Het uitoefenen van uw informatie- en inzagerecht onder de AVG
In de reeks "Het 'black box'-karakter van geheime dataveillance en Big Data-analyse" heb ik aangegeven dat de discussie omtrent de inzet van instrumenten voor risicotaxatie, profilering en Big Data-analyse niet alleen gericht zou moeten zijn op discriminatie bij de toepassing van voorspellende algoritmen. De discussie over onder meer de inzet van het Systeem Risico Indicatie (SyRI) zou betrekking moeten hebben op een andere fundamentele kwestie: de effectiviteit waarmee iedere burger zijn/haar recht op eerbiediging van de persoonlijke levenssfeer kan uitoefenen.
Ondanks het 'black box'-karakter van de geheime verzameling en verwerking van uw persoonsgegevens in het kader van risicotaxaties/profilering/Big Data-analyse moeten de rechten en plichten uit de Algemene Verordening Gegevensbescherming (AVG) en het Europese Verdrag voor de Rechten van de Mens (EVRM) worden nageleefd door de verwerkingsverantwoordelijke.
Uiteraard houdt het 'black box'-karakter van geheime dataveillance/profilering/risicotaxatie in dat de burger er niet van op de hoogte wordt gebracht dat hij/zij onderwerp van onderzoek is. Dat neemt niet weg dat u inzagerecht, het recht op beperking van de verwerking van uw gegevens en recht van rectificatie hebt. Ook zijn verwerkingsverantwoordelijken verplicht om informatie te verschaffen over de verwerking van uw persoonsgegevens.
Aan enkel de constatering dat geheime dataveillance met miskenning van de transparantie-, informatie- en verwerkingsbeperkingsverplichtingen in strijd is met het recht op eerbiediging van de persoonlijke levenssfeer hebt u niet veel. Iets aankaarten zonder mogelijke oplossingen aan te dragen, is nutteloos. Daarom adviseer ik u, hoe u een vordering tot inzage in de verwerking van uw persoonsgegevens aan de verwerkingsverantwoordelijke op kunt stellen. In de vordering kunt u de volgende punten opnemen om onder meer uw informatierecht, inzagerecht en recht van beperking van de verwerking van uw gegevens uit te oefenen. Het overzicht is niet uitputtend bedoeld en derhalve voor aanvulling vatbaar, met dien verstande dat de minimale informatieverplichtingen en transparantieverplichtingen van de verwerkingsverantwoordelijke erin zijn opgenomen.
1. Gegevens die u kunt vorderen op grond van uw informatierecht
- De identiteit en contactgegevens van de verwerkingsverantwoordelijke en/of de identiteit en contactgegevens van de vertegenwoordiger, bijvoorbeeld de gemeentelijke instantie, het Inlichtingenbureau of een privaat Data lab/miningbedrijf (art. 14 lid 1 onder a AVG);
- De verwerkingsdoeleinden waarvoor uw persoonsgegevens zijn bestemd en de categorieën van persoonsgegevens (art. 14 lid 1 onder c-d AVG);
- Gegevens van de persoon of instantie die de persoonsgegevens van de verwerker ontvangt (art. 14 lid 1 onder e AVG);
- Gegevens over het belang van profilering voor de verwerkingsverantwoordelijke en de door u te verwachten gevolgen van profilering (art. 14 lid 2 AVG);
- Informatie over uw recht om bezwaar te maken tegen de verwerking van uw persoonsgegevens (art. 14 lid 2 onder c AVG) en de mogelijkheid om een klacht in te dienen bij de Autoriteit Persoonsgegevens (art. 14 lid 2 onder e AVG);
- Informatie over de wijze waarop de verwerkingsverantwoordelijke voldoet aan de plicht om u op grond van art. 13 of 14 AVG in verband met art. 5 lid 1 AVG vooraf te informeren over het feit dat u aan profilering wordt onderworpen.
2. Het recht van inzage (art. 15 AVG)
- Wijs de verwerkingsverantwoordelijke erop dat u inzage dient te krijgen in de doeleinden van de verwerking, de betrokken categorieën van persoonsgegevens die worden verwerkt, de ontvangers aan wie uw persoonsgegevens zijn of zullen worden verstrekt, de periode van opslag van uw gegevens en de bronnen waaruit uw gegevens zijn betrokken (art. 15 lid 1 AVG);
- De verwerkingsverantwoordelijke dient aan u een kopie te verstrekken van de gegevens die worden verwerkt (art. 15 lid 3 AVG);
- De verwerkingsverantwoordelijke dient u inzage te verschaffen in de gegevens die als input zijn gebruikt (datasets) om een profiel over u op te maken. U dient tevens inzage te krijgen in de informatie over de u betreffende profilering en de details van de categorie waarin u bent ingedeeld (Guidelines on automated Individual decision-making and Profiling for the purposes of Regulation 2016/679, 6 feb. 2018, WP251rev.01, p. 17).
3. Uw recht van rectificatie, verwerkingsbeperking en gegevenswissing
- Zijn de verwerkte persoonsgegevens die u betreffen, onjuist of onvolledig? Verzoek dan om rectificatie (art. 15 lid 1 onder e AVG jo. art. 16 AVG);
- Verzoek om beperking van de verwerking van uw persoonsgegevens (art. 15 lid 1 jo. 18 AVG). U hebt het recht op 'vergetelheid' (art. 15 lid 1 onder e AVG jo. 17 AVG);
- De verwerkingsverantwoordelijke heeft een kennisgevingsplicht inzake de rectificatie of wissing van uw persoonsgegevens of de verwerkingsbeperking (art. 19 AVG);
- Maakt u bezwaar tegen de verwerking van uw gegevens onder toepassing van art. 21 AVG, dan hebt u tevens recht op beperking van de verwerking van uw persoonsgegevens (art. 18 lid 1 onder d AVG).
4. De plicht van verwerkingsverantwoordelijke om op transparante wijze begrijpelijke informatie te verschaffen (art. 12 in verband met art. 5 lid 1 sub a AVG)
De verwerkingsverantwoordelijke dient u op transparante, begrijpelijke en gemakkelijk toegankelijke wijze informatie te verschaffen (art. 12 AVG). De informatie dient voor de gemiddelde betrokkene begrijpelijk te zijn (Guideline WP260 rev.01, 11 April 2018, p. 7-8). Zoals eerder opgemerkt, kan de verwerkingsverantwoordelijke niet volstaan met het verschaffen van een wiskundige formule, (letterlijk: het algoritme) of een grafiekje. Uit de informatie moet blijken hoe uw persoonsgegevens zijn verwerkt en voor welke doeleinden. De informatieverplichtingen op grond van art. 12 AVG dienen immers uw informatierecht (art. 13-14 AVG) te faciliteren.
Het verspreiden van zwartgelakte documenten onder de motivering dat de gegevens van verwerkers een gelegenheid van intern beleid zijn, is in strijd met de verplichting van verwerkingsverantwoordelijken om transparante en begrijpelijke informatie over de verwerking van uw persoonsgegevens te verschaffen. Let er wel op dat de verwerkingsverantwoordelijke zwartgelakte informatie kan verstrekken om de termijnen voor (bestuursrechtelijke) bezwaarprocedures op te rekken. Als de verwerkingsverantwoordelijke u de gevraagde informatie verstrekt, dan is dit een besluit in de zin van de Algemene wet bestuursrecht (Awb). Word de gevraagde informatie in onleesbare vorm verstrekt, dan dient tegen het niet-voldoen aan de transparantie- en informatieplicht bezwaar te worden gemaakt. De termijn voor beslissen op bezwaar is zes weken.
In de reeks "Het 'black box'-karakter van geheime dataveillance en Big Data-analyse" heb ik aangegeven dat de discussie omtrent de inzet van instrumenten voor risicotaxatie, profilering en Big Data-analyse niet alleen gericht zou moeten zijn op discriminatie bij de toepassing van voorspellende algoritmen. De discussie over onder meer de inzet van het Systeem Risico Indicatie (SyRI) zou betrekking moeten hebben op een andere fundamentele kwestie: de effectiviteit waarmee iedere burger zijn/haar recht op eerbiediging van de persoonlijke levenssfeer kan uitoefenen.
Ondanks het 'black box'-karakter van de geheime verzameling en verwerking van uw persoonsgegevens in het kader van risicotaxaties/profilering/Big Data-analyse moeten de rechten en plichten uit de Algemene Verordening Gegevensbescherming (AVG) en het Europese Verdrag voor de Rechten van de Mens (EVRM) worden nageleefd door de verwerkingsverantwoordelijke.
Uiteraard houdt het 'black box'-karakter van geheime dataveillance/profilering/risicotaxatie in dat de burger er niet van op de hoogte wordt gebracht dat hij/zij onderwerp van onderzoek is. Dat neemt niet weg dat u inzagerecht, het recht op beperking van de verwerking van uw gegevens en recht van rectificatie hebt. Ook zijn verwerkingsverantwoordelijken verplicht om informatie te verschaffen over de verwerking van uw persoonsgegevens.
Aan enkel de constatering dat geheime dataveillance met miskenning van de transparantie-, informatie- en verwerkingsbeperkingsverplichtingen in strijd is met het recht op eerbiediging van de persoonlijke levenssfeer hebt u niet veel. Iets aankaarten zonder mogelijke oplossingen aan te dragen, is nutteloos. Daarom adviseer ik u, hoe u een vordering tot inzage in de verwerking van uw persoonsgegevens aan de verwerkingsverantwoordelijke op kunt stellen. In de vordering kunt u de volgende punten opnemen om onder meer uw informatierecht, inzagerecht en recht van beperking van de verwerking van uw gegevens uit te oefenen. Het overzicht is niet uitputtend bedoeld en derhalve voor aanvulling vatbaar, met dien verstande dat de minimale informatieverplichtingen en transparantieverplichtingen van de verwerkingsverantwoordelijke erin zijn opgenomen.
1. Gegevens die u kunt vorderen op grond van uw informatierecht
- De identiteit en contactgegevens van de verwerkingsverantwoordelijke en/of de identiteit en contactgegevens van de vertegenwoordiger, bijvoorbeeld de gemeentelijke instantie, het Inlichtingenbureau of een privaat Data lab/miningbedrijf (art. 14 lid 1 onder a AVG);
- De verwerkingsdoeleinden waarvoor uw persoonsgegevens zijn bestemd en de categorieën van persoonsgegevens (art. 14 lid 1 onder c-d AVG);
- Gegevens van de persoon of instantie die de persoonsgegevens van de verwerker ontvangt (art. 14 lid 1 onder e AVG);
- Gegevens over het belang van profilering voor de verwerkingsverantwoordelijke en de door u te verwachten gevolgen van profilering (art. 14 lid 2 AVG);
- Informatie over uw recht om bezwaar te maken tegen de verwerking van uw persoonsgegevens (art. 14 lid 2 onder c AVG) en de mogelijkheid om een klacht in te dienen bij de Autoriteit Persoonsgegevens (art. 14 lid 2 onder e AVG);
- Informatie over de wijze waarop de verwerkingsverantwoordelijke voldoet aan de plicht om u op grond van art. 13 of 14 AVG in verband met art. 5 lid 1 AVG vooraf te informeren over het feit dat u aan profilering wordt onderworpen.
2. Het recht van inzage (art. 15 AVG)
- Wijs de verwerkingsverantwoordelijke erop dat u inzage dient te krijgen in de doeleinden van de verwerking, de betrokken categorieën van persoonsgegevens die worden verwerkt, de ontvangers aan wie uw persoonsgegevens zijn of zullen worden verstrekt, de periode van opslag van uw gegevens en de bronnen waaruit uw gegevens zijn betrokken (art. 15 lid 1 AVG);
- De verwerkingsverantwoordelijke dient aan u een kopie te verstrekken van de gegevens die worden verwerkt (art. 15 lid 3 AVG);
- De verwerkingsverantwoordelijke dient u inzage te verschaffen in de gegevens die als input zijn gebruikt (datasets) om een profiel over u op te maken. U dient tevens inzage te krijgen in de informatie over de u betreffende profilering en de details van de categorie waarin u bent ingedeeld (Guidelines on automated Individual decision-making and Profiling for the purposes of Regulation 2016/679, 6 feb. 2018, WP251rev.01, p. 17).
3. Uw recht van rectificatie, verwerkingsbeperking en gegevenswissing
- Zijn de verwerkte persoonsgegevens die u betreffen, onjuist of onvolledig? Verzoek dan om rectificatie (art. 15 lid 1 onder e AVG jo. art. 16 AVG);
- Verzoek om beperking van de verwerking van uw persoonsgegevens (art. 15 lid 1 jo. 18 AVG). U hebt het recht op 'vergetelheid' (art. 15 lid 1 onder e AVG jo. 17 AVG);
- De verwerkingsverantwoordelijke heeft een kennisgevingsplicht inzake de rectificatie of wissing van uw persoonsgegevens of de verwerkingsbeperking (art. 19 AVG);
- Maakt u bezwaar tegen de verwerking van uw gegevens onder toepassing van art. 21 AVG, dan hebt u tevens recht op beperking van de verwerking van uw persoonsgegevens (art. 18 lid 1 onder d AVG).
4. De plicht van verwerkingsverantwoordelijke om op transparante wijze begrijpelijke informatie te verschaffen (art. 12 in verband met art. 5 lid 1 sub a AVG)
De verwerkingsverantwoordelijke dient u op transparante, begrijpelijke en gemakkelijk toegankelijke wijze informatie te verschaffen (art. 12 AVG). De informatie dient voor de gemiddelde betrokkene begrijpelijk te zijn (Guideline WP260 rev.01, 11 April 2018, p. 7-8). Zoals eerder opgemerkt, kan de verwerkingsverantwoordelijke niet volstaan met het verschaffen van een wiskundige formule, (letterlijk: het algoritme) of een grafiekje. Uit de informatie moet blijken hoe uw persoonsgegevens zijn verwerkt en voor welke doeleinden. De informatieverplichtingen op grond van art. 12 AVG dienen immers uw informatierecht (art. 13-14 AVG) te faciliteren.
Het verspreiden van zwartgelakte documenten onder de motivering dat de gegevens van verwerkers een gelegenheid van intern beleid zijn, is in strijd met de verplichting van verwerkingsverantwoordelijken om transparante en begrijpelijke informatie over de verwerking van uw persoonsgegevens te verschaffen. Let er wel op dat de verwerkingsverantwoordelijke zwartgelakte informatie kan verstrekken om de termijnen voor (bestuursrechtelijke) bezwaarprocedures op te rekken. Als de verwerkingsverantwoordelijke u de gevraagde informatie verstrekt, dan is dit een besluit in de zin van de Algemene wet bestuursrecht (Awb). Word de gevraagde informatie in onleesbare vorm verstrekt, dan dient tegen het niet-voldoen aan de transparantie- en informatieplicht bezwaar te worden gemaakt. De termijn voor beslissen op bezwaar is zes weken.
