De SyRI's worden nog altijd ingezet- en dit is hoe u uw informatierecht kunt uitoefenen

Nog steeds wordt het hardnekkige misverstand verspreid dat de rechter in de SyRI-zaak heeft geoordeeld dat het Systeem Risico Indicatie (SyRI) niet meer ingezet mag worden. De rechter heeft slechts bepaald dat de wetgeving waarop het instrument SyRI is gebaseerd, de SUWI-wetgeving, moest worden aangepast.

Een korte terugblik op eerdere berichtgeving over dit specialisme (Privacyrechten bij de heimelijke inzet van Big Data-analyse en dataveillance): 

1. SyRI is in strijd met de EHRM-criteria, maar de lagere rechter zal het gebruik ervan rechtmatig oordelen (3 november 2019, prognose van de uitkomst in de SyRI-zaak);
2. Datamining, Machine Learning en voorspellende algoritmen: hoe geschikt zijn deze methoden voor risicotaxatie? (algoritmen zijn niet geschikt om risico's te taxeren en daarom wezenlijk een invalide instrument, 11 november 2019);
3. Het "black box"-karakter van geheime dataveillance & Big Data-analyse en uw rechten (deel I) (17 november 2019);
4. Het "black box"-karakter van geheime dataveillance & Big Data-analyse en uw rechten (deel II);
5. Het "black box"-karakter van geheime dataveillance & Big Data-analyse en uw rechten (deel III);
6. Het "black box"-karakter van geheime dataveillance & Big Data-analyse en uw rechten (deel IV);
7. Het Privacy Impact Assessment (PIA) in geval van geheime dataveillance, risicotaxatie en profilering (30 november 2019);
8. Wat kunt u doen, wanneer u aan 'voorspellende' algoritmen wordt onderworpen? (14 december 2019);
9. Het uitoefenen van uw informatie- en inzagerecht onder de AVG (28 januari 2020);
10. Rechtbank Den Haag: SUWI-wetgeving als basis voor de inzet van SyRI in strijd met de EHRM-criteria (uitspraak in de SyRI-zaak, 5 februari 2020);
11. De discussie over de toelaatbaarheid van systemen zoals SyRI moet permanent zijn (6 februari 2020)

De SyRI's worden nog altijd ingezet, waaronder door private bedrijfjes ("Data Labs") die persoonsgegevens in opdracht van gemeenten en andere bestuurlijke overheidsorganen analyseren en verwerken. Instrumenten voor risicotaxatie/-indicatie houden in, dat op grond van het samenvoegen van persoonlijke gegevens wordt ingeschat hoe hoog het risico op fraude is. In de volksmond wordt wel gesproken van "voorspellende algoritmen".

Voorspellende algoritmen zijn formules die een indicatie geven van het frauderisico. Het opvragen van voorspellende algoritmen heeft weinig betekenis ten aanzien van de uitoefening van de informatierechten door een betrokkene. Gemeenten zouden kunnen menen te volstaan met het verschaffen van grafiekjes of rekenformules. Voor betrokkenen is het goed om te weten dat zij hun informatie-, inzage- en rectificatierechten kunnen uitoefenen, alsmede het recht op verwijdering van persoonsgegevens ("recht op vergeetbaarheid"). Gegevensverwerkers kunnen de plicht om te voldoen aan deze eisen uit de AVG niet verzaken door een beroep te doen op het "black box"-karakter van  methoden voor (geheime) surveillance/dataveillance, zoals SyRI. 

 1. Het uitoefenen van uw informatierecht: gegevens die u kunt vorderen

- De verwerkingsverantwoordelijke dient de identiteit en contactgegevens van zichzelf en/of de vertegenwoordiger te verstrekken op grond van art. 14 lid 1 onder a AVG. Onder meer de  gemeentelijke instantie, het Inlichtingenbureau of een privaat Data lab/miningbedrijf dienen u de eigen identiteit en contactgegevens te verstrekken;
- De verwerkingsdoeleinden waarvoor uw persoonsgegevens zijn bestemd en de categorieën van persoonsgegevens moeten aan u worden verstrekt op grond van art. 14 lid 1 onder c-d AVG;
- Gegevens van de persoon of instantie die de persoonsgegevens van de verwerker ontvangt dienen aan u te worden verstrekt o.g.v. art. 14 lid 1 onder e AVG;
- De verwerkingsverantwoordelijke dient u in klare taal informatie te verschaffen over uw recht om bezwaar te maken tegen de verwerking van uw persoonsgegevens (art. 14 lid 2 onder c AVG) en de mogelijkheid om een klacht in te dienen bij de Autoriteit Persoonsgegevens art. 14 lid 2 onder e AVG);
- Informatie over de wijze waarop de verwerkingsverantwoordelijke voldoet aan de plicht om u op grond van art. 13 of 14 AVG in verband met art. 5 lid 1 AVG vooraf te informeren over het feit dat u aan profilering wordt onderworpen;
- Gegevens over het belang van profilering voor de verwerkingsverantwoordelijke en de door u te verwachten gevolgen van profilering (art. 14 lid 2 AVG)

2. Het uitoefenen van uw recht van inzage (art. 15 AVG)

- Wijs de verwerkingsverantwoordelijke erop dat u inzage dient te krijgen in de doeleinden van de verwerking, de betrokken categorieën van persoonsgegevens die worden verwerkt, de ontvangers aan wie uw persoonsgegevens zijn of zullen worden verstrekt, de periode van opslag van uw gegevens en de bronnen waaruit uw gegevens zijn betrokken (art. 15 lid 1 AVG);
- De verwerkingsverantwoordelijke dient aan u een kopie te verstrekken van de gegevens die worden verwerkt (art. 15 lid 3 AVG);
-  De verwerkingsverantwoordelijke dient u inzage te verschaffen in de gegevens die als input zijn gebruikt (datasets) om een profiel over u op te maken. U dient tevens inzage te krijgen in de informatie over de u betreffende profilering en de details van de categorie waarin u bent ingedeeld (Guidelines on automated Individual decision-making and Profiling for the purposes of Regulation 2016/679, 6 feb. 2018, WP251rev.01, p. 17).

3. Uw recht van rectificatie, verwerkingsbeperking en gegevenswissing

- Zijn de verwerkte persoonsgegevens die u betreffen, onjuist of onvolledig? Verzoek dan om rectificatie (art. 15 lid 1 onder e AVG jo. art. 16 AVG);
- Verzoek om beperking van de verwerking van uw persoonsgegevens (art. 15 lid 1 jo. 18 AVG). U hebt het recht op 'vergetelheid' (art. 15 lid 1 onder e AVG jo. 17 AVG);
- De verwerkingsverantwoordelijke dient u in kennis te stellen inzake de rectificatie of wissing van uw persoonsgegevens of de verwerkingsbeperking (art. 19 AVG);
- Maakt u bezwaar tegen de verwerking van uw gegevens onder toepassing van art. 21 AVG, dan hebt u tevens recht op beperking van de verwerking van uw persoonsgegevens (art. 18 lid 1 onder d AVG).

4. De plicht van verwerkingsverantwoordelijke om op transparante wijze begrijpelijke informatie te verschaffen (art. 12 in verband met art. 5 lid 1 sub a AVG)

De verwerkingsverantwoordelijke dient u op transparante, begrijpelijke en gemakkelijk toegankelijke wijze informatie te verschaffen (art. 12 AVG). De informatie dient voor de gemiddelde betrokkene begrijpelijk te zijn (Guideline WP260 rev.01, 11 April 2018, p. 7-8). Uit de informatie moet blijken hoe uw persoonsgegevens zijn verwerkt en voor welke doeleinden. De informatieverplichtingen op grond van art. 12 AVG dienen immers uw informatierecht (art. 13-14 AVG) te faciliteren.
 
5. De plicht van de verwerkingsverantwoordelijke om een Privacy Impact Assessment (PIA of DPIA) uit te voeren 

De verwerkingsverantwoordelijke dient vóór de verwerking van persoonsgegevens een beoordeling uit te voeren van het effect van de beoogde verwerkingsactiviteit op de bescherming van persoonsgegevens (art. 35 lid 1 AVG). De beoordeling bevat ten minste een systematische beschrijving van de beoogde verwerkingen en verwerkingsdoeleinden, waaronder de belangen van de verwerkingsverantwoordelijke; ook dient de verwerkingsverantwoordelijke een beoordeling te geven van de noodzaak en evenredigheid van de verwerkingen met betrekking tot de doeleinden (proportionaliteit en subsidiariteit); voorts dient de beoordeling te omschrijven welke maatregelen zijn getroffen en aan te tonen hoe aan de waarborging van de bescherming van de persoonsgegevens en de rechten en gerechtvaardigde belangen van de betrokken burgers is voldaan (art. 35 lid 7 AVG).

Het verplichte Privacy Impact Assessment bij geheime dataveillance, profilering, samenwerking met private bedrijven en de verwerking van biometrische gegevens
De beperkingen op de transparantieverplichtingen van verwerkingsverantwoordelijken en de beperkingen van het recht van de burger op informatie en inzage gelden niet ten aanzien van het PIA. Een verwerkingsverantwoordelijke die geheime methoden voor Big Data-analyse/profilering/risicotaxatie toepast, is verplicht om het Privacy Impact Assessment (PIA) uit te voeren. Dit is bepaald in art. 35 AVG en wordt nog eens onderstreept door het Besluit Verplichte Gegevensbeschermingseffectbeoordeling van 27 november 2019 (Staatscourant nr. 64418). De verplichte uitvoering van het DPIA geldt onder meer voor:

- Grootschalige verwerkingen van persoonsgegevens en stelselmatige monitoring waarbij persoonsgegevens worden verzameld zonder de betrokkene daarover vooraf in te lichten, bijvoorbeeld heimelijk onderzoek door particuliere bureaus/Data Labs en onderzoek in het kader van fraudebestrijding (waaronder SyRI);
- Grootschalige verwerkingen van gegevens en monitoring in het kader van fraudebestrijding door sociale diensten;
-  Samenwerkingsverbanden waarin gemeenten en/of andere overheidsorganen met andere publieke of private partijen bijzondere persoonsgegevens of gegevens van gevoelige aard met elkaar uitwisselen;
- Grootschalige verwerking en monitoring van locatiegegevens, herleidbaar tot natuurlijke personen, bijvoorbeeld door ANPR-mobiel, of verwerking van gegevens van personen in het openbaar vervoer;
- Biometrische gegevens, waaronder vingerafdrukken, toetsaanslaganalyses, irisscans, gezichtsprofielen en stemopnamen (de verwerking van biometrische gegevens is enkel toegestaan wanneer de verwerking van biometrische gegevens noodzakelijk is voor beveiligingsdoeleinden);
- Profilering: de systematische beoordeling van persoonlijke aspecten van natuurlijke personen, gebaseerd op geautomatiseerde verwerking (profilering is geautomatiseerde verwerking).

Inhoud van het PIA: concrete verplichtingen van de verwerkingsverantwoordelijke
De verwerkingsverantwoordelijke dient vóór de verwerking van persoonsgegevens een beoordeling uit te voeren van het effect van de beoogde verwerkingsactiviteit op de bescherming van persoonsgegevens (art. 35 lid 1 AVG). De beoordeling bevat ten minste een systematische beschrijving van de beoogde verwerkingen en verwerkingsdoeleinden, waaronder de belangen van de verwerkingsverantwoordelijke; ook dient de verwerkingsverantwoordelijke een beoordeling te geven van de noodzaak en evenredigheid van de verwerkingen met betrekking tot de doeleinden (proportionaliteit en subsidiariteit); voorts dient de beoordeling te omschrijven welke maatregelen zijn getroffen en aan te tonen hoe aan de waarborging van de bescherming van de persoonsgegevens en de rechten en gerechtvaardigde belangen van de betrokken burgers is voldaan (art. 35 lid 7 AVG).

 

The debate on the permissibility of systems such as SyRI should be an ongoing one

SyRI cannot be suspended by the court- SyRI may as well be deployed with a few amendments to the SUWI legislation
The impression has been erroneously created that the court ordered the State to immediately stop SyRI (System Risk Indication). For example, UN reporter Philip Halston reports: "This is the first time a court has stopped using digital technologies by welfare authorities on human rights grounds" (see also: "Landmark ruling by Dutch court stops government attitudes to spy on the poor. UN expert Halston ").

The dictum of the Court of The Hague is widely misunderstood. The essence of the dictum is that the system can still be used. Only art. 65 of the SUWI Act and Chapter 5a of the SUWI Decree have been declared non-binding (see section 7.2). The persons concerned have therefore received no more than a legal explanation. The precedent effect that, according to the UN reporter, is based on the judgment, is therefore not correct. The verdict is presented as a victory that is a sham in practice.

Read consideration 6.7 of the Court of The Hague in the SyRI case: "The SyRI legislation [read: SUWI, M.Bouter] does not meet the requirements set out in Article 8, paragraph 2 of the ECHR that interference with private life should be necessary in a democratic society- that is, necessary, proportional and subsidiary in relation to the intended goal.The SyRI legislation does not meet the 'fair balance' that must exist between the social importance of the SyRI legislation and the violation of private life through this legislation, in order to be constitute a justified infringement. In particular, the court takes into account the principles of transparency, purpose limitation and data minimization. The legislation is insufficiently transparent and verifiable. " (ECLI: NL: RBDHA: 2020: 865). See also legal consideration 6.111: "Regarding the use of SyRI, the legislation is not sufficient". From the court's considerations cannot be derived that the deployment of SyRI, or a comparable system involving Big Data analysis/predictive algorithms/profiling, is impermissible or should be deemed unlawful. 

The State may continue to use SyRI, provided that the legal basis meets the ECtHR criteria (art. 8 paragraph 2 ECHR)

In order to avoid false expectations from those involved, it should be noted that each case must be dealt with individually. For the publication of the risk models used and the destruction of the collected and processed personal data, the parties involved will have to use the administrative procedure, but the State does not have to disclose the risk models and the destruction of the data collected and processed within the framework of SyRI is not mandatory (considerations 6.115 and 6.117).

The State may continue to use SyRI, provided that the legal basis meets the ECtHR criteria in respect of art. 8 paragraph 2 ECHR. I expect that the legislator will amend art. 65 of the SUWI Act and / or that a system comparable to SyRI has already been developed and will soon be introduced, probably without notice.
 

Points for discussion about the permissibility of SyRI: an in-depth look into the most remarkable statements in the SyRI case
One should not lean back after the Court's ruling in the SyRI case. The judges have not been able to discontinue SyRI, but apart from that issue, the discussion about the admissibility of systems such as SyRI should be an ongoing one. It is not about a subject that covers just the 'issues of the day'. The media attention for SyRI was mainly generated around the theme of 'discrimination against socially disadvantaged neighborhoods'. Considering the scope of SUWI, SyRI can be applied to anyone who has to claim tax allowances and/or social security. Every citizen can be subjected to dataveillance and Big Data analysis, risk assessments and predictive algorithms.

1. Systems such as SyRI apply to every citizen who receives tax benefits, allowances or social insurance.

2. According to the Explanatory Memorandum to the SUWI Decree, the indicators and the risk model must be clear in order to prevent a fishing expedition.It goes to show that a risk model had not been developed before the enforcement of the SUWI Decree. The development of the risk model for SyRI was considered a future event (see 4.23-4.24).
Has a fishing expedition been realized with the deployment of SyRI? 

 
3. The court is of the opinion that the SyRI legislation is in the interest of economic well-being and therefore serves a legitimate purpose (section 6.4).

4. The Council of State noted in 2014 that the list of data to be processed in SyRI is so broad that it is impossible to imagine personal data that will not be covered by SyRI. The list of personal data is meant to broaden the scope as much as possible. 

In addition, the Council of State has pointed to a major objection to Deep Learning techniques that is at the heart of SyRI: the human user does not understand why the system concludes that there is a (fraud) connection. An administrative body that bases its actions on such a system cannot justify its actions and cannot justify its decisions (see 6.46).

5. The State has not provided the court in the SyRI case with objectively verifiable information. The court has not been given insight into a risk model and indicators, so that the judge cannot assess the application of SyRI (see 6.49). The court had to apply a factual assumption in the absence of information from the State (see 6.51). The Court of the Hague remains uncertain about what SyRI actually is and what this system entails.

6. The 'black box'-character of SyRI prevents the court from assessing whether and any risk profiles have been developed in SyRI (see 6.53) and therefore, what these risk profiles entail.

7. The court has not obtained any insight into the validation of risk models and the verification of risk indicators in SyRI (see 6.89).

8. The court does not decide whether the SUWI legislation regarding the use of SyRI is compatible with the GDPR, art. 6 ECHR ('equality of arms') and art. 13 ECHR ("right to effective national legal protection").

Court of The Hague: SUWI legislation as the basis for the deployment of SyRI violates the ECtHR criteria

Fortunately, my prognosis was wrong- but only to a certain extent..
In my prognosis 'SyRI most likely violates the ECtHR criteria, but the system will be deemed lawful by the lower court', I expressed my expectation that the court would consider the application of SyRI to be lawful. I indicated that the deployment of SyRI obviously contradicts the ECtHR criteria on the right to respect for privacy (art. 8 ECHR), because the requirements of foreseeability and necessity in a democracy, as well as the requirements of proportionality, subsidiarity and data minimization, are not met. Moreover, the violation of private life cannot be compensated for in the absence of guarantees in the law on which SyRI is based (that is, the SUWI legislation).

My specific expectation was that the civil court would judge the formal requirement of a legal basis to be met by Article 65 of the SUWI Act and Chapter 5a of the SUWI Decree. It was exactly this expectation that did not come true. That seems good news, but the expectations should not be too high!

What is the concrete consequence of the Court ruling in the SyRI case?
The Court of The Hague considers the SyRI legislation '... in conflict with the right to respect for privacy as referred to in art. 8 paragraph 2 ECHR, insofar as this SyRI legislation concerns the deployment of SyRI (Court of The Hague, 5 February 2020, ECLI:NL:RBDHA:2020:865, consideration 6.111).

This somewhat over-abundant consideration means that Article 65 of the SUWI Act and Chapter 5a of the SUWI Decree are incompatible with art. 8 paragraph 2 ECHR.
The consequence is that only Article 65 of the SUWI Act and Chapter 5a of the SUWI Decree will be declared non-binding because of the conflict between these provisions and higher law (Article 8 of the ECHR).

The case law of the European Court of Human Rights concerning Article 8 ECHR is now finally taking shape in Dutch legal practice. The verdict, stating that art. 65 SUWI Act and Chapter 5a of the SUWI Decree must be considered to be non-binding, is the result of the criteria laid down by the ECHR, including in the ECHR cases 21 June 2011, 30194/09 (Shimovolos v. Russia) (paragraph 68) and ECtHR 4 December 2008, 30562/04 and 30566/04 (S. and Marper v. United Kingdom) (paragraph 95). 

This is clearly reflected in the application of the fair balance test in considerations 6.7, 6.80 and 6.86 of the Court of The Hague. In the opinion of the court, the legislation on which the application of SyRI is based does not provide sufficient safeguards to protect the right to respect for private life. SyRI legislation without insight into the risk indicators and the risk model, or at least without further legal safeguards that compensate for this lack of insight, provides insufficient guidance for the conclusion that with the use of SyRI the interference in private life in the light of the abuse and the fraud that is intended to combat is always proportional and therefore necessary, as required by Article 8, paragraph 2 of the ECHR (consideration 6.95). In view of the principles of purpose limitation and data minimization, the legislation contains insufficient guarantees (see consideration 6.106)

What was not achieved with this statement?
It is good to realize that SyRI itself is not being deemed unlawful. The media deliberately rushed into their interpretation of the verdict, causing newspapers and news sites to spread incorrect headlines such as "Judge prohibits controversial fraud detection system SyRI".

Due to the extensive consideration of the proportionality and subsidiarity requirement, the necessity requirement ('pressing social need in a democratic society') and the discussion of the obligation of the State to carry out a Privacy Impact Assessment (PIA / DPIA), the court ran out of time to assess the compatibility of SyRI with specific provisions in the GDPR.

It is striking that the court makes clear that the 'black box'-character of SyRI has made it impossible for the court to test what exactly SyRI is, because the risk models have not been made public (see consideration 6.49). Insight into the validation of risk models in SyRI is not provided by the SUWI legislation and the court cannot verify these risk models (considerations 6.65, 6.89 and 6.90).

Despite the abundancy of the considerations in the SyRI case, only one claim is awarded: the declaration that Article 65 SUWI and Chapter 5a SUWI Decree are not binding. The question is what the practical significance of this statement is for those involved (every citizen covered by social security and tax benefits):

1. The State is not obliged to destroy the personal data already collected within the framework of SyRI (consideration 6.117). The claim for the destruction of the personal data must be assessed per individual case.

2. The 'black box' will not be opened. The State is not obliged to make the risk models public (consideration 6.115).

3. For disclosure of specific risk models, the person concerned must follow the administrative route (consideration 6.115).

4. No judgment is given on the topic of discrimination in the deployment of SyRI, because discrimination does not have to infringe the right to respect for private life as protected by art. 8, paragraph 2 of the ECHR (see considerations 6.93-6.94).

To be continued?
In spite of all the detailed considerations, ultimately only the judgment has direct meaning. The basis of SyRI in the SUWI legislation is invalid, but SyRI as a system cannot be put aside as non-binding. However, after the ruling on 5 February 2020, the legislator decided that SyRI can no longer be used as a means of enforcement. My expectation is that the legislator will either repair the irregularities in the SUWI Act and the SUWI Decree, or that another System Risk Indicator is under construction right now.


 

De discussie over de toelaatbaarheid van systemen zoals SyRI moet permanent zijn

SyRI kan niet buiten werking worden gesteld door de rechter
Ten onrechte is het beeld ontstaan dat de rechter de Staat heeft bevolen om SyRI (Systeem Risico Indicatie) per direct stop te zetten. Zo meldt VN-rapporteur Philip Halston: "This is the first time a court has stopped the use of digital technologies by welfare authorities on human rights grounds" (zie ook: "Landmark ruling by Dutch court stops government attemps to spy on the poor- UN expert Halston").

Het dictum van de rechtbank Den Haag wordt verkeerd begrepen. De kern van het dictum is dat het systeem nog steeds gebruikt mag worden. Slechts art. 65 van de wet SUWI en Hoofdstuk 5a van het Besluit SUWI zijn onverbindend verklaard (zie r.o. 7.2). De betrokkenen hebben dus niet meer dan een verklaring voor recht verkregen. De precedentenwerking die volgens de VN-rapporteur uitgaat van het vonnis, is dus niet juist. Het vonnis wordt gepresenteerd als een overwinning die het in de praktijk niet is.

Lees rechtsoverweging 6.7 van de rechtbank Den Haag in de SyRI-zaak: "De SyRI-wetgeving [lees: SUWI, M.Bouter] voldoet niet aan de in art. 8 lid 2 EVRM gestelde eis, dat de inmenging in het privéleven noodzakelijk is in een democratische samenleving, dat wil zeggen noodzakelijk, proportioneel en subsidiair in relatie tot het beoogde doel. De SyRI-wetgeving voldoet niet aan de 'fair balance' die moet bestaan tussen het maatschappelijke belang van de SyRI-wetgeving en de inbreuk op het privéleven door deze wetgeving, om te kunnen spreken over een gerechtvaardigde inbreuk. Daarbij neemt de rechtbank in het bijzonder de beginselen van transparantie, doelbinding en dataminimalisatie in aanmerking. De wetgeving is onvoldoende inzichtelijk en controleerbaar." (ECLI:NL:RBDHA:2020:865). Zie ook rechtsoverweging 6.111: "Wat betreft de inzet van SyRI voldoet de wetgeving niet". Nergens blijkt dat SyRI, of een vergelijkbaar systeem, in het vervolg niet mag worden ingezet.

Om valse verwachtingen weg te nemen bij de betrokkenen, moet worden gemeld dat iedere zaak vooralsnog individueel moet worden behandeld. Voor de bekendmaking van de gebruikte risicomodellen en de vernietiging van de verzamelde en verwerkte persoonsgegevens, zullen de betrokkenen gebruik moeten maken van de bestuursrechtelijke procedure. De rechtbank neemt een voorschot op de kans van slagen van een verzoek tot vernietiging en tot bekendmaking van de risicomodellen: de Staat behoeft de risicomodellen niet te openbaren en vernietiging van de in het kader van SyRI verzamelde en verwerkte data is niet verplicht (r.o. 6.115 en 6.117).

Welbeschouwd mag de Staat doorgaan met het gebruik van SyRI, mits de wettelijke basis voldoet aan de EHRM-criteria in de zin van art. 8 lid 2 EVRM. Het ligt in de lijn der verwachting dat de wetgever met een reparatie van art. 65 SUWI komt, en/of dat een met SyRI vergelijkbaar systeem reeds is ontwikkeld en binnenkort geïntroduceerd zal worden.

Het is zaak om niet achterover te leunen. De rechter heeft SyRI niet buiten werking kunnen stellen, maar los van die kwestie moet de discussie over de toelaatbaarheid van systemen zoals SyRI gevoerd blijven worden. Het gaat niet om een onderwerp dat slechts de 'waan van de dag' bestrijkt. De media-aandacht voor SyRI werd vooral gegenereerd rond het thema 'discriminatie van sociaal achtergestelde buurten'. SyRI kan, gelet op SUWI, echter worden toegepast op iedereen die gebruik moet maken van belastingtoeslagen en sociale verzekeringen. Iedere burger kan aan allerlei vormen van Big Data-verzameling en -analyse, risicotaxaties en voorspellende algoritmen worden onderworpen.

Punten van discussie over SyRI en nieuwe vormen van Big Data-analyse/profilering/voorspellende algoritmen
Het is duidelijk dat de betrokkenen niet meer hebben verkregen dan de verklaring dat twee artikelen van de SUWI-wetgeving onverbindend zijn. De discussie over de toelaatbaarheid van systemen zoals SyRI moet permanent zijn.

1. Systemen zoals SyRI zijn van toepassing op iedere burger die belastingvoordelen, toeslagen of een sociale verzekering ontvangt;
2. Volgens de Nota van Toelichting bij het Besluit SUWI dienen de indicatoren en het risicomodel helder te zijn benoemd om een 'fishing expedition' te voorkomen. Is de fishing expedition met de toepassing van SyRI verwezenlijkt? Het risicomodel voor SyRI moet namelijk in de toekomst worden ontwikkeld door SZW (r.o. 4.23-4.24);
3. De rechtbank is van oordeel dat de SyRI-wetgeving in het belang van het economisch welzijn is en daarmee een legitiem doel dient (r.o. 6.4);
4. De Raad van State heeft in 2014 opgemerkt dat de opsomming van gegevens ten behoeve van SyRI zo ruim is, dat er geen persoonsgegeven is te bedenken dat er niet onder valt. De opsomming is bedoeld om zoveel mogelijk armslag te hebben. Bovendien heeft de Raad van State gewezen op een groot bezwaar tegen Deep Learning-technieken die de spil vormt van SyRI: de menselijke gebruiker begrijpt niet waarom het systeem concludeert dat er een (fraude)verband is. Een bestuursorgaan dat zijn handelen baseert op zo'n systeem, kan zijn optreden niet verantwoorden en zijn besluiten niet motiveren (r.o. 6.46);
5. De Staat heeft de rechtbank in de SyRI-zaak géén objectief verifieerbare informatie verschaft. De rechtbank heeft geen inzicht gekregen in een risicomodel en indicatoren, zodat de rechter de toepassing van SyRI niet kan beoordelen (r.o. 6.49). De rechtbank heeft een feitelijke veronderstelling moeten toepassen bij gebrek aan informatie van de Staat (r.o. 6.51). De rechter blijft in het ongewisse over wat SyRI precies is;
6. Het black box-karakter van SyRI verhindert dat de rechtbank kan beoordelen of en elke risicoprofielen zijn ontwikkeld in SyRI (r.o. 6.53);
7. De rechtbank laat in het midden of SUWI een voldoende rechtsbasis biedt, zoals art. 8 lid 2 EVRM eist voor een gerechtvaardigde inbreuk op het privéleven (r.o. 6.72);
8. De rechtbank heeft geen inzicht gekregen in de validatie van een risicomodel en de verificatie van risico-indicatoren in SyRI (r.o. 6.89);
9. Gelet op de omvang van de beschouwingen van de rechtbank, laat de rechtbank in het midden of de SUWI-wetgeving op het punt van de inzet van SyRI verenigbaar is met de AVG, art. 6 EVRM ('equality of arms') en art. 13 EVRM ('recht op effectieve nationale rechtsbescherming').



 

Rechtbank Den Haag: SUWI-wetgeving als basis voor de inzet van SyRI in strijd met de EHRM-criteria

Gelukkig! Ik heb ongelijk gekregen!
In mijn prognose 'SyRI is in strijd met de EHRM-criteria, maar de lagere rechter zal het gebruik van SyRI rechtmatig oordelen', sprak ik mijn verwachting uit, dat de rechtbank de toepassing van SyRI rechtmatig zou bevinden. Ik gaf aan dat de inzet van SyRI evident in strijd is met de EHRM-criteria inzake het recht op eerbiediging van de persoonlijke levenssfeer (art. 8 EVRM), omdat niet voldaan is aan de eisen van voorzienbaarheid, noodzakelijkheid in een democratie, de daaruit volgende eisen van proportionaliteit, subsidiariteit en dataminimalisatie. De inbreuk op het privéleven wordt bovendien niet gecompenseerd bij gebreke van waarborgen in de wet die ten grondslag ligt aan SyRI.

Mijn verwachting was specifiek dat de civiele rechter zou oordelen dat aan het formele vereiste van een wettelijke basis zou zijn voldaan door artikel 65 Wet SUWI en hoofdstuk 5a Besluit SUWI toe te passen. Juist die verwachting is niet uitgekomen. Dat lijkt goed nieuws, maar aan de uitspraak mogen niet te hoge verwachtingen worden verbonden!

Wat is het concrete gevolg van de uitspraak van de rechter in de SyRI-zaak? 
De rechtbank Den Haag acht de SyRI-wetgeving '..strijdig met het recht op eerbiediging van de persoonlijke levenssfeer als bedoeld in art. 8 lid 2 EVRM, voor zover deze SyRI-wetgeving de inzet van SyRI betreft (Rb. Den Haag 5 februari 2020, ECLI:NL:RBDHA:2020:865, rechtsoverweging 6.111)'.

Deze wat overvloedig ogende rechtsoverweging houdt in, dat artikel 65 Wet SUWI en Hoofdstuk 5a van het Besluit SUWI onverenigbaar is met art. 8 lid 2 EVRM.
De consequentie is dat alleen artikel 65 Wet SUWI en Hoofdstuk 5a van het Besluit SUWI onverbindend verklaard worden, vanwege de strijd van deze bepalingen met hoger recht (art. 8 EVRM).

De case law van het Europese Hof voor de Rechten van de Mens inzake artikel 8 EVRM krijgt nu eindelijk gestalte in de Nederlandse rechtspraktijk. Dat art. 65 Wet SUWI en Hoofdstuk 5a van het Besluit SUWI onverbindend moeten worden geacht, is het gevolg van de criteria die het EHRM heeft aangelegd, onder meer in de zaken EHRM 21 juni 2011, 30194/09 (Shimovolos/Rusland) (r.o. 68) en EHRM 4 december 2008, 30562/04 en 30566/04 (S. en Marper/Verenigd Koninkrijk) (r.o. 95).

Dit komt duidelijk naar voren bij de behandeling van de 'fair balance'-test in rechtsoverwegingen 6.7, 6.80 en 6.86 van de rechtbank Den Haag. In de wetgeving waarop de toepassing van SyRI is gebaseerd, wordt naar het oordeel van de rechtbank onvoldoende voorzien in waarborgen ter bescherming van het recht op eerbiediging van het privéleven. De SyRI-wetgeving biedt zonder inzicht in de risico-indicatoren en het risicomodel, althans zonder nadere wettelijke waarborgen die dit gebrek aan inzicht compenseren, onvoldoende handvatten voor de conclusie dat met de inzet van SyRI de inmenging in het privéleven in het licht van het misbruik en de fraude die wordt beoogd te bestrijden steeds proportioneel en daarmee noodzakelijk is, zoals artikel 8 lid 2 EVRM vereist (rechtsoverweging 6.95). Gelet op de beginselen van doelbinding en dataminimalisatie bevat de wetgeving onvoldoende waarborgen (r.o. 6.106). 

Wat wordt met deze uitspraak níet bereikt?
Het is goed om te beseffen dat SyRI nergens onrechtmatig wordt geoordeeld. De media zijn onbezonnen in de uitspraak gedoken, waardoor de dagbladen en nieuwssites onjuiste headlines verspreiden als "Rechter verbiedt omstreden fraudeopsporingssysteem SyRI".

Door de uitvoerige behandeling van de proportionaliteits- en subsidiariteitseis, noodzakelijkheideis ('pressing social need in a democratic society'), voorzienbaarheidseis, het Privacy Impact Assessment (PIA/DPIA) komt de rechtbank niet meer toe aan de verenigbaarheid van SyRI met specifieke AVG-bepalingen.

Opvallend is dat de rechtbank er blijk van geeft dat de 'black box' zodanig niet transparant is, dat niet getoetst kan worden wat SyRI precies is, omdat de risicomodellen niet openbaar zijn gemaakt (r.o. 6.49). Inzicht in de validatie van risicomodellen in SyRI wordt niet geboden door de SyRI-wetgeving en de rechtbank kan deze risicomodellen niet controleren (r.o. 6.65, 6.89 en 6.90).

Alle overwegingen ten spijt, wordt slechts één vordering toegewezen: de verklaring voor recht, dat artikel 65 SUWI en Hoofdstuk 5a Besluit SUWI onverbindend is. Het is de vraag wat de praktische betekenis van deze uitspraak voor betrokkenen (iedere onverdachte burger die onder de sociale zekerheid valt) is:

1. De Staat is niet gehouden om de reeds in het kader van SyRI verzamelde persoonsgegevens te vernietigen (r.o. 6.117). De vordering tot vernietiging van de persoonsgegevens moet per individueel geval worden beoordeeld;
2. De 'black box' zal niet worden geopend. De Staat is niet gehouden om de risicomodellen openbaar te maken (r.o. 6.115);
3. Voor openbaarmaking van specifieke risicomodellen dient de betrokkene de bestuursrechtelijke weg te volgen (r.o. 6.115);
4. Over discriminatie bij de inzet van SyRI wordt geen oordeel geveld, omdat discriminatie geen inbreuk hoeft te maken op art. 8 lid 2 EVRM (r.o. 6.93-6.94).

Wordt vervolgd?
Alle uitvoerige overwegingen ten spijt, heeft uiteindelijk alleen de uitspraak directe betekenis. De basis van SyRI is ongeldig, maar daarmee wordt SyRI niet als onverbindend terzijde gesteld. De wetgever heeft na de uitspraak op 5 februari 2020 besloten dat SyRI niet meer kan worden ingezet als middel voor handhaving. Mijn verwachting is dat de wetgever ofwel met een reparatie komt van de onregelmatigheden in de wet SUWI en het Besluit SUWI, of op dit moment druk in de weer is met de ontwikkeling van een ander Systeem Risico Indicatie.

Wat kunt u doen, wanneer u aan 'voorspellende' algoritmen of profilering wordt onderworpen?

Het uitoefenen van uw informatie- en inzagerecht onder de AVG
In de reeks "Het 'black box'-karakter van geheime dataveillance en Big Data-analyse" heb ik aangegeven dat de discussie omtrent de inzet van instrumenten voor risicotaxatie, profilering en Big Data-analyse niet alleen gericht zou moeten zijn op discriminatie bij de toepassing van voorspellende algoritmen. De discussie over onder meer de inzet van het Systeem Risico Indicatie (SyRI) zou betrekking moeten hebben op een andere fundamentele kwestie: de effectiviteit waarmee iedere burger zijn/haar recht op eerbiediging van de persoonlijke levenssfeer kan uitoefenen.

Ondanks het 'black box'-karakter van de geheime verzameling en verwerking van uw persoonsgegevens in het kader van risicotaxaties/profilering/Big Data-analyse moeten de rechten en plichten uit de Algemene Verordening Gegevensbescherming (AVG) en het Europese Verdrag voor de Rechten van de Mens (EVRM) worden nageleefd door de verwerkingsverantwoordelijke.

Uiteraard houdt het 'black box'-karakter van geheime dataveillance/profilering/risicotaxatie in dat de burger er niet van op de hoogte wordt gebracht dat hij/zij onderwerp van onderzoek is. Dat neemt niet weg dat u inzagerecht, het recht op beperking van de verwerking van uw gegevens en recht van rectificatie hebt. Ook zijn verwerkingsverantwoordelijken verplicht om informatie te verschaffen over de verwerking van uw persoonsgegevens.

Aan enkel de constatering dat geheime dataveillance met miskenning van de transparantie-, informatie- en verwerkingsbeperkingsverplichtingen in strijd is met het recht op eerbiediging van de persoonlijke levenssfeer hebt u niet veel. Iets aankaarten zonder mogelijke oplossingen aan te dragen, is nutteloos. Daarom adviseer ik u, hoe u een vordering tot inzage in de verwerking van uw persoonsgegevens aan de verwerkingsverantwoordelijke op kunt stellen. In de vordering kunt u de volgende punten opnemen om onder meer uw informatierecht, inzagerecht en recht van beperking van de verwerking van uw gegevens uit te oefenen. Het overzicht is niet uitputtend bedoeld en derhalve voor aanvulling vatbaar, met dien verstande dat de minimale informatieverplichtingen en transparantieverplichtingen van de verwerkingsverantwoordelijke erin zijn opgenomen.

1. Gegevens die u kunt vorderen op grond van uw informatierecht
- De identiteit en contactgegevens van de verwerkingsverantwoordelijke en/of de identiteit en contactgegevens van de vertegenwoordiger, bijvoorbeeld de gemeentelijke instantie, het Inlichtingenbureau of een privaat Data lab/miningbedrijf (art. 14 lid 1 onder a AVG);
- De verwerkingsdoeleinden waarvoor uw persoonsgegevens zijn bestemd en de categorieën van persoonsgegevens (art. 14 lid 1 onder c-d AVG);
- Gegevens van de persoon of instantie die de persoonsgegevens van de verwerker ontvangt (art. 14 lid 1 onder e AVG);
- Gegevens over het belang van profilering voor de verwerkingsverantwoordelijke en de door u te verwachten gevolgen van profilering (art. 14 lid 2 AVG);
- Informatie over uw recht om bezwaar te maken tegen de verwerking van uw persoonsgegevens (art. 14 lid 2 onder c AVG) en de mogelijkheid om een klacht in te dienen bij de Autoriteit Persoonsgegevens (art. 14 lid 2 onder e AVG);
- Informatie over de wijze waarop de verwerkingsverantwoordelijke voldoet aan de plicht om u op grond van art. 13 of 14 AVG in verband met art. 5 lid 1 AVG vooraf te informeren over het feit dat u aan profilering wordt onderworpen.

2. Het recht van inzage (art. 15 AVG)
- Wijs de verwerkingsverantwoordelijke erop dat u inzage dient te krijgen in de doeleinden van de verwerking, de betrokken categorieën van persoonsgegevens die worden verwerkt, de ontvangers aan wie uw persoonsgegevens zijn of zullen worden verstrekt, de periode van opslag van uw gegevens en de bronnen waaruit uw gegevens zijn betrokken (art. 15 lid 1 AVG);
- De verwerkingsverantwoordelijke dient aan u een kopie te verstrekken van de gegevens die worden verwerkt (art. 15 lid 3 AVG);
-  De verwerkingsverantwoordelijke dient u inzage te verschaffen in de gegevens die als input zijn gebruikt (datasets) om een profiel over u op te maken. U dient tevens inzage te krijgen in de informatie over de u betreffende profilering en de details van de categorie waarin u bent ingedeeld (Guidelines on automated Individual decision-making and Profiling for the purposes of Regulation 2016/679, 6 feb. 2018, WP251rev.01, p. 17).

3. Uw recht van rectificatie, verwerkingsbeperking en gegevenswissing
- Zijn de verwerkte persoonsgegevens die u betreffen, onjuist of onvolledig? Verzoek dan om rectificatie (art. 15 lid 1 onder e AVG jo. art. 16 AVG);
- Verzoek om beperking van de verwerking van uw persoonsgegevens (art. 15 lid 1 jo. 18 AVG). U hebt het recht op 'vergetelheid' (art. 15 lid 1 onder e AVG jo. 17 AVG);
- De verwerkingsverantwoordelijke heeft een kennisgevingsplicht inzake de rectificatie of wissing van uw persoonsgegevens of de verwerkingsbeperking (art. 19 AVG);
- Maakt u bezwaar tegen de verwerking van uw gegevens onder toepassing van art. 21 AVG, dan hebt u tevens recht op beperking van de verwerking van uw persoonsgegevens (art. 18 lid 1 onder d AVG).

4. De plicht van verwerkingsverantwoordelijke om op transparante wijze begrijpelijke informatie te verschaffen (art. 12 in verband met art. 5 lid 1 sub a AVG)
De verwerkingsverantwoordelijke dient u op transparante, begrijpelijke en gemakkelijk toegankelijke wijze informatie te verschaffen (art. 12 AVG). De informatie dient voor de gemiddelde betrokkene begrijpelijk te zijn (Guideline WP260 rev.01, 11 April 2018, p. 7-8). Zoals eerder opgemerkt, kan de verwerkingsverantwoordelijke niet volstaan met het verschaffen van een wiskundige formule, (letterlijk: het algoritme) of een grafiekje. Uit de informatie moet blijken hoe uw persoonsgegevens zijn verwerkt en voor welke doeleinden. De informatieverplichtingen op grond van art. 12 AVG dienen immers uw informatierecht (art. 13-14 AVG) te faciliteren.

Het verspreiden van zwartgelakte documenten onder de motivering dat de gegevens van verwerkers een gelegenheid van intern beleid zijn, is in strijd met de verplichting van verwerkingsverantwoordelijken om transparante en begrijpelijke informatie over de verwerking van uw persoonsgegevens te verschaffen. Let er wel op dat de verwerkingsverantwoordelijke zwartgelakte informatie kan verstrekken om de termijnen voor (bestuursrechtelijke) bezwaarprocedures op te rekken. Als de verwerkingsverantwoordelijke u de gevraagde informatie verstrekt, dan is dit een besluit in de zin van de Algemene wet bestuursrecht (Awb). Word de gevraagde informatie in onleesbare vorm verstrekt, dan dient tegen het niet-voldoen aan de transparantie- en informatieplicht bezwaar te worden gemaakt. De termijn voor beslissen op bezwaar is zes weken.

Het Privacy Impact Assessment (PIA) in geval van geheime dataveillance, risicotaxatie en profilering

Instrumenten voor geheime dataveillance, -analyse, profilering en risicotaxatie en de plicht om een PIA uit te voeren
De verwerkingsverantwoordelijke (organisatie) die privacygevoelige gegevens verwerkt, is verplicht om een Privacy Impact Assessment (PIA), ook wel 'gegevensbeschermingseffectbeoordeling' of 'Data Protection Impact Assessment' (DPIA) uit te voeren.

In vorige berichten heb ik het 'black box'-karakter van geheime methoden voor dataveillance en -analyse besproken, alsmede de toepassing van voorspellende algoritmen met een 'black box'-karakter, waaronder het Systeem Risico Taxatie (SyRI). Ik heb daarbij aangegeven dat de verwerkingsverantwoordelijke op grond van de Algemene Verordening Gegevensbescherming (AVG) transparant dient te zijn en dat de verwerkingsverantwoordelijke verplicht is tot het verschaffen van informatie en inzage aan de betrokken burger, ondanks het heimelijke karakter van de gegevensverzameling en -verwerking. Onder uitzonderlijke omstandigheden, bijvoorbeeld wanneer door menselijk toedoen een ramp dreigt te worden veroorzaakt, mag de verwerkingsverantwoordelijke de informatie- en inzagerechten, alsmede het recht op rectificatie, beperken (art. 23 AVG). Het 'black box'-karakter van instrumenten die heimelijk worden ingezet om burgers te onderwerpen aan dataveillance en -analyse kan echter niet worden tegengeworpen aan de plicht van verwerkende instanties om een Privacy Impact Assessment (PIA) uit te voeren.

Het verplichte PIA bij geheime dataveillance, profilering, samenwerking met private bedrijven en de verwerking van biometrische gegevens
De beperkingen op de transparantieverplichtingen van verwerkingsverantwoordelijken en de beperkingen van het recht van de burger op informatie en inzage gelden niet ten aanzien van het PIA. Een verwerkingsverantwoordelijke die geheime methoden voor Big Data-analyse/profilering/risicotaxatie toepast, is verplicht om het Privacy Impact Assessment (PIA) uit te voeren. Dit is bepaald in art. 35 AVG en wordt nog eens onderstreept door het Besluit Verplichte Gegevensbeschermingseffectbeoordeling van 27 november 2019 (Staatscourant nr. 64418). De verplichte uitvoering van het DPIA geldt onder meer voor:

- Grootschalige verwerkingen van persoonsgegevens en stelselmatige monitoring waarbij persoonsgegevens worden verzameld zonder de betrokkene daarover vooraf in te lichten, bijvoorbeeld heimelijk onderzoek door particuliere bureaus/Data Labs en onderzoek in het kader van fraudebestrijding (waaronder SyRI);
- Grootschalige verwerkingen van gegevens en monitoring in het kader van fraudebestrijding door sociale diensten;
-  Samenwerkingsverbanden waarin gemeenten en/of andere overheidsorganen met andere publieke of private partijen bijzondere persoonsgegevens of gegevens van gevoelige aard met elkaar uitwisselen;
- Grootschalige verwerking en monitoring van locatiegegevens, herleidbaar tot natuurlijke personen, bijvoorbeeld door ANPR-mobiel, of verwerking van gegevens van personen in het openbaar vervoer;
- Biometrische gegevens, waaronder vingerafdrukken, toetsaanslaganalyses, irisscans, gezichtsprofielen en stemopnamen (de verwerking van biometrische gegevens is enkel toegestaan wanneer de verwerking van biometrische gegevens noodzakelijk is voor beveiligingsdoeleinden);
- Profilering: de systematische beoordeling van persoonlijke aspecten van natuurlijke personen, gebaseerd op geautomatiseerde verwerking (profilering is geautomatiseerde verwerking).

Inhoud van het PIA: concrete verplichtingen van de verwerkingsverantwoordelijke
De verwerkingsverantwoordelijke dient vóór de verwerking van persoonsgegevens een beoordeling uit te voeren van het effect van de beoogde verwerkingsactiviteit op de bescherming van persoonsgegevens (art. 35 lid 1 AVG). De beoordeling bevat ten minste een systematische beschrijving van de beoogde verwerkingen en verwerkingsdoeleinden, waaronder de belangen van de verwerkingsverantwoordelijke; ook dient de verwerkingsverantwoordelijke een beoordeling te geven van de noodzaak en evenredigheid van de verwerkingen met betrekking tot de doeleinden (proportionaliteit en subsidiariteit); voorts dient de beoordeling te omschrijven welke maatregelen zijn getroffen en aan te tonen hoe aan de waarborging van de bescherming van de persoonsgegevens en de rechten en gerechtvaardigde belangen van de betrokken burgers is voldaan (art. 35 lid 7 AVG).

Legal prognosis: SyRI most likely violates the ECtHR criteria, but this system will be deemed lawful by the lower court

Already in 2014, I sent a message to the national newspapers about SyRI (System Risk Indication), considering the risks of and objections to systems for mass surveillance such as SyRI. It was too progressive to place critical notes on the use of SyRI in 2014: several media did not find the subject sufficiently urgent.

I also sensed this lack of interest within the Public Law section. Oddly, the Department gave me permission to investigate the compatibility of SyRI with the legal principles of the prohibition of détournement de pouvoir, the presumption of innocence and the principle of equality of arms. In addition to these administrative and criminal notions and most importantly, I would investigate the compatibility of SyRI with the right to respect for private life. The Research Supervisor stated that SyRI as a 'small law' was not interesting and significant enough. The interests affected by the deployment of SyRI were judged with a sense of disdain. I strongly disagree with the dismissal of the deployment of SyRI as if this phenomenon were socially insignificant!

SyRI has now become a topic of discussion and its social influence is being recognized. On October 29, 2019, the Court of The Hague examined the matter at the first session of the substantive proceedings in the SyRI case. I expect that the court will consider the deployment of SyRI to be lawful. Should the SyRI case be brought before the Court of Human Rights (ECHR), the ECHR is expected to issue a quite different judgment.

The legal basis of SyRI
SyRI is provided by the SUWI Act upon the amendment of the SUWI (Work and Income Implementation Structure) Act. Chapter 5a of the SUWI Decree contains the provisions on the use of SyRI by government agencies. Article 5a.1 of the SUWI Decree gives the impression that the systematic collection and processing of data is only within the framework of administrative action by government bodies and only within the exhaustive summary of data as referred to in Article 5a.1 paragraph 3 under aq of the Decree SUWI occurs; however, the citizen's details are provided in full by all government agencies on the basis of Articles 64 and 65 of the SUWI Act. Large-scale and systematic analysis and processing of data is therefore facilitated by the linking of registers of government bodies. The aim of SyRI is to promote the integral cooperation of government bodies in combating social security and tax fraud (Article 65, paragraph 2 in conjunction with 64, paragraph 1 of the SUWI Act).

The data subject is not informed of the processing of his data in SyRI (Article 5a.5, paragraphs 1 and 4 of the SUWI Decree). With 'consent of the persons' to the request for systematic surveillance and processing (Article 5a.1 paragraph 4 sub a SUWI Decree) is therefore not meant the consent of the data subject, but the consent of persons who supervise compliance with other regulations from the Minister of Social Affairs and Employment (Article 64, paragraph 1 of the SUWI Act).

Black box: hidden predictive algorithms
A risk profile is drawn with the use of SyRI. SyRI assesses the risk of social security fraud and tax fraud on the basis of, among other aspects, data on education, housing data, environmental factors, study debt, other debt charges and data on reintegration. The composition of the risk factors is shrouded (Article 5a.1, paragraph 7, SUWI Decree). The SUWI Decree contains the requirements of proportionality and subsidiarity (Article 5a.1 paragraph 4 SUWI Decree). The predictive algorithms behind SyRI are applied regardless of a concrete suspicion of fraud.

The deployment of SyRI cannot be controlled by the citizen, because the government applies the 'black box method'. The 'black box' refers to the hidden input of predictive algorithms in Big Data processes. I have drawn attention to the objections to the black box in my investigation into the use of Big Data analyzes for criminal purposes.

Data subjects cannot effectively check whether a governmental body meets the requirements of proportionality and subsidiarity with regard to large-scale data surveillance and processing of personal data. The purpose limitation requirement, the principle of data minimization and the possibility of requiring rectification, laid down in the General Data Protection Regulation (AVG), will thereby be devoid of significance. Also, the proportionality and subsidiarity provisions of Article 5a.1 paragraph 4 of the SUWI Decree will be devoid of significance, since citizens cannot find out whether they are being investigated or not. 

The prognosis: the court finds that the application of SyRI is lawful ....
My expectation is that The Hague District Court, which dealt with the first session in the SyRI case on 29 October 2019 and will issue a judgment on the substantive proceedings on 29 January 2020, will consider the application of SyRI to be lawful. That judgment can be based on the formal requirement of a legal basis for the systematic collection and processing of data in the SUWI Act.

The right to respect for privacy, enshrined in Article 10 of the Constitution, is generally soon met with if government bodies base their activities on the provisions of a formal law.

.... the ECtHR will issue a jugdment stating that the deployment of SyRI constitutes a breach of Article 8 of the ECHR
The European Court of Human Rights (ECHR) will judge the admissibility of SyRI differently. The use of SyRI does not meet the requirements set by the ECtHR for the compatibility of this method of data surveillance with the right to respect for private life (Article 8 ECHR). The extensive case law of the ECtHR on systematic data surveillance leaves no doubt about this. SyRI fails on the criterion of the foreseeability of the use of the authority of the government body. There are no legal safeguards to compensate for the violation of Article 8 of the ECHR through the deployment of SyRI. The law should lay down clear and detailed rules for the application of SyRI, so that the person concerned knows under what circumstances and under what conditions the government is authorized to deploy SyRI (ECHR 21 June 2011, 30194/09 (Shimovolos v. Russia), paragraph 68).

The nature and maximum duration of the deployment of SyRI must be specified in the law, as well as the procedures followed by government bodies to investigate, use and store personal data in SyRI (ECHR 29 June 2006, 54934/00 (Weber and Saravia v. Germany), paragraph 95). The law must also state the means that can be brought by the citizen against SyRI (ECHR 28 June 2007 (Ekimdzhiev v. Bulgaria), pp. 71-77).

Due to the 'black box' character of SyRI, implying the subjection to research and the operation of predictive algorithms remain hidden for citizens, it is unclear to the citizen under what circumstances and conditions a governmental body is authorized to deploy SyRI. The SUWI Act and the SUWI Decree do not set clear, detailed rules for the deployment of SyRI. The mere fact of exercising the right to receive benefits under the Unemployment Insurance Act, WIA or Participation Act is not a specific condition for being subject to SyRI.

Moreover, the law and the Decree do not provide any, nor do they mention legal remedies that can be used by the citizen against the application of SyRI. If the SUWI law did mention the legal remedies that could be used, the 'black box' would still not allow the citizen to effectively exercise his right to an effective legal remedy, for citizens will not be informed on being subject to SyRI.

As far as I am concerned, the following issues need further investigation:
- to what extent results of criminal analysis, including those based on Hansken, iColumbo and the Refinery, can be linked within the framework of 'integral cooperation between government bodies'. Although the starting point is not to process judicial data in the SyRI projects, the SUWI Act and the SUWI Decree do not exclude the processing of such data;
- whether the legal retention period of two years (Article 65, paragraphs 5-7 of the SUWI Act) can be exceeded by reopening a SyRI investigation before the expiry of the deadline or adding new data to the risk assessment.

Conclusion
Due to the lack of clear, detailed rules that inform the citizen about the conditions and circumstances for applying SyRI and the lack of legal safeguards to compensate for the infringement of Article 8 ECHR, the ECtHR is expected to judge the deployment of SyRI by the government unlawful. Before the ECtHR processes a petition, national remedies must be exhausted. It can therefore take years before the case brings it to the ECtHR. In the meantime, the government most likely will have introduced a new appraisal tool driven by predictive algorithms, to avoid the SyRI controversy, or a legislative change to meet the minimum requirements for proportional and subsidiary application of SyRI will be adopted. 

Mercedes Bouter LL.M.

How useful are A.I., Machine Learning and predictive algorithms for risk assessment and the automated decision making process?

Algorithms at the base of bias-driven results in profiling, automated decisions and risk assessments
Algorithms are the molecules of all forms of Artificial Intelligence (A.I). An algorithm can be described as a formula, a finite series that converts input data (for example, generated by commands in search engines, mouse clicks and visiting web pages) into "output", a certain result. To enable profiling of certain categories of people or phenomena, algorithms must be trained with data sets. The training of algorithms, Supervised Machine Learning, is still a human affair. The value assigned to the dataset by the researcher or client influences the outcome of the data process. 

Like the input of the data set, the outcome depends on prejudices. If the usual method of profiling is continued, a bias in the data sets and therefore in the profile or risk assessment is inevitable. Bias-driven profiling increases the risk of false positives, which is further enhanced by training with outdated (personal) data. Moreover, a weakness is attached to the application of algorithms in the data analysis process: algorithms are unable to describe causality, the relationship between cause and effect. Algorithms are only used to expose correlations between phenomena. That makes predictive algorithms unsuitable for testing expectations. 

I will now elaborate on the weaknesses of the Data Analysis process and Supervised and Unsupervised Machine Learning. I will explain why their weaknesses make these instruments unsuitable as methods for profiling and risk assessment (for example in the context of social security/social insurance fraud). Moreover, I will conclude as to why the outcome of the automated decision making process will be biased since algorithms are inherently biased.

(Big) Data analysis: 'garbage out' is necessary to prevent algorithms from being trained incorrectly
An analytical instrument must be used to separate random or unstructured data from relevant data. The amount of data must not only be reduced, but also refined to arrive at a more specific result. For this purpose use can be made of a so-called "Warehouse", a digital collection of data from various sources. To prevent predictive algorithms from being trained with outdated data and to reduce the risk of false positives, the data must be refreshed and limited in size, ie: "garbage out". Using this reference point, correlations between data can be discovered. Nothing is known about the duration of storing personal data in a Warehouse; on the basis of the aforementioned, it will probably be for an indefinite period of time, except for a regular refreshment. Data controllers should be cautious during this early phase of the data analysis process: if inaccurate data is stored and applied, the person under investigation is incorrectly designated as a 'suspect' or 'potential fraudster'.

Data mining, Supervised Machine Learning and Artificial Intelligence
An important step in discovering correlations between datasets is "Knowledge Discovery of Databases", or "data mining." Statistical Analysis System (SAS) defines data mining as "the process of searching for anomalies, patterns and correlations, in order to predict a certain outcome." The predecessor of data mining is "machine learning", a technique that involves training algorithms based on statistical data. Formulas are entered to develop algorithms, training sets of data are given as "input" and the result is provided as "output". Algorithms are instructed to make the connection between input and output and to evaluate themselves. The result of this feedback is used to identify patterns. This form of "supervised machine learning" is ideally suited to classify data: algorithms categorize data on the basis of pre-provided, labeled data sets and learn to "label" data, or assign a certain characteristic. If a picture of a blackjack is given as input and a similar picture with the title "blackjack" is provided as the output, the algorithms learn to classify pictures of blackjacks.

Unsupervised Machine Learning, unsuitable for profiling
Another form of Machine learning, "Unsupervised Machine Learning", lacks the example of labeled data sets. Algorithms generate patterns between unstructured data. Unsupervised Machine Learning is used to cluster unstructured data, in order to categorize these data without using certain labels. The algorithms, for example, assign all kinds of pictures of blackjacks to one location, but do not know what these weapons are called. This makes Unsupervised Machine Learning unsuitable for the process of profiling, in which not only relationships have to be generated, but also names and classifications (for example "fraud!") will have to be linked to a certain result, the outcome of the profiling process.

A subform of Machine Learning is Deep Learning, the discovery of complex patterns in large amounts of data through a layered neural structure. The distinguishing feature of deep learning is the need for substantial "computational power" to perform a complex task; one neural layer can consist of up to four hundred processors. Machine Learning and Deep Learning Fall can be regarded subsets of Artificial Intelligence (A.I), but note that A.I. is not synonymous with either Machine Learning or Deep Learning. Artificial Intelligence studies the ability of computers to perform complex tasks autonomously and to solve problems.

 

Conclusion: algorithms are trained by human prejudice and therefore judgmental by design
Profiling in the current form is characterized by 'supervised machine learning', the training of algorithms with pre-entered data sets. These data sets, therefore algorithms, express human judgments by design. Algorithms used for profiling are not intelligent in the sense that they can discover patterns themselves. A weakness in profiling is that (predictive) algorithms are not used to test hypotheses, but only to present correlations between data and phenomena. Investigating the causality of an event remains a human matter. 'Mining' large amounts of data is also not a suitable method for testing hypotheses. 

No significance may be attached to the results of profiling and data mining until further human intervention or intervention has been carried out by an appropriate method. "False positives" should be trained out of programs that use predictive algorithms. Since the data sets that train predictive algorithms are biased, the automated decision making process will be biased. Inherently, the outcome of the automated decision making process or risk assessment will be biased. 

Mercedes Bouter LL.M.

Het 'black box'-karakter van geheime dataveillance & Big Data-analyse en uw rechten (deel III)

Deel II: uw recht om niet te worden onderworpen aan profilering, het recht van verzet en passende maatregelen ter compensatie van de inbreuk op uw recht om niet geprofileerd te worden

Overzicht
1. De wettelijke grondslag voor de rechtmatigheid van de verwerking van uw persoonsgegevens;
2. Doelbinding;
3. Proportionaliteit en subsidiariteit (noodzaak en dataminimalisatie)

1. De wettelijke grondslag voor de rechtmatigheid van de verwerking van uw persoonsgegevens
De verwerking van uw persoonsgegevens in het kader van dataveillance, data-analyse of profilering is slechts rechtmatig, indien de verwerking noodzakelijk is voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen (art. 6 lid 1 onder e AVG). De wettelijke grondslag moet specifiek zijn. Een beroep op de ‘publieke taak’ is onvoldoende specifiek voor de rechtmatigheid van de gegevensverwerking in het kader van data-analyse en profilering. De wettelijke grondslag voor gegevensverwerking kan niet gelijkgesteld worden met de wettelijke grondslag voor het uitvoeren van de publieke taak (Kamerstukken II 2017/18, 34 851, nr. 4, p. 34). 

Met de ‘wettelijke verplichting’ op grond van de Participatiewet is géén specifieke grondslag voor de rechtmatigheid van de gegevensverwerking gegeven. Het uitvoeren van een wettelijke verplichting moet redelijkerwijs niet goed mogelijk zijn zonder verwerking van de persoonsgegevens. Met andere woorden: de eisen van proportionaliteit en subsidiariteit brengen mee, dat de wettelijke grondslag voor de uitvoering van de publieke taak slechts als grondslag voor de gegevensverwerking kan gelden, indien de gegevensverwerking noodzakelijk is (lees: een voorwaarde) voor de uitvoering van de 'publieke taak'. Die noodzaak wordt onderschreven in het Model GEB Rijksdienst (Privacy Impact Assessment), zie onderdeel B,  'Beoordeling rechtmatigheid gegevensverwerkingen', p. 15.

De AVG moet worden uitgelegd overeenkomstig het recht op eerbiediging van het privéleven van de burger als bedoeld in art. 8 EVRM. De verwerking van persoonsgegevens raakt direct aan het recht op eerbiediging van de persoonlijke levenssfeer (EHRM 25 februari 1997, 22009/93 (Z./Finland), r.o. 117); EHRM 16 februari 2000, 27798/95 (Amann/Zwitserland), r.o. 65). Gegevensverwerking brengt een inmenging in het recht van art. 8 EVRM teweeg (EHRM 6 september 1978, 5029 /71 (Klass/Duitsland), r.o. 41; EHRM 2 augustus 1984, 8691/79 (Malone/Verenigd Koninkrijk)).

De relatie tussen de AVG en het EVRM brengt mee dat de wettelijke grondslag voor gegevensverwerking moet voldoen aan de voorzienbaarheidseis van het EHRM (EHRM 26 april 1979, 6538/74 (The Sunday Times/Verenigd Koninkrijk), r.o. 47-48). De ‘voorzienbaarheid’ houdt in dat de wetgeving dusdanig duidelijk moet zijn, dat betrokkene kan begrijpen onder welke omstandigheden en voorwaarden het overheidsoptreden inmenging kan maken op zijn privéleven (EHRM 2 augustus 1984, 8691/79 (Malone/Verenigd Koninkrijk), r.o. 67; EHRM 24 april 1990, 11105/84 (Huvig/Frankrijk), r.o. 29; EHRM 4 december 2008, 30562/04 en 30566/04 (S. en Marper/Verenigd Koninkrijk), r.o. 95; EHRM 18 mei 2010, 26839/05 (Kennedy/Verenigd Koninkrijk), r.o. 151; EHRM 29 juni 2006, 54934/00 (Weber en Saravia/Duitsland), r.o. 93; EHRM 28 juni 2007, 62540/00 (Association for European Integration and Human Rights en Ekimdzhiev/Bulgarije), r.o. 75). 

2. Doelbinding
Persoonsgegevens moeten voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden worden verzameld en mogen niet op een met die doeleinden onverenigbare wijze worden verwerkt (art. 5 lid 1 onder b AVG). Het zonder vooraf bepaalde doeleinden ‘minen’ van persoonsgegevens, het ongericht verzamelen en analyseren van data om aanwijzingen te verkrijgen dat sprake is van een verhoogde kans op fraude, is niet verenigbaar met het doelbindingsprincipe (E.M.L. Moerel & J.E.J. Prins, Privacy voor de homo digitalis, in: Homo digitalis, Handelingen Nederlandse Juristen Vereniging 2016/146-1, p. 19).  

De WRR merkt op dat het secundaire gebruik van data inherent is aan Big Data en op gespannen voet staat met het doelbindingscriterium (WRR, Big Data in een vrije en veilige samenleving, Den Haag/Amsterdam 2016, p. 90-93 en 108). Door de koppeling van databases van verschillende overheidsinstanties en hergebruik van opgeslagen data neemt de druk op de doelbinding toe (WRR, Big Data in een vrije en veilige samenleving, Den Haag/Amsterdam 2016, p. 107). De kans op verkrijging van niet-voorziene data is groot bij de inzet van voorspellende algoritmen, omdat de menselijke interventie beperkt is gedurende de processen van datamining en data-analyse.

3. Proportionaliteit en subsidiariteit (noodzaak en dataminimalisatie)
Het doelbindingsprincipe is onderdeel van de proportionaliteits- en subsidiariteitseis. Het beginsel van dataminimalisatie (art. 5 lid 1 onder c AVG) houdt in dat de verzameling en verwerking van persoonsgegevens blijft beperkt tot wat noodzakelijk is voor het bereiken van specifiek bepaalde, uitdrukkelijk omschreven doeleinden. Gegevens dienen zo selectief mogelijk te worden verzameld en verwerkt én alleen voor zover noodzakelijk. De verwerking dient noodzakelijk te zijn voor de vervulling van een van de voorwaarden in art. 6 lid 1 AVG. 

De door het EHRM ontwikkelde proportionaliteitseis houdt in, dat de inmenging in de persoonlijke levenssfeer strikt genomen noodzakelijk moet zijn vanwege een dringende maatschappelijke behoefte (‘pressing social need’) en dat die inmenging door dataverzameling en -verwerking proportioneel is om de gerechtvaardigde doeleinden te bereiken (EHRM 2 september 2010, 35623 (Uzun/Duitsland), r.o. 78; EHRM 26 maart 1978, 9248/81 (Leander/Zweden), r.o. 58). De inbreuk op de eerbiediging van de persoonlijke levenssfeer moet evenredig zijn in verhouding tot het doeleinde van de gegevensverwerking/profilering/datamining. Wanneer het om geheime surveillance gaat, is de discretionaire bevoegdheid van de nationale overheid ten aanzien van de invulling van de noodzakelijkheid beperkt (EHRM 12 januari 2016, 37138/14 (Szabó en Vissy/Hongarije), r.o. 54).

De ‘fair balance’-test van het EHRM in S. en Marper/Verenigd Koninkrijk bevat meerdere belangrijke vingerwijzingen voor het beoordelen van de proportionaliteit van de inmenging in het privéleven van de burger. De aard en ernst van de overtreding of misdrijf waarvan de betrokkene wordt verdacht, de duur van de bewaring van de persoonsgegevens, de mogelijkheden voor de betrokkene om zijn persoonsgegevens te laten verwijderen en de mogelijkheid tot onafhankelijk toezicht op de opslag van de persoonsgegevens zijn factoren die concreet worden gewogen in de proportionaliteitsbeoordeling door het EHRM. 

Of een instrument met een ‘black box’-karakter de proportionaliteitstoets van het EHRM zal doorstaan, is afhankelijk van de volgende vragen:
- Is er een dringende maatschappelijke behoefte waarvoor de dataveillance/profilering wordt toegepast?
- Van welke overtreding wordt de burger verdacht en hoe ernstig is deze overtreding?
- Heeft de burger de mogelijkheid om zijn persoonsgegevens te laten verwijderen?
- Kan de burger effectief zijn recht op het inschakelen van onafhankelijk toezicht uitoefenen? 

De subsidiariteitseis houdt in, dat alleen de minst ingrijpende methode mag worden ingezet om met de inbreuk op de rechten van de burger proportionele doeleinden te bereiken (EHRM 4 december 2015, 47143/06 (Zakharov/Rusland), r.o. 232). De verwerkingsverantwoordelijke die stelt dat het gekozen instrument voor dataveillance/analyse/profilering adequater is dan andere instrumenten, voldoet niet aan de subsidiariteitseis. Concreet moet worden getoetst of het doel waarvoor de persoonsgegevens worden verwerkt, in redelijkheid niet op een andere, voor de burger minder nadelige wijze kan worden bereikt (Advies SyRI, Autoriteit Persoonsgegevens 18 februari 2014, p. 4). 

In deel IV bespreek ik de toelaatbaarheid van beperkingen op de transparantie- en informatieplichten in uitzonderlijke gevallen, de uitzonderingsgronden in art. 41 Uitvoeringswet AVG, de behoefte aan rechtsvorming ten aanzien van art. 23 AVG en de specifieke gedragsregels die door de Autoriteit Persoonsgegevens zijn uitgevaardigd

Het 'black box'-karakter van geheime dataveillance & Big Data analyse en uw rechten (deel II)

Deel I: transparantie, uw concrete informatierechten en uw recht van inzage, rectificatie, wissing en beperking van gegevensverwerking 

Overzicht
1. Uw recht om niet te worden onderworpen aan geautomatiseerde verwerking en profilering;
2. Het recht om zich te verzetten tegen profilering, ongeacht geautomatiseerde besluitvorming;
3. 'Passende maatregelen' (appropriate safeguards) ter compensatie van de inbreuk op uw recht om niet geprofileerd te worden (art. 22 AVG)

1. Uw recht om niet te worden onderworpen aan geautomatiseerde verwerking en profilering

U hebt het recht niet te worden onderworpen aan een uitsluitend op geautomatiseerde verwerking, waaronder profilering, gebaseerd besluit waaraan voor u rechtsgevolgen zijn verbonden of dat u in aanmerkelijke mate treft (art. 22 AVG). 

De risicoprofielen die in SyRI worden opgemaakt vallen onder het bereik van art. 22 AVG. De verwerkingsverantwoordelijke kan slechts een gerechtvaardigd beroep doen op de uitzonderingen van art. 22 lid 2 AVG, indien de betrokkene toestemming heeft verleend of de betrokkene en de verwerkingsverantwoordelijke zulks zijn overeengekomen.

Een uitzondering is buiten die gevallen slechts mogelijk, indien een Unierechtelijke of lidstaatrechtelijke bepaling die op de verwerkingsverantwoordelijke van toepassing is, voorziet in passende maatregelen ter bescherming van de rechten en gerechtvaardigde belangen van de betrokkene die door de profilering wordt getroffen. De verwerkingsverantwoordelijke is slechts gerechtigd om te profileren, indien daarvoor een specifieke wettelijke bevoegdheidsregeling wordt verleend én concrete maatregelen ter bescherming van de rechten van de geprofileerde in de van toepassing zijnde regeling zijn opgenomen. Het Europees Comité heeft aangegeven welke maatregelen minimaal moeten worden getroffen door de verwerkingsverantwoordelijke.
 
2. Het recht om zich te verzetten tegen profilering, ongeacht geautomatiseerde besluitvorming
Het recht van betrokkene om geïnformeerd te worden op grond van art. 13 of 14 AVG in samenhang met art. 5 lid 1 AVG moet aldus worden uitgelegd, dat de betrokkene door de verwerkingsverantwoordelijke moet worden geïnformeerd over het feit dat hij/zij aan profilering wordt onderworpen én dat de betrokkene het recht heeft om zich te verzetten tegen profilering, ongeacht of geautomatiseerde besluitvorming op basis van profilering plaatsvindt (punt 60 van de preambule van de AVG; Guidelines on automated Individual decision-making and Profiling for the purposes of Regulation 2016/679, 6 feb. 2018, WP251rev.01, p. 17). 

Het recht van inzage (art. 15 AVG) houdt in dat de verwerkingsverantwoordelijke inzicht verschaft in de gegevens die als input zijn gebruikt om een profiel van de betrokkene op te maken; tevens dient de betrokkene toegang te hebben tot informatie over de hem betreffende profilering en de details van de categorisering waarin de betrokkene is ingedeeld. Uitzonderingen op deze concrete verplichtingen worden gemaakt voor zover het de handelsgeheimen en intellectuele eigendomsrechten van de verwerker betreft (Guidelines on automated Individual decision-making and Profiling for the purposes of Regulation 2016/679, 6 feb. 2018, WP251rev.01, p. 17).

  

3. 'Passende maatregelen' (appropriate safeguards) ter compensatie van de inbreuk op uw recht om niet geprofileerd te worden (art. 22 AVG) 
Het Europees Comité voor gegevensbescherming, European Data Protection Board, wijst op de gevaren die profilering met zich brengt. Fouten en/of bias in verzamelde en gedeelde data, alsmede fouten en bias in geautomatiseerde (besluitvormings)processen en instrumenten voor profilering resulteren in incorrecte classificaties en beoordelingen gebaseerd op inadequate projecties. De rechten en belangen van betrokkenen worden rechtstreeks getroffen. Het EDPB onderstreept de noodzaak tot transparantie. De betrokkene die aan geautomatiseerde besluitvorming of profilering is onderworpen, kan een beslissing slechts in twijfel trekken, als de verwerkingsverantwoordelijke inzichtelijk heeft gemaakt hoe de beslissing tot stand is gekomen en op welke basis de beslissing is gebaseerd. 

De verwerkingsverantwoordelijke is verplicht om de betrokkene specifieke informatie te verschaffen en te garanderen dat de betrokkene de besluitvorming in het kader van profilering aan kan vechten (punt 71 van de preambule AVG; Guidelines on automated Individual decision-making and Profiling for the purposes of Regulation 2016/679, 6 feb. 2018, WP251rev.01, p. 27). De verwerkingsverantwoordelijke is verplicht om de betrokkene: 

- te informeren over de activiteit waarvoor de data van de betrokkene worden verzameld en verwerkt;
- inzicht te verschaffen in de achterliggende logica van het instrument;
- uitleg te geven over de invloed op de belangen van en mogelijke gevolgen voor de betrokkene.

Het verschaffen van inzicht in de achterliggende instrument voor data-analyse, geautomatiseerde besluitvorming en profilering moet 'betekenisvol' zijn. Om te voorkomen dat de verwerker met onbegrijpelijke statistieken of berekeningen aan komt zetten om aan de plicht tot het verschaffen van inzicht in de logica te voldoen, heeft het EDPB aangegeven dat 'betekenisvolle informatie' over de toegepaste logica (algoritmen) onder meer betrekking heeft op:

- gegevens betreffende in het verleden geconstateerde fraude en betalingsachterstanden;
- de wijze van 'credit scoring': welke waarde wordt toegekend aan bepaalde gegevens, ofwel: in welke mate gegevens tot een bepaalde risicoscore leiden;
- officiële, publiekelijk bekende gegevens, zoals gegevens over insolventie en openbare gegevens over fraude;
- de garantie van de verwerkingsverantwoordelijke dat regelmatig wordt gecontroleerd en bewaakt dat de data-analyse en profilering eerlijk, adequaat en vrij van bias is.
(Guidelines on automated Individual decision-making and Profiling for the purposes of Regulation 2016/679, 6 feb. 2018, WP251rev.01, p. 24-26). 

In het volgende bericht, deel III, ga ik in op de wettelijke grondslag voor de rechtmatigheid van de verwerking van uw persoonsgegevens, de doelbindingseis en de eisen van proportionaliteit en subsidiariteit (noodzaak en dataminimalisatie)