Court of The Hague: SUWI legislation as the basis for the deployment of SyRI violates the ECtHR criteria

Fortunately, my prognosis was wrong- but only to a certain extent..
In my prognosis 'SyRI most likely violates the ECtHR criteria, but the system will be deemed lawful by the lower court', I expressed my expectation that the court would consider the application of SyRI to be lawful. I indicated that the deployment of SyRI obviously contradicts the ECtHR criteria on the right to respect for privacy (art. 8 ECHR), because the requirements of foreseeability and necessity in a democracy, as well as the requirements of proportionality, subsidiarity and data minimization, are not met. Moreover, the violation of private life cannot be compensated for in the absence of guarantees in the law on which SyRI is based (that is, the SUWI legislation).

My specific expectation was that the civil court would judge the formal requirement of a legal basis to be met by Article 65 of the SUWI Act and Chapter 5a of the SUWI Decree. It was exactly this expectation that did not come true. That seems good news, but the expectations should not be too high!

What is the concrete consequence of the Court ruling in the SyRI case?
The Court of The Hague considers the SyRI legislation '... in conflict with the right to respect for privacy as referred to in art. 8 paragraph 2 ECHR, insofar as this SyRI legislation concerns the deployment of SyRI (Court of The Hague, 5 February 2020, ECLI:NL:RBDHA:2020:865, consideration 6.111).

This somewhat over-abundant consideration means that Article 65 of the SUWI Act and Chapter 5a of the SUWI Decree are incompatible with art. 8 paragraph 2 ECHR.
The consequence is that only Article 65 of the SUWI Act and Chapter 5a of the SUWI Decree will be declared non-binding because of the conflict between these provisions and higher law (Article 8 of the ECHR).

The case law of the European Court of Human Rights concerning Article 8 ECHR is now finally taking shape in Dutch legal practice. The verdict, stating that art. 65 SUWI Act and Chapter 5a of the SUWI Decree must be considered to be non-binding, is the result of the criteria laid down by the ECHR, including in the ECHR cases 21 June 2011, 30194/09 (Shimovolos v. Russia) (paragraph 68) and ECtHR 4 December 2008, 30562/04 and 30566/04 (S. and Marper v. United Kingdom) (paragraph 95). 

This is clearly reflected in the application of the fair balance test in considerations 6.7, 6.80 and 6.86 of the Court of The Hague. In the opinion of the court, the legislation on which the application of SyRI is based does not provide sufficient safeguards to protect the right to respect for private life. SyRI legislation without insight into the risk indicators and the risk model, or at least without further legal safeguards that compensate for this lack of insight, provides insufficient guidance for the conclusion that with the use of SyRI the interference in private life in the light of the abuse and the fraud that is intended to combat is always proportional and therefore necessary, as required by Article 8, paragraph 2 of the ECHR (consideration 6.95). In view of the principles of purpose limitation and data minimization, the legislation contains insufficient guarantees (see consideration 6.106)

What was not achieved with this statement?
It is good to realize that SyRI itself is not being deemed unlawful. The media deliberately rushed into their interpretation of the verdict, causing newspapers and news sites to spread incorrect headlines such as "Judge prohibits controversial fraud detection system SyRI".

Due to the extensive consideration of the proportionality and subsidiarity requirement, the necessity requirement ('pressing social need in a democratic society') and the discussion of the obligation of the State to carry out a Privacy Impact Assessment (PIA / DPIA), the court ran out of time to assess the compatibility of SyRI with specific provisions in the GDPR.

It is striking that the court makes clear that the 'black box'-character of SyRI has made it impossible for the court to test what exactly SyRI is, because the risk models have not been made public (see consideration 6.49). Insight into the validation of risk models in SyRI is not provided by the SUWI legislation and the court cannot verify these risk models (considerations 6.65, 6.89 and 6.90).

Despite the abundancy of the considerations in the SyRI case, only one claim is awarded: the declaration that Article 65 SUWI and Chapter 5a SUWI Decree are not binding. The question is what the practical significance of this statement is for those involved (every citizen covered by social security and tax benefits):

1. The State is not obliged to destroy the personal data already collected within the framework of SyRI (consideration 6.117). The claim for the destruction of the personal data must be assessed per individual case.

2. The 'black box' will not be opened. The State is not obliged to make the risk models public (consideration 6.115).

3. For disclosure of specific risk models, the person concerned must follow the administrative route (consideration 6.115).

4. No judgment is given on the topic of discrimination in the deployment of SyRI, because discrimination does not have to infringe the right to respect for private life as protected by art. 8, paragraph 2 of the ECHR (see considerations 6.93-6.94).

To be continued?
In spite of all the detailed considerations, ultimately only the judgment has direct meaning. The basis of SyRI in the SUWI legislation is invalid, but SyRI as a system cannot be put aside as non-binding. However, after the ruling on 5 February 2020, the legislator decided that SyRI can no longer be used as a means of enforcement. My expectation is that the legislator will either repair the irregularities in the SUWI Act and the SUWI Decree, or that another System Risk Indicator is under construction right now.


 

Rechtbank Den Haag: SUWI-wetgeving als basis voor de inzet van SyRI in strijd met de EHRM-criteria

Gelukkig! Ik heb ongelijk gekregen!
In mijn prognose 'SyRI is in strijd met de EHRM-criteria, maar de lagere rechter zal het gebruik van SyRI rechtmatig oordelen', sprak ik mijn verwachting uit, dat de rechtbank de toepassing van SyRI rechtmatig zou bevinden. Ik gaf aan dat de inzet van SyRI evident in strijd is met de EHRM-criteria inzake het recht op eerbiediging van de persoonlijke levenssfeer (art. 8 EVRM), omdat niet voldaan is aan de eisen van voorzienbaarheid, noodzakelijkheid in een democratie, de daaruit volgende eisen van proportionaliteit, subsidiariteit en dataminimalisatie. De inbreuk op het privéleven wordt bovendien niet gecompenseerd bij gebreke van waarborgen in de wet die ten grondslag ligt aan SyRI.

Mijn verwachting was specifiek dat de civiele rechter zou oordelen dat aan het formele vereiste van een wettelijke basis zou zijn voldaan door artikel 65 Wet SUWI en hoofdstuk 5a Besluit SUWI toe te passen. Juist die verwachting is niet uitgekomen. Dat lijkt goed nieuws, maar aan de uitspraak mogen niet te hoge verwachtingen worden verbonden!

Wat is het concrete gevolg van de uitspraak van de rechter in de SyRI-zaak? 
De rechtbank Den Haag acht de SyRI-wetgeving '..strijdig met het recht op eerbiediging van de persoonlijke levenssfeer als bedoeld in art. 8 lid 2 EVRM, voor zover deze SyRI-wetgeving de inzet van SyRI betreft (Rb. Den Haag 5 februari 2020, ECLI:NL:RBDHA:2020:865, rechtsoverweging 6.111)'.

Deze wat overvloedig ogende rechtsoverweging houdt in, dat artikel 65 Wet SUWI en Hoofdstuk 5a van het Besluit SUWI onverenigbaar is met art. 8 lid 2 EVRM.
De consequentie is dat alleen artikel 65 Wet SUWI en Hoofdstuk 5a van het Besluit SUWI onverbindend verklaard worden, vanwege de strijd van deze bepalingen met hoger recht (art. 8 EVRM).

De case law van het Europese Hof voor de Rechten van de Mens inzake artikel 8 EVRM krijgt nu eindelijk gestalte in de Nederlandse rechtspraktijk. Dat art. 65 Wet SUWI en Hoofdstuk 5a van het Besluit SUWI onverbindend moeten worden geacht, is het gevolg van de criteria die het EHRM heeft aangelegd, onder meer in de zaken EHRM 21 juni 2011, 30194/09 (Shimovolos/Rusland) (r.o. 68) en EHRM 4 december 2008, 30562/04 en 30566/04 (S. en Marper/Verenigd Koninkrijk) (r.o. 95).

Dit komt duidelijk naar voren bij de behandeling van de 'fair balance'-test in rechtsoverwegingen 6.7, 6.80 en 6.86 van de rechtbank Den Haag. In de wetgeving waarop de toepassing van SyRI is gebaseerd, wordt naar het oordeel van de rechtbank onvoldoende voorzien in waarborgen ter bescherming van het recht op eerbiediging van het privéleven. De SyRI-wetgeving biedt zonder inzicht in de risico-indicatoren en het risicomodel, althans zonder nadere wettelijke waarborgen die dit gebrek aan inzicht compenseren, onvoldoende handvatten voor de conclusie dat met de inzet van SyRI de inmenging in het privéleven in het licht van het misbruik en de fraude die wordt beoogd te bestrijden steeds proportioneel en daarmee noodzakelijk is, zoals artikel 8 lid 2 EVRM vereist (rechtsoverweging 6.95). Gelet op de beginselen van doelbinding en dataminimalisatie bevat de wetgeving onvoldoende waarborgen (r.o. 6.106). 

Wat wordt met deze uitspraak níet bereikt?
Het is goed om te beseffen dat SyRI nergens onrechtmatig wordt geoordeeld. De media zijn onbezonnen in de uitspraak gedoken, waardoor de dagbladen en nieuwssites onjuiste headlines verspreiden als "Rechter verbiedt omstreden fraudeopsporingssysteem SyRI".

Door de uitvoerige behandeling van de proportionaliteits- en subsidiariteitseis, noodzakelijkheideis ('pressing social need in a democratic society'), voorzienbaarheidseis, het Privacy Impact Assessment (PIA/DPIA) komt de rechtbank niet meer toe aan de verenigbaarheid van SyRI met specifieke AVG-bepalingen.

Opvallend is dat de rechtbank er blijk van geeft dat de 'black box' zodanig niet transparant is, dat niet getoetst kan worden wat SyRI precies is, omdat de risicomodellen niet openbaar zijn gemaakt (r.o. 6.49). Inzicht in de validatie van risicomodellen in SyRI wordt niet geboden door de SyRI-wetgeving en de rechtbank kan deze risicomodellen niet controleren (r.o. 6.65, 6.89 en 6.90).

Alle overwegingen ten spijt, wordt slechts één vordering toegewezen: de verklaring voor recht, dat artikel 65 SUWI en Hoofdstuk 5a Besluit SUWI onverbindend is. Het is de vraag wat de praktische betekenis van deze uitspraak voor betrokkenen (iedere onverdachte burger die onder de sociale zekerheid valt) is:

1. De Staat is niet gehouden om de reeds in het kader van SyRI verzamelde persoonsgegevens te vernietigen (r.o. 6.117). De vordering tot vernietiging van de persoonsgegevens moet per individueel geval worden beoordeeld;
2. De 'black box' zal niet worden geopend. De Staat is niet gehouden om de risicomodellen openbaar te maken (r.o. 6.115);
3. Voor openbaarmaking van specifieke risicomodellen dient de betrokkene de bestuursrechtelijke weg te volgen (r.o. 6.115);
4. Over discriminatie bij de inzet van SyRI wordt geen oordeel geveld, omdat discriminatie geen inbreuk hoeft te maken op art. 8 lid 2 EVRM (r.o. 6.93-6.94).

Wordt vervolgd?
Alle uitvoerige overwegingen ten spijt, heeft uiteindelijk alleen de uitspraak directe betekenis. De basis van SyRI is ongeldig, maar daarmee wordt SyRI niet als onverbindend terzijde gesteld. De wetgever heeft na de uitspraak op 5 februari 2020 besloten dat SyRI niet meer kan worden ingezet als middel voor handhaving. Mijn verwachting is dat de wetgever ofwel met een reparatie komt van de onregelmatigheden in de wet SUWI en het Besluit SUWI, of op dit moment druk in de weer is met de ontwikkeling van een ander Systeem Risico Indicatie.

Legal prognosis: SyRI most likely violates the ECtHR criteria, but this system will be deemed lawful by the lower court

Already in 2014, I sent a message to the national newspapers about SyRI (System Risk Indication), considering the risks of and objections to systems for mass surveillance such as SyRI. It was too progressive to place critical notes on the use of SyRI in 2014: several media did not find the subject sufficiently urgent.

I also sensed this lack of interest within the Public Law section. Oddly, the Department gave me permission to investigate the compatibility of SyRI with the legal principles of the prohibition of détournement de pouvoir, the presumption of innocence and the principle of equality of arms. In addition to these administrative and criminal notions and most importantly, I would investigate the compatibility of SyRI with the right to respect for private life. The Research Supervisor stated that SyRI as a 'small law' was not interesting and significant enough. The interests affected by the deployment of SyRI were judged with a sense of disdain. I strongly disagree with the dismissal of the deployment of SyRI as if this phenomenon were socially insignificant!

SyRI has now become a topic of discussion and its social influence is being recognized. On October 29, 2019, the Court of The Hague examined the matter at the first session of the substantive proceedings in the SyRI case. I expect that the court will consider the deployment of SyRI to be lawful. Should the SyRI case be brought before the Court of Human Rights (ECHR), the ECHR is expected to issue a quite different judgment.

The legal basis of SyRI
SyRI is provided by the SUWI Act upon the amendment of the SUWI (Work and Income Implementation Structure) Act. Chapter 5a of the SUWI Decree contains the provisions on the use of SyRI by government agencies. Article 5a.1 of the SUWI Decree gives the impression that the systematic collection and processing of data is only within the framework of administrative action by government bodies and only within the exhaustive summary of data as referred to in Article 5a.1 paragraph 3 under aq of the Decree SUWI occurs; however, the citizen's details are provided in full by all government agencies on the basis of Articles 64 and 65 of the SUWI Act. Large-scale and systematic analysis and processing of data is therefore facilitated by the linking of registers of government bodies. The aim of SyRI is to promote the integral cooperation of government bodies in combating social security and tax fraud (Article 65, paragraph 2 in conjunction with 64, paragraph 1 of the SUWI Act).

The data subject is not informed of the processing of his data in SyRI (Article 5a.5, paragraphs 1 and 4 of the SUWI Decree). With 'consent of the persons' to the request for systematic surveillance and processing (Article 5a.1 paragraph 4 sub a SUWI Decree) is therefore not meant the consent of the data subject, but the consent of persons who supervise compliance with other regulations from the Minister of Social Affairs and Employment (Article 64, paragraph 1 of the SUWI Act).

Black box: hidden predictive algorithms
A risk profile is drawn with the use of SyRI. SyRI assesses the risk of social security fraud and tax fraud on the basis of, among other aspects, data on education, housing data, environmental factors, study debt, other debt charges and data on reintegration. The composition of the risk factors is shrouded (Article 5a.1, paragraph 7, SUWI Decree). The SUWI Decree contains the requirements of proportionality and subsidiarity (Article 5a.1 paragraph 4 SUWI Decree). The predictive algorithms behind SyRI are applied regardless of a concrete suspicion of fraud.

The deployment of SyRI cannot be controlled by the citizen, because the government applies the 'black box method'. The 'black box' refers to the hidden input of predictive algorithms in Big Data processes. I have drawn attention to the objections to the black box in my investigation into the use of Big Data analyzes for criminal purposes.

Data subjects cannot effectively check whether a governmental body meets the requirements of proportionality and subsidiarity with regard to large-scale data surveillance and processing of personal data. The purpose limitation requirement, the principle of data minimization and the possibility of requiring rectification, laid down in the General Data Protection Regulation (AVG), will thereby be devoid of significance. Also, the proportionality and subsidiarity provisions of Article 5a.1 paragraph 4 of the SUWI Decree will be devoid of significance, since citizens cannot find out whether they are being investigated or not. 

The prognosis: the court finds that the application of SyRI is lawful ....
My expectation is that The Hague District Court, which dealt with the first session in the SyRI case on 29 October 2019 and will issue a judgment on the substantive proceedings on 29 January 2020, will consider the application of SyRI to be lawful. That judgment can be based on the formal requirement of a legal basis for the systematic collection and processing of data in the SUWI Act.

The right to respect for privacy, enshrined in Article 10 of the Constitution, is generally soon met with if government bodies base their activities on the provisions of a formal law.

.... the ECtHR will issue a jugdment stating that the deployment of SyRI constitutes a breach of Article 8 of the ECHR
The European Court of Human Rights (ECHR) will judge the admissibility of SyRI differently. The use of SyRI does not meet the requirements set by the ECtHR for the compatibility of this method of data surveillance with the right to respect for private life (Article 8 ECHR). The extensive case law of the ECtHR on systematic data surveillance leaves no doubt about this. SyRI fails on the criterion of the foreseeability of the use of the authority of the government body. There are no legal safeguards to compensate for the violation of Article 8 of the ECHR through the deployment of SyRI. The law should lay down clear and detailed rules for the application of SyRI, so that the person concerned knows under what circumstances and under what conditions the government is authorized to deploy SyRI (ECHR 21 June 2011, 30194/09 (Shimovolos v. Russia), paragraph 68).

The nature and maximum duration of the deployment of SyRI must be specified in the law, as well as the procedures followed by government bodies to investigate, use and store personal data in SyRI (ECHR 29 June 2006, 54934/00 (Weber and Saravia v. Germany), paragraph 95). The law must also state the means that can be brought by the citizen against SyRI (ECHR 28 June 2007 (Ekimdzhiev v. Bulgaria), pp. 71-77).

Due to the 'black box' character of SyRI, implying the subjection to research and the operation of predictive algorithms remain hidden for citizens, it is unclear to the citizen under what circumstances and conditions a governmental body is authorized to deploy SyRI. The SUWI Act and the SUWI Decree do not set clear, detailed rules for the deployment of SyRI. The mere fact of exercising the right to receive benefits under the Unemployment Insurance Act, WIA or Participation Act is not a specific condition for being subject to SyRI.

Moreover, the law and the Decree do not provide any, nor do they mention legal remedies that can be used by the citizen against the application of SyRI. If the SUWI law did mention the legal remedies that could be used, the 'black box' would still not allow the citizen to effectively exercise his right to an effective legal remedy, for citizens will not be informed on being subject to SyRI.

As far as I am concerned, the following issues need further investigation:
- to what extent results of criminal analysis, including those based on Hansken, iColumbo and the Refinery, can be linked within the framework of 'integral cooperation between government bodies'. Although the starting point is not to process judicial data in the SyRI projects, the SUWI Act and the SUWI Decree do not exclude the processing of such data;
- whether the legal retention period of two years (Article 65, paragraphs 5-7 of the SUWI Act) can be exceeded by reopening a SyRI investigation before the expiry of the deadline or adding new data to the risk assessment.

Conclusion
Due to the lack of clear, detailed rules that inform the citizen about the conditions and circumstances for applying SyRI and the lack of legal safeguards to compensate for the infringement of Article 8 ECHR, the ECtHR is expected to judge the deployment of SyRI by the government unlawful. Before the ECtHR processes a petition, national remedies must be exhausted. It can therefore take years before the case brings it to the ECtHR. In the meantime, the government most likely will have introduced a new appraisal tool driven by predictive algorithms, to avoid the SyRI controversy, or a legislative change to meet the minimum requirements for proportional and subsidiary application of SyRI will be adopted. 

Mercedes Bouter LL.M.

SyRI is in strijd met de EHRM-criteria, maar de lagere rechter zal het gebruik van SyRI rechtmatig oordelen

Reeds in 2014 heb ik aan de landelijke kranten een bericht over SyRI (Systeem Risico Indicatie) gestuurd, over de risico's van en bezwaren tegen systemen voor massasurveillance zoals SyRI. Het was te vooruitstrevend om in 2014 kritische noten te plaatsen bij het gebruik van SyRI: de grote dagbladen vonden het onderwerp niet prangend genoeg.

Die desinteresse heb ik ook geproefd binnen de sectie. Van de afdeling kreeg ik toestemming om onderzoek te doen naar de verenigbaarheid van SyRI met het verbod van détournement de pouvoir, de onschuldpresumptie en het rechtsbeginsel equality of arms. Naast de bestuursrechtelijke en strafrechtelijke noties zou ik onderzoek instellen naar de verenigbaarheid van SyRI met het recht op eerbiediging van het privéleven. De supervisor van het onderzoek heeft aangegeven SyRI als 'klein wetje' niet interessant en belangwekkend te vinden. De belangen die geraakt worden door de inzet van SyRI, werden geringschattend beoordeeld. Ik ben het er roerend mee oneens dat de inzet van SyRI als maatschappelijk onbeduidend wordt afgedaan.

Inmiddels is SyRI wél onderwerp van gesprek en wordt de maatschappelijke invloed ervan onderkend. Op 29 oktober 2019 heeft de Rechtbank Den Haag zich over de materie gebogen in de eerste zitting van de bodemprocedure in de SyRI-zaak. Ik verwacht dat de rechtbank de inzet van SyRI rechtmatig zal oordelen. Mocht de SyRI-zaak voor het Hof voor de Rechten van de Mens (EHRM) worden gebracht, dan zal het EHRM naar verwachting een vernietigend oordeel vellen.
  
De wettelijke basis van SyRI
SyRI is bij wijziging van de wet SUWI (Structuur Uitvoeringsorganisaties Werk en Inkomen) in de wet SUWI verankerd. In hoofdstuk 5a van het Besluit SUWI vindt u de bepalingen over het gebruik van SyRI door overheidsinstanties. Artikel 5a.1 van het Besluit SUWI wekt de indruk dat de systematische vergaring en verwerking van gegevens slechts in het kader van bestuursrechtelijk optreden door overheidsorganen en uitsluitend binnen de limitatieve opsomming van gegevens als bedoeld in artikel 5a.1 lid 3 onder a-q van het Besluit SUWI geschiedt; de gegevens van de burger worden echter door alle overheidsinstanties integraal verstrekt op grond van artikel 64 en 65 van de wet SUWI. Grootschalige en systematische analyse en verwerking van gegevens wordt dus gefaciliteerd door de koppeling van registers van overheidsorganen. Het doel van SyRI is de bevordering van de integrale samenwerking van overheidsorganen in de bestrijding van sociale zekerheids- en belastingfraude (art. 65 lid 2 jo. 64 lid 1 wet SUWI).

De betrokkene wordt níet in kennis gesteld van de verwerking van diens gegevens in SyRI (artikel 5a.5 leden 1 en 4 Besluit SUWI). Met 'instemming van de personen' met het verzoek tot systematische surveillance en verwerking (artikel 5a.1 lid 4 sub a Besluit SUWI) wordt dan ook niet de instemming van de betrokkene bedoeld, maar de instemming van personen die toezicht houden op de naleving van andere regelgeving afkomstig van de Minister van Sociale Zaken en Werkgelegenheid (artikel 64 lid 1 wet SUWI).

Black box: verborgen voorspellende algoritmen
Met de inzet van SyRI wordt een risicoprofiel opgemaakt. SyRI taxeert het risico op sociale zekerheidsfraude en belastingfraude aan de hand van onder meer opleidingsgegevens, de woonsituatie, omgevingsfactoren, studieschuld, andere schuldenlasten en gegevens over re-integratie. De samenstelling van de risicofactoren is in nevelen gehuld (artikel 5a.1 lid 7 Besluit SUWI). In het Besluit SUWI zijn de vereisten van proportionaliteit en subsidiariteit opgenomen (artikel 5a.1 lid 4 Besluit SUWI). De voorspellende algoritmen die achter SyRI schuilgaan, worden toegepast zonder dat sprake is van een concrete verdenking van fraude.

De inzet van SyRI kan door de burger niet worden gecontroleerd, omdat de overheid de 'black box-methode' toepast. Met 'black box' wordt geduid op de verborgen input van voorspellende algoritmen in Big Data-processen. Op de bezwaren tegen de black box heb ik gewezen in mijn onderzoek naar de toepassing van Big Data-analyses voor strafvorderlijke doeleinden.

Betrokkenen kunnen niet effectief toetsen of een overheidsorgaan bij grootschalige dataveillance en verwerking van persoonsgegevens, voldoet aan de vereisten van proportionaliteit en subsidiariteit. De doelbindingseis, het beginsel van dataminimalisatie en de mogelijkheid om rectificatie te eisen, neergelegd in de Algemene Verordening Gegevensbescherming (AVG), worden hiermee van betekenis ontdaan.

De prognose: de rechtbank oordeelt dat de toepassing van SyRI rechtmatig is....
Mijn verwachting is dat de Rechtbank Den Haag, die 29 oktober 2019 de eerste zitting in de zaak-SyRI behandelde en op 29 januari 2020 uitspraak zal doen in de bodemprocedure, de toepassing van SyRI rechtmatig zal oordelen. Dat oordeel kan worden gebaseerd op het formele vereiste van een wettelijke basis voor de systematische verzameling en verwerking van gegevens in de wet SUWI.
Het recht op eerbiediging van de persoonlijke levenssfeer, verankerd in artikel 10 van de Grondwet, wordt in de regel al snel gepasseerd als overheidsorganen hun werkzaamheden op een formele wet kunnen baseren.

....het EHRM zal de inzet van SyRI in strijd met artikel 8 EVRM oordelen
Het Europese Hof voor de Rechten van de Mens (EHRM) zal anders oordelen over de toelaatbaarheid van SyRI. De inzet van SyRI voldoet namelijk niet aan de eisen die het EHRM stelt aan de verenigbaarheid van deze wijze van datasurveillance met het recht op eerbiediging van het privéleven (artikel 8 EVRM). De omvangrijke jurisprudentie van het EHRM inzake systematische datasurveillance laat daarover geen twijfel bestaan. SyRI faalt op het criterium van de voorzienbaarheid van de aanwending van de bevoegdheid van het overheidsorgaan. Wettelijke waarborgen om de inbreuk op artikel 8 EVRM door de inzet van SyRI te compenseren, ontbreken. De wet dient duidelijke en gedetailleerde regels te stellen aan de toepassing van SyRI, zodat de betrokkene weet onder welke omstandigheden en onder welke voorwaarden de overheid bevoegd is om SyRI in te zetten (EHRM 21 juni 2011, 30194/09 (Shimovolos/Rusland), r.o. 68).

De aard en maximale duur van de inzet van SyRI moeten worden vermeld in de wet, evenals de procedures die door overheidsorganen worden gevolgd om persoonsgegevens in SyRI te onderzoeken, te gebruiken en op te slaan (EHRM 29 juni 2006, 54934/00 (Weber en Saravia/Duitsland), r.o. 95). De wet moet bovendien melding maken van de middelen die door de burger kunnen worden ingesteld tegen SyRI (EHRM 28 juni 2007 (Ekimdzhiev/Bulgarije), r.o. 71-77).

Door het 'black box'-karakter van SyRI, waarbij de onderwerping aan het onderzoek en de werking van voorspellende algoritmen voor de burger verborgen blijven, is het voor de burger onduidelijk onder welke omstandigheden en voorwaarden een overheidsorgaan bevoegd is om SyRI in te zetten. De wet SUWI en het Besluit SUWI stellen géén duidelijke, gedetailleerde regels aan de inzet van SyRI. Het enkel hebben van de hoedanigheid van uitkeringsgerechtigde krachtens de WW, WIA of Participatiewet, is niet een specifieke voorwaarde om aan SyRI te kunnen worden onderworpen.

Bovendien maken de wet en het Besluit géén melding van de middelen die door de burger kunnen worden ingesteld tegen de toepassing van SyRI. Als de wet SUWI wél melding zou maken van de rechtsmiddelen die kunnen worden aangewend, dan kan de burger zijn recht op het instellen van middelen alsnog niet effectief uitoefenen door de 'black box', omdat de burger niet in kennis wordt gesteld van de onderwerping aan SyRI.

Wat mij betreft moeten de volgende kwesties nader worden onderzocht:
- in hoeverre resultaten strafvorderlijke analyses, onder meer op basis van Hansken, iColumbo en de Raffinaderij, gekoppeld kunnen worden binnen het kader van de 'integrale samenwerking tussen overheidsorganen'. Hoewel het uitgangspunt is om in de SyRI-projecten géén justitiële gegevens te verwerken, sluiten de wet SUWI en het Besluit SUWI de verwerking van dergelijke gegevens niet uit;
- of de wettelijke bewaartermijn van twee jaar (art. 65 leden 5-7 wet SUWI) kan worden overschreden door een SyRI-onderzoek vóór afloop van de uiterste termijn te heropenen of nieuwe gegevens toe te voegen aan de risicotaxatie.

Conclusie
Vanwege het ontbreken van duidelijke, gedetailleerde regels die de burger inlichten over de voorwaarden en omstandigheden voor toepassing van SyRI én vanwege het ontbreken van wettelijke waarborgen voor het compenseren van de inbreuk op artikel 8 EVRM, zal het EHRM naar verwachting een vernietigend oordeel vellen over de inzet van SyRI door de overheid. Vóórdat het EHRM een verzoekschrift in behandeling neemt, dienen de Nederlandse rechtsmiddelen te zijn uitgeput. Het kan dus nog jaren gaan duren voordat de zaak het tot het EHRM brengt. In de tussentijd heeft de overheid een nieuw taxatie-instrument dat wordt gedreven door voorspellende algoritmen geïntroduceerd, om de SyRI-controverse te vermijden, of een wetswijziging ingevoerd om te voldoen aan de minimumeisen voor een proportionele en subsidiaire toepassing van SyRI.

Toetsing EHRM-criteria: artikel 8 EVRM