Tagarchief: AVG

Lezing voor de Dag van de FG: Denk bij het toepassen van de AVG aan de lotgevallen van Algemene wet bestuursrecht

Wat ongelooflijk fijn om hier op de eerste dag van de FG u allemaal toe te mogen spreken. Eervol ook! En fantastisch om te zien dat u met zovelen bent gekomen naar dit theater. Dank aan de organisatoren van de Ap voor dit initiatief en deze primeur.

Van binnen ben ik erg blij want vroeger wilde ik ‘Madonna’ worden. Dat is niet helemaal gelukt, dus moet ik het hebben van het praten over gegevensbescherming als second best. Second best, maar erg belangrijk en dat hoef ik hier niet te vertellen. En dat is ook wel eens relaxed. Meestal bevind ik me in gezelschappen waarin mensen denken; ‘oh, daar heb je haar weer….’ Privacy zou, dit is mij letterlijk gezegd, ‘oud’ denken zijn. ‘Mensen zetten toch zelf alles op Facebook?’

En meer super boeiende persoonlijke opvattingen passeren de revue. Dit geldt echt niet alleen voor de bescherming van persoonsgegevens. Het is een fenomeen van deze tijd dat juristen niet meer aan de knoppen zitten en dat het recht minder invloed heeft op de praktijk als vroeger.

Daar staat tegenover dat data en dataficering een steeds grotere invloed heeft. Er wordt minder gestuurd door het recht maar juist meer door data. Denk maar aan de regulering van het verkeer: we kennen de Wegenverkeerswet en de Algemene plaatselijke verordening als reguleringsinstrumenten. Maar een beetje stad werkt met ‘slimme stoplichten’ om het verkeer beter te laten doorstromen. Bij grote evenementen zitten bestuurders in een control room omgeven door schermen waarin zij live meekijken met de stromen bezoekers in de stad. Om zo te kunnen ingrijpen mocht het ergens misgaan.

Dit leidt tot de paradox dat juristen belangrijker zijn dan ooit. Als de leus is: ‘niet omdat het moet maar omdat het kan’ was dat voorheen nog niet zo’n probleem. Maar nu kán er veel meer. En dus moeten we hard rennen om erbij te blijven.

En toen kwam daar de AVG. Leuk! Voor iemand die als ik naar eigen zeggen ‘al 100 jaar in de bescherming van persoonsgegevens werkt’ was dat ‘natuurlijk’. Ik werkte in de vorige eeuw voor de voorouder van de huidige Ap; de Registratiekamer. Peter Hustinx was onze voorzitter. Wij hadden het over het Verdrag van Straatsburg (1981), de Edamse bijstandsmoeder (1987 (leuk uitlegfilmpje). We werkten met de Wet persoonsregistraties en daarna maakte ik de overgang mee naar de Wet bescherming persoonsgegevens.

Voor mij was de AVG een natuurlijke voortzetting van een bestaande praktijk; wat aanscherpingen hier en daar, codificatie van rechtspraak (Google/Spain) en zwaardere sancties. Een evolutie. Geen Revolutie. Maar ineens leek de AVG overal te zijn en de wereld te veranderen. Is dat zo?

De AVG is een wet die ons en andere mensen probeert te beschermen door onze persoonsgegevens te beschermen. Dat we er binnen de EU in geslaagd zijn overeenstemming te bereiken is een prestatie van formaat. De principes die nu de kern zijn van de AVG, komen voor een groot deel uit de traditie van de beginselen die Europa al veel langer kent maar vaak gebruikte voor de relatie overheid en burger. Het evenredigheidsbeginsel bijvoorbeeld (proportionaliteit), legaliteitsbeginsel (doelbinding) of fair play (fair). Een relatie die niet gelijkwaardig is vraagt om herstel van het evenwicht. Ontzettend goed nieuws dus: die AVG.

Tegelijkertijd baart de toepassing of interpretatie me grote zorgen: de AVG dreigt te verworden tot een bureaucratische papierwinkel en juist een belemmering te vormen voor mensen voor het leven van hun dagelijkse leven. Of zoals Van Zutphen onze Nationale ombudsman zegt: Van wie is die privacy eigenlijk?

En dit roept de parallel op met de Algemene wet bestuursrecht. Wat voor u de AVG is, is voor mij de Awb. Een wet (1994) die ook ook harmonisering als doel had. Een wet die uitspraken van rechters codificeerde. En dit allemaal om de positie van de burger te verbeteren omdat de relatie overheid en burger ongelijk is. Over de verplichte bezwaarfunctie zei minister Ien Dales destijds dat het essentieel is dat de overheid zijn fouten kan herstellen. Door dit via de interne bezwaarprocedure te doen zou men zich minder verdedigend opstellen. Externe instanties die meekijken leiden juist tot het dichtdoen van de luiken. En dat terwijl, zo zei zij, het een principieel recht is van elke volwassene om in eerste instantie in de gelegenheid te zijn, de eigen fouten te herstellen.

Maar toen prof. de Waard in 2011 de ervaringen van burgers, om wie het allemaal begonnen was, onderzocht, bleek dat er iets heel anders was gebeurd. Driekwart van de burgers die een bezwaarprocedure had doorlopen, had een (heel) negatief beeld. De oorzaken varieerden: het duurde te lang maar ook… bleek dat de bezwaarfunctie een soort rechtbankje spelen werd. De hoorzitting werd dan iets formeels bij een speciale commissie. En u raadt het al, ‘het beeld ontstond dat ambtenaren als terriërseen genomen besluit’ verdedigden.

In de jaren die daar opvolgden bleek vriend en vijand het eens over een ding; het was ietwat uit de hand gelopen in de toepassing van de Awb. Het werd een ‘ondergrens’. Een bepaling als: ‘dit moet je in ieder geval doen’ werd het maximaal haalbare: ‘het is dit en niet meer’. Bellen naar een burger? Maar dit staat toch niet in de Awb?

De godfather van de Awb prof. Scheltema kon dit alles slecht verdragen: het was ‘maar’ een wet, een systeem dat was bedacht. Door mensen. Geen systeem óm het systeem! Althans, zo herinner ik me dit van de viering van het 15-jarige bestaan van de Awb. Dat maakte diepe indruk op mij. Dat de schrijver van de wet dit zei. Waar was het ook allemaal ook weer om te doen geweest?

En wat zien we nu bij de AVG?

Scholen die een klassenfoto meegeven aan kinderen waarop alleen het gezicht is te zien van het kind. De rest van de kindjes hebben een zwartgemaakt gezicht.

Het hele doel van een klassenfoto is…het woord zegt het al: een foto van de klas! Klasgenootjes. Dat je over 10 jaar nog eens kunt kijken wie er bij je in de klas zat. En of die persoon veranderd is. Een dierbare herinnering misschien. Hopelijk nog veel later, een beeld van iemand die er niet meer is.

Ik las ook van een school die alleen nog foto’s maakt bij uitjes van de ruggen van kinderen. Of die de leerlingen vraagt de bowlingbal voor hun gezicht te houden bij foto’s van een bowlingwedstrijd.

Van geheel andere orde was mijn vakantie een paar weken geleden. Even geen AVG! Maar bij landing kreeg ik een brief van de reisorganisatie waar vet gedrukt stond dat ik geacht werd me op een bepaald tijdstip op een bepaalde dag te melden voor belangrijke informatie vanwege… veranderde privacywetgeving.

Wat? Was ik niet met vakantie? Vakantie betekent vrijheid! Vrijheid om mijn vakantie in te delen zoals ik het wil!

Nee hoor; keurig op de Hollandse etenstijd van 6 uur zat ik in een restaurant aan te horen hoe laat ik waar klaar moest staan voor de transfer. Omdat de reisleidster niet meer mocht weten welke klanten in welk hotel zaten moesten we elkaar mondeling spreken om informatie te krijgen.

Kortom. Mijn oproep aan u; leer van de tragiek van de Awb. Blijf bij de toepassing van de regels dicht bij de bedoeling daarvan. Het mooie van het recht is dat het dynamisch is. Rechtsontwikkeling stopt niet door publicatie van een wet. Sterker, dan begint het pas. En dat…is aan u!

 

 

Advertenties

Extra waarborgen voor burgers bij het vervangen van ambtenaren door computers.

Bij veel (vooral massale, routineuze financiële) overheidsbesluiten neemt de computer het besluit in plaats van de ambtenaar. Dit gebeurt al sinds de jaren ’70. De explosieve toename van het autobezit bijvoorbeeld plaatste de belastingdienst voor de taak om de uitvoering van de motorrijtuigenbelasting aan te passen aan deze nieuwe realiteit. Door automatisering kon de motorrijtuigenbelasting alsnog snel en goed uitgevoerd worden. Soms ook wordt wetgeving ontworpen met het doel dat de computer de wet kan uitvoeren. Het eerste voorbeeld van deze manier van wetgeven, in Duitsland ‘Automationsgerechtigkeit’ genoemd speelde in 1958 (Bing 2004, p.203). Zouridis liet in 2000 zien hoe ICT het juridische werk bij de overheid verandert en Marga Groothuis ging in 2004 in op mogelijke waarborgen bij geautomatiseerde besluiten vanuit het bestuursrecht en het privacyrecht.

clip-art-computer-clipart-1

figuur: WorldArtsMe

Nieuw zijn geautomatiseerde overheidsbesluit dus allerminst. Bovendien heeft iedere burger te maken met geautomatiseerde overheidsbesluiten: of hij nou AOW of kinderbijslag ontvangt, huurtoeslag of een WOZ moet betalen, een aanslag inkomstenbelasting krijgt opgelegd of een gemeentelijke kwijtschelding van belastingen ontvangt. Desondanks staat het fenomeen niet erg in de bestuursrechtelijke belangstelling. Dit is niet alleen een Nederlands fenomeen. Bing gaf hiervoor de verklaring dat juristen doorgaans niet zo geïnteresseerd zijn in dit soort beslissingen. Exotische, academisch interessante besluiten krijgen meer aandacht dan de huis-, tuin- en keukenbesluiten waarvan men ook nog het idee heeft dat deze goed zullen zijn en van gering belang. Zie bijvoorbeeld de wetsgeschiedenis behorend bij artikel 4:12 Awb.

Toch is het belangrijk om stil te staan bij geautomatiseerde overheidsbesluiten. De beslisregels (algoritmen) bijvoorbeeld waarmee een besluit wordt genomen, worden ook wel ‘verborgen pseudo-wetgeving’ genoemd. Elke bestuursrechtjurist denkt nu natuurlijk direct aan beleidsregels, vroeger ook pseudo-wetgeving genoemd. De tijd is daar ook naar, algoritmen en robotisering staan sterk in de belangstelling.

Om wat voor soort besluiten gaat het? 

Met geautomatiseerde overheidsbesluiten bedoel ik hier besluiten in de zin van artikel 1:3, eerste lid, van de Awb  die zonder directe menselijke tussenkomst tot stand komen. Het gaat om besluiten die tot stand komen doordat de computers door mensen daartoe zijn geïnstrueerd (beslisregels of business rules). Het gaat mij hierbij dus niet om resultaten van machine learning. In die gevallen immers zijn de algortimes niet meer door mensen gemaakt, maar leert de computer zichzelf iets aan. Ik ken geen bestuursorganen die machine learningstechnieken toepassen om besluiten te nemen.

Bovendien gaat hier het om besluiten die als tweede belangrijke element hebben dat zij tot doel hebben het besluitvormingsproces van het uitvoeren van een juridische vraag over te nemen. Dit kan gezien worden als een algortime als ALS X + C – D DAN Z. Het gaat hier dus niet over besluiten die op basis van profilering worden genomen, zogenaamde kansberekeningen op basis van gegevens over gedragskenmerken. Voor zover mij bekend maakt de Nederlandse overheid wel gebruik van profileren, maar niet als grondslag voor een besluit in de zin van artikel 1:3, eerste lid, van de Awb.

Extra bestuursrechtelijke waarborgen bij geautomatiseerde overheidsbesluiten

In deze blogpost ga ik in op de vraag of deze manier van uitvoering andere of extra bestuursrechtelijke waarborgen vraagt ter bescherming van burgers die een geautomatiseerd overheidsbesluit ontvangen. De bespreking hiervan gebeurt langs twee lijnen:

1. via de bestuursrechtelijke rechtsbescherming tegen een besluit of beschikking.

2. via de bescherming die de Algemene Verordening Gegevensbescherming biedt.

1. Bestuursrechtelijke rechtsbescherming tegen een besluit of beschikking.

De geschiedenis van het vaderlandse bestuursrecht is vrij overzichtelijk als het gaat om uitspraken waarin de bestuursrechter zich uitlaat over een computerprogramma waarmee een besluit wordt genomen. Grofweg hebben we CBBS van het UWV dat ter discussie werd gesteld bij de CRvB en AERIUS van de minister van EZ dat besproken is bij de Afdeling bestuursrecht van de Raad van State.

Het CBBS is een claimbeoordelings-en borgingsstysteem dat gebruikt wordt bij de beoordeling of iemand arbeidsongeschikt is te achten en zo ja, in welke mate. In 2004 had de CRvB drie bedenkingen bij de inzet van dit systeem door het bestuursorgaan. Deze hadden met elkaar gemeen dat minder goed dan voorheen inzichtelijk en verifieerbaar was hoe de schattingen en belastbaarheid werden vastgesteld. Na het bespreken van de bedenkingen, oordeelde de CRvB dat hierdoor geen sprake was van een toereikend niveau van transparantie, verifieerbaarheid en toetsbaarheid van besluiten die met dit computerprogramma zijn genomen. Totdat deze onvolkomenheden hersteld werden zouden de besluiten in aanmerking komen voor vernietiging wegens strijd met de artikelen 3:2 en/of 7:12 van de Awb. Daarom oordeelde  de CRvB dat er hogere eisen aan deze besluiten gesteld moesten worden met betrekking tot de verslaglegging en motivering van de in een concreet geval ten grondslag gelegde verzekeringsgeneeskundige en arbeidskundige uitgangspunten.

Na twee jaar deed de CRvB opnieuw uitspraak, dit keer over de wijzigingen die zijn aangebracht in CBBS naar aanleiding van de eerdere uitspraak. Volgens de CRvB had het UWV de onvolkomenheden naar tevredenheid hersteld.

We kunnen dus concluderen dat als een computerprogramma besluiten neemt, dit niet ten koste mag gaan van de verifieerbaarheid en controleerbaarheid van het besluit. Dat mag op zich geen verbazing wekken, ware het niet dat de bestuursrechter zich in deze uitspraken intensief over de werking en uitkomst van het systeem heeft gebogen en niet is gestopt bij verweer over de betrouwbaarheid of zorgvuldigheid van het systeem. Bovendien is het systeem daadwerkelijk aangepast door het bestuursorgaan. Daarmee is voor alle betrokken burgers een verbetering aangebracht en niet alleen voor de burgers die zich tot de rechter hebben gewend.

De tweede vorm van bestuursrechtelijke waarborgen is geboden in een recente uitspraak van de Afdeling bestuursrechtspraak van de Raad van State. Het gaat hier om AERIUS.

AURIUS is een systeem dat lokale overheden verplicht moeten gebruiken bij het nemen van een besluit over een vergunning die te maken heeft met de uitstoot van stikstof. Volgens de bestuursrechter ABRS heeft de (deels) geautomatiseerde besluitvorming het risico in zich dat de besluitvorming niet inzichtelijk en controleerbaar is vanwege een gebrek aan inzicht in gemaakte keuzes en de gebruikte gegevens en aannames. De verwachtingen van de wetenschap uit de jaren ’90, namelijk dat de transparantie juist zou toenemen door geautomatiseerde besluiten blijkt niet te zijn uitgekomen. In de overwegingen 14.3 en 14.4 staat dat er een ongelijkwaardige procespositie voor partijen ontstaat als zij niet kunnen controleren op basis waarvan een bepaald besluit is genomen:

Ter voorkoming van deze ongelijkwaardige procespositie rust in dit geval op genoemde ministers en de staatssecretaris de verplichting om de gemaakte keuzes en de gebruikte gegevens en aannames volledig, tijdig en uit eigen beweging openbaar te maken op een passende wijze zodat deze keuzes, gegevens en aannames voor derden toegankelijk zijn. Deze volledige, tijdige en adequate beschikbaarstelling moet het mogelijk maken de gemaakte keuzes en de gebruikte gegevens en aannames te beoordelen of te laten beoordelen en zo nodig gemotiveerd te betwisten, zodat reële rechtsbescherming tegen besluiten die op deze keuzes, gegevens en aannames zijn gebaseerd mogelijk is, waarbij de rechter aan de hand hiervan in staat is de rechtmatigheid van deze besluiten te toetsen.’ 

Vervolgens gaat de ABRS per inhoudelijk punt na of het systeem voldoet aan het eerder geformuleerde kader. En die toets ziet er gedetailleerd uit. Een onderbouwing die is gegeven voor de verwachte economische groei wordt als onvoldoende inzichtelijk beoordeeld, bepaalde aannames zijn niet inzichtelijk geworden en ook stellingen die onbewezen blijven worden als onvoldoende inzichtelijk beoordeeld.

Zowel het kader als de invulling die de bestuursrechter in deze rechtszaak heeft gegeven, maakt dat bestuursorganen tekst en uitleg moeten bieden over het concrete besluit en de wijze waarop de computer dit heeft gegenereerd. Het gaat daarbij niet alleen om het kunnen controleren van het besluit als resultaat met (hopelijk) een deugdelijke motivering. Het gaat juist om het kunnen controleren van het proces waarmee dit besluit tot stand is gekomen; hoe is de wet geïnterpreteerd, hoeveel gewicht is toegekend aan een variabele, welke keuzes er zijn gemaakt bij het verfijnen van de ‘talige’ wet in de enen en nullen van het rekenkundig softwaresysteem, en waarom aan bepaalde gegevens de doorslag is gegeven en aan welke niet?

De eisen, die dermate algemeen zijn geformuleerd dat zij ook voor andere besluiten opgaan, bieden extra waarborgen voor burgers, ook voor burgers die geen rechtsmiddelen hebben ingezet.  Belangrijk is ook dat het volgens de ABRS gaat om inzicht dat ter beschikking is van belanghebbenden voordat deze beslissen of hij rechtsmiddelen indient.

2. Bescherming die de Algemene Verordening Gegevensbescherming biedt.

En dan hebben we natuurlijk nog artikel 22 van de AVG. Deze bepaling ziet er op het oog zeer ingrijpend uit; in de relatie burger – overheid betekent dit dat een betrokkene niet mag worden onderworpen aan een besluit in de zin van artikel 1:3, eerste lid van de Awb tenzij dit is toegestaan bij Unierechtelijke of lidstaatrechtelijke bepaling. Zoals we hiervoor zagen wordt er binnen de Nederlandse overheid nogal veel gewerkt met geautomatiseerde besluiten. Dit is dan waarschijnlijk ook de reden dat in artikel 38 van het voorstel Uitvoeringswet AVG waarvan de consultatie is afgerond, wordt voorgesteld dat artikel 22 AVG niet geldt als geautomatiseerde besluitvorming als hier bedoeld noodzakelijk is om te voldoen aan een wettelijke plicht of noodzakelijk is ter uitvoering van een taak van algemeen belang.

Wel moet de verwerkingsverantwoordelijke dan passende maatregelen treffen tot bescherming van het gerechtvaardigd belang van de betrokken en moet het bestuursorgaan dat het besluit neemt de logica meedelen die ten grondslag ligt aan de geautomatiseerde verwerking van de hem betreffende gegevens.

Conclusie

De waarborgen voor burgers bij geautomatiseerde overheidsbesluiten komen dus uit twee kokers. Beide respecteren de nieuwe realiteit, namelijk dat besluiten door computers worden genomen.  Of dit nu vanuit de bescherming van persoonsgegevens wordt bekeken of vanuit het bestuursrecht, er horen waarborgen bij deze uitvoering die kunnen worden afgedwongen, hetzij via de bestuursrechter, hetzij via de toezichthouder AP.

Dit betekent hoe dan ook dat er werk aan de winkel is voor bestuursorganen. Instructies aan de computer die geschreven zijn door zeer gespecialiseerde programmeurs moeten worden vertaald in toegankelijke uitleg die het mogelijk maakt het programma te controleren. Voor burgers betekent dit in ieder geval extra bescherming.

lit.

Tom Barkhuysen en Niels Jak, Afdeling bestuursrechtspraak formuleert toetsingskader voor geautomatiseerde besluitvormingsprocessen, AERIUS, blog.

Jon Bing, ‘Code, Acces and Control’ in ‘Human Rights in the Digital Age’ M. Klang & A. Murray (eds), Cavendish Publishing Ltd 2005.

M.M. Groothuis, Beschikken en digitaliseren. Over normering van de elektronische overheid (diss. Leiden), (Meijers-reeks) Sdu 2004.

Dag Wiese Schartum, Law and algorithms in the public domain, in Etikk i praksis. Nordic Journal of Applied Ethics (2016), 10 (1),  15–26. http://dx.doi.org/10.5324/eip.v10i1.1973

S. Zouridis, Digitale disciplinering. Over ICT, organisatie, wetgeving en het automatiseren van beschikkingen (diss. Tilburg), Delft: Eburon 2000.