| Ingediend | 24 april 2025 |
|---|---|
| Beantwoord | 1 juli 2025 (na 68 dagen) |
| Indiener | Michiel van Nispen (SP) |
| Beantwoord door | Struycken , Judith Uitermark (minister ) (NSC), Zsolt Szabó (VVD) |
| Onderwerpen | bestuur rijksoverheid |
| Bron vraag | https://zoek.officielebekendmakingen.nl/kv-tk-2025Z08278.html |
| Bron antwoord | https://zoek.officielebekendmakingen.nl/ah-tk-20242025-2593.html |
Wij hebben kennis genomen van het artikel. De auteur, Fatma Çapkurt, bespreekt in dit artikel het advies van de Autoriteit Persoonsgegevens (AP) over geautomatiseerde besluitvorming en geautomatiseerde risicoselectie in relatie tot artikel 22 van de Algemene verordening gegevensbescherming (AVG).2 Artikel 22, eerste lid, AVG verbiedt het nemen van een uitsluitend op geautomatiseerde verwerking, met inbegrip van profilering, gebaseerd besluit, wanneer dit voor de betrokkene rechtsgevolgen heeft of dit betrokkene anderszins in aanmerkelijke mate treft. De auteur van het artikel stelt, ten eerste, dat de waarborgen die de AP noemt voor de inzet van geautomatiseerde risicoselectie lastig te begrijpen zijn in het licht van artikel 22 AVG, en, ten tweede, dat de AP geen oog heeft voor het recht op respect op het privéleven.
De normen rondom de inzet van geautomatiseerde risicoselectie zijn nog niet uitgekristalliseerd. Geautomatiseerde risicoselectie kent een breed toepassingsgebied, van dienstverlening tot de detectie van fouten en fraude. De inzet van (deels) geautomatiseerde risicoselectie ondersteunt overheidsorganisaties bij het in beeld krijgen van dossiers of situaties die aandacht moeten krijgen. In 2024 verzocht de toenmalige Staatssecretaris Fiscaliteit en Belastingdienst de AP om nadere duiding te geven over de reikwijdte van artikel 22 AVG in relatie tot het gebruik van geautomatiseerde selectie-instrumenten door de Belastingdienst, de Dienst Toeslagen en de Douane. In haar advies van 10 oktober 2024, heeft de AP aanvullende waarborgen geformuleerd bij het toepassen van geautomatiseerde risicoselectie. De AP stelt in het advies dat het zonder een specifieke wettelijke grondslag is toegestaan om geautomatiseerde risicoselecties te maken, als deze alleen maar gebruikt worden om te beoordelen of acties jegens betrokkene nodig zijn, zoals navraag doen of informatie verzamelen, en eventuele gevolgen voor betrokkene pas tot stand komen na handmatige behandeling (betekenisvolle menselijke tussenkomst), mits aan een aantal voorwaarden wordt voldaan. In deze situatie valt de geautomatiseerde risicoselectie dus buiten de reikwijdte van het verbod van artikel 22 AVG.
Dat neemt niet weg dat de inzet van geautomatiseerde risicoselectie moet voldoen aan geldende wet- en regelgeving en in lijn moet zijn met de grondrechten. De AP geeft in haar advies mee aan welke aanvullende waarborgen bestuursorganen die zulke instrumenten gebruiken moeten voldoen. In de kabinetsreactie op dit advies hebben wij benadrukt dat het van belang is dat overheden deze waarborgen toepassen.3 Tevens hebben wij aangegeven hoe wij, in samenwerking met publieke dienstverleners, de komende tijd werken aan verbetering en aanscherping hiervan. Het Netwerk van Publieke Dienstverleners (NPD), met ondersteuning van het Ministerie van Binnenlandse Zaken en Koninkrijksrelaties, voert dit jaar een analyse uit van casuïstiek om inzichtelijk te maken hoe in de uitvoeringspraktijk geautomatiseerde risicoselectie zich verhoudt tot artikel 22 AVG, aan welke waarborgen wordt voldaan, wat er mogelijk aanvullend nodig is om risicoselectie verantwoord te blijven inzetten en de wijze waarop hierover openheid en transparantie richting burgers en bedrijven wordt verschaft. Het NPD zal ook de kennisdeling hierover tussen beleid en uitvoering organiseren. De Staatssecretaris van Binnenlandse Zaken en Koninkrijksrelaties is hierbij nauw betrokken en zal uw Kamer informeren voor het einde van 2025.
Daarnaast werken wij aan het vergroten van de transparantie over geautomatiseerde risicoselectie, mede op verzoek van uw Kamer. Het uitgangspunt is dat alle impactvolle algoritmen, waar geautomatiseerde risicoselectie-instrumenten onder vallen, worden opgenomen in het Algoritmeregister. Naar aanleiding van de motie van het lid Six Dijkstra zullen alle departementen voor de zomer 2025 een plan voor registratie van impactvolle algoritmen in het Algoritmeregister naar uw Kamer sturen en de Staatssecretaris van Binnenlandse Zaken en Koninkrijksrelaties zal eind van dit jaar rapporteren over de voortgang.4 De motie-Van Nispen verzoekt de regering alle algoritmen die mogelijk gebruikmaken van risicoprofilering en geautomatiseerde selectie-instrumenten in het Algoritmeregister te publiceren.5 Naar aanleiding van de motie van de leden Kathmann en Six Dijkstra haalt de Staatssecretaris van Binnenlandse Zaken en Koninkrijksrelaties momenteel input op bij de medeoverheden en uitvoeringsorganisaties over de mogelijkheden om burgers altijd te informeren als er een (deels) geautomatiseerde risicoselectie heeft plaatsgevonden en dit tot een besluit heeft geleid.6 Dit zal de rechtsbescherming van burgers versterken.
Kortom, net als de auteur van het genoemde artikel, onderschrijft het kabinet het belang van transparantie en rechtsbescherming bij de inzet van geautomatiseerde risicoselectie. Het kabinet heeft in het regeerprogramma afgesproken meer werk te maken van transparantie en betere rechtsbescherming bij de inzet van algoritmen. Specifiek voor geautomatiseerde risicoselectie werken wij op verschillende manieren aan het versterken van een verantwoorde inzet en het vergroten van transparantie hierover.
Dat de vijf voorwaarden voor het gebruik van geautomatiseerde risicoselectie die de AP noemt niet geheel in pas lopen met artikel 22 AVG is navolgbaar, aangezien de AP deze voorwaarden formuleert voor situaties die niet onder het verbod van artikel 22 AVG vallen. De AP geeft in haar advies criteria om te kunnen beoordelen wanneer het gebruik van een geautomatiseerd selectie-instrument binnen het toepassingsbereik valt van artikel 22 AVG. Het gaat dan om situaties waarin sprake is van een uitsluitend op geautomatiseerde verwerking, met inbegrip van profilering, gebaseerd besluit (dus zonder menselijke tussenkomst) met rechtsgevolgen of anderszins aanmerkelijke gevolgen voor betrokkene. De AP geeft tevens haar zienswijze over de voorwaarden die dan gelden. Voor situaties waarin geautomatiseerde risicoselectie niet onder de reikwijdte van artikel 22 AVG valt, noemt de AP eveneens voorwaarden die in acht genomen moeten worden om de rechten, vrijheden en gerechtvaardigde belangen van betrokkenen te garanderen. Dit zijn de vijf voorwaarden die in het advies worden genoemd: voorwaarden waaraan geautomatiseerde risicoselectie bij uitvoering of toezicht volgens de AP moet voldoen.
Zoals gezegd ziet artikel 22 AVG op een verbod op uitsluitend op geautomatiseerde verwerking, met inbegrip van profilering, gebaseerde besluitvorming. Uitzonderingsmogelijkheden hierop zijn neergelegd in artikel 22 lid 2 AVG. Zo geldt het verbod niet als uitsluitend geautomatiseerde besluitvorming is toegestaan bij een lidstaatrechtelijke bepaling die voorziet in passende maatregelen ter bescherming van de rechten en vrijheden en gerechtvaardigde belangen van de betrokkene (artikel 22 lid 2 aanhef en onder b AVG). De vraag van het lid Ergin betrof het SCHUFA-arrest. Het HvJEU oordeelde in het SCHUFA-arrest dat niet alleen de uiteindelijke beslissing zelf, maar ook de voorbereidende handelingen die daaraan vooraf gaan, onder omstandigheden kunnen worden aangemerkt als een uitsluitend op geautomatiseerde verwerking gebaseerd besluit. Daarnaast benadrukt het oordeel van het HvJEU het belang van betekenisvolle menselijke tussenkomst. Het HvJEU heeft zich niet uitgesproken over nationale wetgeving die uitzonderingen op het verbod toestaat.
De Nederlandse wetgever heeft met artikel 40 UAVG voorzien in voornoemde lidstaatrechtelijke uitzonderingsbepaling, maar alleen voor uitsluitend op geautomatiseerde verwerking gebaseerde besluitvorming waarbij menselijke tussenkomst geen toegevoegde waarde heeft en niet voor geautomatiseerde besluitvorming op grond van profilering. Uit het AP-advies trekken wij de conclusie dat artikel 40 UAVG kan blijven gelden als uitzonderingsbepaling op artikel 22 AVG, mits bij de toegepaste geautomatiseerde besluitvorming voldoende waarborgen in acht worden genomen, waaronder die uit de Awb.
Het is voor een goed begrip van de geldende wet- en regelgeving van belang onderscheid te maken tussen een uitsluitend op geautomatiseerde verwerking, met inbegrip van profilering, gebaseerd besluit enerzijds, en geautomatiseerde risicoselectie, al dan niet door middel van profilering, anderzijds. Profilering op zich valt niet onder het verbod op uitsluitend geautomatiseerde besluitvorming zoals neergelegd in artikel 22 AVG. Zoals hierboven toegelicht, heeft de AP nader toegelicht dat geautomatiseerde risicoselectie, al dan niet door middel van profilering, niet onder de reikwijdte van het verbod valt als deze alleen maar gebruikt wordt om te beoordelen of acties jegens een betrokkene nodig zijn, zoals navraag doen of informatie verzamelen, en eventuele gevolgen voor de betrokkene pas tot stand komen na handmatige behandeling (betekenisvolle menselijke tussenkomst). De AP stelt dat in deze gevallen geen specifiek wettelijke grondslag vereist is als bedoeld in artikel 22, tweede lid, aanhef en onder b, van de AVG. Een tegenstrijdigheid met de rechtspraak van het HvJEU zien wij dan ook niet.
Wij onderschrijven de stelling van de auteur dat geautomatiseerde risicoselectie alleen mag worden ingezet indien het recht op bescherming van de persoonlijke levenssfeer wordt gerespecteerd. Al het overheidshandelen moet immers in lijn zijn met de grondrechten. Inperkingen op het recht op de bescherming van de persoonlijke levenssfeer en de bescherming van de persoonsgegevens door overheidsorganisaties zijn alleen onder strikte voorwaarden mogelijk. Een inperking moet bij wet worden voorzien en voldoen aan de eisen van noodzakelijkheid, proportionaliteit en subsidiariteit. Deze inperkingen mogen enkel plaatsvinden op basis van een wet omdat de inbreuk voldoende voorspelbaar en voorzienbaar moet zijn voor de betrokkenen. Een dergelijke wet moet duidelijk, voorzienbaar en voldoende toegankelijk zijn. Dit vloeit voort uit de Grondwet, het Europees Verdrag voor de Rechten van de Mens (EVRM) en het Europees Handvest, en wordt eveneens bevestigd in de AVG en Richtlijn 2016/680. Voor overheidsorganisaties geldt (ook in het kader van opsporing en vervolging van strafbare feiten) dat de verwerking van persoonsgegevens noodzakelijk moet zijn voor het voldoen aan een wettelijke verplichting of voor het uitoefenen van een taak van algemeen belang of voor het uitoefenen van openbaar gezag (artikel 6 lid 1 onder c) en onder e) AVG). De wet waarin deze verplichting of taak is vastgelegd bevat ook de rechtsgrondslag op basis waarvan persoonsgegevens mogen worden verwerkt.
Zoals wij in antwoord op vraag 1 en 3 hebben aangegeven, heeft de AP in haar advies geconcludeerd dat artikel 22 van de AVG geen specifieke wetgeving vereist voor het maken van geautomatiseerde risicoselecties, als deze alleen gebruikt worden om te beoordelen of acties jegens de betrokkene nodig zijn, zoals navraag doen of informatie verzamelen, en wanneer eventuele gevolgen voor de betrokkene van selectie pas intreden na de betekenisvolle menselijke tussenkomst. Alleen wanneer de risicoselectie geautomatiseerd, dus zonder menselijke tussenkomst, rechtsgevolgen of vergelijkbare aanmerkelijke effecten zou hebben voor betrokkene, geldt het verbod van artikel 22 AVG en is een wettelijke basis nodig om daarop een uitzondering te kunnen maken. Voor zover ons bekend is, wordt geautomatiseerde risicoselectie in de praktijk alleen ingezet om te beoordelen of acties jegens betrokkene nodig zijn, en treden eventuele (rechts)gevolgen voor betrokkene van de risicoselectie pas in na de betekenisvolle menselijke tussenkomst.
Wat menselijke tussenkomst betekenisvol maakt is nog niet definitief bepaald. Volgens de Werkgroep gegevensbescherming artikel 29 zijn hierbij onder andere van belang dat de mens die tussenkomt bevoegd moet zijn (het voorgenomen) besluit te kunnen veranderen, het hierbij niet gaat om een louter symbolische handeling en alle relevante gegevens in de analyse door de mens die tussenkomt worden betrokken.8 De AP licht in haar advies toe dat betekenisvolle menselijke tussenkomst inhoudt dat de behandelend ambtenaar weet hoe het geautomatiseerde proces (selectieregel/algoritme/technologie) werkt en op welke wijze deze (de totstandkoming van) het uiteindelijke besluit vormt en beïnvloedt. De ambtenaar moet in elk geval nagaan of de aanname waarop de (profilerende) selectie voor handmatige controle is gebaseerd ook opgaat in het voorliggende concrete geval. De AP heeft in maart handvatten opgesteld om te bepalen of menselijke tussenkomst betekenisvol zou kunnen zijn en heeft organisaties, experts en belanghebbenden uitgenodigd hierop te reageren.9 Een nieuwe versie van de handvatten wordt later dit jaar gepubliceerd.
Ja. Zonder transparantie is het voor een burger niet mogelijk om vast te stellen of en zo ja welke rol geautomatiseerde risicoselectie heeft gespeeld in de (voorbereiding van) besluitvorming. De AP adviseert dat het gebruik van geautomatiseerde risicoselectie voldoende kenbaar moet zijn voor betrokkene, indien de geautomatiseerde risicoselectie aanleiding was voor een bestuursorgaan om af te wegen of een bepaald Awb-besluit moest worden genomen of dit aanleiding gaf tot een bepaalde wijze van behandeling van een aanvraag. Daarom werkt het kabinet, mede op verzoek van uw Kamer, aan meer transparantie hierover, zie het antwoord op vraag 1. Meer algemeen wordt in dit kader uw Kamer nog geïnformeerd over de internetconsultatie over algoritmische besluitvorming en de Awb.
Het verzoek om tot een lijst te komen van alle algoritmen die mogelijk onrechtmatig zijn, is gedaan naar aanleiding van het advies van de Landsadvocaat over het gebruik van geautomatiseerde selectie-instrumenten.11 In de kabinetsreactie op het AP-advies hebben wij toegelicht dat de inzichten uit het AP-advies dit verzoek in een ander daglicht stelt en een rijksbrede inventarisatie niet langer aan de orde lijkt, omdat risicoselectie-instrumenten, indien wordt voldaan aan de door de AP genoemde voorwaarden, niet onder het verbod van artikel 22 AVG vallen. Het kabinet onderschrijft het belang van transparantie over geautomatiseerde risicoselectie en zet zich hiervoor in, zie het antwoord op vraag 1.
Ja, zie het antwoord op 7.
Nee, zie het antwoord op vraag 8.
Hierbij deel ik u mede dat er meer tijd nodig is voor de beantwoording van de vragen van het lid Van Nispen (SP), over het bericht dat bestuursorganen risicoprofilering mogen toepassen zonder specifieke wetgeving, ingezonden op 24 april 2025 met kenmerk 2025Z08278. De reden hiervoor is dat de vragen zijn gesteld aan drie bewindspersonen en dat de beantwoording meer tijd vraagt vanwege de benodigde interdepartementale afstemming. De vragen zullen uiterlijk 5 juni 2025 beantwoord worden.