Het Privacy Impact Assessment (PIA) in geval van geheime dataveillance, risicotaxatie en profilering

Instrumenten voor geheime dataveillance, -analyse, profilering en risicotaxatie en de plicht om een PIA uit te voeren
De verwerkingsverantwoordelijke (organisatie) die privacygevoelige gegevens verwerkt, is verplicht om een Privacy Impact Assessment (PIA), ook wel 'gegevensbeschermingseffectbeoordeling' of 'Data Protection Impact Assessment' (DPIA) uit te voeren.

In vorige berichten heb ik het 'black box'-karakter van geheime methoden voor dataveillance en -analyse besproken, alsmede de toepassing van voorspellende algoritmen met een 'black box'-karakter, waaronder het Systeem Risico Taxatie (SyRI). Ik heb daarbij aangegeven dat de verwerkingsverantwoordelijke op grond van de Algemene Verordening Gegevensbescherming (AVG) transparant dient te zijn en dat de verwerkingsverantwoordelijke verplicht is tot het verschaffen van informatie en inzage aan de betrokken burger, ondanks het heimelijke karakter van de gegevensverzameling en -verwerking. Onder uitzonderlijke omstandigheden, bijvoorbeeld wanneer door menselijk toedoen een ramp dreigt te worden veroorzaakt, mag de verwerkingsverantwoordelijke de informatie- en inzagerechten, alsmede het recht op rectificatie, beperken (art. 23 AVG). Het 'black box'-karakter van instrumenten die heimelijk worden ingezet om burgers te onderwerpen aan dataveillance en -analyse kan echter niet worden tegengeworpen aan de plicht van verwerkende instanties om een Privacy Impact Assessment (PIA) uit te voeren.

Het verplichte PIA bij geheime dataveillance, profilering, samenwerking met private bedrijven en de verwerking van biometrische gegevens
De beperkingen op de transparantieverplichtingen van verwerkingsverantwoordelijken en de beperkingen van het recht van de burger op informatie en inzage gelden niet ten aanzien van het PIA. Een verwerkingsverantwoordelijke die geheime methoden voor Big Data-analyse/profilering/risicotaxatie toepast, is verplicht om het Privacy Impact Assessment (PIA) uit te voeren. Dit is bepaald in art. 35 AVG en wordt nog eens onderstreept door het Besluit Verplichte Gegevensbeschermingseffectbeoordeling van 27 november 2019 (Staatscourant nr. 64418). De verplichte uitvoering van het DPIA geldt onder meer voor:

- Grootschalige verwerkingen van persoonsgegevens en stelselmatige monitoring waarbij persoonsgegevens worden verzameld zonder de betrokkene daarover vooraf in te lichten, bijvoorbeeld heimelijk onderzoek door particuliere bureaus/Data Labs en onderzoek in het kader van fraudebestrijding (waaronder SyRI);
- Grootschalige verwerkingen van gegevens en monitoring in het kader van fraudebestrijding door sociale diensten;
-  Samenwerkingsverbanden waarin gemeenten en/of andere overheidsorganen met andere publieke of private partijen bijzondere persoonsgegevens of gegevens van gevoelige aard met elkaar uitwisselen;
- Grootschalige verwerking en monitoring van locatiegegevens, herleidbaar tot natuurlijke personen, bijvoorbeeld door ANPR-mobiel, of verwerking van gegevens van personen in het openbaar vervoer;
- Biometrische gegevens, waaronder vingerafdrukken, toetsaanslaganalyses, irisscans, gezichtsprofielen en stemopnamen (de verwerking van biometrische gegevens is enkel toegestaan wanneer de verwerking van biometrische gegevens noodzakelijk is voor beveiligingsdoeleinden);
- Profilering: de systematische beoordeling van persoonlijke aspecten van natuurlijke personen, gebaseerd op geautomatiseerde verwerking (profilering is geautomatiseerde verwerking).

Inhoud van het PIA: concrete verplichtingen van de verwerkingsverantwoordelijke
De verwerkingsverantwoordelijke dient vóór de verwerking van persoonsgegevens een beoordeling uit te voeren van het effect van de beoogde verwerkingsactiviteit op de bescherming van persoonsgegevens (art. 35 lid 1 AVG). De beoordeling bevat ten minste een systematische beschrijving van de beoogde verwerkingen en verwerkingsdoeleinden, waaronder de belangen van de verwerkingsverantwoordelijke; ook dient de verwerkingsverantwoordelijke een beoordeling te geven van de noodzaak en evenredigheid van de verwerkingen met betrekking tot de doeleinden (proportionaliteit en subsidiariteit); voorts dient de beoordeling te omschrijven welke maatregelen zijn getroffen en aan te tonen hoe aan de waarborging van de bescherming van de persoonsgegevens en de rechten en gerechtvaardigde belangen van de betrokken burgers is voldaan (art. 35 lid 7 AVG).

Legal prognosis: SyRI most likely violates the ECtHR criteria, but this system will be deemed lawful by the lower court

Already in 2014, I sent a message to the national newspapers about SyRI (System Risk Indication), considering the risks of and objections to systems for mass surveillance such as SyRI. It was too progressive to place critical notes on the use of SyRI in 2014: several media did not find the subject sufficiently urgent.

I also sensed this lack of interest within the Public Law section. Oddly, the Department gave me permission to investigate the compatibility of SyRI with the legal principles of the prohibition of détournement de pouvoir, the presumption of innocence and the principle of equality of arms. In addition to these administrative and criminal notions and most importantly, I would investigate the compatibility of SyRI with the right to respect for private life. The Research Supervisor stated that SyRI as a 'small law' was not interesting and significant enough. The interests affected by the deployment of SyRI were judged with a sense of disdain. I strongly disagree with the dismissal of the deployment of SyRI as if this phenomenon were socially insignificant!

SyRI has now become a topic of discussion and its social influence is being recognized. On October 29, 2019, the Court of The Hague examined the matter at the first session of the substantive proceedings in the SyRI case. I expect that the court will consider the deployment of SyRI to be lawful. Should the SyRI case be brought before the Court of Human Rights (ECHR), the ECHR is expected to issue a quite different judgment.

The legal basis of SyRI
SyRI is provided by the SUWI Act upon the amendment of the SUWI (Work and Income Implementation Structure) Act. Chapter 5a of the SUWI Decree contains the provisions on the use of SyRI by government agencies. Article 5a.1 of the SUWI Decree gives the impression that the systematic collection and processing of data is only within the framework of administrative action by government bodies and only within the exhaustive summary of data as referred to in Article 5a.1 paragraph 3 under aq of the Decree SUWI occurs; however, the citizen's details are provided in full by all government agencies on the basis of Articles 64 and 65 of the SUWI Act. Large-scale and systematic analysis and processing of data is therefore facilitated by the linking of registers of government bodies. The aim of SyRI is to promote the integral cooperation of government bodies in combating social security and tax fraud (Article 65, paragraph 2 in conjunction with 64, paragraph 1 of the SUWI Act).

The data subject is not informed of the processing of his data in SyRI (Article 5a.5, paragraphs 1 and 4 of the SUWI Decree). With 'consent of the persons' to the request for systematic surveillance and processing (Article 5a.1 paragraph 4 sub a SUWI Decree) is therefore not meant the consent of the data subject, but the consent of persons who supervise compliance with other regulations from the Minister of Social Affairs and Employment (Article 64, paragraph 1 of the SUWI Act).

Black box: hidden predictive algorithms
A risk profile is drawn with the use of SyRI. SyRI assesses the risk of social security fraud and tax fraud on the basis of, among other aspects, data on education, housing data, environmental factors, study debt, other debt charges and data on reintegration. The composition of the risk factors is shrouded (Article 5a.1, paragraph 7, SUWI Decree). The SUWI Decree contains the requirements of proportionality and subsidiarity (Article 5a.1 paragraph 4 SUWI Decree). The predictive algorithms behind SyRI are applied regardless of a concrete suspicion of fraud.

The deployment of SyRI cannot be controlled by the citizen, because the government applies the 'black box method'. The 'black box' refers to the hidden input of predictive algorithms in Big Data processes. I have drawn attention to the objections to the black box in my investigation into the use of Big Data analyzes for criminal purposes.

Data subjects cannot effectively check whether a governmental body meets the requirements of proportionality and subsidiarity with regard to large-scale data surveillance and processing of personal data. The purpose limitation requirement, the principle of data minimization and the possibility of requiring rectification, laid down in the General Data Protection Regulation (AVG), will thereby be devoid of significance. Also, the proportionality and subsidiarity provisions of Article 5a.1 paragraph 4 of the SUWI Decree will be devoid of significance, since citizens cannot find out whether they are being investigated or not. 

The prognosis: the court finds that the application of SyRI is lawful ....
My expectation is that The Hague District Court, which dealt with the first session in the SyRI case on 29 October 2019 and will issue a judgment on the substantive proceedings on 29 January 2020, will consider the application of SyRI to be lawful. That judgment can be based on the formal requirement of a legal basis for the systematic collection and processing of data in the SUWI Act.

The right to respect for privacy, enshrined in Article 10 of the Constitution, is generally soon met with if government bodies base their activities on the provisions of a formal law.

.... the ECtHR will issue a jugdment stating that the deployment of SyRI constitutes a breach of Article 8 of the ECHR
The European Court of Human Rights (ECHR) will judge the admissibility of SyRI differently. The use of SyRI does not meet the requirements set by the ECtHR for the compatibility of this method of data surveillance with the right to respect for private life (Article 8 ECHR). The extensive case law of the ECtHR on systematic data surveillance leaves no doubt about this. SyRI fails on the criterion of the foreseeability of the use of the authority of the government body. There are no legal safeguards to compensate for the violation of Article 8 of the ECHR through the deployment of SyRI. The law should lay down clear and detailed rules for the application of SyRI, so that the person concerned knows under what circumstances and under what conditions the government is authorized to deploy SyRI (ECHR 21 June 2011, 30194/09 (Shimovolos v. Russia), paragraph 68).

The nature and maximum duration of the deployment of SyRI must be specified in the law, as well as the procedures followed by government bodies to investigate, use and store personal data in SyRI (ECHR 29 June 2006, 54934/00 (Weber and Saravia v. Germany), paragraph 95). The law must also state the means that can be brought by the citizen against SyRI (ECHR 28 June 2007 (Ekimdzhiev v. Bulgaria), pp. 71-77).

Due to the 'black box' character of SyRI, implying the subjection to research and the operation of predictive algorithms remain hidden for citizens, it is unclear to the citizen under what circumstances and conditions a governmental body is authorized to deploy SyRI. The SUWI Act and the SUWI Decree do not set clear, detailed rules for the deployment of SyRI. The mere fact of exercising the right to receive benefits under the Unemployment Insurance Act, WIA or Participation Act is not a specific condition for being subject to SyRI.

Moreover, the law and the Decree do not provide any, nor do they mention legal remedies that can be used by the citizen against the application of SyRI. If the SUWI law did mention the legal remedies that could be used, the 'black box' would still not allow the citizen to effectively exercise his right to an effective legal remedy, for citizens will not be informed on being subject to SyRI.

As far as I am concerned, the following issues need further investigation:
- to what extent results of criminal analysis, including those based on Hansken, iColumbo and the Refinery, can be linked within the framework of 'integral cooperation between government bodies'. Although the starting point is not to process judicial data in the SyRI projects, the SUWI Act and the SUWI Decree do not exclude the processing of such data;
- whether the legal retention period of two years (Article 65, paragraphs 5-7 of the SUWI Act) can be exceeded by reopening a SyRI investigation before the expiry of the deadline or adding new data to the risk assessment.

Conclusion
Due to the lack of clear, detailed rules that inform the citizen about the conditions and circumstances for applying SyRI and the lack of legal safeguards to compensate for the infringement of Article 8 ECHR, the ECtHR is expected to judge the deployment of SyRI by the government unlawful. Before the ECtHR processes a petition, national remedies must be exhausted. It can therefore take years before the case brings it to the ECtHR. In the meantime, the government most likely will have introduced a new appraisal tool driven by predictive algorithms, to avoid the SyRI controversy, or a legislative change to meet the minimum requirements for proportional and subsidiary application of SyRI will be adopted. 

Mercedes Bouter LL.M.

Het 'black box'-karakter van geheime dataveillance & Big Data-analyse en uw rechten (deel III)

Deel II: uw recht om niet te worden onderworpen aan profilering, het recht van verzet en passende maatregelen ter compensatie van de inbreuk op uw recht om niet geprofileerd te worden

Overzicht
1. De wettelijke grondslag voor de rechtmatigheid van de verwerking van uw persoonsgegevens;
2. Doelbinding;
3. Proportionaliteit en subsidiariteit (noodzaak en dataminimalisatie)

1. De wettelijke grondslag voor de rechtmatigheid van de verwerking van uw persoonsgegevens
De verwerking van uw persoonsgegevens in het kader van dataveillance, data-analyse of profilering is slechts rechtmatig, indien de verwerking noodzakelijk is voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen (art. 6 lid 1 onder e AVG). De wettelijke grondslag moet specifiek zijn. Een beroep op de ‘publieke taak’ is onvoldoende specifiek voor de rechtmatigheid van de gegevensverwerking in het kader van data-analyse en profilering. De wettelijke grondslag voor gegevensverwerking kan niet gelijkgesteld worden met de wettelijke grondslag voor het uitvoeren van de publieke taak (Kamerstukken II 2017/18, 34 851, nr. 4, p. 34). 

Met de ‘wettelijke verplichting’ op grond van de Participatiewet is géén specifieke grondslag voor de rechtmatigheid van de gegevensverwerking gegeven. Het uitvoeren van een wettelijke verplichting moet redelijkerwijs niet goed mogelijk zijn zonder verwerking van de persoonsgegevens. Met andere woorden: de eisen van proportionaliteit en subsidiariteit brengen mee, dat de wettelijke grondslag voor de uitvoering van de publieke taak slechts als grondslag voor de gegevensverwerking kan gelden, indien de gegevensverwerking noodzakelijk is (lees: een voorwaarde) voor de uitvoering van de 'publieke taak'. Die noodzaak wordt onderschreven in het Model GEB Rijksdienst (Privacy Impact Assessment), zie onderdeel B,  'Beoordeling rechtmatigheid gegevensverwerkingen', p. 15.

De AVG moet worden uitgelegd overeenkomstig het recht op eerbiediging van het privéleven van de burger als bedoeld in art. 8 EVRM. De verwerking van persoonsgegevens raakt direct aan het recht op eerbiediging van de persoonlijke levenssfeer (EHRM 25 februari 1997, 22009/93 (Z./Finland), r.o. 117); EHRM 16 februari 2000, 27798/95 (Amann/Zwitserland), r.o. 65). Gegevensverwerking brengt een inmenging in het recht van art. 8 EVRM teweeg (EHRM 6 september 1978, 5029 /71 (Klass/Duitsland), r.o. 41; EHRM 2 augustus 1984, 8691/79 (Malone/Verenigd Koninkrijk)).

De relatie tussen de AVG en het EVRM brengt mee dat de wettelijke grondslag voor gegevensverwerking moet voldoen aan de voorzienbaarheidseis van het EHRM (EHRM 26 april 1979, 6538/74 (The Sunday Times/Verenigd Koninkrijk), r.o. 47-48). De ‘voorzienbaarheid’ houdt in dat de wetgeving dusdanig duidelijk moet zijn, dat betrokkene kan begrijpen onder welke omstandigheden en voorwaarden het overheidsoptreden inmenging kan maken op zijn privéleven (EHRM 2 augustus 1984, 8691/79 (Malone/Verenigd Koninkrijk), r.o. 67; EHRM 24 april 1990, 11105/84 (Huvig/Frankrijk), r.o. 29; EHRM 4 december 2008, 30562/04 en 30566/04 (S. en Marper/Verenigd Koninkrijk), r.o. 95; EHRM 18 mei 2010, 26839/05 (Kennedy/Verenigd Koninkrijk), r.o. 151; EHRM 29 juni 2006, 54934/00 (Weber en Saravia/Duitsland), r.o. 93; EHRM 28 juni 2007, 62540/00 (Association for European Integration and Human Rights en Ekimdzhiev/Bulgarije), r.o. 75). 

2. Doelbinding
Persoonsgegevens moeten voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden worden verzameld en mogen niet op een met die doeleinden onverenigbare wijze worden verwerkt (art. 5 lid 1 onder b AVG). Het zonder vooraf bepaalde doeleinden ‘minen’ van persoonsgegevens, het ongericht verzamelen en analyseren van data om aanwijzingen te verkrijgen dat sprake is van een verhoogde kans op fraude, is niet verenigbaar met het doelbindingsprincipe (E.M.L. Moerel & J.E.J. Prins, Privacy voor de homo digitalis, in: Homo digitalis, Handelingen Nederlandse Juristen Vereniging 2016/146-1, p. 19).  

De WRR merkt op dat het secundaire gebruik van data inherent is aan Big Data en op gespannen voet staat met het doelbindingscriterium (WRR, Big Data in een vrije en veilige samenleving, Den Haag/Amsterdam 2016, p. 90-93 en 108). Door de koppeling van databases van verschillende overheidsinstanties en hergebruik van opgeslagen data neemt de druk op de doelbinding toe (WRR, Big Data in een vrije en veilige samenleving, Den Haag/Amsterdam 2016, p. 107). De kans op verkrijging van niet-voorziene data is groot bij de inzet van voorspellende algoritmen, omdat de menselijke interventie beperkt is gedurende de processen van datamining en data-analyse.

3. Proportionaliteit en subsidiariteit (noodzaak en dataminimalisatie)
Het doelbindingsprincipe is onderdeel van de proportionaliteits- en subsidiariteitseis. Het beginsel van dataminimalisatie (art. 5 lid 1 onder c AVG) houdt in dat de verzameling en verwerking van persoonsgegevens blijft beperkt tot wat noodzakelijk is voor het bereiken van specifiek bepaalde, uitdrukkelijk omschreven doeleinden. Gegevens dienen zo selectief mogelijk te worden verzameld en verwerkt én alleen voor zover noodzakelijk. De verwerking dient noodzakelijk te zijn voor de vervulling van een van de voorwaarden in art. 6 lid 1 AVG. 

De door het EHRM ontwikkelde proportionaliteitseis houdt in, dat de inmenging in de persoonlijke levenssfeer strikt genomen noodzakelijk moet zijn vanwege een dringende maatschappelijke behoefte (‘pressing social need’) en dat die inmenging door dataverzameling en -verwerking proportioneel is om de gerechtvaardigde doeleinden te bereiken (EHRM 2 september 2010, 35623 (Uzun/Duitsland), r.o. 78; EHRM 26 maart 1978, 9248/81 (Leander/Zweden), r.o. 58). De inbreuk op de eerbiediging van de persoonlijke levenssfeer moet evenredig zijn in verhouding tot het doeleinde van de gegevensverwerking/profilering/datamining. Wanneer het om geheime surveillance gaat, is de discretionaire bevoegdheid van de nationale overheid ten aanzien van de invulling van de noodzakelijkheid beperkt (EHRM 12 januari 2016, 37138/14 (Szabó en Vissy/Hongarije), r.o. 54).

De ‘fair balance’-test van het EHRM in S. en Marper/Verenigd Koninkrijk bevat meerdere belangrijke vingerwijzingen voor het beoordelen van de proportionaliteit van de inmenging in het privéleven van de burger. De aard en ernst van de overtreding of misdrijf waarvan de betrokkene wordt verdacht, de duur van de bewaring van de persoonsgegevens, de mogelijkheden voor de betrokkene om zijn persoonsgegevens te laten verwijderen en de mogelijkheid tot onafhankelijk toezicht op de opslag van de persoonsgegevens zijn factoren die concreet worden gewogen in de proportionaliteitsbeoordeling door het EHRM. 

Of een instrument met een ‘black box’-karakter de proportionaliteitstoets van het EHRM zal doorstaan, is afhankelijk van de volgende vragen:
- Is er een dringende maatschappelijke behoefte waarvoor de dataveillance/profilering wordt toegepast?
- Van welke overtreding wordt de burger verdacht en hoe ernstig is deze overtreding?
- Heeft de burger de mogelijkheid om zijn persoonsgegevens te laten verwijderen?
- Kan de burger effectief zijn recht op het inschakelen van onafhankelijk toezicht uitoefenen? 

De subsidiariteitseis houdt in, dat alleen de minst ingrijpende methode mag worden ingezet om met de inbreuk op de rechten van de burger proportionele doeleinden te bereiken (EHRM 4 december 2015, 47143/06 (Zakharov/Rusland), r.o. 232). De verwerkingsverantwoordelijke die stelt dat het gekozen instrument voor dataveillance/analyse/profilering adequater is dan andere instrumenten, voldoet niet aan de subsidiariteitseis. Concreet moet worden getoetst of het doel waarvoor de persoonsgegevens worden verwerkt, in redelijkheid niet op een andere, voor de burger minder nadelige wijze kan worden bereikt (Advies SyRI, Autoriteit Persoonsgegevens 18 februari 2014, p. 4). 

In deel IV bespreek ik de toelaatbaarheid van beperkingen op de transparantie- en informatieplichten in uitzonderlijke gevallen, de uitzonderingsgronden in art. 41 Uitvoeringswet AVG, de behoefte aan rechtsvorming ten aanzien van art. 23 AVG en de specifieke gedragsregels die door de Autoriteit Persoonsgegevens zijn uitgevaardigd

4-4.1 De verenigbaarheid van de toepassing van Big Data in het strafrecht met het recht op privéleven: conclusies en aanbevelingen

4.1 Conclusie

In deze bijdrage heb ik onderzocht, in hoeverre de toepassing van Big Data-analyses en predictive policing-methoden in het kader van strafrechtelijke opsporing en vervolging, verenigbaar is met het recht op eerbiediging van het privéleven als bedoeld in artikel 8 EVRM en artikel 10 van de Grondwet. Daarbij is de invloed van de nieuwe, nog in werking te treden Wpg en het gemoderniseerde Boek 2 van het Wetboek van Strafrecht beoordeeld. 

Om antwoord te kunnen geven op de hoofdvraag, is in het eerste hoofdstuk ingegaan op de technische aspecten en de strafvorderlijke relevantie van enkele in de Nederlandse strafrechtelijke praktijk toegepaste Big Data-analysetechnieken en predictive policing-methoden. Het begrip ‘Big Data’ is niet te definiëren, omdat over dit abstracte begrip, dat zich voortdurend blijft ontwikkelen door uitdijende informatie en een veelheid aan bronnen, geen consensus zal worden bereikt. Die onuitputtelijkheid neemt niet weg dat een benadering mogelijk is met factoren als Volume (de kwantiteit van de data), Velocity (de snelheid waarmee de hoeveelheid data toeneemt) en Variety (de verscheidenheid aan bronnen). Het doel van de verkrijging van Big Data is de Value; in het strafrecht is de Value gelegen in betrouwbaar bewijsmateriaal.

Enkele voorbeelden van Big Data-analyses die met het oog op strafvordering worden ingezet, zijn uitgelicht. Hansken is een methode om databestanden van inbeslaggenomen datadragers te analyseren; de geanalyseerde data kunnen als bewijsmateriaal in een strafzaak dienen. iColumbo en het netwerk iRN dienen ertoe om (groepen van) personen te profileren en systematisch op geautomatiseerde wijze data betreffende personen of groepen via internet te verzamelen, te analyseren en te presenteren aan opsporingsinstanties. iColumbo kan worden ingezet om ‘verdacht’ gedrag via internet te detecteren. Typerend aan iColumbo is dat dit instrument continu het internet afspeurt om data van een betrokkene, die geen verdachte in de zin van artikel 27 Sv hoeft te zijn, te verzamelen en te analyseren. 

De Raffinaderij is een instrument waarin Big Data-analysemethoden worden samengevoegd om de capaciteit van het geautomatiseerde proces van het vinden van patronen tussen data en het vormen van informatie uit data te vergroten. De Nederlandse toepassingen van predictive policing-methoden zijn onder meer PredPol en het Criminaliteits Anticipatie Systeem (CAS), te verrijken met het systeem Cognos. De mogelijkheden en beperkingen van door algoritmen aangedreven predictive policing-methoden zijn besproken. Een belangrijke beperking van allerlei algoritmische toepassingen is dat onderzoek naar het causaal verband tussen oorzaak en gevolg buiten beschouwing blijft. Het verklaren van fenomenen blijft noodzakelijk en hoofdzakelijk afhankelijk van menselijke interventie.

In het tweede hoofdstuk is het wettelijke kader voor de regulering van de inzet van Big Data-analyses voor strafvorderlijke doeleinden toegelicht. Bij gebreke van een wettelijke definitie van Big Data, wordt aansluiting gezocht bij het begrip ‘persoonsgegeven’ als bedoeld in artikel 4 onder 1 AVG. De verzameling van data in het kader van strafrechtelijke data-analyses wordt gebaseerd op de algemene politietaak, de handhaving van de openbare orde en veiligheid (artikel 3 Politiewet in samenhang met artikel 142 Sv). De verwerking van persoonsgegevens, waaronder de opslag, het gebruik en de automatische vergelijking begrepen, wordt bestreken door de Wpg en Wjsg. Onder de huidige wettelijke regulering bestaan knelpunten ten aanzien van de inzetvan Big Data-analyses in het strafrecht. 

Een belangrijk knelpunt is dat het doelbindingsprincipe, dat inhoudt dat de gegevensverzameling en -verwerking wordt beperkt door een vooraf bepaalde doelstelling, onder druk komt te staan door het karakter van Big Data-analyse. Big Data-analyse kan tot doel hebben om (zoveel mogelijk) data te verzamelen, maar ook meebrengen dat data-analyse met het oog op de dagelijkse politietaak in de handhaving van de openbare orde, wordt gebruikt voor de bewijsverzameling voor eventuele strafvorderlijke beslissingen. Opsporingsambtenaren die de Raffinaderij gebruiken, drukken zelfs uit ‘booming informatie’, ofwel een zo groot mogelijke verzameling persoonsgegevens om verbanden uit te construeren met gecombineerde data-analyses, als doel te beschouwen. 

Het Moderniseringsproject van Boek 2 van het Wetboek van Strafvordering en de nieuwe, nog in werking te treden Wpg zijn ter discussie gesteld, evenals deadviezen van de Commissie-Koops, die volgens de wetgever grotendeels directzullen worden opgenomen in de wet. De gegevensbeschermingseffectbeoordeling (PIA) die in artikel 4c van de nieuwe Wpg zal worden opgenomen, dwingt de gegevensverwerkende instantie om alle belangen af te wegen. De proportionaliteit en subsidiariteit van een methode voor gegevensverwerking, waaronder gegevensverwerking in het kader van strafrechtelijke Big Data-analyses, moeten standaard worden getoetst voorafgaand aan de inzet. De privacy van de burger is één van de belangen die tegen het belang van de inzet van de methode moet worden afgewogen. Een ‘soft-law’-instrument is de aanbeveling om een Kafkaknop in te bouwen, voor de situatie waarin een systeemfout optreedt. De fout moet natuurlijk wel worden ontdekt en het systeem zou direct moeten worden uitgeschakeld bij een geconstateerde fout, anders kan de Kafkaknop weer tot Kafkaëske toestanden leiden. 

Een sterk punt is het voorstel van de Commissie-Koops, om een expliciteringseis in het Wetboek van Strafvordering op te nemen. Deze houdt in dat bij een beslissing die is genomen naar aanleiding van de uitkomst van geautomatiseerde besluitvorming, waaronder de inzet van een predictive policing-methode of het instellen van de vervolging, uitdrukkelijk uitgelegd zal moeten worden hoe en waarom tot de strafvorderlijke beslissing is gekomen. Een zwakte is dat géén normering voorafgaand aan de inzet van data-analyses inhoudt, zodat het risico blijft bestaan dat begrippen als doelbinding, dataminimalisatie en subsidiariteit niet (voldoende) worden toegepast.

In het derde hoofdstuk is uiteengezet hoe het recht op eerbiediging van het privéleven van burgers en de bescherming van persoonsgegevens zich tot elkaar verhouden en hoe de bescherming van persoonsgegevens bij de geautomatiseerde verwerking, in het Europese recht geïntroduceerd met het Dataprotectieverdrag/Conventie 108, in de zaak-Amann/Zwitserland expliciet onder de reikwijdte van artikel 8 EVRM inzake het recht op eerbiediging van het privéleven van de burger is gebracht. Artikel 10 van de Nederlandse Grondwet heeft ten aanzien van het recht op eerbiediging van de privacy vooral een formele functie, in die zin dat overheidsinmenging slechts geoorloofd is als de bevoegdheid waarmee de inmenging wordt gemaakt, in een wet in formele zin is neergelegd. Voor de materiële rechtsbescherming van de privacy van burgers is artikel 8 EVRM van de grootste betekenis.

Concreet zijn de inzet van iColumbo en het gebruik van het iRN-netwerk voor Big Data-analyse voor strafvorderlijke doeleinden, getoetst aan artikel 10 van de Grondwet en de EHRM-criteria inzake het recht op eerbiediging van het privéleven van burgers. Ten aanzien van artikel 10 van de Grondwet is het voldoende dat de inzet van iColumbo en iRN worden gebaseerd op de Politiewet, de Wpg en Wjsg, omdat daarmee is voldaan aan de eis van een wettelijke grondslag in formele zin. 

Ten aanzien van artikel 8 EVRM zijn iColumbo en iRN onderworpen aan het toetsingskader van het EHRM inzake de beoordeling van overheidsinmenging in het recht op eerbiediging van het privéleven van burgers. Het eerste criterium houdt in, dathet overheidsoptreden met iColumbo en iRN een inmenging moet opleveren in het privéleven van de betrokkene. In de opvatting van het EHRM moet het privéleven zo worden uitgelegd, dat niet slechts het leven binnen de muren van de eigen woning of het leven binnen de eigen familie beschermd wordt door artikel 8 EVRM; de burger mag ook redelijkerwijs verwachten dat contacten die worden onderhouden in een werkomgeving en overige ‘buitenwereld’, onder de privésfeer vallen. Betoogd is dat het handelen van de burger in een internetomgeving, als een digitale plaats bestemd voor communicatie met de ‘buitenwereld’, onder de reikwijdte van het privéleven valt. Het privéleven van de burger wordt geraakt als iColumbo persoonlijke informatie over het leven van de burger via internet verzamelt en analyseert. iColumbo levert daarnaast een inmenging in het privéleven van de burger op, door het continue karakter (stelselmatige ‘dataveillance’) waarmee de data van de burger worden verzameld en geanalyseerd. 

Het tweede criterium van het EHRM-toetsingskader houdt in, dat inmenging geoorloofd is, mits het overheidsoptreden aan drie subcriteria voldoet: het overheidsoptreden moet gebaseerd zijn op een wettelijke basis, die toegankelijk is voor de burger en het overheidsoptreden moet voorzienbaar zijn. De wettelijke basis voor de inzet van iColumbo en iRN en de toegankelijkheid van de wet zijn niet problematisch. Voldoende is dat de inzet wordt gebaseerd op een wettelijke bepaling. Sinds de Politiewet, Wpg en Wjsg aan het strengere vereiste van een ‘wet in formele zin’ als bedoeld in artikel 10 van de Grondwet voldoen én deze wetten voor een ieder in Nederland toegankelijk zijn, is aan de eerste twee subcriteria voldaan. De voorzienbaarheid van de inzet van iColumbo en iRN levert een eerste probleem op. Het is voor burgers niet voorzienbaar welke categorieën van burgers kunnen worden geprofileerd met iColumbo, op grond van welke gedragingen de burger aan deze Big Data-analysemethoden kan worden onderworpen. 

De inmenging door het overheidsoptreden in het recht op eerbiediging van het privéleven van de burger hoeft geen schending van artikel 8 EVRM te betekenen. De inmenging is geoorloofd als wordt voldaan aan één van de legitimerende grondenvan artikel 8 lid 2 EVRM (waaronder de bescherming van de democratische samenleving) en de inmenging strikt noodzakelijk is voor het bereiken van dit legitieme doel. Het is onduidelijk, in hoeverre de inzet van iRN en iColumbo voldoet aan de eis van strikte noodzakelijkheid. Eén van de genoemde doelen van iRN is het verzamelen van gegevens van betrokkene die eventueel als strafvorderlijk bewijs kunnen dienen. De mogelijkheid om de democratische rechtsorde beter te beveiligen kan daarnaast worden vergroot door de uitvoering van stelselmatige data-analyses op grond van iColumbo en het iRN-netwerk. Niet is gebleken of gebruikers van deze methoden (opsporingsambtenaren) in overweging nemen dat het stelselmatig verzamelen, opslaan en analyseren van persoonsgegevens, zonder dat sprake is van een verdenking in de zin van artikel 27 Sv, strikt noodzakelijk is om de veiligheid in de democratische samenleving te waarborgen. 

Tot slot kunnen compenserende factoren maken dat een inbreuk op het privéleven vande burger geoorloofd moet worden geacht. De compensatie van de onmogelijkheid van de burger om zijn recht op eerbiediging van het privéleven ingevolge artikel 8 EVRM uit te oefenen, kent een aantal minimumvereisten. Zo dient in ieder geval onafhankelijk en effectief toezicht te bestaan. De Autoriteit Persoonsgegevens is belast met het toezicht op de naleving van de Wpg bij de inzet van iColumbo. De effectiviteit van het toezicht kan in het gedrang zijn komen bij Big Data-analyses. Bij de vergaande automatische analyse van persoonsgegevens in de Fietstas van iColumbo bestaat het risico op ontoereikend toezicht, zoals onderkend is door het EHRM. Dat risico heeft te maken met met het gebrek aan inzicht in de geautomatiseerde processen die plaatsvinden na de menselijke interventie, die ‘verdwijnt’ na het invoeren van de zoekopdracht in het netwerk iRN en pas weer terugkeert in de fase van de beoordeling van de resultaten van een volledig automatische analyse van de data van betrokkene. 

Op grond van de overwegingen tot dusver is mijn conclusie, dat de inzet van Big Data-analysemethoden zoals iColumbo en het netwerk iRN, op een aantal punten niet verenigbaar is met het recht op eerbiediging van het privéleven van de burger als bedoeld in artikel 8 EVRM. Aan artikel 10 van de Grondwet is wel voldaan. De inzet van iColumbo en iRN doorstaat de EHRM-toets niet op het punt van de voorzienbaarheid, omdat het voor betrokkene onduidelijk en niet inzichtelijk is onder welke omstandigheden hij aan de instrumenten kan worden onderworpen. Onduidelijk is hoe de ‘fair balance’-test als bedoeld in S. en Marper/Verenigd Koninkrijk door de opsporingsinstanties concreet wordt toegepast.

Duidelijke, gedetailleerde regels omtrent de gedragingen van de burger die aanleiding kunnen geven tot de inzet van iColumbo, zouden de onmogelijkheid tot de uitoefening van het recht op eerbiediging van het privéleven kunnen compenseren, ware het niet dat dergelijke regels ontbreken. Het onafhankelijke toezicht op de inzet van data-analysemethoden als iColumbo komt in gevaar door het gebrek aan inzicht in volledig geautomatiseerde processen die plaatsvinden na de invoering van de zoekopdracht. Een ‘karaktertrek’ van Big Data-analyse bemoeilijkt zoals gezegd de proportionaliteit en subsidiariteit van het onderzoek: het doel van data-analyse kan gelegen zijn in het zoveel mogelijk en ongericht verzamelen van gegevens.[1] Het doelbindingsprincipe als onderdeel van de proportionaliteit komt op losse schroeven te staan door het formuleren van nieuwe doeleinden voor hergebruik van data.[2] Onder 4.2 zet ik uiteen hoe de overheid bij de toepassing van methoden voor Big Data-analyse, waaronder iColumbo, kan voldoen aan de eisen die het EHRM stelt aan het overheidsoptreden.

---

[1] WRR, Big Data in een vrije en veilige samenleving, Den Haag/Amsterdam 2016, p. 106 en 109.

[2] WRR, Big Data in een vrije en veilige samenleving, Den Haag/Amsterdam 2016, p. 108-109.

3.3.2 Toetsing van strafrechtelijke Big Data-analyses aan de EHRM-criteria: 'duidelijke, gedetailleerde regels ter compensatie inbreuk 8 EVRM'

4. Stelt de toepasselijke wetgeving duidelijke, gedetailleerde regels om de inmenging in de uitoefening van het recht op eerbiediging van het privéleven van de burger te compenseren?

Compenserende factoren in het geval van geheime surveillancemethoden

Als uit de hiervoor bedoelde afweging van de stikte noodzakelijkheid blijkt dat het belang van de democratische samenleving is gediend met inmenging in het privéleven van de betrokkene door toepassing van geheime surveillancemethoden, dient deze inmenging te worden gecompenseerd.[1] In de wet dienen waarborgen te zijn opgenomen, die op adequate wijze dienen te garanderen dat misbruik van de inzet van geheime surveillancemethoden door de overheid wordt voorkomen.[2] In de wet van een lidstaat moeten duidelijke, gedetailleerde regels worden gesteld aan de toepassing van geheime surveillancemethoden, zodat de betrokkene weet onder welke omstandigheden en onder welke voorwaarden de overheid bevoegd is om geheime surveillancemethoden in te zetten en gegevens van de betrokkene te verzamelen, waarbij rekening moet worden gehouden met nieuwe technische ontwikkelingen.[3]
 

Concreet stelt het EHRM de volgende minimumeisen: de wet moet vermelden op grond van welke overtredingen geheime surveillancemethoden kunnen worden ingezet en ten aanzien van welke categorieën van personen geheime surveillancemethoden kunnen worden toegepast; de aard, en maximale duur van de geheime surveillancemethoden moeten in geschreven wetten worden neergelegd; de wet moet vermelden welke procedures overheidsinstanties moeten volgen om persoonsgegevens te onderzoeken, te gebruiken en op te slaan;[4] ten slotte moet de wet melding maken van de middelen die kunnen worden ingesteld tegen de inzet van de geheime surveillancemethoden.[5] In de zaak-Big Brother Watch/Verenigd Koninkrijk onderstreept het EHRM nogmaals dat strikte regels moeten worden gesteld aan de bevoegdheid van overheidsinstanties met betrekking tot de analyse van gegevens die door enige vorm van dataveillance zijn verkregen.[6]   

De maximale duur van de inzet van iColumbo is mij thans niet bekend. Niet zozeer de duur van de inzet van iColumbo, als wel de duur van de opslag van de persoonsgegevens ten behoeve van de verwerking, wordt door artikel 14 Wpg op maximaal 5 jaar bepaald, met de mogelijkheid van verlenging. Wat betreft de grond voor de inzet van een instrument voor Big Data-analyse als iColumbo, is mij niet gebleken welke wettelijke grond als onderbouwing van de inzet van iColumbo geldt, anders dan dat de bevoegdheid wordt aangewend in het kader van de algemene politietaak bij de handhaving van de rechtsorde (artikel 3 Polw). Daarmee wordt niet duidelijk gemaakt onder welke omstandigheden en onder welke voorwaarden de betrokkene aan iColumbo kan worden onderworpen. 

Betoogd kan worden dat datamining en -analyse met iRN en iColumbo vanwege het real-time-karakter van de toepassing en het gedetailleerde beeld dat met deze instrumenten wordt verkregen, grondslagen zouden kunnen vinden in de artikelen 126g en 126j Sv. Die grondslagen komen echter alleen in beeld indien betrokkene wordt verdacht van een misdrijf. 

Het toezicht op de naleving van de verwerking van persoonsgegevens op grond van de Wpg is neergelegd bij het College Bescherming Persoonsgegevens, thans de Autoriteit Persoonsgegevens (artikel 35 Wpg). De AP blijft onder de nieuwe Wpg toezichthouder op de naleving van de Wpg.[7] Bij de vergaande automatische analyse van persoonsgegevens in de Fietstas van iColumbo bestaat het risico op ontoereikend toezicht, zoals onderkend is door het EHRM.[8] Dat risico hangt nauw samen met het gebrek aan inzicht in de geautomatiseerde processen die plaatsvinden na de menselijke interventie, die ‘verdwijnt’ na het invoeren van de zoekopdracht in het netwerk iRN en pas weer terugkeert in de fase van de beoordeling van de resultaten van een volledig automatische analyse van de data van betrokkene.

Het risico op ontoereikend toezicht bij automatische data-analyses wordt volgens het EHRM vergroot, indien de wet er niet toe verplicht om zoektermen op te nemen alvorens een bevoegdheid tot het uitvoeren van data-analyse te gebruiken.[9] Bij gebreke van voldoende normering is de mogelijkheid tot het uitoefenen van voldoende toezicht te zeer afhankelijk van de professionaliteit van ervaren data-analisten, terwijl een derde, onafhankelijke partij het proces van data-analyse moet kunnen controleren.[10]

Het recht op kennisneming van verwerking van politiegegevens is neergelegd in artikel 25 Wpg. De toepassing van Big Data-analyses kan betekenen dat betrokkene er geen weet van heeft dat hij het onderzoeksobject is en dus geen beroep zal doen op artikel 25 Wpg. De nieuwe Wpg dient daarin verandering te brengen door de introductie van een actieve informatieplicht. Zo wordt de verplichting voor de verwerkende instantie opgenomen om betrokkene te informeren over de verwerking van zijn persoonsgegevens (artikel 24b Wpg).

Er is geen specifieke regelgeving inzake de omstandigheden waaronder de betrokkene aan de data-analyse in iColumbo en de inzet van het iRN-netwerk kan worden onderworpen; ook ontbreekt regelgeving ten aanzien van de categorieën van personen die in iColumbo aan  datasurveillance kunnen worden onderworpen. Bovendien kan een burger onderwerp van datasurveillance zijn in iColumbo, zonder dat sprake is van een (concrete) overtreding door de burger. Aan de voorwaarde, dat de wet duidelijk maakt op grond van welke overtredingen jegens een burger geheime surveillancemethoden kunnen worden toegepast, wordt niet voldaan. Op grond van het vorenstaande overweeg ik dat er onder het huidige nationale recht onvoldoende waarborgen zijn om de inmenging die de inzet van iRN en iColumbo oplevert in het recht op eerbiediging van het privéleven van de betrokkene te compenseren.

---

---

[1] EHRM 6 september 1978, 6 september 1978, 5029/71 (Klass/Duitsland), r.o. 36.

[2] EHRM 4 december 2015, 47143/06 (Zakharov/Rusland), r.o. 231 en 236.

[3] EHRM 21 juni 2011, 30194/09 (Shimovolos/Rusland), r.o. 68.

[4] EHRM 29 juni 2006, 54934/00 (Weber en Saravia/Duitsland), r.o. 95.

[5] EHRM 28 juni 2007, 62540/00 (Association for European Integration and Human Rights en Ekimdzhiev/Bulgarije), r.o. 71-77.

[6] EHRM 13 september 2018, ECLI:CE:ECHR:2018:0913JUD005817013 (Big Brother Watch/Verenigd Koninkrijk), r.o. 329.

[7] Conceptartikel 35 van de Wet politiegegevens en de Wet justitiële en strafvorderlijke gegevens ter implementatie van Richtlijn (EU) 2016/680, Kamerstukken I 2017/18, 34 889, nr. A.

[8] Vgl. EHRM 13 september 2018, ECLI:CE:ECHR:2018:0913JUD005817013 (Big Brother Watch/Verenigd Koninkrijk), r.o. 340, 346-347.

[9] EHRM 13 september 2018, ECLI:CE:ECHR:2018:0913JUD005817013 (Big Brother Watch/Verenigd Koninkrijk), r.o. 340.

[10] EHRM 13 september 2018, ECLI:CE:ECHR:2018:0913JUD005817013 (Big Brother Watch/Verenigd Koninkrijk), r.o. 344 en 346.

[11] Kamerstukken II 2017/18, 35 889, nr. 3, p. 40-42.