De SyRI's worden nog altijd ingezet- en dit is hoe u uw informatierecht kunt uitoefenen

Nog steeds wordt het hardnekkige misverstand verspreid dat de rechter in de SyRI-zaak heeft geoordeeld dat het Systeem Risico Indicatie (SyRI) niet meer ingezet mag worden. De rechter heeft slechts bepaald dat de wetgeving waarop het instrument SyRI is gebaseerd, de SUWI-wetgeving, moest worden aangepast.

Een korte terugblik op eerdere berichtgeving over dit specialisme (Privacyrechten bij de heimelijke inzet van Big Data-analyse en dataveillance): 

1. SyRI is in strijd met de EHRM-criteria, maar de lagere rechter zal het gebruik ervan rechtmatig oordelen (3 november 2019, prognose van de uitkomst in de SyRI-zaak);
2. Datamining, Machine Learning en voorspellende algoritmen: hoe geschikt zijn deze methoden voor risicotaxatie? (algoritmen zijn niet geschikt om risico's te taxeren en daarom wezenlijk een invalide instrument, 11 november 2019);
3. Het "black box"-karakter van geheime dataveillance & Big Data-analyse en uw rechten (deel I) (17 november 2019);
4. Het "black box"-karakter van geheime dataveillance & Big Data-analyse en uw rechten (deel II);
5. Het "black box"-karakter van geheime dataveillance & Big Data-analyse en uw rechten (deel III);
6. Het "black box"-karakter van geheime dataveillance & Big Data-analyse en uw rechten (deel IV);
7. Het Privacy Impact Assessment (PIA) in geval van geheime dataveillance, risicotaxatie en profilering (30 november 2019);
8. Wat kunt u doen, wanneer u aan 'voorspellende' algoritmen wordt onderworpen? (14 december 2019);
9. Het uitoefenen van uw informatie- en inzagerecht onder de AVG (28 januari 2020);
10. Rechtbank Den Haag: SUWI-wetgeving als basis voor de inzet van SyRI in strijd met de EHRM-criteria (uitspraak in de SyRI-zaak, 5 februari 2020);
11. De discussie over de toelaatbaarheid van systemen zoals SyRI moet permanent zijn (6 februari 2020)

De SyRI's worden nog altijd ingezet, waaronder door private bedrijfjes ("Data Labs") die persoonsgegevens in opdracht van gemeenten en andere bestuurlijke overheidsorganen analyseren en verwerken. Instrumenten voor risicotaxatie/-indicatie houden in, dat op grond van het samenvoegen van persoonlijke gegevens wordt ingeschat hoe hoog het risico op fraude is. In de volksmond wordt wel gesproken van "voorspellende algoritmen".

Voorspellende algoritmen zijn formules die een indicatie geven van het frauderisico. Het opvragen van voorspellende algoritmen heeft weinig betekenis ten aanzien van de uitoefening van de informatierechten door een betrokkene. Gemeenten zouden kunnen menen te volstaan met het verschaffen van grafiekjes of rekenformules. Voor betrokkenen is het goed om te weten dat zij hun informatie-, inzage- en rectificatierechten kunnen uitoefenen, alsmede het recht op verwijdering van persoonsgegevens ("recht op vergeetbaarheid"). Gegevensverwerkers kunnen de plicht om te voldoen aan deze eisen uit de AVG niet verzaken door een beroep te doen op het "black box"-karakter van  methoden voor (geheime) surveillance/dataveillance, zoals SyRI. 

 1. Het uitoefenen van uw informatierecht: gegevens die u kunt vorderen

- De verwerkingsverantwoordelijke dient de identiteit en contactgegevens van zichzelf en/of de vertegenwoordiger te verstrekken op grond van art. 14 lid 1 onder a AVG. Onder meer de  gemeentelijke instantie, het Inlichtingenbureau of een privaat Data lab/miningbedrijf dienen u de eigen identiteit en contactgegevens te verstrekken;
- De verwerkingsdoeleinden waarvoor uw persoonsgegevens zijn bestemd en de categorieën van persoonsgegevens moeten aan u worden verstrekt op grond van art. 14 lid 1 onder c-d AVG;
- Gegevens van de persoon of instantie die de persoonsgegevens van de verwerker ontvangt dienen aan u te worden verstrekt o.g.v. art. 14 lid 1 onder e AVG;
- De verwerkingsverantwoordelijke dient u in klare taal informatie te verschaffen over uw recht om bezwaar te maken tegen de verwerking van uw persoonsgegevens (art. 14 lid 2 onder c AVG) en de mogelijkheid om een klacht in te dienen bij de Autoriteit Persoonsgegevens art. 14 lid 2 onder e AVG);
- Informatie over de wijze waarop de verwerkingsverantwoordelijke voldoet aan de plicht om u op grond van art. 13 of 14 AVG in verband met art. 5 lid 1 AVG vooraf te informeren over het feit dat u aan profilering wordt onderworpen;
- Gegevens over het belang van profilering voor de verwerkingsverantwoordelijke en de door u te verwachten gevolgen van profilering (art. 14 lid 2 AVG)

2. Het uitoefenen van uw recht van inzage (art. 15 AVG)

- Wijs de verwerkingsverantwoordelijke erop dat u inzage dient te krijgen in de doeleinden van de verwerking, de betrokken categorieën van persoonsgegevens die worden verwerkt, de ontvangers aan wie uw persoonsgegevens zijn of zullen worden verstrekt, de periode van opslag van uw gegevens en de bronnen waaruit uw gegevens zijn betrokken (art. 15 lid 1 AVG);
- De verwerkingsverantwoordelijke dient aan u een kopie te verstrekken van de gegevens die worden verwerkt (art. 15 lid 3 AVG);
-  De verwerkingsverantwoordelijke dient u inzage te verschaffen in de gegevens die als input zijn gebruikt (datasets) om een profiel over u op te maken. U dient tevens inzage te krijgen in de informatie over de u betreffende profilering en de details van de categorie waarin u bent ingedeeld (Guidelines on automated Individual decision-making and Profiling for the purposes of Regulation 2016/679, 6 feb. 2018, WP251rev.01, p. 17).

3. Uw recht van rectificatie, verwerkingsbeperking en gegevenswissing

- Zijn de verwerkte persoonsgegevens die u betreffen, onjuist of onvolledig? Verzoek dan om rectificatie (art. 15 lid 1 onder e AVG jo. art. 16 AVG);
- Verzoek om beperking van de verwerking van uw persoonsgegevens (art. 15 lid 1 jo. 18 AVG). U hebt het recht op 'vergetelheid' (art. 15 lid 1 onder e AVG jo. 17 AVG);
- De verwerkingsverantwoordelijke dient u in kennis te stellen inzake de rectificatie of wissing van uw persoonsgegevens of de verwerkingsbeperking (art. 19 AVG);
- Maakt u bezwaar tegen de verwerking van uw gegevens onder toepassing van art. 21 AVG, dan hebt u tevens recht op beperking van de verwerking van uw persoonsgegevens (art. 18 lid 1 onder d AVG).

4. De plicht van verwerkingsverantwoordelijke om op transparante wijze begrijpelijke informatie te verschaffen (art. 12 in verband met art. 5 lid 1 sub a AVG)

De verwerkingsverantwoordelijke dient u op transparante, begrijpelijke en gemakkelijk toegankelijke wijze informatie te verschaffen (art. 12 AVG). De informatie dient voor de gemiddelde betrokkene begrijpelijk te zijn (Guideline WP260 rev.01, 11 April 2018, p. 7-8). Uit de informatie moet blijken hoe uw persoonsgegevens zijn verwerkt en voor welke doeleinden. De informatieverplichtingen op grond van art. 12 AVG dienen immers uw informatierecht (art. 13-14 AVG) te faciliteren.
 
5. De plicht van de verwerkingsverantwoordelijke om een Privacy Impact Assessment (PIA of DPIA) uit te voeren 

De verwerkingsverantwoordelijke dient vóór de verwerking van persoonsgegevens een beoordeling uit te voeren van het effect van de beoogde verwerkingsactiviteit op de bescherming van persoonsgegevens (art. 35 lid 1 AVG). De beoordeling bevat ten minste een systematische beschrijving van de beoogde verwerkingen en verwerkingsdoeleinden, waaronder de belangen van de verwerkingsverantwoordelijke; ook dient de verwerkingsverantwoordelijke een beoordeling te geven van de noodzaak en evenredigheid van de verwerkingen met betrekking tot de doeleinden (proportionaliteit en subsidiariteit); voorts dient de beoordeling te omschrijven welke maatregelen zijn getroffen en aan te tonen hoe aan de waarborging van de bescherming van de persoonsgegevens en de rechten en gerechtvaardigde belangen van de betrokken burgers is voldaan (art. 35 lid 7 AVG).

Het verplichte Privacy Impact Assessment bij geheime dataveillance, profilering, samenwerking met private bedrijven en de verwerking van biometrische gegevens
De beperkingen op de transparantieverplichtingen van verwerkingsverantwoordelijken en de beperkingen van het recht van de burger op informatie en inzage gelden niet ten aanzien van het PIA. Een verwerkingsverantwoordelijke die geheime methoden voor Big Data-analyse/profilering/risicotaxatie toepast, is verplicht om het Privacy Impact Assessment (PIA) uit te voeren. Dit is bepaald in art. 35 AVG en wordt nog eens onderstreept door het Besluit Verplichte Gegevensbeschermingseffectbeoordeling van 27 november 2019 (Staatscourant nr. 64418). De verplichte uitvoering van het DPIA geldt onder meer voor:

- Grootschalige verwerkingen van persoonsgegevens en stelselmatige monitoring waarbij persoonsgegevens worden verzameld zonder de betrokkene daarover vooraf in te lichten, bijvoorbeeld heimelijk onderzoek door particuliere bureaus/Data Labs en onderzoek in het kader van fraudebestrijding (waaronder SyRI);
- Grootschalige verwerkingen van gegevens en monitoring in het kader van fraudebestrijding door sociale diensten;
-  Samenwerkingsverbanden waarin gemeenten en/of andere overheidsorganen met andere publieke of private partijen bijzondere persoonsgegevens of gegevens van gevoelige aard met elkaar uitwisselen;
- Grootschalige verwerking en monitoring van locatiegegevens, herleidbaar tot natuurlijke personen, bijvoorbeeld door ANPR-mobiel, of verwerking van gegevens van personen in het openbaar vervoer;
- Biometrische gegevens, waaronder vingerafdrukken, toetsaanslaganalyses, irisscans, gezichtsprofielen en stemopnamen (de verwerking van biometrische gegevens is enkel toegestaan wanneer de verwerking van biometrische gegevens noodzakelijk is voor beveiligingsdoeleinden);
- Profilering: de systematische beoordeling van persoonlijke aspecten van natuurlijke personen, gebaseerd op geautomatiseerde verwerking (profilering is geautomatiseerde verwerking).

Inhoud van het PIA: concrete verplichtingen van de verwerkingsverantwoordelijke
De verwerkingsverantwoordelijke dient vóór de verwerking van persoonsgegevens een beoordeling uit te voeren van het effect van de beoogde verwerkingsactiviteit op de bescherming van persoonsgegevens (art. 35 lid 1 AVG). De beoordeling bevat ten minste een systematische beschrijving van de beoogde verwerkingen en verwerkingsdoeleinden, waaronder de belangen van de verwerkingsverantwoordelijke; ook dient de verwerkingsverantwoordelijke een beoordeling te geven van de noodzaak en evenredigheid van de verwerkingen met betrekking tot de doeleinden (proportionaliteit en subsidiariteit); voorts dient de beoordeling te omschrijven welke maatregelen zijn getroffen en aan te tonen hoe aan de waarborging van de bescherming van de persoonsgegevens en de rechten en gerechtvaardigde belangen van de betrokken burgers is voldaan (art. 35 lid 7 AVG).

 

Compensatie voor slachtoffers van de CAF11-affaire: waak voor dubbele benadeling!

Compensatie
Interimcommissaris Donner heeft zich niet uit willen laten over de onrechtmatigheid van het handelen van de dienst Toeslagen in de CAF-affaire. In zijn conclusie sluit hij aan bij de uitspraken van de Afdeling bestuursrechtspraak, dat de onrechtmatigheid betrekking heeft op de stopzetting van de Kinderopvangtoeslag. Uit het verslag van de besloten vergadering op 28 november 2019 blijkt dat commissaris Donner richting compensatie beredeneert: 'Daarom hebben we in alle gevallen geconstateerd dat gehandeld is op een wijze die een compensatieregeling rechtvaardigt. Daarom heet het ook compensatieregeling. Dat staat los van overheidsaansprakelijkheid voor een onrechtmatige daad (Kamerstukken II 2019/20, 31 066, nr. 548, p. 5).'

Angst voor overcompensatie
Het voorstel van de Interimcommissie was om géén maatwerk te leveren voor materiële schade die het gevolg is van de onrechtmatige stopzetting van de Kinderopvangtoeslag in de CAF11-affaire (Hawaii). De Interimcommissie associeert een te ruimhartige toekenning van schadevergoeding met overcompensatie (Commissie, p. 51). Daarom wordt voorgesteld om ten aanzien van de geleden materiële schade een forfaitaire vergoeding te hanteren van 25% van het bedrag ter compensatie van de correctiebesluiten. Als vergoeding voor immateriële schade heeft de commissie voorgesteld om 500 Euro per halfjaar vanaf het eerste moment van onrechtmatige verlaging tot aan het moment van herstel toe te kennen, met een plafond van het bedrag ter compensatie van de correctiebesluiten.

Compensatie wordt toch beschouwd als inkomen uit sparen en beleggen (box 3) en is van invloed op het recht op toeslagen in het jaar na uitbetaling
De adviezen van de Interimcommissie zijn overgenomen in de toezeggingen van compensatie in de CAF11-zaken, gedaan op 17 december 2019 (vooraankondiging compensatie CAF 11, kenmerk T-C DR CAF-11 1e V). De vergoeding van materiële schade uit de gedwongen verkoop van bezittingen, waaronder de woning, moet op verzoek van de benadeelde via een aanvullende compensatie worden afgehandeld.

In het Beleidsbesluit Compensatieregeling CAF 11, gepubliceerd op 29 november 2019, is bepaald dat de compensatie van de CAF11-slachtoffers zal worden belast als inkomen uit sparen en beleggen (box 3). De compensatie van de slachtoffers heeft blijkens de brief van het Directoraat van de Belastingdienst en Toeslagen ook gevolgen voor het recht op toeslagen in het jaar na uitbetaling van de CAF11-compensatie (brief 16 november 2019, T-C DR CAF-11).

Even leek het erop dat afgezien zou worden van dit systeem van 'dubbel benadelen' van de slachtoffers, zo bevat het stenogram van de interpellatie de bewoordingen:

        '...Die effecten willen we wegnemen. Wij zorgen er dus voor dat dat niet van invloed is: niet op toeslagen, niet op uitkeringen en niet op box 1. Het kan zelfs zo zijn dat er een aantal ouders zijn, al zullen het er niet veel zijn, die zo veel vermogen hebben dat ze in box 3 moeten betalen. Ook daarvoor geldt dat wij een extra toeslag regelen. Die zegt eigenlijk: op het moment dat je zo'n box 3-effect hebt, netteren wij dat ook. Dan krijg je dus geen last van het feit dat je meer vermogen hebt op een bankrekening. Met al die effecten is dus rekening gehouden. We proberen het te compenseren.' 

Inmiddels is duidelijk dat de CAF-compensatie zal worden gerekend tot het box 3-vermogen en dat de compensatie van de slachtoffers een verlaging van de toeslagen in het jaar na uitkering tot gevolg heeft. Om deze benadeling te compenseren, moeten de slachtoffers tijdig compensatie aanvragen (Vooraankondiging compensatie CAF 11 van 17 december 2019, T-C DR CAF-11 1e V). Het gevaar dreigt dat de benadeelden door compensatie dubbel zullen worden benadeeld. Waakzaamheid is dus geboden bij de ontvangst van de CAF11-compensatie.

Onleesbaar gemaakte dossiers
Het is logisch dat de onleesbaar gemaakte dossiers die aan de slachtoffers in de CAF11-affaire zijn verstrekt, als een middelvinger naar de slachtoffers worden beschouwd. De opgestapte Staatssecretaris spreekt van 'dossiers die bij de ouders hebben geleid tot een gevoel van onvrede over de verstrekking' en 'dossiers die niet voldoen aan de verwachtingen die ouders hadden'; in reactie op de melding van de onleesbare dossiers heeft voormalig Staatssecretaris Snel de dienst Toeslagen opgedragen om persoonlijk contact op te nemen met de gedupeerden, om tekst en uitleg te geven over de gang van zaken.

In de woorden van Snel voldoen de onleesbare dossiers aan diens toezegging om ruimhartig informatie te verstrekken (Brief Compensatie ouders CAF 11 en gedane toezeggingen, 17 december 2019, 2019-0000215312, p. 4-5). Volgens Snel moesten de dossiers onder grote tijdsdruk worden verstrekt en is zo zorgvuldig mogelijk met de privacy van derden omgegaan.

De Rechtbank Rotterdam heeft de Belastingdienst/Toeslagen in de zaak van 12 juli 2019 (zaak-ROT 18/3203) opgedragen het volledige dossier aan eiseres, één van de benadeelden in een CAF-onderzoek, bekend te maken (ECLI:NL:RBROT:2019:5532). Uit de compensatiebrief CAF 11 van 17 december 2019 blijkt dat ook dit dossier onleesbaar is gemaakt. Aan het gerechtelijk vonnis van 12 juli 2019 is dus niet voldaan. De uitspraak van de Raad van State in het hoger beroep wordt thans afgewacht.

Conclusie
De CAF-affaire is het gevolg van institutionele vooringenomenheid enerzijds en een gebrek aan juridische kennis anderzijds. Institutionele vooringenomenheid, omdat als uitgangspunt werd gekozen voor een scenario waarbij bij de vraagouders en ouders die Kinderopvangtoeslag ontvingen, 'iets mis' moest zijn. Als geen aanwijzingen bestonden dat iets mis zou zijn met de informatie die door de ouders werd verstrekt, dan werd een senior-inspecteur ingezet om kennelijke misslagen of foutjes te ontdekken. Op onofficiële wijze werden ouders, zoals in het rapport doorklinkt, ad hoc verzocht om informatie te verstrekken aan de balie van de dienst Toeslagen. Het probleem is dat de IST-formulieren die daartoe dienden, slechts als werkinstructies fungeerden en juridische toetsing ontbeerden. Bovendien was in de werkinstructies en kaders van de afdeling Toeslagen niet vermeld welke informatie bij ouders diende te worden opgevraagd om het recht op KOT over de toeslagjaren vast te stellen. De afhandeling van bezwaarschriften is vervolgens niet op de gebruikelijke wijze verlopen.

Bij de controle van het door de ouders aangeleverde bewijs waren geen juristen betrokken. Het ontbrak op alle fronten aan juridisch inzicht. Volgens de Commissie blijkt dat medewerkers van IST onder druk stonden om zoveel mogelijk fraudegevallen te bevestigen (Commissie, p. 42-43).

Op 17 december 2019 is compensatie toegezegd voor een deel van de CAF-slachtoffers; het betreft een fractie van de CAF 11-groep. Naar de omvang van de schade die geleden is en op dit moment  geleden wordt door de slachtoffers van de overige CAF-groepen, moet nog onderzoek worden gedaan door de Adviescommissie en de Auditdienst Rijk.

Wat kunt u doen, wanneer u aan 'voorspellende' algoritmen of profilering wordt onderworpen?

Het uitoefenen van uw informatie- en inzagerecht onder de AVG
In de reeks "Het 'black box'-karakter van geheime dataveillance en Big Data-analyse" heb ik aangegeven dat de discussie omtrent de inzet van instrumenten voor risicotaxatie, profilering en Big Data-analyse niet alleen gericht zou moeten zijn op discriminatie bij de toepassing van voorspellende algoritmen. De discussie over onder meer de inzet van het Systeem Risico Indicatie (SyRI) zou betrekking moeten hebben op een andere fundamentele kwestie: de effectiviteit waarmee iedere burger zijn/haar recht op eerbiediging van de persoonlijke levenssfeer kan uitoefenen.

Ondanks het 'black box'-karakter van de geheime verzameling en verwerking van uw persoonsgegevens in het kader van risicotaxaties/profilering/Big Data-analyse moeten de rechten en plichten uit de Algemene Verordening Gegevensbescherming (AVG) en het Europese Verdrag voor de Rechten van de Mens (EVRM) worden nageleefd door de verwerkingsverantwoordelijke.

Uiteraard houdt het 'black box'-karakter van geheime dataveillance/profilering/risicotaxatie in dat de burger er niet van op de hoogte wordt gebracht dat hij/zij onderwerp van onderzoek is. Dat neemt niet weg dat u inzagerecht, het recht op beperking van de verwerking van uw gegevens en recht van rectificatie hebt. Ook zijn verwerkingsverantwoordelijken verplicht om informatie te verschaffen over de verwerking van uw persoonsgegevens.

Aan enkel de constatering dat geheime dataveillance met miskenning van de transparantie-, informatie- en verwerkingsbeperkingsverplichtingen in strijd is met het recht op eerbiediging van de persoonlijke levenssfeer hebt u niet veel. Iets aankaarten zonder mogelijke oplossingen aan te dragen, is nutteloos. Daarom adviseer ik u, hoe u een vordering tot inzage in de verwerking van uw persoonsgegevens aan de verwerkingsverantwoordelijke op kunt stellen. In de vordering kunt u de volgende punten opnemen om onder meer uw informatierecht, inzagerecht en recht van beperking van de verwerking van uw gegevens uit te oefenen. Het overzicht is niet uitputtend bedoeld en derhalve voor aanvulling vatbaar, met dien verstande dat de minimale informatieverplichtingen en transparantieverplichtingen van de verwerkingsverantwoordelijke erin zijn opgenomen.

1. Gegevens die u kunt vorderen op grond van uw informatierecht
- De identiteit en contactgegevens van de verwerkingsverantwoordelijke en/of de identiteit en contactgegevens van de vertegenwoordiger, bijvoorbeeld de gemeentelijke instantie, het Inlichtingenbureau of een privaat Data lab/miningbedrijf (art. 14 lid 1 onder a AVG);
- De verwerkingsdoeleinden waarvoor uw persoonsgegevens zijn bestemd en de categorieën van persoonsgegevens (art. 14 lid 1 onder c-d AVG);
- Gegevens van de persoon of instantie die de persoonsgegevens van de verwerker ontvangt (art. 14 lid 1 onder e AVG);
- Gegevens over het belang van profilering voor de verwerkingsverantwoordelijke en de door u te verwachten gevolgen van profilering (art. 14 lid 2 AVG);
- Informatie over uw recht om bezwaar te maken tegen de verwerking van uw persoonsgegevens (art. 14 lid 2 onder c AVG) en de mogelijkheid om een klacht in te dienen bij de Autoriteit Persoonsgegevens (art. 14 lid 2 onder e AVG);
- Informatie over de wijze waarop de verwerkingsverantwoordelijke voldoet aan de plicht om u op grond van art. 13 of 14 AVG in verband met art. 5 lid 1 AVG vooraf te informeren over het feit dat u aan profilering wordt onderworpen.

2. Het recht van inzage (art. 15 AVG)
- Wijs de verwerkingsverantwoordelijke erop dat u inzage dient te krijgen in de doeleinden van de verwerking, de betrokken categorieën van persoonsgegevens die worden verwerkt, de ontvangers aan wie uw persoonsgegevens zijn of zullen worden verstrekt, de periode van opslag van uw gegevens en de bronnen waaruit uw gegevens zijn betrokken (art. 15 lid 1 AVG);
- De verwerkingsverantwoordelijke dient aan u een kopie te verstrekken van de gegevens die worden verwerkt (art. 15 lid 3 AVG);
-  De verwerkingsverantwoordelijke dient u inzage te verschaffen in de gegevens die als input zijn gebruikt (datasets) om een profiel over u op te maken. U dient tevens inzage te krijgen in de informatie over de u betreffende profilering en de details van de categorie waarin u bent ingedeeld (Guidelines on automated Individual decision-making and Profiling for the purposes of Regulation 2016/679, 6 feb. 2018, WP251rev.01, p. 17).

3. Uw recht van rectificatie, verwerkingsbeperking en gegevenswissing
- Zijn de verwerkte persoonsgegevens die u betreffen, onjuist of onvolledig? Verzoek dan om rectificatie (art. 15 lid 1 onder e AVG jo. art. 16 AVG);
- Verzoek om beperking van de verwerking van uw persoonsgegevens (art. 15 lid 1 jo. 18 AVG). U hebt het recht op 'vergetelheid' (art. 15 lid 1 onder e AVG jo. 17 AVG);
- De verwerkingsverantwoordelijke heeft een kennisgevingsplicht inzake de rectificatie of wissing van uw persoonsgegevens of de verwerkingsbeperking (art. 19 AVG);
- Maakt u bezwaar tegen de verwerking van uw gegevens onder toepassing van art. 21 AVG, dan hebt u tevens recht op beperking van de verwerking van uw persoonsgegevens (art. 18 lid 1 onder d AVG).

4. De plicht van verwerkingsverantwoordelijke om op transparante wijze begrijpelijke informatie te verschaffen (art. 12 in verband met art. 5 lid 1 sub a AVG)
De verwerkingsverantwoordelijke dient u op transparante, begrijpelijke en gemakkelijk toegankelijke wijze informatie te verschaffen (art. 12 AVG). De informatie dient voor de gemiddelde betrokkene begrijpelijk te zijn (Guideline WP260 rev.01, 11 April 2018, p. 7-8). Zoals eerder opgemerkt, kan de verwerkingsverantwoordelijke niet volstaan met het verschaffen van een wiskundige formule, (letterlijk: het algoritme) of een grafiekje. Uit de informatie moet blijken hoe uw persoonsgegevens zijn verwerkt en voor welke doeleinden. De informatieverplichtingen op grond van art. 12 AVG dienen immers uw informatierecht (art. 13-14 AVG) te faciliteren.

Het verspreiden van zwartgelakte documenten onder de motivering dat de gegevens van verwerkers een gelegenheid van intern beleid zijn, is in strijd met de verplichting van verwerkingsverantwoordelijken om transparante en begrijpelijke informatie over de verwerking van uw persoonsgegevens te verschaffen. Let er wel op dat de verwerkingsverantwoordelijke zwartgelakte informatie kan verstrekken om de termijnen voor (bestuursrechtelijke) bezwaarprocedures op te rekken. Als de verwerkingsverantwoordelijke u de gevraagde informatie verstrekt, dan is dit een besluit in de zin van de Algemene wet bestuursrecht (Awb). Word de gevraagde informatie in onleesbare vorm verstrekt, dan dient tegen het niet-voldoen aan de transparantie- en informatieplicht bezwaar te worden gemaakt. De termijn voor beslissen op bezwaar is zes weken.

Het Privacy Impact Assessment (PIA) in geval van geheime dataveillance, risicotaxatie en profilering

Instrumenten voor geheime dataveillance, -analyse, profilering en risicotaxatie en de plicht om een PIA uit te voeren
De verwerkingsverantwoordelijke (organisatie) die privacygevoelige gegevens verwerkt, is verplicht om een Privacy Impact Assessment (PIA), ook wel 'gegevensbeschermingseffectbeoordeling' of 'Data Protection Impact Assessment' (DPIA) uit te voeren.

In vorige berichten heb ik het 'black box'-karakter van geheime methoden voor dataveillance en -analyse besproken, alsmede de toepassing van voorspellende algoritmen met een 'black box'-karakter, waaronder het Systeem Risico Taxatie (SyRI). Ik heb daarbij aangegeven dat de verwerkingsverantwoordelijke op grond van de Algemene Verordening Gegevensbescherming (AVG) transparant dient te zijn en dat de verwerkingsverantwoordelijke verplicht is tot het verschaffen van informatie en inzage aan de betrokken burger, ondanks het heimelijke karakter van de gegevensverzameling en -verwerking. Onder uitzonderlijke omstandigheden, bijvoorbeeld wanneer door menselijk toedoen een ramp dreigt te worden veroorzaakt, mag de verwerkingsverantwoordelijke de informatie- en inzagerechten, alsmede het recht op rectificatie, beperken (art. 23 AVG). Het 'black box'-karakter van instrumenten die heimelijk worden ingezet om burgers te onderwerpen aan dataveillance en -analyse kan echter niet worden tegengeworpen aan de plicht van verwerkende instanties om een Privacy Impact Assessment (PIA) uit te voeren.

Het verplichte PIA bij geheime dataveillance, profilering, samenwerking met private bedrijven en de verwerking van biometrische gegevens
De beperkingen op de transparantieverplichtingen van verwerkingsverantwoordelijken en de beperkingen van het recht van de burger op informatie en inzage gelden niet ten aanzien van het PIA. Een verwerkingsverantwoordelijke die geheime methoden voor Big Data-analyse/profilering/risicotaxatie toepast, is verplicht om het Privacy Impact Assessment (PIA) uit te voeren. Dit is bepaald in art. 35 AVG en wordt nog eens onderstreept door het Besluit Verplichte Gegevensbeschermingseffectbeoordeling van 27 november 2019 (Staatscourant nr. 64418). De verplichte uitvoering van het DPIA geldt onder meer voor:

- Grootschalige verwerkingen van persoonsgegevens en stelselmatige monitoring waarbij persoonsgegevens worden verzameld zonder de betrokkene daarover vooraf in te lichten, bijvoorbeeld heimelijk onderzoek door particuliere bureaus/Data Labs en onderzoek in het kader van fraudebestrijding (waaronder SyRI);
- Grootschalige verwerkingen van gegevens en monitoring in het kader van fraudebestrijding door sociale diensten;
-  Samenwerkingsverbanden waarin gemeenten en/of andere overheidsorganen met andere publieke of private partijen bijzondere persoonsgegevens of gegevens van gevoelige aard met elkaar uitwisselen;
- Grootschalige verwerking en monitoring van locatiegegevens, herleidbaar tot natuurlijke personen, bijvoorbeeld door ANPR-mobiel, of verwerking van gegevens van personen in het openbaar vervoer;
- Biometrische gegevens, waaronder vingerafdrukken, toetsaanslaganalyses, irisscans, gezichtsprofielen en stemopnamen (de verwerking van biometrische gegevens is enkel toegestaan wanneer de verwerking van biometrische gegevens noodzakelijk is voor beveiligingsdoeleinden);
- Profilering: de systematische beoordeling van persoonlijke aspecten van natuurlijke personen, gebaseerd op geautomatiseerde verwerking (profilering is geautomatiseerde verwerking).

Inhoud van het PIA: concrete verplichtingen van de verwerkingsverantwoordelijke
De verwerkingsverantwoordelijke dient vóór de verwerking van persoonsgegevens een beoordeling uit te voeren van het effect van de beoogde verwerkingsactiviteit op de bescherming van persoonsgegevens (art. 35 lid 1 AVG). De beoordeling bevat ten minste een systematische beschrijving van de beoogde verwerkingen en verwerkingsdoeleinden, waaronder de belangen van de verwerkingsverantwoordelijke; ook dient de verwerkingsverantwoordelijke een beoordeling te geven van de noodzaak en evenredigheid van de verwerkingen met betrekking tot de doeleinden (proportionaliteit en subsidiariteit); voorts dient de beoordeling te omschrijven welke maatregelen zijn getroffen en aan te tonen hoe aan de waarborging van de bescherming van de persoonsgegevens en de rechten en gerechtvaardigde belangen van de betrokken burgers is voldaan (art. 35 lid 7 AVG).

Legal prognosis: SyRI most likely violates the ECtHR criteria, but this system will be deemed lawful by the lower court

Already in 2014, I sent a message to the national newspapers about SyRI (System Risk Indication), considering the risks of and objections to systems for mass surveillance such as SyRI. It was too progressive to place critical notes on the use of SyRI in 2014: several media did not find the subject sufficiently urgent.

I also sensed this lack of interest within the Public Law section. Oddly, the Department gave me permission to investigate the compatibility of SyRI with the legal principles of the prohibition of détournement de pouvoir, the presumption of innocence and the principle of equality of arms. In addition to these administrative and criminal notions and most importantly, I would investigate the compatibility of SyRI with the right to respect for private life. The Research Supervisor stated that SyRI as a 'small law' was not interesting and significant enough. The interests affected by the deployment of SyRI were judged with a sense of disdain. I strongly disagree with the dismissal of the deployment of SyRI as if this phenomenon were socially insignificant!

SyRI has now become a topic of discussion and its social influence is being recognized. On October 29, 2019, the Court of The Hague examined the matter at the first session of the substantive proceedings in the SyRI case. I expect that the court will consider the deployment of SyRI to be lawful. Should the SyRI case be brought before the Court of Human Rights (ECHR), the ECHR is expected to issue a quite different judgment.

The legal basis of SyRI
SyRI is provided by the SUWI Act upon the amendment of the SUWI (Work and Income Implementation Structure) Act. Chapter 5a of the SUWI Decree contains the provisions on the use of SyRI by government agencies. Article 5a.1 of the SUWI Decree gives the impression that the systematic collection and processing of data is only within the framework of administrative action by government bodies and only within the exhaustive summary of data as referred to in Article 5a.1 paragraph 3 under aq of the Decree SUWI occurs; however, the citizen's details are provided in full by all government agencies on the basis of Articles 64 and 65 of the SUWI Act. Large-scale and systematic analysis and processing of data is therefore facilitated by the linking of registers of government bodies. The aim of SyRI is to promote the integral cooperation of government bodies in combating social security and tax fraud (Article 65, paragraph 2 in conjunction with 64, paragraph 1 of the SUWI Act).

The data subject is not informed of the processing of his data in SyRI (Article 5a.5, paragraphs 1 and 4 of the SUWI Decree). With 'consent of the persons' to the request for systematic surveillance and processing (Article 5a.1 paragraph 4 sub a SUWI Decree) is therefore not meant the consent of the data subject, but the consent of persons who supervise compliance with other regulations from the Minister of Social Affairs and Employment (Article 64, paragraph 1 of the SUWI Act).

Black box: hidden predictive algorithms
A risk profile is drawn with the use of SyRI. SyRI assesses the risk of social security fraud and tax fraud on the basis of, among other aspects, data on education, housing data, environmental factors, study debt, other debt charges and data on reintegration. The composition of the risk factors is shrouded (Article 5a.1, paragraph 7, SUWI Decree). The SUWI Decree contains the requirements of proportionality and subsidiarity (Article 5a.1 paragraph 4 SUWI Decree). The predictive algorithms behind SyRI are applied regardless of a concrete suspicion of fraud.

The deployment of SyRI cannot be controlled by the citizen, because the government applies the 'black box method'. The 'black box' refers to the hidden input of predictive algorithms in Big Data processes. I have drawn attention to the objections to the black box in my investigation into the use of Big Data analyzes for criminal purposes.

Data subjects cannot effectively check whether a governmental body meets the requirements of proportionality and subsidiarity with regard to large-scale data surveillance and processing of personal data. The purpose limitation requirement, the principle of data minimization and the possibility of requiring rectification, laid down in the General Data Protection Regulation (AVG), will thereby be devoid of significance. Also, the proportionality and subsidiarity provisions of Article 5a.1 paragraph 4 of the SUWI Decree will be devoid of significance, since citizens cannot find out whether they are being investigated or not. 

The prognosis: the court finds that the application of SyRI is lawful ....
My expectation is that The Hague District Court, which dealt with the first session in the SyRI case on 29 October 2019 and will issue a judgment on the substantive proceedings on 29 January 2020, will consider the application of SyRI to be lawful. That judgment can be based on the formal requirement of a legal basis for the systematic collection and processing of data in the SUWI Act.

The right to respect for privacy, enshrined in Article 10 of the Constitution, is generally soon met with if government bodies base their activities on the provisions of a formal law.

.... the ECtHR will issue a jugdment stating that the deployment of SyRI constitutes a breach of Article 8 of the ECHR
The European Court of Human Rights (ECHR) will judge the admissibility of SyRI differently. The use of SyRI does not meet the requirements set by the ECtHR for the compatibility of this method of data surveillance with the right to respect for private life (Article 8 ECHR). The extensive case law of the ECtHR on systematic data surveillance leaves no doubt about this. SyRI fails on the criterion of the foreseeability of the use of the authority of the government body. There are no legal safeguards to compensate for the violation of Article 8 of the ECHR through the deployment of SyRI. The law should lay down clear and detailed rules for the application of SyRI, so that the person concerned knows under what circumstances and under what conditions the government is authorized to deploy SyRI (ECHR 21 June 2011, 30194/09 (Shimovolos v. Russia), paragraph 68).

The nature and maximum duration of the deployment of SyRI must be specified in the law, as well as the procedures followed by government bodies to investigate, use and store personal data in SyRI (ECHR 29 June 2006, 54934/00 (Weber and Saravia v. Germany), paragraph 95). The law must also state the means that can be brought by the citizen against SyRI (ECHR 28 June 2007 (Ekimdzhiev v. Bulgaria), pp. 71-77).

Due to the 'black box' character of SyRI, implying the subjection to research and the operation of predictive algorithms remain hidden for citizens, it is unclear to the citizen under what circumstances and conditions a governmental body is authorized to deploy SyRI. The SUWI Act and the SUWI Decree do not set clear, detailed rules for the deployment of SyRI. The mere fact of exercising the right to receive benefits under the Unemployment Insurance Act, WIA or Participation Act is not a specific condition for being subject to SyRI.

Moreover, the law and the Decree do not provide any, nor do they mention legal remedies that can be used by the citizen against the application of SyRI. If the SUWI law did mention the legal remedies that could be used, the 'black box' would still not allow the citizen to effectively exercise his right to an effective legal remedy, for citizens will not be informed on being subject to SyRI.

As far as I am concerned, the following issues need further investigation:
- to what extent results of criminal analysis, including those based on Hansken, iColumbo and the Refinery, can be linked within the framework of 'integral cooperation between government bodies'. Although the starting point is not to process judicial data in the SyRI projects, the SUWI Act and the SUWI Decree do not exclude the processing of such data;
- whether the legal retention period of two years (Article 65, paragraphs 5-7 of the SUWI Act) can be exceeded by reopening a SyRI investigation before the expiry of the deadline or adding new data to the risk assessment.

Conclusion
Due to the lack of clear, detailed rules that inform the citizen about the conditions and circumstances for applying SyRI and the lack of legal safeguards to compensate for the infringement of Article 8 ECHR, the ECtHR is expected to judge the deployment of SyRI by the government unlawful. Before the ECtHR processes a petition, national remedies must be exhausted. It can therefore take years before the case brings it to the ECtHR. In the meantime, the government most likely will have introduced a new appraisal tool driven by predictive algorithms, to avoid the SyRI controversy, or a legislative change to meet the minimum requirements for proportional and subsidiary application of SyRI will be adopted. 

Mercedes Bouter LL.M.

Het 'black box'-karakter van geheime dataveillance & Big Data analyse en uw rechten (deel II)

Deel I: transparantie, uw concrete informatierechten en uw recht van inzage, rectificatie, wissing en beperking van gegevensverwerking 

Overzicht
1. Uw recht om niet te worden onderworpen aan geautomatiseerde verwerking en profilering;
2. Het recht om zich te verzetten tegen profilering, ongeacht geautomatiseerde besluitvorming;
3. 'Passende maatregelen' (appropriate safeguards) ter compensatie van de inbreuk op uw recht om niet geprofileerd te worden (art. 22 AVG)

1. Uw recht om niet te worden onderworpen aan geautomatiseerde verwerking en profilering

U hebt het recht niet te worden onderworpen aan een uitsluitend op geautomatiseerde verwerking, waaronder profilering, gebaseerd besluit waaraan voor u rechtsgevolgen zijn verbonden of dat u in aanmerkelijke mate treft (art. 22 AVG). 

De risicoprofielen die in SyRI worden opgemaakt vallen onder het bereik van art. 22 AVG. De verwerkingsverantwoordelijke kan slechts een gerechtvaardigd beroep doen op de uitzonderingen van art. 22 lid 2 AVG, indien de betrokkene toestemming heeft verleend of de betrokkene en de verwerkingsverantwoordelijke zulks zijn overeengekomen.

Een uitzondering is buiten die gevallen slechts mogelijk, indien een Unierechtelijke of lidstaatrechtelijke bepaling die op de verwerkingsverantwoordelijke van toepassing is, voorziet in passende maatregelen ter bescherming van de rechten en gerechtvaardigde belangen van de betrokkene die door de profilering wordt getroffen. De verwerkingsverantwoordelijke is slechts gerechtigd om te profileren, indien daarvoor een specifieke wettelijke bevoegdheidsregeling wordt verleend én concrete maatregelen ter bescherming van de rechten van de geprofileerde in de van toepassing zijnde regeling zijn opgenomen. Het Europees Comité heeft aangegeven welke maatregelen minimaal moeten worden getroffen door de verwerkingsverantwoordelijke.
 
2. Het recht om zich te verzetten tegen profilering, ongeacht geautomatiseerde besluitvorming
Het recht van betrokkene om geïnformeerd te worden op grond van art. 13 of 14 AVG in samenhang met art. 5 lid 1 AVG moet aldus worden uitgelegd, dat de betrokkene door de verwerkingsverantwoordelijke moet worden geïnformeerd over het feit dat hij/zij aan profilering wordt onderworpen én dat de betrokkene het recht heeft om zich te verzetten tegen profilering, ongeacht of geautomatiseerde besluitvorming op basis van profilering plaatsvindt (punt 60 van de preambule van de AVG; Guidelines on automated Individual decision-making and Profiling for the purposes of Regulation 2016/679, 6 feb. 2018, WP251rev.01, p. 17). 

Het recht van inzage (art. 15 AVG) houdt in dat de verwerkingsverantwoordelijke inzicht verschaft in de gegevens die als input zijn gebruikt om een profiel van de betrokkene op te maken; tevens dient de betrokkene toegang te hebben tot informatie over de hem betreffende profilering en de details van de categorisering waarin de betrokkene is ingedeeld. Uitzonderingen op deze concrete verplichtingen worden gemaakt voor zover het de handelsgeheimen en intellectuele eigendomsrechten van de verwerker betreft (Guidelines on automated Individual decision-making and Profiling for the purposes of Regulation 2016/679, 6 feb. 2018, WP251rev.01, p. 17).

  

3. 'Passende maatregelen' (appropriate safeguards) ter compensatie van de inbreuk op uw recht om niet geprofileerd te worden (art. 22 AVG) 
Het Europees Comité voor gegevensbescherming, European Data Protection Board, wijst op de gevaren die profilering met zich brengt. Fouten en/of bias in verzamelde en gedeelde data, alsmede fouten en bias in geautomatiseerde (besluitvormings)processen en instrumenten voor profilering resulteren in incorrecte classificaties en beoordelingen gebaseerd op inadequate projecties. De rechten en belangen van betrokkenen worden rechtstreeks getroffen. Het EDPB onderstreept de noodzaak tot transparantie. De betrokkene die aan geautomatiseerde besluitvorming of profilering is onderworpen, kan een beslissing slechts in twijfel trekken, als de verwerkingsverantwoordelijke inzichtelijk heeft gemaakt hoe de beslissing tot stand is gekomen en op welke basis de beslissing is gebaseerd. 

De verwerkingsverantwoordelijke is verplicht om de betrokkene specifieke informatie te verschaffen en te garanderen dat de betrokkene de besluitvorming in het kader van profilering aan kan vechten (punt 71 van de preambule AVG; Guidelines on automated Individual decision-making and Profiling for the purposes of Regulation 2016/679, 6 feb. 2018, WP251rev.01, p. 27). De verwerkingsverantwoordelijke is verplicht om de betrokkene: 

- te informeren over de activiteit waarvoor de data van de betrokkene worden verzameld en verwerkt;
- inzicht te verschaffen in de achterliggende logica van het instrument;
- uitleg te geven over de invloed op de belangen van en mogelijke gevolgen voor de betrokkene.

Het verschaffen van inzicht in de achterliggende instrument voor data-analyse, geautomatiseerde besluitvorming en profilering moet 'betekenisvol' zijn. Om te voorkomen dat de verwerker met onbegrijpelijke statistieken of berekeningen aan komt zetten om aan de plicht tot het verschaffen van inzicht in de logica te voldoen, heeft het EDPB aangegeven dat 'betekenisvolle informatie' over de toegepaste logica (algoritmen) onder meer betrekking heeft op:

- gegevens betreffende in het verleden geconstateerde fraude en betalingsachterstanden;
- de wijze van 'credit scoring': welke waarde wordt toegekend aan bepaalde gegevens, ofwel: in welke mate gegevens tot een bepaalde risicoscore leiden;
- officiële, publiekelijk bekende gegevens, zoals gegevens over insolventie en openbare gegevens over fraude;
- de garantie van de verwerkingsverantwoordelijke dat regelmatig wordt gecontroleerd en bewaakt dat de data-analyse en profilering eerlijk, adequaat en vrij van bias is.
(Guidelines on automated Individual decision-making and Profiling for the purposes of Regulation 2016/679, 6 feb. 2018, WP251rev.01, p. 24-26). 

In het volgende bericht, deel III, ga ik in op de wettelijke grondslag voor de rechtmatigheid van de verwerking van uw persoonsgegevens, de doelbindingseis en de eisen van proportionaliteit en subsidiariteit (noodzaak en dataminimalisatie)

2 Big Data en de AVG, Wet justitiële en strafvorderlijke gegevens en Politiewet: het juridische kader

2.1  Inleiding

In dit hoofdstuk staat de Nederlandse wet- en regelgeving die relevant is voor de inzet van Big Data-analyses voor strafrechtelijke doeleinden centraal. Het huidige juridische kader voor de inzet van Big Data-analyses in het veiligheidsdomein zal worden besproken onder 2.2. Eerst worden de wettelijke regimes voor gegevensverzameling en -verwerking binnen het veiligheidsdomein toegelicht (2.2.1), waarna nader zal worden ingegaan op de concrete bevoegdheidsgrondslagen voor het verzamelen en verwerken van gegevens in het kader van Big Data-analyses voor strafvorderlijke doeleinden (2.2.2). Daarna inventariseer ik welke knelpunten de nationale regelgeving ten aanzien van Big Data-analyses kent (2.3). Ten slotte gaat aandacht uit naar de betekenis van het te moderniseren Boek 2 van het Wetboek van Strafvordering en de wijziging van de Wet politiegegevens (2.4).[1] Aan de hand van een analyse op hoofdlijnen zal ik beschouwen in hoeverre deze toekomstige wetten bestaande knelpunten van de huidige wetgeving ten opzichte van Big Data-analyses kunnen oplossen. Ik bediscussieer of de door de Commissie-Koops aangedragen aanbevelingen inzake de operatie-Modernisering Wetboek van Strafvordering, welke volgens de wetgever grotendeels direct in Boek 2 Sv zullen worden opgenomen,[2] oplossingen bieden voor bestaande uitdagingen. 

2.2  Regulering van de inzet van Big Data-analyses in het veiligheidsdomein: het huidige juridische kader

2.2.1 Algemene wettelijke regimes voor gegevensverzameling en -verwerking binnen het veiligheidsdomein

Voor de verzameling en verwerking van persoonsgegevens door de overheid gelden verschillende wettelijke regimes. De nationale, Europese en internationale grondwettelijke kaders (te bespreken in hoofdstuk 4) zijn van toepassing op alle gegevensverwerkende overheidsinstanties; op gegevensverwerking door inlichtingen- en veiligheidsdiensten is de Wet op de inlichtingen en veiligheidsdiensten (Wiv 2017) van toepassing; op politie en justitie zijn het Wetboek van Strafvordering (Sv), de Wet justitiële en strafvorderlijke gegevens (Wjsg), Wet politiegegevens (Wpg) en de Wet op de bijzondere opsporingsdiensten (Wet BOD) van toepassing. Voor overige gegevensverwerkende overheidsinstanties is de Algemene verordening gegevensbescherming, de AVG, van toepassing (artikel 2 AVG). Met het oog op hun relevantie ten aanzien van Big Data-analyses voor strafvorderlijke doeleinden, worden de AVG, Wpg en Wjsg op deze plaats uitgelicht. De Wiv 2017 is, zoals gezegd, van toepassing op gegevensverwerking door inlichtingen- en veiligheidsdiensten en in zoverre niet direct van betekenis voor gegevensverwerking door politie en justitie. Zonder op de zaken vooruit te lopen, merk ik op dat enkele bepalingen uit de Wiv 2017 wel van betekenis zouden kunnen zijn voor de inzet van Big Data-analyses door politie en justitie. Daarover volgt meer onder 4.4. 

Algemene Verordening Gegevensbescherming: relevant voor strafvorderlijke gegevensverzameling en -verwerking

De AVG, die de Wet bescherming persoonsgegevens per 25 mei 2018 heeft vervangen,[3] is niet van toepassing op de verwerking van persoonsgegevens door overheidsinstanties met het oog op de voorkoming, het onderzoek, de opsporing en vervolging van strafbare feiten (artikel 2 lid 2 onder d AVG). Wel is de AVG van belang voor de invulling van het begrip ‘persoonsgegeven’ bij het verzamelen en verwerken van gegevens voor strafvorderlijke doeleinden. In de AVG worden ‘persoonsgegevens’ gedefinieerd als ‘alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon; als identificeerbaar worden beschouwd alle natuurlijke personen die direct of indirect kunnen worden geïdentificeerd aan de hand van onder meer namen, identificatienummers, locatiegegevens, fysieke, genetische, economische, sociale en culturele kenmerken en online identificatoren (artikel 4 onder 1 AVG).

De ‘verwerking’ van persoonsgegevens in de zin van de AVG is een gehele of gedeeltelijke bewerking met betrekking tot persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde processen, waaronder het verzamelen, vastleggen, opslaan, wijzigen, gebruiken, opslaan, raadplegen en verstrekken wordt begrepen (artikel 4 onder 2 AVG). ‘Profilering’ van personen is elke vorm van geautomatiseerde verwerking van persoonsgegevens, waarbij persoonlijke aspecten van een natuurlijke persoon worden geëvalueerd met de bedoeling om sociaal-economische aspecten, persoonlijke voorkeuren, locaties of verplaatsingen te voorspellen of te analyseren (artikel 4 onder 4 AVG).

Wet justitiële en strafvorderlijke gegevens

De Wet justitiële en strafvorderlijke gegevens is enerzijds van toepassing op de verwerking van justitiële gegevens, persoonsgegevens inzake de toepassing van het strafrecht of de strafvordering (artikel 1 onder 1 Wjsg) en anderzijds op de verwerking van strafvorderlijke gegevens, persoonsgegevens die zijn verkregen in het kader van een strafvorderlijk onderzoek en die het openbaar ministerie in een strafdossier of langs geautomatiseerde weg verwerkt (artikel 1 onder b Wjsg). Voor de definities van ‘persoonsgegevens’ en ‘verwerking’ wordt aangesloten bij artikel 4 AVG (artikel 1 onder g Wjsg).

Wet politiegegevens

De Wet politiegegevens is van toepassing op de verwerking van politiegegevens die in een bestand zijn opgenomen of die bestemd zijn daarin te worden opgenomen (artikel 2 lid 1 Wpg). Een ‘politiegegeven’ is elk persoonsgegeven dat in het kader van de politietaak wordt verwerkt (artikel 1 onder a Wpg). De ‘politietaak’ is de algemene politietaak als bedoeld in artt. 3 en 4 lid 1 van de Politiewet 2012 (artikel 1 onder b Wpg). Onder ‘verwerking’ van politiegegevens wordt in ieder geval begrepen het verzamelen, vastleggen, bewaren, bijwerken, gebruiken, vergelijken en verstrekken van politiegegevens (artikel 1 onder c Wpg). Voor het begrip ‘persoonsgegeven’ wordt aangesloten bij artikel 4 AVG (artikel 1 onder m Wpg). 

---

[1] Ter implementatie van Richtlijn (EU) 2016/680.

[2] Kamerstukken II 2018/19, 29 279, nr. 459.

[3] Verordening (EU) 2016/679 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en tot intrekking van Richtlijn 95/46/EG.