 24 april 1990, 11105/84 (Huvig t. Frankrijk),
r.o. 95.
45 EHRM 4 december 2008, 30562/04 en 30566/04 (S. en Marper t. VK), r.o. 101. 46 EHRM 4 december 2015, 47143/06 (Zakharov t. Rusland), r.o. 232.
47 Vetzo, Gerards & Nehmelman 2018, p. 75; WRR 2016, p. 46. 48 EHRM 4 december 2015, 47143/06 (Zakharov t. Rusland), r.o. 232. 49 Eskens, Van Daalen & Van Eijk 2015, p. 13.
surveillance legt het EHRM de nadruk op toezicht, omdat de maatregelen kunnen worden ingezet zonder dat betrokkenen daar kennis van hebben en dus zonder dat betrokkenen zich hiertegen kunnen verzetten.50 Ook blijft het informeren van betrokkenen een belangrijke waarborg. Het uitgangspunt is daarom dat zodra geïnformeerd kan worden zonder dat het doel van de maatregelen in gevaar komt, bijvoorbeeld na het beëindigen van de maatregelen, de informatie moet worden verstrekt.51
3.2.2 Het Handvest van de Grondrechten van de Europese Unie
Het Handvest beschermt, net als het EVRM, het recht op privacy. Artikel 7 Handvest bepaalt dat iedereen het recht heeft op eerbiediging van zijn privéleven, zijn familie- en gezinsleven, zijn woning en zijn communicatie. Het Handvest vereist dat beperkingen op de uitoefening van de rechten en vrijheden bij wet moeten worden gesteld, noodzakelijk moeten zijn voor een doelstelling van algemeen belang of voor bescherming van rechten en vrijheden van anderen.52 Anders dan het EVRM vereist het Handvest verder nog dat beperkingen op de rechten uit het Handvest de wezenlijke inhoud van de rechten en vrijheden van het Handvest moeten eerbiedigen. De voorwaarden komen verder sterk overeen met de voorwaarden in artikel 8 lid 2 EVRM. In artikel 52 lid 3 Handvest wordt dan ook benadrukt dat de
voorwaarden in het Handvest en het EVRM die met elkaar overeenkomen, qua inhoud en reikwijdte gelijk zijn. Het EVRM en de jurisprudentie van het EHRM is daarom ook relevant voor de interpretatie en invulling van de rechten uit het Handvest.53 Gezien de beperkte werkingssfeer van het Handvest ligt de nadruk in deze scriptie op het EVRM. Het Handvest is namelijk alleen toepasselijk in het geval uitvoering wordt gegeven aan Europees recht.54
Het Handvest beschermt ook het recht op gegevensbescherming. Artikel 8 Handvest bepaalt dat iedereen recht heeft op bescherming van zijn persoonsgegevens en dat de gegevens eerlijk moeten worden verwerkt, voor bepaalde doeleinden en met een gerechtvaardigde wettelijke grondslag. De reikwijdte van dit artikel is niet helemaal duidelijk en het wordt daarom vaak genoemd in combinatie met artikel 7 Handvest. Het gegevensbeschermingsrecht is echter
50 EHRM 4 december 2015, 47143/06 (Zakharov t. Rusland), r.o. 234.
51 EHRM 6 september 1978, 5029/71 (Klass e.a. t. Duitsland), r.o. 57, 58; EHRM 29 juni 2006, 54934/00 (Weber en Saravia
t. Duitsland), r.o. 135.
52 Artikel 52 lid 1 Handvest.
53 Aldus ook Eskens, Van Daalen & Van Eijk 2016, p. 11; Zie bijvoorbeeld HvJEU 8 april 2014, C-293/12 en C-594/12
(Digital Rights Ireland).
geconcretiseerd in de AVG.55 De AVG is daarmee een voorbeeld van bescherming die verstrekkender is dan zowel het Handvest als het EVRM. Gezien de beperkte werkingssfeer van het Handvest ligt de nadruk in deze scriptie voor het recht op gegevensbescherming op de AVG.
3.2.3 De Nederlandse Grondwet
De Grondwet (Gw) beschermt ook het recht op de persoonlijke levenssfeer, namelijk in artikel 10. De tekst van het wetsartikel is erg basaal. Uit de wetsgeschiedenis volgt dan ook dat andere wetgeving en rechtspraak nadere uitwerking aan dit artikel moeten geven.56 De Nederlandse gerechten hebben dit gedaan, vaak in combinatie met de equivalente artikelen van het EVRM en het Handvest die hierboven zijn toegelicht.57 Anders dan bij het EVRM en het Handvest hoeft een beperking van het recht uit artikel 10 Gw niet per definitie
noodzakelijk te zijn in een democratische samenleving. In artikel 10 staat namelijk alleen dat een beperking is toegestaan indien dit is bepaald bij of krachtens wet. Bij of krachtens wet wijst op een wet in formele zin. Deze wet in formele zin moet voldoen aan het vereiste van voorzienbaarheid, door een specifieke situatie vast te leggen waarin de beperking mogelijk is.58 Aangezien risicoprofilering en geautomatiseerde besluitvorming onder de reikwijdte vallen van dit artikel, zal hieraan moeten worden voldaan.
Voor artikel 10 Gw is verder geen grote rol weggelegd in de rechtspraak.59 Door de artikelen 93 en 94 Gw hebben rechtstreeks werkende verdragsbepalingen voorrang boven de
bepalingen uit Nederlandse formele wetten.60 De achterliggende gedachte van deze artikelen is dat de verdragsbepalingen zoveel mogelijk in de nationale rechtsorde tot gelding komen en dat de rechtstoepassing in Nederland in overeenstemming is met die bepalingen, waar de Staat zich aan moet houden.61
55 Kamerstukken II 2017/18, 34851, nr. 4, p. 2. 56 Kamerstukken II 1975/76, 13782, nr. 3, p. 41. 57 Vetzo, Gerards & Nehmelman 2018, p. 53.
58 Vetzo, Gerards & Nehmelman 2018, p. 61; ABRvS 28 augustus 1995, AB 1996/204 (Drugspand Venlo). 59 Vetzo, Gerards & Nehmelman 2018, p. 61.
60 Chébti, WB Bundel 2014, p. 91.
3.2.4 Tussenconclusie
Om bij de toepassing van risicoprofileringsprocessen het recht op privacy te waarborgen zal moeten worden voldaan aan het hierboven uitgewerkte stappenplan van het EVRM en dient de inmenging op artikel 10 Gw te zijn voorzien bij wet in formele zin. Allereerst is van belang dat er een voldoende toegankelijke en nauwkeurige wettelijke grondslag bestaat. Daarnaast moeten de genoemde waarborgen worden toegepast en moet de inzet van de bevoegdheden, specifiek de inzet van het risicoprofileringsproces, worden afgebakend. Hoe groter de mogelijke impact op de betrokkenen, bijvoorbeeld vanwege de gevolgen, hoe hoger de eisen waaraan de risicoprofileringsprocessen moeten voldoen.62 Zeker de tweede fase van het risicoprofileringsproces – het toepassen van de risicoprofielen om gedrag te voorspellen en gebruiken in het besluitvormingsproces – vormt door de mogelijke juridisch bindende gevolgen een vergaande inmenging in het privéleven. Om desondanks de inmenging te rechtvaardigen, moeten voldoende waarborgen worden geboden om disproportionele inzet, misbruik en willekeur te voorkomen. In de eerste fase – het uitwisselen, verzamelen en analyseren van gegevens om risico-indicatoren vast te stellen en risicoprofielen op te stellen – zal eerder aan de proportionaliteitstoets worden voldaan, omdat de aard minder indringend is. Desalniettemin vormt het wel een inmenging in de autonomie van burgers. Betrokkenen dienen daarom te worden geïnformeerd over de inzet van de bevoegdheden om misbruik en willekeur tegen te gaan. Informeren over de uitwisseling van persoonsgegevens voor risicoprofilering brengt naar mijn mening het doel van de maatregelen in principe niet in gevaar. Daarom zal hierover in beginsel reeds vooraf moeten worden geïnformeerd. Bij het toepassen van risicoprofielen – bijvoorbeeld het vestigen van aandacht op bepaalde (groepen) individuen – wordt het doel mogelijk wel in gevaar gebracht. In dat geval dient in ieder geval na beëindiging informatie te worden verstrekt aan de betrokkenen.
3.3 Risicoprofilering en geautomatiseerde besluitvorming in het licht van het secundaire recht: de Algemene verordening gegevensbescherming
De AVG, die sinds 28 mei 2018 van toepassing is, zorgt voor harmonisatie binnen de EU-lidstaten op het gebied van het gegevensbeschermingsrecht en vervangt in Nederland de
eerder geldende Wet bescherming persoonsgegevens (hierna: ‘Wbp’).63 De Verordening kan van toepassing zijn zonder dat er een inbreuk wordt gemaakt op artikel 8 EVRM.64 In de AVG wordt profilering gedefinieerd als “elke vorm van geautomatiseerde verwerking van persoonsgegevens waarbij aan de hand van persoonsgegevens bepaalde persoonlijke aspecten van een persoon worden geëvalueerd, met name met de bedoeling zijn
beroepsprestaties, economische situatie, gezondheid, persoonlijke voorkeuren, interesses, betrouwbaarheid, gedrag, locatie of verplaatsingen te analyseren of te voorspellen”.65 Zoals volgt uit deze definitie is de AVG – wat betreft profilering, maar ook daarbuiten – alleen van toepassing als het gaat om het verwerken van persoonsgegevens. ‘Verwerken’ is een breed begrip en omvat vrijwel alle acties met persoonsgegevens, zoals het verzamelen, vastleggen, opslaan en zelfs wissen.66 Onder het begrip ‘persoonsgegevens’ valt volgens de AVG alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon.67 Voor het
bepalen of een persoon identificeerbaar is, geldt een redelijkheidstoets.68 Het moet niet bij wet verboden zijn of een excessieve inspanning kosten. Dit betekent dat het in de praktijk niet ondoenlijk moet zijn door tijd, kosten of mankracht.69
De eerste fase van risicoprofilering – het uitwisselen, verzamelen en analyseren van gegevens om risico-indicatoren vast te stellen en risicoprofielen op te stellen – valt onder de AVG wanneer voor dit proces gebruik wordt gemaakt van persoonsgegevens. Het enkel verzamelen en analyseren vormt namelijk al een verwerking. Zodra de gegevens die voor dit proces worden gebruikt redelijkerwijs een persoon kunnen identificeren, is de AVG van toepassing. Ook wanneer deze gegevens worden verzameld en vervolgens geanonimiseerd, is sprake van verwerking van persoonsgegevens. De Article 29 Working Party (hierna: ‘WP29’) benadrukt dat het identificeren van patronen door middel van dit proces vaak zal leiden tot
identificerende gegevens.70
In de tweede fase van risicoprofilering – het toepassen van de risicoprofielen om gedrag te voorspellen en gebruiken in het besluitvormingsproces – zullen eveneens persoonsgegevens worden gebruikt, namelijk door het uitwisselen van gegevens van 63 Verordening 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van
natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (Algemene Verordening Gegevensbescherming).
64 Rb. Den Haag 5 februari 2020, ECLI:NL:RBDHA:2020:865 (SyRI), m.nt. Jansen & Reijneveld, §17; EHRM 8 november
2016, 18030/11 (Magyar Helsinki Bizottag t. Hongarije), r.o. 194-196, 198.
65 Artikel 4 lid 4 AVG. 66 Artikel 4 lid 2 AVG. 67 Artikel 4 lid 1 AVG.
68 Overweging 26 AVG; WP29 WP136 2007, p. 15. 69 HvJEU 19 oktober 2016, C-582/14 (Breyer), r.o. 45, 46. 70 WP29 WP223 2014, p. 2.
betrokkenen, het koppelen van gegevens om na te gaan of wordt voldaan aan het risicoprofiel en om betrokkenen (met een hoog risico) te identificeren. Hetzelfde geldt wanneer de
profielen worden gebruikt in het (geautomatiseerde) besluitvormingsproces, bijvoorbeeld om de aandacht te vestigen op een bepaalde groep personen of zelfs bij het opleggen van sancties. Om te weten wie deze groep is, zullen persoonsgegevens worden gebruikt.
3.3.1 Principes uit de AVG
Rechtmatige, behoorlijke en transparante verwerking
Wanneer de AVG van toepassing is, gelden er verschillende principes waaraan moet worden voldaan. Zo geldt dat de verwerking rechtmatig, behoorlijk en transparant moet zijn.71 Een verwerking is rechtmatig wanneer er een grondslag voor is, zoals opgesomd in artikel 6 AVG. Overheidsorganisaties kunnen zich in het kader van de uitoefening van hun taken niet
beroepen op de grondslag ‘noodzakelijk voor de behartiging van de gerechtvaardigde belangen’.72 Een beroep op de grondslag ‘noodzakelijk voor de vervulling van een taak van algemeen belang of een taak in het kader van de uitoefening van het openbaar gezag’ of ‘noodzakelijk om te voldoen aan een wettelijke verplichting’ is wel mogelijk.73 Er is geen nieuwe grondslag nodig wanneer sprake is van verenigbaar gebruik.74
Het vereiste van behoorlijkheid is veelomvattend en houdt onder meer in dat moet worden geïnformeerd over de risico’s en dat de verwerking niet in het geheim mag plaatsvinden.75 Tot slot wordt voldaan aan het principe van transparantie door vooraf, duidelijk en eenvoudig te informeren en door betrokkenen toegang te geven tot hun data.76 De transparantie- en informatieplicht is verder uitgewerkt in hoofdstuk III afdeling I AVG. Artikel 13 en 14 omschrijven de informatieplicht, die afhankelijk is van de vraag of persoonsgegevens bij de betrokkene zelf zijn verzameld, of via een andere weg zijn verkregen. Bij risicoprofilering zal voornamelijk gebruik worden gemaakt van persoonsgegevens die buiten de betrokkene om zijn verkregen, namelijk van andere overheidsorganisaties.77 Voor die situatie is artikel 14 AVG van toepassing. De informatie opgesomd in dit artikel moet binnen een redelijke termijn
71 Artikel 5 lid 1 sub a AVG. 72 Artikel 6 lid 1 AVG. 73 Artikel 6 lid 1 sub c, e AVG. 74 Artikel 6 lid 4 AVG. 75 FRA e.a. 2018, p. 117, 118. 76 FRA e.a. 2018, p. 117, 120. 77 Aldus ook Rapport Cbp 2010, p. 10.
en uiterlijk binnen één maand na de verkrijging van de persoonsgegevens worden verstrekt.78 Indien de persoonsgegevens niet van de betrokkene zelf zijn verkregen, geldt een
uitzondering op de informatieplicht in het geval dat het verstrekken van de informatie onmogelijk is, onevenredig veel inspanning vergt of als het verkrijgen of verstrekken
uitdrukkelijk is voorgeschreven bij Unie- of lidstatelijk recht.79 De laatste uitzondering geldt echter alleen voor het verkrijgen en verstrekken van gegevens, en daarom niet voor
(risico)profilering.
Om te voldoen aan het principe van transparantie – en aan het principe van
behoorlijkheid – wanneer risicoprofilering wordt toegepast, moeten betrokkenen op de hoogte worden gebracht van het bestaan van risicoprofilering en de gevolgen daarvan, tenzij de genoemde uitzondering van toepassing is.80 Transparantie heeft niet alleen betrekking op de informatie die aan de betrokkenen wordt verstrekt voorafgaand aan of tijdens de verwerking, maar ook op de informatie die aan de betrokkenen wordt verstrekt naar aanleiding van een verzoek. Dit zogenoemde recht op inzage wordt verderop in dit hoofdstuk besproken.
Het doel van transparantie is om betrokkenen te informeren over hoe hun data wordt
gebruikt.81 Hoewel het een nuttige waarborg kan zijn, wordt in de literatuur ook gewezen op problematische aspecten.82 Zo wijzen Ananny en Crawford onder andere op het probleem van (al dan niet bedoelde) ondoorzichtigheid wanneer belangrijke informatie verborgen raakt in de grote hoeveelheid openbaargemaakte informatie.83 Een tweede probleem dat wordt aangekaart is dat transparantie een last op individuen legt om informatie over een systeem te zoeken, te interpreteren en de betekenis ervan te bepalen.84 Transparantie in een systeem betekent daarnaast niet per definitie begrip en inzicht, mede vanwege de complexiteit.85 Desalniettemin ben ik ervan overtuigd dat transparantie nuttig kan zijn en kan bijdragen aan het houden van controle over persoonsgegevens door betrokkenen. Ook kan transparantie het voorkomen van de eerdergenoemde gevolgen zoals discriminatie bevorderen. Het draagt namelijk bij aan het verkrijgen van inzicht, waardoor verdere stappen kunnen worden genomen. Transparantie – voor betrokkenen, maar ook voor belangenorganisaties en experts op dit gebied – is daardoor naar mijn mening een noodzakelijke waarborg. Wel moeten de 78 Artikel 14 lid 1 sub a AVG.
79 Artikel 14 lid 5 AVG.
80 Artikel 14 lid 2 sub g; Overweging 60 AVG. 81 FRA e.a. 2018, p. 120.
82 Voor een uitgebreidere analyse van de problemen rondom transparantie zie Zarsky 2013, p. 1553-1563.
83 Ananny & Crawford, New Media & Society 2018, p. 979; Hildebrandt, Digital Enlightenment Yearbook 2012, p. 53; Zie
ook Stohl, Stohl & Leonardi, International Journal of Communication 2016, p. 133, 134.
84 Ananny & Crawford, New Media & Society 2018, p. 980.
hiervoor genoemde aspecten worden meegenomen bij het bepalen welke informatie transparant wordt gemaakt, wanneer en op welke manier de informatie transparant wordt gemaakt. Daarnaast is van belang dat er niet te veel nadruk wordt gelegd op transparantie als waarborg; het is slechts een eerste stap die bijdraagt aan behoorlijke verwerkingen.86 Er moet ook worden voldaan aan de andere principes die uit de AVG volgen.
Doelbinding en dataminimalisatie
Doelbinding is een tweede principe uit de AVG en vereist dat de doeleinden van een
verwerking welbepaald, uitdrukkelijk omschreven en gerechtvaardigd zijn.87 Dit betekent dat de doeleinden vooraf moeten zijn bepaald, en uitdrukkelijk en begrijpelijk moeten worden omschreven.88 Een verdere verwerking mag niet onverenigbaar zijn met het doel waarvoor de persoonsgegevens aanvankelijk zijn verzameld.89 Indien de verwerking plaatsvindt voor een taak van algemeen belang of openbaar gezag, kan in het Unierecht of lidstatelijke recht worden gespecificeerd voor welke taken en doeleinden verdere verwerking verenigbaar is.90 Om na te gaan of een doel verenigbaar is, moet onder meer rekening worden gehouden met de redelijke verwachtingen van de betrokkenen.91
Andere principes zijn dataminimalisatie, accuraatheid, opslagbeperking en
vertrouwelijkheid.92 Volgens het principe van dataminimalisatie moet een verwerking van persoonsgegevens worden beperkt tot dat wat noodzakelijk is voor de doeleinden, oftewel een proportionaliteits- en subsidiariteitstoets.93
3.3.2 Rechten van betrokkenen Het recht op inzage
Hierboven is reeds één van de rechten van betrokkenen toegelicht, namelijk het recht op informatie. Op grond van de AVG hebben betrokkenen ook andere rechten, waaronder het recht op inzage. Dit recht houdt in dat betrokkenen mogen nagaan of hun persoonsgegevens worden verwerkt. Zo ja, dan moet informatie worden verschaft over onder meer welke
86 Aldus ook Pasquale 2015; Aldus ook Ananny & Crawford, New Media & Society 2018, p. 977. 87 Artikel 5 lid 1 sub b AVG.
88 FRA e.a. 2018, p. 122-125. 89 Artikel 6 lid 4 AVG. 90 Overweging 50 AVG. 91 Overweging 50 AVG. 92 Artikel 5 lid 1 sub d-f AVG. 93 Overweging 39 AVG.
persoonsgegevens dit zijn, voor welke doeleinden deze worden verwerkt en wie de gegevens ontvangen.94 Door het inzagerecht kunnen betrokkenen informatie krijgen over wat er met hun persoonsgegevens gebeurt en vervolgens andere rechten inroepen, zoals het recht op rectificatie, het recht op gegevenswissing, het recht op beperking van de verwerking, het recht op dataportabiliteit en het recht van bezwaar.95
Indien sprake is van geautomatiseerde besluitvorming en profilering moet de betrokkene bij het inroepen van het recht op inzage ook worden geïnformeerd over het feit dat dit wordt toegepast en moet nuttige informatie worden gegeven over de onderliggende logica, het belang dat hier speelt en de verwachte gevolgen voor de betrokkene.96 Over wat precies onder ‘nuttige informatie over de logica’ valt, wordt gediscussieerd in de literatuur.97 De AVG benadrukt slechts het belang van het inzagerecht, namelijk om de rechtmatigheid van de verwerking te controleren.98 Uit de richtlijnen van de WP29 volgt dat betrokkenen de redenen van het besluit moeten kunnen begrijpen en dat volledige openbaarmaking of complexe uitleg van het algoritme daar niet noodzakelijkerwijs aan bijdraagt.99 De vraag is welke informatie wél openbaar gemaakt dient te worden. Zarsky stelt dat individuen die worden beïnvloed door een voorspellend proces uitleg verdienen over de beslissingscriteria en de logica, en legt dit uit in het kader van autonomie.100 Selbst en Powles wijzen erop dat machine learning systemen vaak niet zijn uit te leggen voor specifieke beslissingen of vanuit het oogpunt van systeemfunctionaliteit.101 Hetzelfde kan gelden voor risicoprofileringssytemen. Daarom zal met name informatie over de systematiek van het proces in het algemeen, de
beoordelingscriteria en de rol die het proces speelt bij de totstandkoming van het besluit, in combinatie met de te verwachten gevolgen nuttige en begrijpelijke informatie kunnen vormen.102
Zoals reeds toegelicht bij de bespreking van transparantie worden in de literatuur bezwaren aangekaart bij het principe van transparantie. Deze bezwaren zijn ook relevant voor het recht op inzage. Hoewel ik de bezwaren erken, ben ik ook bij het recht op inzage van mening dat – 94 Artikel 15 lid 1 AVG.
95 Artikel 16, 17, 18, 20 en 21 AVG. 96 Artikel 15 lid 1 sub h AVG.
97 Zie bijvoorbeeld Selbst & Powles, International Data Privacy Law 2017; Wachter, Mittlestadt & Floridi, International
Data Privacy Law 2017.
98 Overweging 63 AVG. 99 WP29 WP251 2018, p. 25.
100 Zarsky 2013, p. 1545; zie ook Edwards & Veale, Duke Law & Technology 2017, p. 41. 101 Selbst & Powles, International Data Privacy Law 2017, p. 239.
rekening houdend met welke informatie transparant wordt gemaakt, wanneer en op welke manier – het kan bijdragen aan behoorlijke verwerkingen. Alle individuen die worden
onderworpen aan het risicoprofileringsproces moeten het recht op inzage kunnen inzetten om te begrijpen waarom zij worden onderworpen aan risicoprofilering en geautomatiseerde besluitvorming. Overigens blijft het van belang dat ook aan andere vereisten uit de AVG wordt voldaan, waaronder dataminimalisatie. Met transparantie kun je namelijk andere
rechten uitoefenen, maar het is de vraag in hoeverre individuen de moeite zullen nemen om de verkregen informatie te interpreteren of om het recht op inzage (zoals verderop wordt
besproken) uit te oefenen. Eveneens kan worden afgevraagd in hoeverre individuen
daadwerkelijk op de hoogte zijn van het recht op informatie, waaronder het recht op inzage.
Het recht om niet te worden onderworpen aan geautomatiseerde besluitvorming In artikel 22 AVG wordt bepaald dat betrokkenen het recht hebben om niet te worden onderworpen aan besluitvorming die uitsluitend is gebaseerd op geautomatiseerde verwerking, waaronder profilering, als er rechtsgevolgen aan zijn verbonden of als de besluitvorming hem of haar anderszins in aanmerkelijke mate treft.103 De term ‘recht’ betekent in deze zin niet dat betrokkenen zich hier actief op moet beroepen; het is een algemeen verbod.104 Voor de toepasselijk van het verbod moet in de eerste plaats sprake zijn van besluitvorming gebaseerd op uitsluitend geautomatiseerde verwerking.105 Zodra een persoon, met bevoegdheid om de beslissing te wijzigen, toezicht heeft op de beslissing, is daar geen sprake meer van.106 Geautomatiseerde processen met daarnaast menselijk toezicht, bijvoorbeeld een ondersteunende software tool, zullen daardoor niet onder de reikwijdte van artikel 22 vallen.107
De tweede voorwaarde is dat de besluitvorming resulteert in rechtsgevolgen of anderszins aanmerkelijke gevolgen voor de betrokkene.108 Er kan worden gesproken van rechtsgevolgen wanneer het besluit effect heeft op de rechten en plichten van de betrokkene, bijvoorbeeld ontzegging van een sociale uitkering.109 Wanneer sprake is van aanmerkelijke gevolgen is minder duidelijk.110 Volgens de WP29 moet het besluit de potentie hebben om de omstandigheden, het gedrag of de keuzes van de betrokken personen significant te
103 Artikel 22 lid 1 AVG. 104 WP29 WP251 2018, p. 19, 20. 105 WP29 WP251 2018, p. 20, 21.
106 WP29 WP251 2018, p. 21; Sariyar & Schlünder, Frontiers in Big Data 2019, p. 4. 107 Mendoza & Bygrave 2017, p. 11.
108 WP29 WP251 2018, p. 21, 22. 109 WP29 WP251 2018, p. 21.
110 In overweging 71 van de AVG worden slechts enkele voorbeelden genoemd, zoals het automatisch weigeren van een
beïnvloeden, een langdurige of permanente impact op de betrokkene te hebben, of leiden tot de uitsluiting of discriminatie van individuen.111
In de literatuur bestaat veel discussie over artikel 22 AVG.112 Er is discussie over de vraag in hoeverre het artikel een recht op uitleg geeft en er wordt gewezen op het beperkte
toepassingsbereik door de bewoording ervan.113 Ook bestaat discussie over de vraag of profileringssytemen wel het besluit nemen, of dat de systemen (en uitkomsten) enkel worden gebruikt bij de besluitvorming, en welke gevolgen dit heeft voor de toepassing van artikel 22 AVG.114 Verder wordt afgevraagd in hoeverre profileringssystemen een aanmerkelijk effect hebben op betrokkenen.115 Risicoprofileringssystemen hebben in ieder geval de potentie om onder artikel 22 AVG te vallen. Zeker wat betreft de tweede fase, namelijk het toepassen van de risicoprofielen op individuen. Daarbij kan de eerste fase ook worden meegenomen, omdat de term ‘geautomatiseerde verwerking’ suggereert dat de verwerking niet per se gebaseerd hoeft te zijn op persoonsgegevens van de betrokkene, maar ook van andere personen.116 Voor wat betreft enkel de eerste fase is deze analyse minder vanzelfsprekend, omdat niet direct een aanmerkelijk effect is aan te wijzen op betrokkenen. Ook is het lastig om te stellen dat er sprake is van besluitvorming. Het geautomatiseerd analyseren van persoonsgegevens wordt namelijk enkel indirect gebruikt in het besluitvormingsproces, dat kan leiden tot juridisch bindende gevolgen zoals het opleggen van een sanctie en tot de eerdergenoemde negatieve gevolgen als discriminatie en uitsluiting.
Zelfs wanneer artikel 22 AVG niet van toepassing is, omdat er geen rechtsgevolgen zijn verbonden aan de besluitvorming of betrokkenen niet in aanmerkelijke mate worden getroffen, of omdat sprake is van menselijke tussenkomst, zal nog steeds aan de andere vereisten uit de AVG moeten worden voldaan.
Beperkingen op de rechten van betrokkenen
Op grond van artikel 23 mogen een aantal rechten van betrokkenen worden beperkt door Unierechtelijke of lidstatelijke bepalingen. Deze bepalingen mogen niet de wezenlijke inhoud van grondrechten of fundamentele vrijheden aantasten en moeten noodzakelijk en evenredig 111 WP29 WP251 2018, p. 21.
112 Zie bijvoorbeeld Wachter, Mittlestadt & Floridi, International Data Privacy Law 2017; Selbst & Powles, International
Data Privacy Law 2017.
113 Zie bijvoorbeeld Edwards & Veale, Duke Law & Technology 2017, p. 45, 46. 114 Edwards & Veale, Duke Law & Technology 2017, p. 46.
115 Zie bijvoorbeeld Edwards & Veale, Duke Law & Technology 2017, p. 46. 116 Mendoza & Bygrave 2017, p. 11, 12.
zijn in een democratische samenleving voor de opgesomde doeleinden.117 Eén van deze doeleinden is het voorkomen, onderzoeken, opsporen en vervolgen van strafbare feiten.118 Er bestaan ook een aantal specifieke uitzonderingen op het verbod op geautomatiseerde
verwerking, zoals wanneer het Unierecht of lidstatelijk recht dit uitdrukkelijk toestaat.119 Volgens de AVG is dit onder meer voor de controle en voorkoming van belastingfraude en – ontduiking.120 Wel moeten er passende maatregelen worden geboden om de rechten,
vrijheden en belangen van betrokkenen te beschermen.121 Hieronder wordt begrepen het bieden van informatie en het recht op menselijke tussenkomst, het recht om een standpunt bekend te maken en het recht om het besluit aan te vechten.122 Dit sluit aan bij het doel van de AVG, namelijk het bevorderen van behoorlijke en transparante verwerkingen.123 Om dit te garanderen zullen ook technische en organisatorische maatregelen moeten worden genomen om bepaalde onjuistheden te corrigeren en het risico te minimaliseren.124
Bijzondere persoonsgegevens
Sommige persoonsgegevens worden vanwege de aard aangemerkt als gevoelige gegevens. In de AVG worden extra eisen gesteld aan zogenoemde bijzondere categorieën van
persoonsgegevens. Dit zijn gegevens waaruit bijvoorbeeld etnische afkomst, politieke opvattingen of religieuze overtuigingen kunnen worden afgeleid of gegevens over
gezondheid.125 Voor deze persoonsgegevens geldt in principe een verwerkingsverbod, tenzij een uitzondering opgesomd in artikel 9 AVG van toepassing is. De AP maakt nog een extra categorie voor persoonsgegevens die geen bijzondere persoonsgegevens zijn, maar wel gevoelig zijn van aard, zoals financiële data of locatiegegevens.126 Voor deze gegevens geldt geen verwerkingsverbod, maar dienen wel extra maatregelen te worden getroffen om de persoonsgegevens te beschermen.127 Bij geautomatiseerde besluitvorming gelden ook striktere uitzonderingen om bijzondere persoonsgegevens te gebruiken.
117 Artikel 23 lid 1 AVG. 118 Artikel 23 lid 1 sub d AVG. 119 Artikel 22 lid 2 AVG. 120 Overweging 71 AVG. 121 WP29 WP251 2018, p. 24. 122 Overweging 71 AVG.
123 Van Breda, Computerrecht 2017, p. 226. 124 Overweging 71 AVG.
125 Artikel 9 lid 1 AVG.
126 Schermer, Hagenauw & Falot 2018, p. 26. 127 Schermer, Hagenauw & Falot 2018, p. 26.
3.3.3 Tussenconclusie
Indien bij het risicoprofileringsproces persoonsgegevens worden verwerkt, dient te worden voldaan aan de vereisten uit de AVG. Het is in dat geval van belang dat betrokkenen worden geïnformeerd over het bestaan van risicoprofilering, en de risico’s en gevolgen daarvan. Ondanks de problematische aspecten draagt transparantie eraan bij dat betrokkenen op de hoogte zijn van het gebruik van hun persoonsgegevens en vormt het een waarborg voor het voorkomen van negatieve gevolgen van risicoprofileringsprocessen, zoals discriminatie. Verder is van belang dat er een grondslag bestaat en dat de doeleinden van de verwerking vooraf zijn bepaald, en uitdrukkelijk en begrijpelijk zijn omschreven. Er zal bij het gebruiken van persoonsgegevens voor risicoprofilering niet snel sprake zijn van verenigbare verwerking, omdat het niet waarschijnlijk is dat (onschuldige) betrokkenen een redelijke verwachting hiervan hebben. Er zal daarom een aparte grondslag nodig zijn.
Zoals reeds toegelicht: hoe groter de mogelijke impact op de betrokkenen, hoe hoger de eisen waaraan de risicoprofileringsprocessen moeten voldoen.128 Dit volgt ook uit de AVG, waarin apart een recht is opgenomen voor betrokkenen om niet onderworpen te worden aan uitsluitend geautomatiseerde besluitvorming wanneer hem dit in aanmerkelijke mate treft.129 Ook wanneer de besluitvorming niet volledig geautomatiseerd plaatsvindt, kan de
risicoprofilering en de besluitvorming echter een impact hebben. Ondanks dat de extra bescherming van artikel 22 AVG in dat geval niet op gaat, zal deze impact moet worden meegenomen bij de beoordeling van het systeem.
Het juridische kader zoals uitgewerkt in dit hoofdstuk – van zowel het recht op privacy, als het recht op gegevensbescherming – biedt duidelijkheid in de voorwaarden en beperkingen van het toepassen van risicoprofilering en geautomatiseerde besluitvorming, maar laat ook een aantal vragen onbeantwoord. Zo is niet geheel duidelijk op welke manier aan de informatieplicht kan worden voldaan bij risicoprofileringssystemen. Ook is onduidelijk of risicoprofilering onder artikel 22 AVG valt en zo ja, welke informatie er precies moet worden bekend gemaakt over het systeem en de logica. Tot slot is de vraag in hoeverre een dringende maatschappelijke behoefte bestaat voor risico-indicatiesystemen en welke waarborgen precies kunnen worden toegepast om de rechten van individuen te beschermen onbeantwoord. Met de case study in het volgende hoofdstuk wordt gezocht naar antwoorden op deze vragen.
128 §3.2.4.
HOOFDSTUK IV
Case study: Systeem Risico Indicatie
4.1 Introductie
In dit hoofdstuk wordt de praktische toepassing van het juridische kader op
risicoprofileringssystemen bekeken aan de hand van SyRI. In de eerste paragraaf wordt het Waterproof project en het Black box project besproken – die hebben geleid tot het instrument SyRI – en de werkwijze van SyRI. In de daaropvolgende paragrafen wordt de kritiek op het systeem besproken en wordt ingegaan op de bodemprocedure.
4.2 Achtergrond en werkwijze van SyRI
4.2.1 Het Waterproof project en het Black box project
In 2003 is de landelijke stuurgroep interventieteams (hierna: ‘LSI’) opgericht voor het bestrijden van fraude.130 De LSI bestaat onder andere uit de Inspectie SZW (voorheen de Sociale Inlichtingen en Opsporingsdienst, afgekort ‘SIOD’), de Belastingdienst, het UWV, gemeentebesturen en het Openbaar Ministerie (hierna: ‘OM’).131 Onder leiding van het LSI is het Waterproof project en later het Black box project tot stand gekomen. Bij het Waterproof project werden adresgegevens van personen met een Wet werk en bijstand (hierna: ‘WWB’) uitkering gekoppeld met gegevens over waterverbruik. Uit deze koppeling kon worden achterhaald bij welk deel van de adressen met een laag waterverbruik sprake was van één of meer bewoners met een WWB-uitkering.132 Het doel was om hiermee adres- en
samenlevingsfraude op te sporen.133 De AP heeft naar aanleiding van een ambtshalve onderzoek een negatief advies gegeven over dit project.134 Volgens de AP was de
bestandskoppeling niet noodzakelijk, omdat er geen vermoeden van fraude of risicoanalyse
130 Olsthoorn 2016, p. 99; ‘Landelijke Stuurgroep Interventieteams (LSI)’, vng.nl. 131 Artikel 3 Samenwerkingsovereenkomst voor Interventieteams 2017.
132 Inspectie SZW 2012, p. 21, 22. 133 Inspectie SZW 2012, p. 21, 22.
