Tagarchief: 22 AVG

Hallo, dit is uw verleden! U wilt er misschien niet bij stilstaan, het CBS en de Commissie onderzoek interlandelijke adoptie wel.

Een van s ’lands grootste dataslurpers is het CBS. Lang voor data zo alom in ons dagelijks leven was, werd er door statistici hard gewerkt aan het meetbaar maken van belangrijke kwesties. Om die rol te kunnen vervullen beheert het CBS data. Veel data. Het CBS heeft binnen de overheid dan ook een datamonopolie en staat van oudsher bekend als betrouwbaar en deskundig als het gaat over het gebruik van persoonsgegevens.

Het probleem met het verwerken van veel data is dat het een zekere mate van afstand creëert. Niet de mens, maar zijn of haar pakketje data maakt het CBS blij. En daar zit het probleem. Want ik kan wel heel anders denken over mijn pakketje data. Wat de overheid belangrijk vindt om te registreren vind ik misschien juist totaal ondergeschikt. Er is altijd een zekere versimpeling van de mens door naar data te kijken. Dat is niet verwerpelijk, soms zelfs zeer nuttig maar je moet je wel altijd realiseren dat je met een versimpeling bezig bent.

Het is menselijk om te vergeten dat je met mensen bezig bent. Daarom zijn er wetten.

Het goede doel: onderzoek naar misstanden in het verleden rond adoptie.

Goede bedoelingen maken niet alles geoorloofd. In dit geval gaat het over het onderzoek naar adoptie. Na berichten over ernstige misstanden in Nederland over adoptiepraktijken is er een commissie ingesteld die daar onderzoek naar doet. Vervolgens heeft de Tweede Kamer ingestemd met een onderzoek naar misstanden bij adopties uit het buitenland.

De commissie onderzoek interlandelijke adoptie koos voor de onderzoeksmethode om het CBS te vragen een geselecteerde populatie uit te nodigen voor het invullen van een vragenlijst en het verwerken van de antwoorden. De uitleg van het CBS staat hier.

Dit is een methode, al kan men zich afvragen of iemand die zelf geadopteerd is iets kan bijdragen aan een onderzoek naar de ‘feitelijke gang van zaken rondom oude adopties vanuit het buitenland en de rol van de Nederlandse overheid daarbij’. Dit soort vragen werd dan ook niet gesteld. Commissievoorzitter  Joustra zegt erover:  “De Commissie vindt het belangrijk om te weten hoe het gaat met geadopteerden die uit andere landen naar Nederland zijn gekomen. Wat is hun levensstijl en wat zijn hun opvattingen? We willen bijvoorbeeld weten hoe ze aankijken tegen hun eigen adoptie. Hoe is of was hun relatie met hun opvoeder? Hoe zijn hun sociale contacten, hoe is het met hun gezondheid? Maar ook: zoeken ze naar hun roots? Of voelen ze zich gediscrimineerd? Dat soort belangrijke, persoonlijke vragen.”

smartphone-1987212_640

De keuze betekende in ieder geval dat mensen van de een op de andere dag een brief van het CBS kregen. In deze op naam gestelde brief stond dat er onderzoek werd gedaan naar geadopteerden en niet-geadopteerden.  Uiteraard zou het invullen van de vragenlijst anoniem zijn maar het leed was al geschied.

Ik vind het jammer dat ik vanuit de overheid op mijn 38ste geconfronteerd wordt met adoptie terwijl dit normaliter geen rol speelt in mijn leven

Want hoe zou u het vinden als u ineens lid blijkt te zijn van een doelgroep en daar ongevraagd door de overheid over wordt benaderd? Onder hen iemand die naar eigen zeggen de afgelopen 38 jaar nooit enige negatieve verbinding heeft gevoeld of gehad met het thema ‘adoptie’. Zij voelt zich Nederlandse en haar identiteit wordt niet gevormd door haar adoptie. Dit zal voor andere mensen misschien anders zijn. Er zullen ook mensen zijn die het juist erg waarderen. Een naar dilemma dus.

Wat zegt de wet?
Het is daarom zaak dat we even naar de wet gaan kijken, in het bijzonder artikel 22 van de Algemene verordening gegevensbescherming. Hoewel sommige bepaling niet gelden zodra het gaat om wetenschappelijk onderzoek of om het CBS, zijn mij geen uitzonderingen bekend op artikel 22 AVG.

Dit staat in het eerste lid artikel 22 AVG: ‘De betrokkene heeft het recht niet te worden onderworpen aan een uitsluitend op geautomatiseerde verwerking, waaronder profilering, gebaseerd besluit waaraan voor hem rechtsgevolgen zijn verbonden of dat hem anderszins in aanmerkelijke mate treft.’

  1. Laten we eerst vast stellen of het gaat om profilering (definitie in artikel 4 AVG). Het antwoord is ja, aan de hand van persoonsgegevens worden persoonlijke aspecten van een natuurlijke persoon geëvalueerd met de bedoeling iets te analyseren. Het CBS weet niet wie er ooit is geadopteerd, maar kan aan de hand van een combinatie van persoonsgegevens afleiden hoe groot de kans is dat persoon X is geadopteerd.
  2. Vervolgens is de vraag het geautomatiseerd uitsturen van een uitnodiging tot het meedoen aan het onderzoek, een geautomatiseerd besluit is waaraan rechtsgevolgen zijn verbonden of hem anderszins in aanmerkelijke mate treft? Nee er zijn geen rechtsgevolgen aan verbonden dus door naar het volgende criterium.. Is iemand anderszins in aanmerkelijke mate getroffen door het toegestuurd krijgen van deze brief van het CBS? Emotioneel gezien leidt dit geen twijfel. De persoon die met mij contact zocht is volledig onverwacht geconfronteerd met haar geschiedenis en daar zeer van ontdaan. Ze voelt zich tegen haar wil anders behandeld. We weten nog niet wat de Europese rechtspraak zal gaan doen met de interpretatie van ‘of anderszins in aanmerkelijke mate getroffen zijn’ maar als we naar de SyRi-uitspraak kijken dan valt het er zeker onder.

Dit zou betekenen dat de werkwijze van het CBS als verantwoordelijke voor de persoonsgegevens niet mag. Want de uitzonderingsgronden uit het tweede lid van artikel 22 AVG gaan niet op (even voor de zekerheid dan toch maar: een brief van de minister voor rechtsbescherming is geen lidstaatrechtelijke bepaling die op de verwerkingsverantwoordelijke van toepassing is en die ook voorziet in passende maatregelen ter bescherming van de rechten en vrijheden en gerechtvaardigde belangen van betrokkenen).

Dus?
Ik wil niets afdoen aan de statistische zorgvuldigheid die is betracht door ook mensen aan te schrijven die vermoedelijk niet geadopteerd zijn als controlegroep. Ik snap ook dat het CBS duidelijk heeft gemaakt dat er dus geen database is in Nederland met gegevens van alle geadopteerden. Toch moet het in de toekomst echt anders. Denk bijvoorbeeld aan oproepen via verenigingen, op platforms of radio of televisie om zo aandacht te vragen voor het onderzoek en de mogelijkheid om mee te doen.

Want in de vele jaren die ik al doorbreng in het gegevensbeschermingsrecht heb ik nauwelijks een voorbeeld gezien dat zo goed het belang van gegevensbescherming  illustreert.  Een mens voelt zich gereduceerd tot lid van een doelgroep. Met een ‘anders’ zijn. Ondanks de goede bedoelingen van de commissie om erachter te komen of mensen zich gediscrimineerd voelen is precies dat bereikt: mensen voelen zich gediscrimineerd.

En dat de overheid dit doet maakt dat er ook nog vraagtekens te stellen zijn over de behoorlijkheid van dit handelen. Ook via die juridische route zou ik adviseren direct met deze handelwijze te stoppen en oog te hebben voor het opschudden van mensenlevens.

Want dat is nou eenmaal een groot verschil: data hebben geen gevoelens. Mensen wel.

 

Extra waarborgen voor burgers bij het vervangen van ambtenaren door computers.

Bij veel (vooral massale, routineuze financiële) overheidsbesluiten neemt de computer het besluit in plaats van de ambtenaar. Dit gebeurt al sinds de jaren ’70. De explosieve toename van het autobezit bijvoorbeeld plaatste de belastingdienst voor de taak om de uitvoering van de motorrijtuigenbelasting aan te passen aan deze nieuwe realiteit. Door automatisering kon de motorrijtuigenbelasting alsnog snel en goed uitgevoerd worden. Soms ook wordt wetgeving ontworpen met het doel dat de computer de wet kan uitvoeren. Het eerste voorbeeld van deze manier van wetgeven, in Duitsland ‘Automationsgerechtigkeit’ genoemd speelde in 1958 (Bing 2004, p.203). Zouridis liet in 2000 zien hoe ICT het juridische werk bij de overheid verandert en Marga Groothuis ging in 2004 in op mogelijke waarborgen bij geautomatiseerde besluiten vanuit het bestuursrecht en het privacyrecht.

clip-art-computer-clipart-1

figuur: WorldArtsMe

Nieuw zijn geautomatiseerde overheidsbesluit dus allerminst. Bovendien heeft iedere burger te maken met geautomatiseerde overheidsbesluiten: of hij nou AOW of kinderbijslag ontvangt, huurtoeslag of een WOZ moet betalen, een aanslag inkomstenbelasting krijgt opgelegd of een gemeentelijke kwijtschelding van belastingen ontvangt. Desondanks staat het fenomeen niet erg in de bestuursrechtelijke belangstelling. Dit is niet alleen een Nederlands fenomeen. Bing gaf hiervoor de verklaring dat juristen doorgaans niet zo geïnteresseerd zijn in dit soort beslissingen. Exotische, academisch interessante besluiten krijgen meer aandacht dan de huis-, tuin- en keukenbesluiten waarvan men ook nog het idee heeft dat deze goed zullen zijn en van gering belang. Zie bijvoorbeeld de wetsgeschiedenis behorend bij artikel 4:12 Awb.

Toch is het belangrijk om stil te staan bij geautomatiseerde overheidsbesluiten. De beslisregels (algoritmen) bijvoorbeeld waarmee een besluit wordt genomen, worden ook wel ‘verborgen pseudo-wetgeving’ genoemd. Elke bestuursrechtjurist denkt nu natuurlijk direct aan beleidsregels, vroeger ook pseudo-wetgeving genoemd. De tijd is daar ook naar, algoritmen en robotisering staan sterk in de belangstelling.

Om wat voor soort besluiten gaat het? 

Met geautomatiseerde overheidsbesluiten bedoel ik hier besluiten in de zin van artikel 1:3, eerste lid, van de Awb  die zonder directe menselijke tussenkomst tot stand komen. Het gaat om besluiten die tot stand komen doordat de computers door mensen daartoe zijn geïnstrueerd (beslisregels of business rules). Het gaat mij hierbij dus niet om resultaten van machine learning. In die gevallen immers zijn de algortimes niet meer door mensen gemaakt, maar leert de computer zichzelf iets aan. Ik ken geen bestuursorganen die machine learningstechnieken toepassen om besluiten te nemen.

Bovendien gaat hier het om besluiten die als tweede belangrijke element hebben dat zij tot doel hebben het besluitvormingsproces van het uitvoeren van een juridische vraag over te nemen. Dit kan gezien worden als een algortime als ALS X + C – D DAN Z. Het gaat hier dus niet over besluiten die op basis van profilering worden genomen, zogenaamde kansberekeningen op basis van gegevens over gedragskenmerken. Voor zover mij bekend maakt de Nederlandse overheid wel gebruik van profileren, maar niet als grondslag voor een besluit in de zin van artikel 1:3, eerste lid, van de Awb.

Extra bestuursrechtelijke waarborgen bij geautomatiseerde overheidsbesluiten

In deze blogpost ga ik in op de vraag of deze manier van uitvoering andere of extra bestuursrechtelijke waarborgen vraagt ter bescherming van burgers die een geautomatiseerd overheidsbesluit ontvangen. De bespreking hiervan gebeurt langs twee lijnen:

1. via de bestuursrechtelijke rechtsbescherming tegen een besluit of beschikking.

2. via de bescherming die de Algemene Verordening Gegevensbescherming biedt.

1. Bestuursrechtelijke rechtsbescherming tegen een besluit of beschikking.

De geschiedenis van het vaderlandse bestuursrecht is vrij overzichtelijk als het gaat om uitspraken waarin de bestuursrechter zich uitlaat over een computerprogramma waarmee een besluit wordt genomen. Grofweg hebben we CBBS van het UWV dat ter discussie werd gesteld bij de CRvB en AERIUS van de minister van EZ dat besproken is bij de Afdeling bestuursrecht van de Raad van State.

Het CBBS is een claimbeoordelings-en borgingsstysteem dat gebruikt wordt bij de beoordeling of iemand arbeidsongeschikt is te achten en zo ja, in welke mate. In 2004 had de CRvB drie bedenkingen bij de inzet van dit systeem door het bestuursorgaan. Deze hadden met elkaar gemeen dat minder goed dan voorheen inzichtelijk en verifieerbaar was hoe de schattingen en belastbaarheid werden vastgesteld. Na het bespreken van de bedenkingen, oordeelde de CRvB dat hierdoor geen sprake was van een toereikend niveau van transparantie, verifieerbaarheid en toetsbaarheid van besluiten die met dit computerprogramma zijn genomen. Totdat deze onvolkomenheden hersteld werden zouden de besluiten in aanmerking komen voor vernietiging wegens strijd met de artikelen 3:2 en/of 7:12 van de Awb. Daarom oordeelde  de CRvB dat er hogere eisen aan deze besluiten gesteld moesten worden met betrekking tot de verslaglegging en motivering van de in een concreet geval ten grondslag gelegde verzekeringsgeneeskundige en arbeidskundige uitgangspunten.

Na twee jaar deed de CRvB opnieuw uitspraak, dit keer over de wijzigingen die zijn aangebracht in CBBS naar aanleiding van de eerdere uitspraak. Volgens de CRvB had het UWV de onvolkomenheden naar tevredenheid hersteld.

We kunnen dus concluderen dat als een computerprogramma besluiten neemt, dit niet ten koste mag gaan van de verifieerbaarheid en controleerbaarheid van het besluit. Dat mag op zich geen verbazing wekken, ware het niet dat de bestuursrechter zich in deze uitspraken intensief over de werking en uitkomst van het systeem heeft gebogen en niet is gestopt bij verweer over de betrouwbaarheid of zorgvuldigheid van het systeem. Bovendien is het systeem daadwerkelijk aangepast door het bestuursorgaan. Daarmee is voor alle betrokken burgers een verbetering aangebracht en niet alleen voor de burgers die zich tot de rechter hebben gewend.

De tweede vorm van bestuursrechtelijke waarborgen is geboden in een recente uitspraak van de Afdeling bestuursrechtspraak van de Raad van State. Het gaat hier om AERIUS.

AURIUS is een systeem dat lokale overheden verplicht moeten gebruiken bij het nemen van een besluit over een vergunning die te maken heeft met de uitstoot van stikstof. Volgens de bestuursrechter ABRS heeft de (deels) geautomatiseerde besluitvorming het risico in zich dat de besluitvorming niet inzichtelijk en controleerbaar is vanwege een gebrek aan inzicht in gemaakte keuzes en de gebruikte gegevens en aannames. De verwachtingen van de wetenschap uit de jaren ’90, namelijk dat de transparantie juist zou toenemen door geautomatiseerde besluiten blijkt niet te zijn uitgekomen. In de overwegingen 14.3 en 14.4 staat dat er een ongelijkwaardige procespositie voor partijen ontstaat als zij niet kunnen controleren op basis waarvan een bepaald besluit is genomen:

Ter voorkoming van deze ongelijkwaardige procespositie rust in dit geval op genoemde ministers en de staatssecretaris de verplichting om de gemaakte keuzes en de gebruikte gegevens en aannames volledig, tijdig en uit eigen beweging openbaar te maken op een passende wijze zodat deze keuzes, gegevens en aannames voor derden toegankelijk zijn. Deze volledige, tijdige en adequate beschikbaarstelling moet het mogelijk maken de gemaakte keuzes en de gebruikte gegevens en aannames te beoordelen of te laten beoordelen en zo nodig gemotiveerd te betwisten, zodat reële rechtsbescherming tegen besluiten die op deze keuzes, gegevens en aannames zijn gebaseerd mogelijk is, waarbij de rechter aan de hand hiervan in staat is de rechtmatigheid van deze besluiten te toetsen.’ 

Vervolgens gaat de ABRS per inhoudelijk punt na of het systeem voldoet aan het eerder geformuleerde kader. En die toets ziet er gedetailleerd uit. Een onderbouwing die is gegeven voor de verwachte economische groei wordt als onvoldoende inzichtelijk beoordeeld, bepaalde aannames zijn niet inzichtelijk geworden en ook stellingen die onbewezen blijven worden als onvoldoende inzichtelijk beoordeeld.

Zowel het kader als de invulling die de bestuursrechter in deze rechtszaak heeft gegeven, maakt dat bestuursorganen tekst en uitleg moeten bieden over het concrete besluit en de wijze waarop de computer dit heeft gegenereerd. Het gaat daarbij niet alleen om het kunnen controleren van het besluit als resultaat met (hopelijk) een deugdelijke motivering. Het gaat juist om het kunnen controleren van het proces waarmee dit besluit tot stand is gekomen; hoe is de wet geïnterpreteerd, hoeveel gewicht is toegekend aan een variabele, welke keuzes er zijn gemaakt bij het verfijnen van de ‘talige’ wet in de enen en nullen van het rekenkundig softwaresysteem, en waarom aan bepaalde gegevens de doorslag is gegeven en aan welke niet?

De eisen, die dermate algemeen zijn geformuleerd dat zij ook voor andere besluiten opgaan, bieden extra waarborgen voor burgers, ook voor burgers die geen rechtsmiddelen hebben ingezet.  Belangrijk is ook dat het volgens de ABRS gaat om inzicht dat ter beschikking is van belanghebbenden voordat deze beslissen of hij rechtsmiddelen indient.

2. Bescherming die de Algemene Verordening Gegevensbescherming biedt.

En dan hebben we natuurlijk nog artikel 22 van de AVG. Deze bepaling ziet er op het oog zeer ingrijpend uit; in de relatie burger – overheid betekent dit dat een betrokkene niet mag worden onderworpen aan een besluit in de zin van artikel 1:3, eerste lid van de Awb tenzij dit is toegestaan bij Unierechtelijke of lidstaatrechtelijke bepaling. Zoals we hiervoor zagen wordt er binnen de Nederlandse overheid nogal veel gewerkt met geautomatiseerde besluiten. Dit is dan waarschijnlijk ook de reden dat in artikel 38 van het voorstel Uitvoeringswet AVG waarvan de consultatie is afgerond, wordt voorgesteld dat artikel 22 AVG niet geldt als geautomatiseerde besluitvorming als hier bedoeld noodzakelijk is om te voldoen aan een wettelijke plicht of noodzakelijk is ter uitvoering van een taak van algemeen belang.

Wel moet de verwerkingsverantwoordelijke dan passende maatregelen treffen tot bescherming van het gerechtvaardigd belang van de betrokken en moet het bestuursorgaan dat het besluit neemt de logica meedelen die ten grondslag ligt aan de geautomatiseerde verwerking van de hem betreffende gegevens.

Conclusie

De waarborgen voor burgers bij geautomatiseerde overheidsbesluiten komen dus uit twee kokers. Beide respecteren de nieuwe realiteit, namelijk dat besluiten door computers worden genomen.  Of dit nu vanuit de bescherming van persoonsgegevens wordt bekeken of vanuit het bestuursrecht, er horen waarborgen bij deze uitvoering die kunnen worden afgedwongen, hetzij via de bestuursrechter, hetzij via de toezichthouder AP.

Dit betekent hoe dan ook dat er werk aan de winkel is voor bestuursorganen. Instructies aan de computer die geschreven zijn door zeer gespecialiseerde programmeurs moeten worden vertaald in toegankelijke uitleg die het mogelijk maakt het programma te controleren. Voor burgers betekent dit in ieder geval extra bescherming.

lit.

Tom Barkhuysen en Niels Jak, Afdeling bestuursrechtspraak formuleert toetsingskader voor geautomatiseerde besluitvormingsprocessen, AERIUS, blog.

Jon Bing, ‘Code, Acces and Control’ in ‘Human Rights in the Digital Age’ M. Klang & A. Murray (eds), Cavendish Publishing Ltd 2005.

M.M. Groothuis, Beschikken en digitaliseren. Over normering van de elektronische overheid (diss. Leiden), (Meijers-reeks) Sdu 2004.

Dag Wiese Schartum, Law and algorithms in the public domain, in Etikk i praksis. Nordic Journal of Applied Ethics (2016), 10 (1),  15–26. http://dx.doi.org/10.5324/eip.v10i1.1973

S. Zouridis, Digitale disciplinering. Over ICT, organisatie, wetgeving en het automatiseren van beschikkingen (diss. Tilburg), Delft: Eburon 2000.