De dupe van je data : Profilering en geautomatiseerde besluitvorming bij de consumentenkredietovereenkomst

(1)

De dupe van je data

Profilering en geautomatiseerde besluitvorming bij de

consumentenkredietovereenkomst

!

Scriptie Privaatrecht Auteur: Hester Spaans Studentnummer: 10203133

Datum: 25 augustus 2017 E-mail: hester.spaans@student.uva.nl Begeleider: Dhr. prof. dr. M.B.M. Loos 

(2)

Onze samenleving is in een ongelofelijk hoog tempo aan het digitaliseren. Een explosief groeiende hoeveelheid gegevens in combinatie met de ontwikkeling van ‘slimme’ analyse software, biedt de mens mogelijkheden die tot voor kort volstrekt onvoorstelbaar waren. De fixatie op de mogelijkheden van big-data-analytics leidt ertoe dat de keerzijde ervan

meestentijds wordt overschaduwd. Ondertussen confronteert de realiteit van het moderne bestaan ons echter continu met de onwenselijke consequenties die de digitale samenleving met zich meebrengt. Zo wordt door kredietaanbieders alsmaar frequenter gebruik gemaakt van automatisch gegenereerde profielen middels machine learning en data mining teneinde de verplichte ‘kredietwaardigheidstoets’ uit artikel 8 van de Richtlijn Consumentenkrediet te kunnen afnemen. Op basis van deze profielen kunnen geautomatiseerde besluiten worden genomen over het wel of niet accepteren van een consument als klant, terwijl op deze wijze ook de meest geëigende voorwaarden en tarieven van een bepaald krediet gedetermineerd worden. De kredietaanbieder lijkt de toets echter steeds vaker louter en alleen te gebruiken, middels profilering en geautomatiseerde besluitvorming, teneinde zijn ideale klant te kunnen selecteren, tegen voor hem (de kredietaanbieder) zo gunstig mogelijke voorwaarden en tarieven. Men kan zich afvragen of profilering en geautomatiseerde besluitvorming wel deze marketing gerelateerde doeleinden mogen dienen.

Voor de manier waarop profilering en geautomatiseerde besluitvorming invulling mogen geven aan de kredietwaardigheidstoets verwijst de Europese wetgever in artikel 9(4) van de Richtlijn Consumentenkrediet naar Richtlijn 95/46: nu de Algemene Verordening

Gegevensbescherming. Middels dit afstudeeronderzoek wordt getracht een uiteenzeting te geven van de beperkingen die de Europese wetgever heeft opgelegd aan het gebruik van profilering en geautomatiseerde besluitvorming (op basis van profielen) door de

kredietaanbieder bij het afsluiten van consumentenkredietovereenkomsten en in hoeverre deze beperkingen aansluiten bij de maatschappelijke realiteit. In deze scriptie zijn de eerste vier hoofdstukken gewijd aan het schetsen van de maatschappelijke realiteit. Vervolgens vindt een beschouwing plaats van de beperkingen die voortvloeien uit de algemene

beginselen en het ‘verbod’ op geautomatiseerde besluitvorming uit de Algemene Verordening Gegevensbescherming in relatie tot de ‘kredietwaardigheidstoets’ uit de Richtlijn

Consumentenkrediet. Afsluitend krijgt de lezer een inzicht in de mate waarin deze beperkingen concreet aansluiten op de maatschappelijke realiteit.

Keywords: Profilering, geautomatiseerde besluitvorming, consumentenkrediet, kredietwaardigheidstoets, dataprotectie recht

(3)

(4)

Hoofdstuk 1. Introductie 4

1.1. Aanleiding 4

1.2. Probleemstelling 7

1.3. Belang onderzoek 7

1.4. Methodologie 7

1.5. Uitsluitingen, beperkingen en aannames 8

Hoofdstuk 2. Consumentenkrediet 10

2.1. Inleiding 10

Hoofdstuk 3. De droomklant 11

3.1. Inleiding 11

3.2. Handels- en kredietinformatiebureaus 13

Hoofdstuk 4. Profilering en geautomatiseerde besluitvorming 17

4.1. Big Data 17

4.2. Big Data Process 18

4.3. Profilering; data mining en machine learning 21

Hoofdstuk 5. Knelpunten 23

5.1. Inleiding 23

5.2. Uitsluiting 23

Hoofdstuk 6. Wettelijk Kader 25

6.1. Inleiding 25

6.2. Richtlijn Consumentenkrediet 25

6.3. De kredietwaardigheidstoets 26

6.4. Algemene Verordening Gegevensbescherming 27

6.5. Toepassingsgebied 28

6.6. Algemene beginselen 29

6.7. Correcte, nauwkeurige en transparante gegevensverwerking 29

6.8. Data minimalisatie 31

6.9. Het doelbindingsbeginsel 32

6.10. Rechtsgeldige grondslag 35

6.11. Gerechtvaardigd belang 36

6.12. Toestemming 37

6.13. Uitzonderingen op lid 1 van artikel 22 AvG 42

Hoofdstuk 7. Conclusie 44

Nawoord 47

Literatuurlijst 48

(5)

!

Hoofdstuk 1. Introductie

1.1. Aanleiding

Eind 2016 is de Consumentenbond met het meldpunt ‘De dupe van je data’ gestart nadat zij regelmatig meldingen kreeg van particulieren die geweigerd werden als klant of vooraf moesten betalen voor een dienst vanwege een zogenoemde kredietwaardigheidstoets. Een 1 dergelijke kredietwaardigheidstoets lijkt in eerste instantie in overeenstemming te zijn met artikel 8 van de Richtlijn Consumentenkrediet 2008/48/EG (Hierna: Richtlijn

Consumentenkrediet) waarin de Europese wetgever aan kredietaanbieders de verplichting oplegt om voorafgaand aan het sluiten van de kredietovereenkomst de kredietwaardigheid van de consument te onderzoeken. 2

Deze toets omtrent de kredietwaardigheid van de aspirant klant, kan vanuit twee invalshoeken worden benaderd: vanuit het belang van de consument om tegen zichzelf beschermd en van overkreditering gevrijwaard te worden, als ook vanuit het belang van de kredietaanbieder om zich het recht voor te behouden zelf te bepalen met welke klant hij een consumentenkredietovereenkomst wil afsluiten, en tegen welke voorwaarden en tarieven. In het ideale plaatje vallen deze twee belangen samen: als dankzij de kredietwaardigheidstoets kan worden voorkomen dat de klant te zware lasten op zich neemt, hebben zowel de klant als aanbieder daar baat bij vanzelfsprekend. Maar in hoeverre wordt de kredietcheck eigenlijk 3 nog ingezet als preventieve maatregel tegen eventuele overkreditering? Of maakt de

kredietaanbieder steeds vaker louter en alleen van deze toets vooraf gebruik teneinde de ideale klant te selecteren, tegen voor hem (de kredietaanbieder) zo gunstig mogelijke

voorwaarden en tarieven? Oftewel: hebben we het hier over het spreekwoordelijk ‘halen van de krenten uit de pap?’. In beginsel wordt de vrijheid van kredietaanbieders om cherry

picking te doen, gegarandeerd door het grondbeginsel van de contractsvrijheid dat inhoudt dat

het aan partijen zelf is om te bepalen met wie zij een overeenkomst willen sluiten, wat de inhoud van die overeenkomst is en wanneer deze gesloten wordt. Ook het Unierecht kent het 4 algemene beginsel van de contractsvrijheid. 5

Consumentenbond, ‘Kredietchecks: bedrijven screenen klanten’,

https://www.consumentenbond.nl/juridisch-1

advies/andere-onderwerpen/privacy-data/kredietchecks-bedrijven-screenen-klanten. Art. 8 Richtlijn Consumentenkrediet.

2

R.W.A. Wishaw M.S, De gewaardeerde klant-Privacyregels voor credit scoring, Achtergrondstudies en

3

verkenningen Registratiekamer nr. 18, Den Haag: SDU Grafisch bedrijf 2000, p. 7.

Jac. Hijma e.a., Rechtshandeling en overeenkomst (Studiereeks burgerlijk recht deel 3), Deventer: Kluwer

4

2013, p. 14.

Asser/Hartkamp 3-I 2015/139.

(6)

!

Dat het verschil tussen een effectieve bescherming van de kredietaanbieder tegen insolvente klanten en cherry picking minder subtiel is dan men op het eerste gezicht wellicht zou denken, zal de consument beamen die als klant wordt afgewezen omdat er in de visie van de kredietaanbieder ‘betere’ klanten zijn. Bovendien worden besluiten omtrent het al dan niet accepteren van een klant heden ten dage veelal ‘automatisch’ (zonder menselijke interventie) genomen door kredietaanbieders en zijn ze dikwijls gebaseerd op diverse vormen van

big-data-analytics waarbij persoonsgegevens worden verwerkt. Het behoeft geen betoog dat 6 dergelijke via een druk op de knop uit een database tevoorschijn getoverde beslissingen, gebaseerd op een profiel waarvan de consument in kwestie in veel gevallen niet eens wist dat het überhaupt bestond, vaak als onterecht worden ervaren en daarom moeilijk te accepteren zijn.

Door de voortschrijdende digitalisering van onze samenleving in hoog tempo, is er sprake van een ongelofelijke toename in het verzamelen en delen van gegevens terwijl er 7

tegelijkertijd in ijltempo steeds geavanceerdere technieken ontwikkeld worden om deze almaar groeiende hoeveelheid gegevens op ‘slimme’ wijze te verwerken. Alhoewel het 8 verzamelen van data (gegevens) en het analyseren daarvan van alle tijden is, gaat het -in tegenstelling tot het in de klassieke zin des woords verzamelen, gebruiken en opslaan van gegevens binnen een bedrijf of organisatie- tegenwoordig derhalve steeds meer over het op slimme wijze verzamelen, hergebruiken, combineren en analyseren van grote hoeveelheden gegevens. Daarmee worden correlaties en patronen inzichtelijk (descriptive), op basis

waarvan men het gedrag en handelen van actoren kan voorspellen (predictive) en vervolgens via het aanbieden van diensten en middels doelgericht beleid aan- en/of bij kan sturen (prescriptive). In toenemende mate worden deze gevonden correlaties en patronen gebruikt 9 om profielen te construeren aan de hand waarvan kredietaanbieders beslissingen nemen over wie men als klant accepteert en wie niet. Ook wordt de inhoud van een 10

consumentenkredietovereenkomst rechtstreeks gelieerd aan het profiel van de klant in

kwestie. Door het inbouwen van profilering bij de kredietcheck lijkt deze toets zodoende een

Big-data-analytics is simpelweg de benaming voor het proces waarbij grote hoeveelheden data worden

6

geanalyseerd.

Wetenschappelijke raad voor het regeringsbeleid 2016, Big data in een vrije en veilige samenleving, Den

7

Haag/Amsterdam: Amsterdam University Press.

Bijvoorbeeld data mining. Van belang is dat de verwerkingsmethoden van big data data-gedreven zijn en aldus

8

afwijken van de traditionele wetenschappelijke methode die hypothese-gedreven is. Bron: Wetenschappelijke

raad voor het regeringsbeleid 2016, Big data in een vrije en veilige samenleving, Den Haag/Amsterdam:

Amsterdam University Press, p. 34.

Moerel & Prins, ‘Privacy voor de homo digitalis’, in: Homo digitalis (Handelingen Nederlandse

Juristen-9

Vereniging 2016-1), Den Haag: Wolters Kluwer 2016, p. 28/29.

F. Ferretti, ‘ The ‘Credit Scoring Pandemic’ and the European Vaccine: Making Sense of EU Data Protection

10

(7)

!

steeds accuratere en meer gedetailleerde voorspelling te kunnen doen over de

kredietwaardigheid van consument. Een ‘business opportunity’ van jewelste voor aanbieders van consumentenkrediet om het altijd aanwezige risico van niet betaling, van tevoren al te minimaliseren en de ‘krenten uit de pap te halen’ waar het potentiële nieuwe klanten betreft. Uit cijfers van het Centraal Bureau voor de Statistiek (CBS) blijkt dat een op de vijf

ondernemingen analyses uitvoert op big data en de helft van deze ondernemingen deze analyses deels door een derde partij laat maken, namelijk een handelsinformatiebureau . 11 Zoals reeds eerder betoogd, is de andere kant van de medaille dat een accurate credit check wel degelijk ook in het belang van de consument zou kunnen zijn indien deze, door de kredietcheck, wordt behoed voor eventuele overkreditering. Alhoewel deze twee belangen in het ideale geval compatibel zijn, is het gevaar desalniettemin reëel dat de kredietaanbieder een potentiële nieuwe klant weigert niet omdat deze het risico op overkreditering zou lopen maar simpelweg omdat andere klanten commercieel gezien nóg aantrekkelijker zijn. Door de opkomst van big-data-analytics is het voor de kredietaanbieder steeds gemakkelijker te worden om uitsluitend de in zijn ogen perfecte ‘kers’ te kiezen. Echter, aan de verwerking van (persoons)gegevens, en profilering in het bijzonder, zijn diverse serieuze risico’s

verbonden voor de betrokkenen en de ‘vrijheid’ die kredietaanbieders hebben om gebruik te maken van persoonsgegevens teneinde hun ‘droomklant’ op het spoor te komen, is dan ook niet onbegrensd. Immers, volgens de EU heeft iedereen het recht op bescherming van persoonsgegevens (artikel 8 Handvest van de grondrechten van de EU en artikel 16 lid 1 VWEU). In de Algemene Verordening Gegevensbescherming (hierna: AvG) heeft de

Europese wetgever voor het eerst een definitie opgenomen van het begrip ‘profilering’. De 12 Europese Commissie was in 2012 al van mening dat, gezien de toenemende digitalisering en de daaraan gepaard gaande (technologische) ontwikkelingen, de destijds geldende richtlijn bescherming persoonsgegevens niet voldoende meer aansloot bij de maatschappelijke realiteit en toe was aan vernieuwing. Dit proces heeft uiteindelijk geleid tot goedkeuring 13 van de AvG door de Raad van de Europese Unie op 25 mei 2016. De AvG, die als

verordening directe werking heeft, zal in 2018 van toepassing worden in Nederland en de overige lidstaten van de EU. 14

Centraal bureau voor de statistiek, ‘Een op vijf bedrijven voert analyses op big data uit’, (online, laatst

11

bijgewerkt op 8 november 2016), https://www.cbs.nl/nl-nl/nieuws/2016/45/een-op-vijf-bedrijven-voert-analyses-op-big-data-uit.

Art. 4 sub 4 AVG: „profilering”: elke vorm van geautomatiseerde verwerking van persoonsgegevens waarbij

12

aan de hand van persoonsgegevens bepaalde persoonlijke aspecten van een natuurlijke persoon worden

geëvalueerd, met name met de bedoeling zijn beroepsprestaties, economische situatie, gezondheid, persoonlijke voorkeuren, interesses, betrouwbaarheid, gedrag, locatie of verplaatsingen te analyseren of te voorspellen.

Europa Decentraal, Privacy: De Algemene Verordening Gegevensbescherming, (online publiek) https://

13

europadecentraal.nl/onderwerp/informatiemaatschappij/gegevensbescherming-en-de-avg/.

Europa Decentraal, Privacy: De Algemene Verordening Gegevensbescherming, (online publiek) https://

14

(8)

!

1.2. Probleemstelling

Middels dit onderzoek tracht ik uiteen te zetten welke beperkingen de Europese wetgever heeft opgelegd aan het gebruik van profilering en geautomatiseerde besluitvorming van profielen) door de kredietaanbieder bij het afsluiten van consumentenkredietovereenkomsten en in hoeverre deze beperkingen aansluiten bij de maatschappelijke realiteit. Ik heb mij hier beperkt tot een analyse van het Europese wettelijk karakter en wel tot de twee Europese regelgevingen die ik het meest relevant achtte: de AvG en de Richtlijn Consumentenkrediet. Mijn onderzoeksvraag luidt als volgt:

Welke beperkingen met betrekking tot de vrijheid van kredietverstrekkers om gebruik te maken van profilering en geautomatiseerde besluitvorming vloeien rechtstreeks voort uit de algemene beginselen en het ‘verbod’ op geautomatiseerde besluitvorming uit de Algemene Verordening Gegevensbescherming, in relatie tot de ‘kredietwaardigheidstoets’ uit de Richtlijn Consumentenkrediet? En in hoeverre sluiten deze beperkingen concreet aan bij de maatschappelijke realiteit?

1.3. Belang onderzoek

De opening van het meldpunt ‘De dupe van je data’ door de Consumentenbond, is een duidelijk signaal dat het gebruik van profilering en geautomatiseerde besluitvorming ter uitvoering van de kredietwaardigheidstoets door kredietaanbieders niet altijd even correct en zorgvuldig verloopt. Er lijkt een zekere paradox te bestaan tussen de strekking van de

kredietwaardigheidstoets uit artikel 8 van de Richtlijn Consumentenkrediet (c.q. beschermen van consument voor overkreditering) en de praktijk waarin de uitvoering van deze

kredietcheck middels profilering en geautomatiseerde besluitvorming steeds vaker wordt ingezet voor marketing gerelateerde doeleinden (het uitkiezen van de ‘droomklant’). In de literatuur is nog weinig geschreven over hoe het dataprotectie recht de ruimte begrensd die de kredietaanbieder heeft om de kredietwaardigheidstoets middels profilering en

geautomatiseerde besluitvorming vorm te geven. Middels dit onderzoek tracht ik een bijdrage te leveren aan de discussie.

1.4. Methodologie

Dit afstudeeronderzoek behelst een multidisciplinair onderzoek, nu ik kennis uit

verschillende wetenschapsgebieden zal integreren, namelijk de rechtswetenschappen en de informatica. Doordat het mij in het kader van de door mij gestelde onderzoeksvraag wenselijk

(9)

!

(en zo niet noodzakelijk) leek om ook de informatica als invalshoek te gebruiken, heb ik aldus bewust voor dit multidisciplinair onderzoeks-frame gekozen. Om mijn

onderzoeksvraag

te kunnen beantwoorden maak ik veelal gebruik van kwalitatieve onderzoeksmethoden, maar daarnaast worden sommige beweringen door statische berekeningen aangetoond waardoor aldus een triangulatie is ontstaan. De lezer zal geen voorbeelden van door mij empirisch verricht onderzoek kunnen bespeuren nu ik hiervoor niet over de juiste middelen beschikte. In mijn onderzoek zal ik zowel vanuit een descriptief als een normatief kader oordelen.  

De toepassing van het het Europees wettelijk kader zal ik uit een overwegend descriptief perspectief beoordelen: ik beschrijf welke beperkingen voortvloeien uit de algemene beginselen en het ‘verbod’ op geautomatiseerde besluitvorming, in verhouding tot de kredietwaardigheidstoets uit de Richtlijn Consumentenkrediet, van de vrijheid van de kredietaanbieder om gebruik te maken van profilering en geautomatiseerde besluitvorming.  Echter, de vraag in hoeverre deze beperkingen aansluiten bij de maatschappelijke realiteit impliceert natuurlijk een enigszins normatief oordeel van mijn kant. Ik zal deze vraag vanuit het oogpunt van het belang van de consument bij een correct gebruik van profilering en geautomatiseerde besluitvorming beantwoorden. Afsluitend kan de lezer de belangrijkste ondervindingen uit dit onderzoek terugvinden in een concluderend hoofdstuk.

1.5. Uitsluitingen, beperkingen en aannames

Binnen het bestek van deze scriptie bleek het onmogelijk zowel hypothecair- als consumentenkrediet, exhaustief te onderzoek. Ik heb mij aldus moeten beperken tot de consumentenkredietovereenkomst. Daarnaast is het van belang om te constateren dat de Europese wetgever uitgaat van profilering als ‘automated profiling’, waarbij (in tegenstelling tot de meer traditionele vormen van profiling die menselijke interventie vereisen) gebruik wordt gemaakt van machine learning en data mining om tot constructie en toepassing van profielen te komen. Wanneer ik in dit onderzoek de term ‘profilering’ bezig, doel ik op ‘automated profiling’. Het construeren en toepassen van profielen op individuen en/of groepen fungeert als hulpmiddel /leidraad bij het nemen van (geautomatiseerde) besluiten. Deze besluitvorming verloopt steeds meer automatisch (zonder menselijke interventie) op basis van profilering. Wellicht ten overvloede maar wanneer ik in dit onderzoek over besluitvorming spreek, doel ik dus op geautomatiseerde besluitvorming.

In toenemende mate wordt ook gebruik gemaakt van profilering en geautomatiseerde

besluitvorming voor doeleinden die uitsluitend marketing gerelateerd zijn. Big-data-analytics geeft bedrijven immers de mogelijkheid specifieke profielen over individuen op te stellen waarmee ze op de gewenste klanten kunnen mikken en deze specifiek op hen toegesneden

(10)

!

diensten en producten kunnen aanbieden. Anders gezegd: hoe meer kennis en informatie bedrijven over ons bezitten, hoe gerichter en effectiever de online-advertenties zijn die zij ons kunnen voorschotelen. In 2015 werd er wereldwijd voor het eerst meer geld aan

web-advertenties besteed dan aan tv-reclames: zo’n 125 miljard euro. Het valt buiten het 15 bestek van dit onderzoek om ook deze ‘pure’ marketing toepassingen, bestaande uit

‘advertising’ en ‘targeting’ door kredietaanbieders, onder de loep te nemen.

M. Martijn & D. Tokmetzis, Je hebt wél iets te verbergen,

15

(11)

!

Hoofdstuk 2. Consumentenkrediet

2.1. Inleiding

Het maatschappelijk en economisch belang van kredietverlening aan consumenten kan nauwelijks worden overschat. Zowel hypothecaire als consumentenkredieten, beide verstrekt door traditionele financiële instellingen als banken maar ook door andere, alternatieve

instellingen, hebben een substantiële impact op de Nederlandse economie. Voor consumenten is krediet vaak een uitkomst. Sinds het baanbrekende arrest van de Hoge Raad op 13 juni 16 2014 zijn bijvoorbeeld ook telefoonabonnementen met een ‘gratis’ toestel onder de definitie van consumentenkrediet komen te vallen. 17

In de jaren voorafgaand aan de financiële crisis was er wereldwijd sprake van een sterke kredietgroei dankzij een relatief lage rentestand en een almaar verder uitdijende markt voor kredietverlening. Aan die ontwikkeling kleefde echter onmiskenbaar een schaduwzijde. Het sluiten van een kredietovereenkomst betekent veelal het door de consument aangaan van een voor hem ver strekkende en zwaarwegende financiële verbintenis; een engagement dat bovendien vaak een significante tijdspanne bestrijkt. In Nederland stond eind 2005 een consumptieve schuld open van maar liefst 17,5 miljard euro. Steeds meer consumenten 18 raakten in geldproblemen en bleken niet in staat hun schulden af te lossen. De toename van het aantal consumenten dat niet bij machte was de door hen aangegane financiële

verplichtingen nog langer na te komen, bezorgde op zowel nationaal als Europees niveau ook politici en beleidsmakers hoofdbrekens en heeft geleid tot een heroverweging van de

bescherming van consumenten op de kredietmarkten . ‘Responsible lending and borrowing’ 19 werd als uitgangspunt gehanteerd voor het nieuwe beleid van de EU inzake kredietverlening aan consumenten. Daarbij achtte men het noodzakelijk dat de consument zoveel mogelijk 20 zou worden behoed voor de onwenselijke gevolgen van overkreditering. Dit geschiedde middels de opname door de Europese wetgever van diverse informatieverplichtingen en de verplichting voor de kredietverstrekker om voorafgaand aan de kredietovereenkomst de kredietwaardigheid van de klant te toetsen, in de Richtlijn Consumentenkrediet. 21

Vereniging van Financieringsondernemingen in Nederland, ‘ Visie VFN en NVB op consumptieve

16

kredietverlening’ , (online, laatst bijgewerkt op 20 april 2007)

http://www.vfn.nl/2015/04/20/visie-vfn-en-nvb-op-consumptieve-kredietverlening/.

HR 13 juni 2014, ECLI:NL:HR:2014:1385.

17

DNB, Financiële stabiliteit: de risico’s van consumptief krediet, Kwartaalbericht maart 2006 (online publiek).

18

F.Ferretti, ‘ The Legal Framework of Consumer Credit Bureaus and Credit Scoring in the European Union:

19

Pitfalls and Challenges— Overindebtedness, Responsible Lending, Market Integration, and Fundamental Rights’ , Suffolk university law review, Vol. XLVI:791 2013, p. 792.

F.Ferretti, ‘ The Legal Framework of Consumer Credit Bureaus and Credit Scoring in the European Union:

20

Pitfalls and Challenges— Overindebtedness, Responsible Lending, Market Integration, and Fundamental Rights’, Suffolk university law review, Vol. XLVI:791 2013, p. 792.

MvT, Kamerstukken II 2009/10, 32 339, nr. 3.

(12)

!

Hoofdstuk 3. De droomklant

3.1. Inleiding

‘De laatste jaren komt er steeds meer informatie over consumenten beschikbaar. Dit komt enerzijds omdat bedrijven steeds meer gegevens registreren, verwerken en opslaan en anderzijds omdat het steeds beter mogelijk is om informatie uit deze systemen te halen.’ 22

Er bestaan voor kredietaanbieders diverse beweegredenen om gebruik te maken van profilering en geautomatiseerde besluitvorming. Gezien het karakter van een

kredietovereenkomst dat voor de aanbieder van het krediet nu eenmaal een inherent risico op niet-terugbetaling met zich meebrengt, beoogt de kredietaanbieder dikwijls om voorafgaande aan de daadwerkelijke contractsluiting een controle c.q. vooronderzoek uit te voeren met als doel de aspirant klant althans tot op zekere hoogte te kunnen inschatten. De aanbieder zal 23 zich aldus in de precontractuele fase een zo helder mogelijk beeld van de financiële positie van de klant willen vormen. Dit met het oogmerk om het risico dat de klant op enig moment zijn contractuele verplichtingen niet zal kunnen nakomen bij voorbaat zoveel mogelijk te beperken. Simpel gesteld luidt de vraag: zal de klant zijn rekening (kunnen) betalen?

Hiermee wordt meteen de andere kant van de medaille zichtbaar: ook de consument heeft er vanzelfsprekend baat bij adequaat beschermd te worden tegen de potentieel negatieve gevolgen van overkreditering. Het is bepaald niet zonder reden dat de Europese wetgever de kredietaanbieder zelfs de verplichting heeft opgelegd om voorafgaand aan het sluiten van de kredietovereenkomst de kredietwaardigheid van de consument in kwestie te beoordelen. De 24 enorme toename en diversiteit van het aantal beschikbare gegeven alsmede de opkomst van

data mining en machine learning waardoor uit ogenschijnlijk irrelevante, triviale 25 26

gegevens verbanden gelegd kunnen worden die uiteindelijk een gedetailleerde voorspelling over het gedrag van de aspirant opleveren, hebben er echter toe geleid dat profilering steeds vaker wordt ingezet als een instrument voor andere doeleinden dan het louter beschermen van de consument voor overkreditering. Zo is een recente trend het gebruik van profilering, om precies te zijn: credit scoring, ten einde de hoeveelheid potentiële winst te calculeren per klant op basis van een voorspelling van het toekomstige gedrag van deze. Dit kan soms tot

Citaat van het handelsinformatiebureau Experian, Adfo Direct Consumentendata, zoals geciteerd in

22

J-W. Heuvel, ‘Credit scoring en privacy’, Rechtshulp, nr. 10, 2003, p.1.

23

verkenningen Registratiekamer nr. 18, Den Haag: SDU Grafisch bedrijf 2000, p. 7. Zie art. 4:34 Wft.

24

Data mining is het geautomatiseerd en gericht zoeken naar verbanden en patronen in datasets.

25

Machine learning kan het beste worden omschreven als het fascinerende sub gedeelte van artificial

26

intelligence waarbij de ontdekte patronen in big data gebruikt worden door de computer om ‘zelfstandig’ te kunnen leren.

(13)

!

onverwachte uitkomsten leiden. Zo kunnen ook ‘risicovolle klanten’ winstgevend zijn indien de kredietaanbieder bijvoorbeeld een hogere rente van deze kan vragen. Oftewel, alhoewel 27 profilering in eerste instantie door kredietaanbieders louter werd gebruikt ter minimalisering van het aantal klanten dat hun kant van de overeenkomst niet zouden kunnen nakomen, wordt het heden ten dage tevens gebruikt ter identificering van die klanten die het meest

winstgevend zouden zijn. De grens tussen profilering ter voorkoming van overkreditering en het uitkiezen van de droomklant, lijkt te vervagen. Een noodzakelijke vraag is of dit wel mag. In de praktijk schakelen kredietaanbieders bij het maken van de afweging een contract al dan niet af te sluiten, en zo ja, tegen welke voorwaarden, frequent een derde partij in: een

handels- of kredietinformatiebureau. Zo’n bureau geeft dan advies aan de aanbieder van het product in de vorm van een kansberekening, die een indicatie geeft betreffende het al dan niet (kunnen) voldoen van de klant aan diens betalingsverplichtingen – een kansberekening die veelal wordt weergegeven in een score: de credit score. Credit scoring is een vorm van 28 profilering. Met het uitvoeren van een kredietwaardigheidstoets en het inschakelen van een derde partij ter assistentie is er de facto niets nieuws onder de zon. Kredietaanbieders raadplegen al sinds lange tijd het faillissementsregister Bureau Krediet Registratie, onder meer om inzage te krijgen in het vroegere betalingsgedrag van een potentiële klant en op grond daarvan een inschatting te kunnen maken van zijn toekomstig betalingsgedrag. Elke lening wordt immers geregistreerd bij het Bureau Krediet Registratie. Blijken er van een potentiële klant reeds de nodige leningen geregistreerd te staan bij het bovengenoemde bureau dan zou de kredietaanbieder hieruit de gevolgtrekking kunnen maken dat deze klant wellicht iets te veel (financieel) hooi op zijn vork neemt door nóg een nieuw krediet aan te willen gaan. Een negatieve registratie (naar aanleiding van het door een klant niet nakomen van zijn betalingsafspraken) zou iets kunnen zeggen over de waarschijnlijkheid van

toekomstige betalingsproblemen. Echter, waar kredietaanbieders vroeger hun besluit hoofdzakelijk baseerden op een kredietwaardigheidstoets die voornamelijk het blootleggen van een historie van (laks)betalingsgedrag inhield, maken kredietverstrekkers steeds vaker gebruik van data mining en machine learning waardoor uit ogenschijnlijk irrelevante, triviale gegevens verbanden gelegd kunnen worden die uiteindelijk een gedetailleerde voorspelling over het gedrag van de aspirant opleveren. Zo heeft een Amerikaanse bank via

big-data-analytics ontdekt dat mensen die kredietaanvragen met hoofdletters invullen gemiddeld vaker

betalingsachterstanden hebben. Hierbij wil ik opmerken dat er een belangrijk onderscheid 29

F. Ferretti, ‘ The ‘Credit Scoring Pandemic’ and the European Vaccine: Making Sense of EU Data Protection

27

Legislation’, Journal of Information, Law & Technology (JILT) 2009, p. 5 (online publiek) https://

www2.warwick.ac.uk/fac/soc/law/elj/jilt/2009_1/ferretti/ferretti.pdf.

28

verkenningen Registratiekamer nr. 18, Den Haag: SDU Grafisch bedrijf 2000, p. 7. Kamerstukken II 2016/17, 34616, 2.

(14)

!

dient te worden gemaakt tussen het registreren van iemands wellicht problematische betalingsachterstand, het registreren van eventuele leningen die iemand op enig moment is aangegaan en het op basis van geconstrueerde en toegepaste profielen analyseren en voorspellen van het toekomstige gedrag van de persoon in kwestie. Slechts het laatste -het analyseren en voorspellen op basis van geconstrueerde en toegepaste profielen- wordt als ‘profilering’ aangemerkt.

3.2. Handels- en kredietinformatiebureaus

Zoals reeds besproken schakelen kredietaanbieders bij het maken van de afweging om het contract al dan niet af te sluiten, als ook bij het stipuleren van de voorwaarden, dikwijls een derde partij in: een handels-of kredietinformatiebureau. Er bestaat geen eenduidige en bindende definitie van het begrip ‘informatiebureau’ binnen de Europese Unie. Voor het 30 doel van dit onderzoek zal ik de volgende definitie aanhouden: een onderneming of bedrijf waarvan de primaire inkomstenbron het leveren van data of van die data afgeleide gegevens over mensen en hun gedrag is, verzameld van bronnen anders dan het data subject zelf. 31 De informatiebureau-branche dateert van voor het ontstaan van het internet. Al decennialang zijn er bedrijven die zich specialiseren in het verzamelen en analyseren van data. Zo

verschenen er een eeuw geleden al rudimentaire vormen van credit scoring in Europa. 32 Vanwaar dan nu opeens alle mediahysterie over deze al decennia lang bestaande bedrijfstak? Het antwoord moet gezocht worden in de fabelachtige toename van data en in de innovatieve technieken die de toegang tot opslag, analyse en het delen van deze informatie (data) hebben vergemakkelijkt. In het hoofdstuk Profiling en Geautomatiseerde besluitvorming zal ik dieper ingaan op deze innovatieve technieken die de data-industrie als nooit tevoren doen floreren. Voor nu zou ik willen beklemtonen dat er inmiddels reeds sprake is van een data-economie met een zeer substantiële omvang. Het aantal bedrijven dat zich toelegt op het verzamelen, 33 analyseren en verder verwerken van persoonsgegevens neemt snel toe. Deze bedrijven kunnen zelf qua omvang bescheiden zijn maar hebben desalniettemin de capaciteit om enorme hoeveelheden data te verzamelen, analyseren en verder te verwerken. Het is 34 belangrijk om te realiseren dat er bij de verzameling en analyse van data als ook bij het

A. Rieke e.a., Data brokers in an open society (An Upturn Report,

30

prepared for the Open Society Foundations), 2016, p. 3.

31

32

33

Rapport van de expertgroep Big data en privacy aan de minister van Economische Zaken, Licht op de

34

(15)

!

ontwikkelen van afgeleide toepassingen, bedrijven betrokken zijn die zelf géén directe relatie met de consumenten in kwestie hebben maar wél hun diensten aan andere bedrijven en organisaties leveren. Binnen en tussen sectoren leidt dit er soms toe dat het uitwisselen en ten nutte maken van data een gecompliceerd proces is. 35

De informatiebureau-industrie is aldus zeer gevarieerd en complex. Informatiebureaus mogen onder hun klanten onder meer adverteerders, werkgevers, banken, verzekeraars, scholen, ziekenhuizen en overheidsinstellingen rekenen. Om in de behoeftes van deze 36

rijkgeschakeerde clientèle te voorzien, bieden informatiebureaus vaak diverse producten aan die uiteen kunnen lopen van een relatief simpele lijst met adresgegevens tot credit scores gebaseerd op ingewikkelde statische calculaties. In mijn onderzoek beperk ik mij tot het 37 scenario waarin een kredietaanbieder de klant is van een informatiebureau en, in beginsel, ter beoordeling van de kredietwaardigheid van een potentiële klant, een overeenkomst met deze afsluit. Meer in detail geformuleerd: informatiebureaus leveren, daartoe verzocht, producten aan kredietaanbieders die deze van nut zouden kunnen zijn bij het reduceren van het

kredietwaardigheidsrisico, het naleven van de wettelijke regels en tevens bij het definiëren van de voorwaarden waartegen de overeenkomst met de consument wordt gesloten. In de 38 praktijk verlaat bijna elke kredietaanbieder van enige betekenis zich op de via

informatiebureaus verkregen gegevens, zowel bij het in de markt zetten van een product als bij het in kaart brengen van risicoanalyses met betrekking tot de kredietwaardigheid van consumenten etc. 39

In tegenstelling tot de USA is er in Nederland relatief weinig bekend over het fenomeen informatiebureau terwijl we het toch over een inmiddels buitengewoon bloeiende industrie hebben. Ter illustratie van dat laatste: in 2012 alleen al boekten informatiebureaus wereldwijd naar schatting een omzet van zo’n 156 biljoen Amerikaanse dollars! Het is niet voor niets 40 dat data gekscherend ook wel ‘the new oil’ wordt genoemd. Uit een onderzoek uitgevoerd door Bits of Freedom in samenwerking met De Correspondent blijkt dat er in Nederland

Rapport van de expertgroep Big data en privacy aan de minister van Economische Zaken, Licht op de

35

digitale schaduw, verantwoord innoveren met big data, 2016, p. 11.

36

prepared for the Open Society Foundations), 2016, p. 7-8.

37

prepared for the Open Society Foundations), 2016, p. 7/8.

38

39

WebpageFX Team, ‘ What Are Data Brokers – And What Is Your Data Worth? [Infographic]’ , (online, laatst

40

bijgewerkt op 16 april 2015) https://www.webpagefx.com/blog/general/what-are-data-brokers-and-what-is-your-data-worth-infographic/.

(16)

!

tenminste 180 ‘informatiebureaus’ actief zijn waaronder bekende bedrijven als Experian, Graydon, Focum, EMDR en 4Orange. Het gebrek aan informatie over de informatiebureau-41 industrie in Nederland lijkt voor een groot deel veroorzaakt door het gebrek aan transparantie in deze bedrijfstak. Zo is het achterhalen van de actuele bronnen van data die deze

informatiebureaus gebruiken voor het creëren van hun producten, vrijwel onmogelijk. De 42 informatiebureau-industrie lijkt, in Nederland, in een waas van geheimzinnigheid te zijn gehuld. Informatiebureaus zijn zeer terughoudend in het delen van details omtrent hun data bronnen wegens het concurrentiegevoelige karakter van deze informatie.

Wat duidelijk is dat informatiebureaus gebruik maken van diverse types data afkomstig uit diverse bronnen. Veel informatie is afkomstig uit publieke bronnen zoals het Bureau Krediet Registratie, het Centraal Bureau voor de Statistiek, Kadaster, etc. Daarnaast wordt er data 43 verzameld via het uitvoeren van enquêtes waarin mensen vragen voorgelegd krijgen over hun interesses, leefstijl en woonomgeving. Deze persoonlijke -individuele- informatie 44 wordt vervolgens gebruikt voor het construeren en toepassen van groepsprofielen. Een 45 derde bron van data wordt gevormd door commerciële partijen. Er is een onbekend aantal commerciële partijen dat klantgegevens (data) verhandelt aan informatiebureaus. Wie deze partijen precies zijn, dat willen informatiebureaus vrijwel nooit onthullen, dit om te

voorkomen dat aldus concurrentiegevoelige informatie wordt prijsgegeven. Wat er gebeurt 46 is dat een commerciële partij een ‘beperkingsclausule’ opneemt in zijn algemene

voorwaarden; wanneer de klant de algemene voorwaarden accepteert verleent hij

‘automatisch’ ook toestemming om zijn gegevens te laten verwerken en delen met derde partijen. Zo geeft iemand bijvoorbeeld door het accepteren van de algemene voorwaarden

F. Kreiken, Data brokers and profiling in the Netherlands (Transparent consumers, bits of freedom), p. 13

41

(online, laatst bijgewerkt op 4 februari 2016) https://www.edri.org/files/transparent-consumers-bits-of-freedom.pdf.

42

F. Kreiken, Data brokers and profiling in the Netherlands (Transparent consumers, bits of freedom), p. 14

43

(online, laatst bijgewerkt op 4 februari 2016) https://www.edri.org/files/transparent-consumers-bits-of-freedom.pdf.

D. Tokmetzis, ‘Zo houden datahandelaren ons in de gaten (maar wie controleert hen?)’ (De correspondent),

44

2015 (online publiek) https://decorrespondent.nl/3472/zo-houden-datahandelaren-ons-in-de-gaten-maar-wie-controleert-hen/377813634352-70e0c6f6.

Frank de Beun van EDM legt uit hoe dat gaat: ‘Als we enquêtes rondsturen, krijgen we bijvoorbeeld

45

gegevens terug van burgers die hockeyen. We zien dat die gemiddeld een hoger inkomen hebben, tussen de 30 en 40 jaar zijn en kinderen hebben. Deze resultaten passen we toe op heel Nederland. Het is een kans dat jij een bepaalde hobby of interesse hebt. Misschien klopt het niet voor elk huishouden, maar die foutmarge heb je altijd.’, Bron: D. Tokmetzis, ‘Zo houden datahandelaren ons in de gaten (maar wie controleert hen?)’ (De correspondent), 2015 (online publiek) https://decorrespondent.nl/3472/zo-houden-datahandelaren-ons-in-de-gaten-maar-wie-controleert-hen/377813634352-70e0c6f6.

D. Tokmetzis, ‘Zo houden datahandelaren ons in de gaten (maar wie controleert hen?)’ (De correspondent),

46

2015 (online publiek) https://decorrespondent.nl/3472/zo-houden-datahandelaren-ons-in-de-gaten-maar-wie-controleert-hen/377813634352-70e0c6f6.

(17)

!

van PayPal, aan PayPal toestemming tot het met derden delen van zijn gegevens. Op de 47 indrukwekkende lijst van ‘derden’ (anderen dan klanten van PayPal) met wie persoonlijke gegevens mogen worden gedeeld prijken onder meer informatiebureaus als LexisNexis, Ayden BV, Experian Information Solutions, etc. Ten slotte vormen online bronnen als social 48 media (Linkdn, Facebook, Google) vanzelfsprekend een alsmaar voller wordende schatkamer met data voor informatiebureaus. 49

Zie bijvoorbeeld art. 12.2 van de gebruikersovereenkomst van PayPal-services (laatstelijk gewijzigd op 27

47

april 2017): (...) Mogelijk overhandigen we deze informatie die naar onze mening in zulke omstandigheden

relevant is in overeenstemming met ons Privacybeleid aan derden.

PayPal, Lijst van derden (anderen dan klanten van PayPal) met wie persoonlijke gegevens mogen worden

48

gedeeld (online, laatst bijgewerkt op 1 juli 2017) https://www.paypal.com/nl/webapps/mpp/ua/third-parties-list.

Sociale media en andere online bronnen, zoals websites van bedrijven, zijn publiek.

49

Handelsinformatiebureaus kunnen die informatie dus ook inzien,’ aldus Gertjan Kaart, voorzitter van de Nederlandse Vereniging van Handelsinformatiebureaus (NVH).

(18)

!

Hoofdstuk 4. Profilering en geautomatiseerde besluitvorming

4.1. Big Data

Big data is zonder twijfel een van de grootste hypes van dit moment. Te pas en te onpas

wordt de term gebezigd, maar waarover hebben we het nu eigenlijk precies? Een veelgebruikte definitie van big data is gegeven door Gartner :

“...high-volume, high-velocity and high-variety information assets that demand cost-effective, innovative forms of information processing for enhanced insight and decision making.” 50

Vandaag de dag worden in de literatuur aan deze definitie dikwijls nog 2 ‘V’s’ toegevoegd:

‘Veracity’ en ‘Value’. In het kort zal ik, ten behoeve van de helderheid, elke V, elk kenmerk

van Big Data, kort toelichten.

● Volume: betreft niet alleen grote hoeveelheden bestaande data maar bovenal de zeer snelle toename van data. Naar schatting creëren we dagelijks 2,3 triljoen gigabytes aan data. Een aantal dat volgens alle prognoses alleen maar toe zal blijven nemen. 51 De immense toename van data is het directe gevolg van ‘the internet of things’. 52 ● Velocity: duidt op de enorme snelheid waarmee data wordt gegenereerd en verwerkt. 53 ● Variety: betreft de verschillende typen databestanden waaruit big data bestaat, de

ongestructureerdheid. 54

● Veracity: verwijst naar de (on)betrouwbaarheid van de verzamelde data. Vanwege het ontbreken van structuur en het feit dat het dikwijls om niet gecontroleerde of

gevalideerde data gaat is de betrouwbaarheid laag. 55

De door Gartner gegeven 3 V’s zoals geciteerd in ICO, Big data, artificial intelligence, machine learning and

50

data protection, version 2.1 2017, p. 6 (online publiek) https://ico.org.uk/media/for-organisations/documents/

2013559/big-data-ai-ml-and-data-protection.pdf.

D. Majster, ‘De vier V’s van big data’ (online, laatst bijgewerkt op 5 november 2013)

51

http://bnl.intersystems.com/nl/blog/bid/348348/de-vier-v-s-van-big-data.

The internet of things refereert naar de ontwikkeling waarbij alles zoveel mogelijk aan het internet is

52

gekoppeld. Gevaren als dagelijks voorkomende ‘hacks’ en het verlies van onze privacy liggen op de loer. – Erno Mijland, Manager Innovatie bij Innofun stelt treffend: ‘ We zullen als mensheid meer mens moeten worden, als

onze omgeving technologischer wordt’.

S. Sahu &Y. Dhote, ‘A Study on Big Data: Issues, Challenges and Applications’ , International Journal of

53

Innovative Research in Computer and Communication Engineering vol.4, Issue 6, June 2016, p. 10613. S. Sahu &Y. Dhote, ‘A Study on Big Data: Issues, Challenges and Applications’, International Journal of

54

Innovative Research in Computer and Communication Engineering vol.4, Issue 6, June 2016, p. 10613. S. Sahu &Y. Dhote, ‘A Study on Big Data: Issues, Challenges and Applications;, International Journal of

55

(19)

● Value: verwijst naar de waarde van data. Uit de datasets kan informatie gehaald worden door de data te analyseren, via correlaties en patroonherkenning. Wat is de 56 potentiële waarde van deze verzamelde data?

4.2. Big Data Process

‘Big data are worthless in a vacuum’ 57

Zoals reeds eerder opgemerkt vindt het verzamelen en analyseren van data voor commerciële doeleinden al sinds geruime tijd plaats. Echter, in de afgelopen decennia, is de collectie van data ‘big business’ geworden. Deze opbloei van de data-industrie is met name op het conto 58 te schrijven van innovatieve technieken als machine learning en data mining waardoor enorme databestanden snel geanalyseerd kunnen worden en nieuwe, waardevolle – dikwijls ook onverwachte – verbanden en patronen ontdekt worden die het ‘menselijk oog’ voorheen ontgaan waren. Big data kan aldus niet louter gezien worden als een technologische

ontwikkeling, maar ook als een nieuw sociaal-economisch paradigma, waarbij het verwerken van grote hoeveelheden gegevens resulterend in het verwerven van inzichten en het op grond van die inzichten verantwoord beslissingen kunnen nemen, centraal staat. Bovengenoemde 59 patronen en verbanden kunnen worden aangewend voor het construeren en vervolgens toepassen van profielen waardoor analyses van c.q. voorspellingen over menselijk gedrag mogelijk gemaakt worden. Bedrijven (waaronder kredietaanbieders) kunnen deze

voorspellingen gebruiken bij de totstandkoming van besluiten. Deze, op profilering gebaseerde besluitvorming, kan zowel automatisch geschieden (geautomatiseerde

besluitvorming) maar ook ‘traditioneel’ (met tussenkomst van de mens). In het laatste geval (traditionele besluitvorming) worden profielen ter beschikking gesteld aan degenen die de beslissingen moeten nemen – je zou kunnen zeggen als een vorm van digitale ondersteuning bij het besluitvormingsproces.

Het moge duidelijk zijn dat de potentiële waarde van data pas werkelijk tot uiting komt

wanneer er van data gebruik gemaakt wordt in het kader van een besluitvormingsproces. Zo 60

L. Kool, J. Timmer & R. van Est, De datagedreven samenleving Achtergrondstudie, Den haag: Rathenau

56

Instituut 2015, p. 5.

A. Gandomi & M. Haider, ‘Beyond the hype: Big data concepts, methods, and analytics’, International

57

Journal of Information Management 35 2015, p. 140.

N. Roethlisberger, ‘Someone is Watching: The Need for Enhanced Data Protection,’ Hastings Law Journal

58

Volume 62, Issue 6 2011, 1793-1838.

L. Kool, J. Timmer & R. van Est, De datagedreven samenleving Achtergrondstudie, Den haag: Rathenau

59

Instituut 2015, p. 43.

A. Gandomi & M. Haider, ‘Beyond the hype: Big data concepts, methods, and analytics’, International

60

(20)

!

zou er bijvoorbeeld een verband kunnen worden gevonden tussen het bedrijven van de hockeysport en het wonen ‘op stand’. Op basis van deze (niet geheel onverwacht) ontdekte correlatie, en de aan de hand daarvan geconstrueerde en toegepaste profielen, lijkt de voorspelling dat mensen die de hockeysport bedrijven doorgaans kredietwaardig zullen blijken allerminst gewaagd. Kredietaanbieders kunnen deze voorspelling/aanname een wezenlijke rol laten spelen bij het nemen van een besluit omtrent het wel of niet sluiten van een kredietovereenkomst met de consument. Oftewel: via het analyseren van data door middel van innovatieve analytische software is het mogelijk geworden nieuwe informatie (kennis) uit data te genereren die benut kan worden bij dikwijls gecompliceerde

besluitvormingsprocessen enen derhalve van grote economische en maatschappelijke waarde kan zijn. Vandaar ook de toevoeging van de ‘vijfde V’: value. 61

In het licht van het voorgaande zou ik de term ‘big data process’ willen introduceren. In dit proces kunnen er drie fases worden onderscheiden: Onderstaande afbeelding geeft

schematisch weer hoe dit proces verloopt.

!

Het verloop van het big data proces.

De betekenis van big data is mijns inziens voornamelijk gelegen in de kennis en inzichten die uit deze data te destilleren zijn middels analyse door nieuwe, geavanceerde

(gedrags)modellen en technieken. Ook de Europese wetgever lijkt zich hiervan bewust te 62 zijn zoals blijkt uit het expliciet opnemen van het ‘voorspellende en analyserende’ doel van profilering in artikel 4 AvG. De opkomst van de desbetreffende geavanceerde

analysetechnieken (in het bijzonder machine learning en data mining) was het even logische als natuurlijke gevolg van de opkomst van big data. De ‘volume, velocity en variety’

karakteristieken, eisen immers het gebruik van geavanceerdere en complexere analytics en

Gebruik geanalyseerde data in het besluitvormingspr oces Proces van analyse Data verzameling

Kool, L, J. Timmer & R. van Est, De datagedreven samenleving - Achtergrondstudie, Den Haag, Rathenau

61

Instituut 2015, P. 20-21.

Rapport van de expertgroep Big data en privacy aan de minister van Economische Zaken, ‘Licht op de

62

digitale schaduw; Verantwoord innoveren met Big Data’, Den Haag, Ministerie van Economische Zaken: 2016,

(21)

!

hebben dan ook als een katalysator gewerkt voor het ontstaan van ‘big-data-analytics’. Big-63

data-analytics fungeert als een parapluterm die diverse geavanceerde analytische systemen

(machine learning en data mining) omvat en wordt voornamelijk gebezigd om het onderscheid tussen deze zeer geavanceerde analytische en de traditionele

verwerkingsmethodes aan te geven. Enkele onderscheidende aspecten van big-data-analytics zijn:

● Het gebruik van algoritmes. 64

● De opaciteit (ondoorzichtigheid) van de verwerking van data. 65 ● De neiging om alle mogelijke data te verzamelen. 66

● Hergebruik van data. 67

● Het gebruik van nieuwe soorten data. 68

Zoals reeds gezegd, fungeert de term big-data-analytics als een overkoepelende term die diverse innovatieve analytische systemen integreert, waaronder machine learning en data

mining die beide aan de wieg stonden van geautomatiseerde profilering. Zowel machine learning als data mining dienen als een subonderdeel van kunstmatige intelligentie (KI) te

worden beschouwd. Kunstmatige intelligentie wordt meestal gedefinieerd als de 69

wetenschap van het ‘computers dingen laten doen die intelligentie vereisen zouden zij door mensen gedaan worden.’ Beide termen (machine learning en data mining) worden vaak 70 door elkaar heen geen gebruikt maar er kan wel degelijk een onderscheid gemaakt worden.

Machine learning refereert naar de studie, het ontwerp, en ontwikkeling van algoritmes die

zelflerend zijn en aldus computers de mogelijkheid geven om ‘te leren zonder hiervoor expliciet geprogrammeerd te hoeven zijn’. Data mining kan worden gedefinieerd als het 71 proces van het systematisch en geautomatiseerd doorzoeken van een database en het

ICO, Big data, artificial intelligence, machine learning and data protection, version 2.1 2017, p. 9.

63

ICO, Big data, artificial intelligence, machine learning and data protection, version 2.1 2017, p. 9-14.

64

65

66

67

68

69

ICO, Big data, artificial intelligence, machine learning and data protection, version 2.1 2017, p. 7.

70

A.Munoz, ‘Machine Learning and Optimization ’, Courant Institute of Mathematical Sciences, New York

71

(22)

onttrekken van patronen en verbanden die vooraf niet bekend zijn. Gedurende dit proces 72 worden machine learning algorithms gebruikt. 73

Heden ten dage wordt profilering, middels machine learning en data mining, in de private sector wereldwijd en zeer veelvuldig gebruikt. Ook kredietaanbieders baseren in 74

toenemende mate hun beslissingen over het al dan niet toekennen van consumentenkrediet en de voorwaarden van zo’n krediet, op deze automatisch gegenereerde profielen. 75

4.3. Profilering; data mining en machine learning

Zoals reeds uiteengezet, is profilering het product van een data minings proces waarin gebruik gemaakt wordt van machine learning algoritmes. In dit proces worden grote

databases doorzocht via algoritmes teneinde patronen of correlaties tussen data op het spoor te komen. Wanneer deze aldus naar de oppervlakte gebrachte correlaties worden aangewend voor de constructie en toepassing van profielen op subjecten met het oogmerk om specifiek gedrag van het subject te analyseren of voorspellen, is er sprake van profilering. In andere woorden: profilering is het proces van het, door middel van data mining en machine learning, ontdekken/naar de oppervlakte brengen van correlaties tussen data in databases die gebruikt kunnen worden om een subject te identificeren en te representeren en/of de toepassing van profielen (sets van gecorreleerde data) teneinde een subject te identificeren en te

representeren dan wel een subject te identificeren als zijnde lid van een groep of categorie. 76

Profilering kan zowel direct dan wel indirect plaatsvinden. We spreken van directe 77 profilering wanneer een profiel wordt toegepast op een individu gebaseerd op data

betreffende diens eigen gedrag uit het verleden, terwijl bij indirecte profilering een profiel wordt toegepast gebaseerd het vroegere gedrag van ánderen dan het subject, maar wel

behorend tot dezelfde categorie en dezelfde kenmerken hebbend als het subject. Profilering 78

L. Tien, ‘Privacy, Technology and Data Mining’, Ohio Northern University Law Review, Vol.30, Issue

72

3(2004), p.393.

M.L. Rich, ‘Machine Learning, Automated Suspicion Algorithms, and the Fourth Amendment’, University of

73

Pennsylvania Law Review, Vol.164, Issue 4 (Maart 2016), p.880.

G. G. Fuster, S. Gutwirth, E. Ellyne, ‘Profiling in the European Union: A high-risk practice ‘, Centre for

74

European Policy Studies: juni 2010, n.10, p.1.

F. Ferretti, ‘Credit Bureaus Between Risk-Management, Creditworthiness Assessment and Prudential

75

Supervision’, European University Institute, Department of Law: EUI Working Paper LAW 2015/20, p.9.

G. G. Fuster, S. Gutwirth, E. Ellyne, ‘Profiling in the European Union: A high-risk practice ‘, Centre for

76

European Policy Studies: juni 2010, n.10, p.2.

M. Hildebrandt & S. Gutwirth (red), ‘Profiling the European Citizen: Cross-Disciplinary Perspectives’,

77

Springer: 2008, p.40-43.

M. Hildebrandt & S. Gutwirth (red), ‘Profiling the European Citizen: Cross-Disciplinary Perspectives’,

78

(23)

!

methoden voorspellen aldus enerzijds de toekomstige performance van groepen cliënten met specifieke kenmerken door hen te vergelijken met de historische performance van

vergelijkbare groepen met dezelfde kenmerken. Anderzijds kan het blootleggen van 79 iemands (lakse) betalingsgedrag een indicatie geven over het toekomstige betalingsgedrag van die persoon Data mining en machine learning maken de verwerking van allerlei type 80 data mogelijk; zij is in ieder geval niet beperkt tot de verwerking van persoonsgegevens. Kenmerkend aan profilering is het feit dat de gevonden correlatie een bepaalde relatie aangeeft tussen data zonder de oorzaken of redenen hiervoor vast te stellen. Wanneer men 81 op grond van gevonden correlaties voorspellingen doet dan gebeurt dat de facto uitsluitend op basis van het verleden. Correlaties zeggen iets over de waarschijnlijkheid dat bepaalde

wetmatigheden/patronen uit het verleden zich ook in de toekomst voor zullen doen. Wat ze niet aangeven is waaróm dit het geval zou moeten zijn. Daarbij is het van essentieel belang dat men zich realiseert dat ook déze ‘voorspelling’ niet uit het niets komt. Zij is immers gebaseerd op een profiel dat de uitkomst is van een data mining proces waarbij gebruik wordt gemaakt van machine learning algoritmes. De keuze voor de desbetreffende algoritmes of verzamelde data is onvermijdelijk gerelateerd aan menselijke voorkeuren en wellicht zelfs ook vooroordelen. Immers, achter elke algoritme schuilt een software algoritme ontwikkelaar met zijn of haar eigen maatschappelijke visie. In het hoofdstuk Knelpunten zal ik beschrijven hoe dit kan leiden tot ongewenste gevolgen als discriminatie of uitsluiting van bepaalde groepen van de voordelen van consumentenkredietovereenkomsten.

79

80

Wetenschappelijke Raad voor het Regeringsbeleid, ‘Big data in een vrije en veilige samenleving’, Amsterdam

81

(24)

!

Hoofdstuk 5. Knelpunten

5.1. Inleiding

Alhoewel big data in de bedrijfswereld veelal wordt geprofileerd als ‘the new oil’, en de voordelen van profilering en geautomatiseerde besluitvorming voor kredietaanbieders niet te onderschatten zijn, heb ik aangegeven dat dit alles een schaduwzijde heeft waar vooralsnog in overwegende mate de consument de dupe van lijkt te worden. Voor het sluiten van een consumentenkredietovereenkomst is de consument immers steeds vaker afhankelijk van een ‘goede credit score’ of anderszins positieve profilering. Middels dit hoofdstuk zal ik de knelpunten bespreken van het gebruik van profilering en geautomatiseerde besluitvorming door kredietaanbieders via het gebruik van big data, vanuit het oogpunt van de consument.

5.2. Uitsluiting

Verregaande profilering en geautomatiseerde besluitvorming op basis van verzamelde gegevens raakt de autonomie van de mens. Profilering kan immers het gevolg hebben dat individuen bepaalde mogelijkheden wordt ontnomen op basis van een voorspelling van zijn of haar gedrag. Hierbij kan men denken aan het niet kunnen afsluiten van een

consumentenkredietovereenkomst wegens een ‘risicovol profiel’. De opkomst van

big-data-analytics heeft bovendien als een katalysator gewerkt voor het gebruik van groepsprofielen.

Deze groepsprofielen kunnen echter, indien er essentiële verschillen ontstaan in behandeling van individuen op basis van deze profielen, leiden tot discriminatie of ongerechtvaardigde uitsluiting. 82

Deze verregaande gevolgen worden veelal vergoelijkt door een bepaald geloof in de

objectiviteit en verklarende kracht van gegevens, wat Boyd en Crawford (2011) de mythe van

big data noemen. Deze mythe is gebaseerd op het geloof dat, wanneer je de menselijke 83 factor uit het besluitvormingsproces verwijdert, tevens de menselijke biassen hieruit

weghaalt. Uitsluiting van individuen van een consumentenkredietovereenkomst op basis van discriminatie of vooroordelen zou hiermee tot het verleden gaan behoren. Dit ideaalbeeld is echter tot nu toe nog steeds een illusie gebleken. Crawford en anderen (bv. Gitelman 2013; Gillespie 2013) laten zien dat het verzamelen, analyseren en visualiseren van gegevens geen

82

Instituut 2015, P. 43.

83

(25)

!

neutraal proces is. Ondanks dat de menselijke factor wellicht zeer marginaal is geworden in 84 het besluitvormingsproces is zij nog steeds niet compleet afwezig. In elke stap van

dataverzameling, tot aan datavisualisatie, worden keuzes en interpretaties gemaakt die het eindresultaat beïnvloeden – net als ieder statistisch onderzoek. Deze keuzes kunnen nog 85 steeds beïnvloed zijn door menselijke biassen en vooroordelen wat kan leiden tot de

discriminatie, stigmatisering of uitsluiting van individuen. Een bijkomend gevaar is het feit dat door de complexiteit en ondoorzichtigheid van data mining en machine learning de gemaakte keuzes aan het eind van het dataproces niet altijd meer zichtbaar zijn, zeker voor de manager of beleidsmaker die zijn beslissing op de data moet baseren. Nu het 86

profileringsproces steeds ondoorgrondelijker wordt, lijkt het aldus steeds moeilijker om te begrijpen hoe bepaalde correlaties en patronen tot stand zijn gekomen op basis waarvan voorspellingen en aannames omtrent de persoonlijke voorkeuren en het gedrag van

individuen kunnen worden gedaan. Bovenstaande in acht nemende moet men zich afvragen hoe je nog valse positieven kan voorkomen? Zo is er bijvoorbeeld een statistisch verband gevonden tussen een toename in het aantal Nicolas Cage film en het aantal

verdrinkingsdoden in zwembaden. Bovendien dient men zich te realiseren dat, zelfs indien 87 er bepaalde correlaties uit de analyse van big data voortvloeien op een grootschalig

populatieniveau, dit niet betekent dat deze uitkomst in een bepaald geval voor het individu opgaat. Correlaties kunnen derhalve wel iets zeggen over een kans, maar zijn geen 88

vaststaande feiten. In de praktijk lijkt voorgaande nog wel eens te worden vergeten. Zo wordt aan een kredietscore door kredietaanbieders, hoewel een louter subjectieve voorspelling van iemands kredietwaardigheid, een onwrikbare waarde gehecht. Alhoewel de afhankelijkheid van individuen van een ‘goed profiel’ derhalve steeds groter wordt, lijkt de burger en consument steeds minder grip te hebben op de wijze waarop deze profielen tot stand komen. De (digitale) autonomie van de consument is in het geding. 89

84

Instituut 2015, P.43.

85

86

S.Blauw, ‘Deze statistische fout wordt in bijna elk debat gemaakt (en zo pik je haar eruit)’ (De

87

correspondent), 2016 (online publiek)

https://decorrespondent.nl/4133/deze-statistische-fout-wordt-in-bijna-elk-debat-gemaakt-en-zo-pik-je-haar-eruit/ 60146366962-64c184de.

Big data rapport Commissie voor de bescherming van de persoonlijke levenssfeer, AH-2016-0154.

88

89

(26)

!

Hoofdstuk 6. Wettelijk Kader

6.1. Inleiding

Zowel de Richtlijn Consumentenkrediet als de AvG hebben (mede) ten doel bescherming te bieden aan de sociaaleconomisch zwakkere partij, de consument en het data-subject, waar het de relatie met de sociaaleconomisch sterkere wederpartij betreft, de (professionele)

kredietaanbieder en tevens vaak data-verantwoordelijke te beschermen. Een natuurlijk persoon fungeert in de praktijk aldus dikwijls tegelijkertijd als data subject en consument. In dit hoofdstuk tracht ik uiteen te zetten hoe dit streven naar protectie van de consument/het data subject heeft geleid tot restricties in de vrijheid van kredietaanbieders om gebruik te maken van profilering en geautomatiseerde besluitvorming ter beoordeling van de kredietwaardigheid van de aspirant consument en in welke mate deze restricties daadwerkelijk de maatschappelijke realiteit weerspiegelen. Hierbij heb ik mij moeten beperken tot een analyse van de algemene beginselen en het ‘verbod’ op geautomatiseerde besluitvorming uit de AvG in relatie tot de kredietwaardigheidstoets uit de Richtlijn Consumentenkrediet.

6.2. Richtlijn Consumentenkrediet

De Richtlijn Consumentenkrediet heeft twee doeleinden. Ten eerste beoogt zij bij te dragen aan een goed functioneren van de interne markt. Ten tweede is het streven de consument 90 bescherming te bieden bij het sluiten van kredietovereenkomsten, teneinde diens vertrouwen niet te schaden en het vrije verkeer van kredietaanbiedingen voor zowel kredietgevers als kredietnemers optimaal te laten verlopen. 91

Aan het moment dat partijen een akkoord bereiken over ‘hun’ overeenkomt gaat meestentijds een kortere of langere periode van onderhandelen vooraf, veelal aangeduid als de

‘precontractuele fase’. Omdat een consumentenkredietovereenkomst juridisch als een ‘bijzondere’ overeenkomst wordt aangemerkt waar diverse risico's aan verbonden zijn, heeft de wetgever extra waarborgen in de precontractuele fase ingebouwd Aan de kwalificatie van consumentenkredietovereenkomst zijn derhalve door de Europese wetgever diverse

rechtsgevolgen verbonden. In Nederland ziet de Autoriteit Financiële Markten toe op 92 naleving van deze regels.

Preambule van de Richtlijn Consumentenkrediet 2008/48/EG, paragraaf 7.

90

Preambule van de Richtlijn Consumentenkrediet 2008/48/EG, paragraaf 8.

91

M.H.P. Claassen & J.L. Snijders, ‘Consumentenkrediet’, Journaal Ondernemingsrecht: 2011, nr.7, p.194-202.

(27)

!

In het kader van dit onderzoek beperk ik mij tot de bestudering van artikel 8 van de Richtlijn Consumentenkrediet dat de verplichting oplegt aan de kredietgever om voorafgaand aan het sluiten van de kredietovereenkomst de kredietwaardigheid van de consument te beoordelen.

6.3. De kredietwaardigheidstoets

In artikel 8 van de Richtlijn Consumentenkrediet is de belangrijke gedragsregel neergelegd dat een aanbieder van krediet, voordat de kredietovereenkomst wordt gesloten, de

kredietwaardigheid van de consument onder de loep moet nemen. Het is de aanbieder niet toegestaan een kredietovereenkomst met een consument aan te gaan indien deze, vanwege overkreditering van de consument, onverantwoorde risico’s met zich meebrengt. Lid 1 van het artikel luidt als volgt:

De lidstaten zorgen ervoor dat de kredietgever de kredietwaardigheid van de consument voor het sluiten van de kredietovereenkomst beoordeelt op basis van toereikende informatie die, in voorkomend geval, is verkregen van de consument en, waar nodig, op basis van een

raadpleging van het desbetreffende gegevensbestand. Lidstaten van wie de wetgeving van kredietgevers vereist dat zij de kredietwaardigheid van consumenten op basis van een raadpleging van het desbetreffende gegevensbestand beoordelen, kunnen dit vereiste behouden.

De kredietwaardigheidstoets is een open norm waar iedere aanbieder van krediet zelf invulling aan moet geven. De richtlijn biedt zelf opvallend weinig handvatten om de

strekking van artikel 8 helder te kunnen duiden en laat hier, in mijn opinie, een cruciale kans liggen om de grenzen van bovengenoemde open norm te specificeren. Het Hof van Justitie van de Europese Unie (hierna: HvJ-EU) heeft echter in enkele van haar uitspraken enige duidelijkheid gegeven. In LCL Le Crédit Lyonnais SA v Fesih Kalhan interpreteert zij de strekking van artikel 8 van de Richtlijn Consumentenkrediet. Zij oordeelt in deze zaak dat de kredietwaardigheidstoets bestemd is om consumenten te beschermen tegen de risico’s van overkreditering en faillissement. De verplichting om een kredietwaardigheidstoets uit te voeren moet aldus in het belang van de consument zijn. 93

Ofschoon men wellicht zou kunnen veronderstellen dat artikel 8 de kredietaanbieder expliciet de verplichting oplegt om een kredietbureau in te schakelen, is dit niet het geval. Artikel 8 94 stipuleert slechts dat de kredietwaardigheidstoets moet worden gebaseerd op ‘toereikende

HvJ EG 27 maart 2014, ECLI:EU:C:2014:190, R.0. 42 (LCL Le Crédit Lyonnais SA v Fesih Kalhan).

93

F. Ferretti, ‘The Legal Framework of Consumer Credit Bureaus and Credit Scoring in the European Union:

94

Pitfalls and Challenges— Overindebtedness, Responsible Lending, Market Integration, and Fundamental Rights’, Suffolk university law review, Vol. XLVI:791 2013, p.804.

(28)

!

informatie’. De kredietaanbieder kan ‘wanneer zulks geëigend is’ deze informatie direct via de consument verkrijgen of – ‘indien noodzakelijk’ – door middel van het consulteren van een database. De consultatie van databases beheerd door private kredietbureaus blijft aldus 95 niet-bindend van karakter. 96

In het oog springend is het niet of nauwelijks formuleren van helder omschreven criteria met betrekking tot de wijze waarop kredietaanbieders aan hun informatie mogen komen, teneinde de kredietwaardigheid van de consument in te schatten. De vraag in hoeverre het doel (het voorkomen van overkreditering) de middelen (profilering en geautomatiseerde

besluitvorming) heiligt, lijkt in grotendeels onbeantwoord te zijn gebleven. Zeer frequent is het hanteren van een credit score waarmee de kredietwaardigheid voorspeld wordt. De Europese wetgever lijkt vragen over de vrijheid die kredietaanbieders al dan niet hebben om profilering te betrekken bij het uitvoeren van kredietwaardigheidstoetsen, niet specifiek in deze Richtlijn te willen beantwoorden. Liever verwijst men in dit verband naar het Europese dataprotectierecht; Artikel 9(4) van de Richtlijn stelt bijvoorbeeld dat ook wanneer

aanbieders van consumentenkrediet gebruik maken van databases, dit in overeenstemming moet zijn met de Richtlijn 95/46: nu de AvG. Concluderend is het dus met name het dataprotectierecht zoals vastgelegd in de AvG, dat de wijze waarop kredietaanbieders kredietwaardigheidstoetsen via profilering en geautomatiseerde besluitvorming mogen uitvoeren, reguleert.

6.4. Algemene Verordening Gegevensbescherming

Per 25 mei 2018 is de AvG van toepassing die de richtlijn 95-46-EG vervangt en daarmee een groot deel van de huidige EU-wetgeving betreffende persoonsgegevensbescherming. Dat betekent dat er vanaf die datum dezelfde privacywetgeving geldt binnen de gehele Europese Unie (EU). De Wet bescherming persoonsgegevens (Wbp) is dan niet langer meer van kracht. De AvG borduurt voort op de hierboven genoemde richtlijn zodat een groot deel van de bestaande wetgeving niet wezenlijk veranderd, maar herbergt tevens enkele ingrijpende wijzigingen die op een adequatere bescherming van het data-subject gericht zijn.

F. Ferretti, The Legal Framework of Consumer Credit Bureaus and Credit Scoring in the European Union:

95

Pitfalls and Challenges— Overindebtedness, Responsible Lending, Market Integration, and Fundamental Rights, Suffolk university law review, Vol. XLVI:791 2013, p.804-805.

F. Ferretti, The Legal Framework of Consumer Credit Bureaus and Credit Scoring in the European Union:

96

Pitfalls and Challenges— Overindebtedness, Responsible Lending, Market Integration, and Fundamental Rights, Suffolk university law review, Vol. XLVI:791 2013, p.804-805.