Geen paniek over geautomatiseerde selecties

Afgelopen voorjaar deed een advies van de landsadvocaat over geautomatiseerde selecties stof opwaaien bij zowel uitvoeringsinstanties als in de Tweede Kamer. De Autoriteit Persoonsgegevens (AP) is om een standpunt gevraagd en dit is op 28 oktober jl. gepubliceerd. Walter van Holst wijst op een aantal opvallende aspecten.

Voorgeschiedenis

Allereerst wat voorgeschiedenis: in de AVG is in artikel 22 geregeld dat (behoudens wat uitzonderingen) een betrokkene niet aan geautomatiseerde besluitvorming onderworpen mag worden “waaraan rechtsgevolgen verbonden zijn” of die hen “in aanmerkelijke mate treft”. Een uitzondering die genoemd wordt zijn wettelijke waarborgen. Waarbij in Nederland in de uitvoeringspraktijk relatief vaak gedacht werd dat de Uitvoeringswet AVG (UAVG) zo’n uitzondering regelt in artikel 40. Vorig jaar heeft het Ministerie van Financiën aan de landsadvocaat advies gevraagd over onder andere de geautomatiseerde selectie van belastingaangiften voor nader onderzoek.

De landsadvocaat bracht in januari jl. advies uit, waarbij met name op recente jurisprudentie van het Hof van Justitie van de Europese Unie over dit onderwerp is ingegaan. Op basis daarvan kwam de landsadvocaat tot conclusies die privacyjuristen niet verrassen, maar de uitvoeringspraktijk wellicht wel:

• Daar waar de Raad van State bij de totstandkoming van de UAVG al vraagtekens stelde bij de rechtsgeldigheid van de brede uitzondering voor overheden op het verbod op geautomatiseerde besluitvorming en soortgelijke vraagtekens bij de evaluatie van de UAVG in 2022 zijn gesteld, stelt de landsadvocaat helder dat dit artikel 40 UAVG niet geldig is;
• Wat betreft geautomatiseerde selectie voor nader onderzoek (wat niet alleen bij de belastingheffing speelt, maar ook bij fraude in het sociaal domein) neemt de landsadvocaat een ferme positie in. Hoewel niet wordt uitgesloten dat dit de betrokkenen niet altijd in aanmerkelijke mate treft, is het aannemelijk dat dit veelal wel het geval is.

Het handelingsperspectief was evenzeer duidelijk: dit vereist nieuwe wet- en regelgeving om alsnog passende waarborgen voor dit soort selectieprocessen in te richten, respectievelijk dat sommige praktijken gestaakt moeten worden.

Wat daarna optrad was een niet onbekende bestuurlijke reflex bij een stevige boodschap met voorzienbare gevolgen voor de uitvoeringspraktijk: dezelfde vraag werd opnieuw gesteld aan een andere boodschapper. In dit geval werd dat de AP, wat ook een logische keuze is gezien de taken en bevoegdheden van de AP die ook nadrukkelijk advies aan de regering omvatten. Sterker nog, de AP had over dit onderwerp ook uit eigen beweging een advies aan de regering kunnen geven, zonder een adviesvraag af te wachten.

Het advies van de AP is in grote lijnen in overeenstemming met die van de landsadvocaat, zij het dat de toon wat meer omfloerst is. Daar waar ruimte tussen beide adviezen lijkt te schemeren zal een oplettende lezer het opvallen dat de AP meer “nee, tenzij” en de landsadvocaat meer “ja, mits” lijkt te antwoorden op de vraag of automatische selecties een betrokken burger aanmerkelijk kunnen treffen. Onder de streep komt dit voor de uitvoeringspraktijk veelal op hetzelfde neer.

Een aantal hoofdpunten die voor nu belangrijk zijn:

• Het begrip “aanmerkelijk treffen” omvat nadrukkelijk het herhaaldelijk voorwerp van nader onderzoek worden van burgers. Bijvoorbeeld het bij iedere belastingaangifte opnieuw om nadere documentatie gevraagd worden omdat desbetreffende belastingplichtige een verhoogd frauderisico wordt toegedicht;
• De AP legt de lat voor “menselijke tussenkomst” bij geautomatiseerde besluitvorming bijzonder hoog. De menselijke tussenkomst moet ook betekenisvol zijn en dat is pas het geval als de mens in kwestie voldoende kennis heeft om te begrijpen waarom het geautomatiseerd systeem tot een bepaalde selectie is gekomen. Dit vereist een interne transparantie én een kennisniveau waar in de huidige uitvoeringspraktijk lang niet altijd sprake van zal zijn.

Vervolgacties

Voor zowel de rijksoverheid als bij decentrale overheden geldt dat een aantal vervolgacties onafwendbaar zijn:

• Een interne inventarisatie van processen waarin sprake is van geautomatiseerde selectie (en dan met name profilering) en toetsing daarvan aan de in beide adviezen genoemde criteria. De prille algoritmeregisters zullen daarbij een goed begin zijn, maar waarschijnlijk slechts een topje van de ijsberg bevatten. Ook de registers van verwerkingsactiviteiten die verplicht zijn onder de AVG zijn helaas niet altijd zo volledig en actueel als zou moeten zijn;
• Daar waar systemen geleverd worden door externe leveranciers zullen deze tekst en uitleg moeten geven over de werking, onder de ARBIT-voorwaarden kwalificeert het ontbreken van deze informatie als een Gebrek, onder de GIBIT-voorwaarden eveneens en de GIBIT-voorwaarden bevatten ook een garantie voor het voldoen aan relevante wet- en regelgeving voor het beoogde gebruik. Hier ligt een opgave voor het leveranciersmanagement van overheden;
• Voor decentrale overheden is het belangrijk op te merken dat het begrip “wettelijke waarborgen” uit de AVG ingevuld kan worden met de verordeningsbevoegdheid van decentrale overheden. Voor met name het sociale domein en het mobiliteitsdomein biedt de sectorale wetgeving veelal voldoende basis voor decentrale overheden om zelf aan de slag te kunnen om die waarborgen te scheppen, onafhankelijk van de snelheid waarmee kerndepartementen wetsvoorstellen aanhangig kunnen maken en/of de agenda’s in de Staten Generaal;
• Daar waar de verordeningsbevoegdheid voortvloeit uit meer generieke wetgeving zoals de Gemeentewet, Provinciewet en de Waterschapswet is die afhankelijkheid van de formele wetgever er mogelijk wel, al zijn bijvoorbeeld de gemeentelijke bevoegdheden op het terrein van openbare orde en veiligheid dusdanig uitgewerkt in de Gemeentewet dat ook hier kansen liggen;
• Voor decentrale overheden is het daarbij wel nuttig te weten dat de AP geconsulteerd kan, en ook moet, worden over regelgeving die gegevensbescherming raakt. Om de AP hierbij niet te overvragen is het wellicht nuttig dit via de koepels te kanaliseren.

Kortom, werk aan de winkel. Met name voor decentrale overheden is er nadrukkelijk handelingsperspectief om uitvoeringsproblemen op te lossen. Het probleem biedt ook een opening om de kwaliteit van de informatiehuishouding te verbeteren en de relatie met leveranciers te verstevigen. Daarom: geen reden tot paniek, wel nieuw werk.