DPIA-vragen over SyRi

Naast de vragen over algoritmische besluitvorming in het publieke domein, was er in het SyRi-vonnis een aantal andere vragen in het spel.

Veel van die andere vragen zijn onbeantwoord gebleven, want de Rechtbank Den Haag kwam hier gezien de beantwoording van de hoofdvraag niet aan toe. Eentje werd wel beantwoord, namelijk over de reikwijdte van de DPIA-verplichting (data protection impact assessment), maar ook de beantwoording schept nieuwe vragen. Een beknopt overzicht.

Als eerste de DPIA-vraag: eisende partijen hadden beargumenteerd dat omdat er bij invoering van de AVG (Algemene verordening gegevensbescherming) geen DPIA had plaatsgevonden, er sprake was van onrechtmatige verwerking. De Staat der Nederlanden had beargumenteerd dat aangezien er ten tijde van het wetgevingstraject wat SyRi had moeten legaliseren, er een DPIA had plaatsgevonden en dat daarom bij de invoering van de AVG geen nieuwe DPIA hoefde plaats te vinden. Dit is een uit oogpunt van overgangsrecht interessante vraag: verreweg de meeste DPIA-plichtige verwerkingen stammen van voor 26 mei 2016 en er heeft lang niet altijd een nieuwe DPIA plaatsgevonden in de tussentijd.

Op grond van een uitzonderingsbepaling in de AVG hoeft dat ook niet, als er eerder al een DPIA heeft plaatsgevonden én de verwerkingsgrond bij of krachtens wet geregeld is. En er had, blijkens het vonnis al een DPIA plaatsgevonden. De Rechtbank ging echter niet mee in de redenering van de Staat der Nederlanden. Want de resultaten van die DPIA waren blijkbaar niet ingebracht in het geding, dus de Rechtbank kon niet beoordelen of die wel aan de eisen van de AVG voldeed.

Nu zie ik in het wild te veel variatie in de mate waarin DPIA’s aan de AVG voldoen (waarbij het niet helpt dat veel richtlijnen over dit onderwerp ongelezen lijken te blijven, veel interessanter is dat de Rechtbank nog een stapje verder ging: de Staat had moeten aantonen waarom de individuele SyRi-projecten voldoende afgedekt waren door die initiële wetgevings-DPIA en dat niet gedaan.

Uit het vonnis van de rechtbank Den Haag valt niet op te maken waarom er niet per project een DPIA heeft plaatsgevonden, behalve dat de rechtbank hier een argumentatie voor mist. Of dat die mogelijk wel plaats hebben gevonden maar dat deze informatie niet gedeeld is met het ministerie van Sociale Zaken en Werkgelegenheid. De afstand tussen beleid en uitvoering zou hier heel wel een rol kunnen spelen. En daar zit sowieso de kneep: bij een wetgevings-DPIA is vaak nog dusdanig onbekend over de uitvoeringspraktijk (helemaal als er sprake is van kaderwetgeving of anderszins gelaagde wetgeving) dat dit met zich meebrengt dat een DPIA op wetgevingsniveau bij lange na niet de diepgang kan hebben die vereist is.

Wat de vraag opwerpt of wetgevings-DPIA’s nog wel zinvol, of liever, zinvol genoeg zijn. En of het niet tijd wordt een lichtere variant op te nemen in het Integraal Afwegingskader (IAK) wat bij wetgevingstrajecten gehanteerd wordt. Eentje die zich vooral op de proportionaliteitsvragen richt die in een DPIA horen te figureren, naast de risicoanalyse. En een echt diepgaande DPIA op te nemen bij een aanvullende uitvoeringstoets ná het wetgevingstraject. En zo te erkennen dat een DPIA op wetgevingsniveau naar zijn aard niet de aanvullende waarborgen kan bieden waar de rechtbank in de SyRi-zaak naar op zoek leek te zijn.

Echt onaangeroerd bleef de vraag die eisende partijen gesteld hadden over de informatieplicht naar de betrokkenen. Op grond van de AVG (en al oudere jurisprudentie van het Hof van Justitie van de Europese Unie) geldt dat een partij die persoonsgegevens van een ander dan de betrokkene ontvangt, de betrokkene hier actief over moet informeren. In een eerdere blog schreef ik hier al over, dat dit een onderschat probleem bij keteninformatisering in de publieke sector is. En het is echt jammer dat de Rechtbank Den Haag hier niet aan toe is gekomen, alleen al daarom valt te hopen dat er nog een hoger beroep plaats zal vinden rondom SyRi.

Walter van Holst is senior adviseur bij Hooghiemstra & Partners