Het Privacy Impact Assessment (PIA) in geval van geheime dataveillance, risicotaxatie en profilering

Instrumenten voor geheime dataveillance, -analyse, profilering en risicotaxatie en de plicht om een PIA uit te voeren
De verwerkingsverantwoordelijke (organisatie) die privacygevoelige gegevens verwerkt, is verplicht om een Privacy Impact Assessment (PIA), ook wel 'gegevensbeschermingseffectbeoordeling' of 'Data Protection Impact Assessment' (DPIA) uit te voeren.

In vorige berichten heb ik het 'black box'-karakter van geheime methoden voor dataveillance en -analyse besproken, alsmede de toepassing van voorspellende algoritmen met een 'black box'-karakter, waaronder het Systeem Risico Taxatie (SyRI). Ik heb daarbij aangegeven dat de verwerkingsverantwoordelijke op grond van de Algemene Verordening Gegevensbescherming (AVG) transparant dient te zijn en dat de verwerkingsverantwoordelijke verplicht is tot het verschaffen van informatie en inzage aan de betrokken burger, ondanks het heimelijke karakter van de gegevensverzameling en -verwerking. Onder uitzonderlijke omstandigheden, bijvoorbeeld wanneer door menselijk toedoen een ramp dreigt te worden veroorzaakt, mag de verwerkingsverantwoordelijke de informatie- en inzagerechten, alsmede het recht op rectificatie, beperken (art. 23 AVG). Het 'black box'-karakter van instrumenten die heimelijk worden ingezet om burgers te onderwerpen aan dataveillance en -analyse kan echter niet worden tegengeworpen aan de plicht van verwerkende instanties om een Privacy Impact Assessment (PIA) uit te voeren.

Het verplichte PIA bij geheime dataveillance, profilering, samenwerking met private bedrijven en de verwerking van biometrische gegevens
De beperkingen op de transparantieverplichtingen van verwerkingsverantwoordelijken en de beperkingen van het recht van de burger op informatie en inzage gelden niet ten aanzien van het PIA. Een verwerkingsverantwoordelijke die geheime methoden voor Big Data-analyse/profilering/risicotaxatie toepast, is verplicht om het Privacy Impact Assessment (PIA) uit te voeren. Dit is bepaald in art. 35 AVG en wordt nog eens onderstreept door het Besluit Verplichte Gegevensbeschermingseffectbeoordeling van 27 november 2019 (Staatscourant nr. 64418). De verplichte uitvoering van het DPIA geldt onder meer voor:

- Grootschalige verwerkingen van persoonsgegevens en stelselmatige monitoring waarbij persoonsgegevens worden verzameld zonder de betrokkene daarover vooraf in te lichten, bijvoorbeeld heimelijk onderzoek door particuliere bureaus/Data Labs en onderzoek in het kader van fraudebestrijding (waaronder SyRI);
- Grootschalige verwerkingen van gegevens en monitoring in het kader van fraudebestrijding door sociale diensten;
-  Samenwerkingsverbanden waarin gemeenten en/of andere overheidsorganen met andere publieke of private partijen bijzondere persoonsgegevens of gegevens van gevoelige aard met elkaar uitwisselen;
- Grootschalige verwerking en monitoring van locatiegegevens, herleidbaar tot natuurlijke personen, bijvoorbeeld door ANPR-mobiel, of verwerking van gegevens van personen in het openbaar vervoer;
- Biometrische gegevens, waaronder vingerafdrukken, toetsaanslaganalyses, irisscans, gezichtsprofielen en stemopnamen (de verwerking van biometrische gegevens is enkel toegestaan wanneer de verwerking van biometrische gegevens noodzakelijk is voor beveiligingsdoeleinden);
- Profilering: de systematische beoordeling van persoonlijke aspecten van natuurlijke personen, gebaseerd op geautomatiseerde verwerking (profilering is geautomatiseerde verwerking).

Inhoud van het PIA: concrete verplichtingen van de verwerkingsverantwoordelijke
De verwerkingsverantwoordelijke dient vóór de verwerking van persoonsgegevens een beoordeling uit te voeren van het effect van de beoogde verwerkingsactiviteit op de bescherming van persoonsgegevens (art. 35 lid 1 AVG). De beoordeling bevat ten minste een systematische beschrijving van de beoogde verwerkingen en verwerkingsdoeleinden, waaronder de belangen van de verwerkingsverantwoordelijke; ook dient de verwerkingsverantwoordelijke een beoordeling te geven van de noodzaak en evenredigheid van de verwerkingen met betrekking tot de doeleinden (proportionaliteit en subsidiariteit); voorts dient de beoordeling te omschrijven welke maatregelen zijn getroffen en aan te tonen hoe aan de waarborging van de bescherming van de persoonsgegevens en de rechten en gerechtvaardigde belangen van de betrokken burgers is voldaan (art. 35 lid 7 AVG).

3.4-3.5 Mogelijkheden en ontwikkelingen waarmee de inzet van strafrechtelijke Big Data-analyses voldoet aan de EHRM-criteria inzake 8 EVRM

3.4  Hoe kan de Nederlandse wetgever ter zake van de inzet van iColumbo en iRN voldoen aan de EHRM-criteria voor het recht op eerbieding van het privéleven van de burger?

Naar aanleiding van het onderzoek in voorgaande hoofdstukken en het onderhavige hoofdstuk, zijn wettelijke mogelijkheden en nieuwe ontwikkelingen de revue gepasseerd, waarmee Nederland bij de inzet van iRN en iColumbo (en nog te ontwikkelen technologieën) mijns inziens in de pas zou lopen met de criteria die door het EHRM aan het overheidsoptreden worden gesteld. Ik licht enkele mogelijkheden en concrete ontwikkelingen uit en geef aan wat hun relevantie is in relatie tot de criteria van het EHRM. 

1. Een aanscherping van de proportionaliteit en subsidiariteit 

Mogelijkheid: een afspiegeling van artikel 26 van de Wiv 2017 opnemen in de nieuwe Wpg

Een mogelijkheid waarmee de inzet van iRN en iColumbo beter zou aansluiten bij de eisen van proportionaliteit en subsidiariteit zoals die zijn gesteld door het EHRM, is te vinden in artikel 26 van Wiv 2017.[1] De proportionaliteitseis in Wiv 2017 houdt in dat gegevensverzameling achterwege moet blijven, indien de uitoefening van de bevoegdheid tot gegevensverzameling de betrokkene een onevenredig nadeel in vergelijking met het nagestreefde doel (bijvoorbeeld bescherming van de democratische rechtsstaat) oplevert (artikel 26 lid 2 Wiv 2017). De subsidiariteitseis van Wiv 2017 houdt in, dat iColumbo slechts zal mogen worden gebruikt, indien deze methode in vergelijking met andere methoden het minste nadeel voor de betrokkene oplevert (artikel 26 lid 1 Wiv 2017).[2] 

Met een terughoudende inzet van iColumbo onder vigeur van de Wiv 2017 zou de overheidsinstantie in lijn met de proportionaliteits- en subsidiariteitscriteria van het EHRM handelen; ook zou het knelpunt van onduidelijkheid over de proportionaliteit en subsidiariteit worden weggenomen. Hierbij moet wel worden opgemerkt dat Wiv 2017 slechts van toepassing is, indien de Algemene Inlichtingen en Veiligheidsdienst Big Data-analyse zou gebruiken. De wetgever zou in overweging kunnen nemen om een afspiegeling van artikel 26 Wiv 2017 op te nemen in de Wpg.

Ontwikkeling: een verplichte gegevensbeschermingseffectbeoordeling (PIA) in de Wpg

In de nieuwe Wpg wordt een verplichting tot het uitvoeren van een gegevensbeschermingseffectbeoordeling opgenomen (PIA, artikel 4c lid 1 Wpg). Deze bepaling kan worden beschouwd als een stimulans om de proportionaliteit en subsidiariteit van de inzet van iColumbo expliciet af te wegen en te motiveren. Het PIA functioneert binnen ICT-diensten van overheidsinstanties, waaronder opsporingsdiensten, als correctief middel: het dwingt de gegevensverwerker standaard tot heroverweging van gemaakte afwegingen en tot het kiezen van de minst ingrijpende oplossing om een doel te bereiken. Het PIA is van toepassing op gesystematiseerde verwerking en analyse van persoonlijke aspecten en categorieën van persoonsgegevens, waarmee het iColumbo en iRN onder het bereik van het PIA vallen. 

2. Verbetering van onafhankelijk en effectief toezicht

Ontwikkeling: audit-logging en afweging van de noodzaak tot operationeel gebruik 

Het werken met audit-logbestanden (systematische controle) moet het Big Data-proces voor de toezichthoudende instantie inzichtelijk maken (aandachtspunt 21 van het PIA).[3] Aandachtspunt 24 van het PIA geeft regels voor de verbetering van de evaluatie van het data-analyseproces.[4] De gegevensverwerker moet aangeven of de datasets of extracten daarvan, van voldoende relevantie zijn voor operationeel gebruik (bijvoorbeeld voor het nemen van een beslissing tot vervolging). Daarnaast moet de verwerker evalueren of de opbrengst van de data-analyse van voldoende waarde is om de noodzaak van de gegevensverwerking te kunnen rechtvaardigen, wanneer wordt overgegaan tot operationeel gebruik. Bovendien wordt van de verwerker verwacht dat de uitkomst van de data-analyse reproduceerbaar is. De reproduceerbaarheid van het analyseproces is van belang voor de mogelijkheid tot uitoefening van effectief toezicht door een onafhankelijke partij. De verwerker wordt in punt 26 bevolen een monitoring- en loggingsbeleid te voeren, om de inzichtelijkheid tegenover de toezichthouder te verbeteren. 

3.5  Deelconclusie

Het gebruik van het iRN-netwerk en iColumbo in het kader van Big Data-analyses voor strafvorderlijke doeleinden is getoetst aan artikel 10 van de Nederlandse Grondwet en het toetsingskader van het EHRM voor het beoordelen van inmengingen in het recht op eerbiediging van het privéleven van betrokkene. Het toetsingskader van het EHRM is opgebouwd uit de volgende criteria: er moet een inmenging zijn in het privéleven van de betrokkene, deze inmenging moet bij wet zijn voorzien, noodzakelijk zijn voor het gerechtvaardigde doeleinde van de handhaving van de democratische samenleving, waarbij de inmenging moet worden gecompenseerd door duidelijke, gedetailleerde regels aan de toepassing van geheime methoden van datasurveillance, waaronder iColumbo en het afgeschermde netwerk iRN kunnen worden verstaan. Geconstateerd is dat de belangrijkste knelpunten zijn gelegen in het ontbreken van gedetailleerde wetgeving om de inzet van iRN en iColumbo te normeren, waaronder wetgeving die duidelijk maakt onder welke omstandigheden de betrokkene aan de data-analyse kan worden onderworpen. Ook kan het onafhankelijke toezicht op de inzet van data-analyse als iColumbo in gevaar komen door het gebrek aan inzicht in volledig geautomatiseerde processen die plaatsvinden na de invoering van de zoekopdracht.

                                        

---

[1] Zie 2.2.1 voor een korte omschrijving van Wiv 2017.

[2] Kamerstukken II 2016/17, 34 588, nr. 3, p. 7-8, 39-40.

[3] Toelichting: Big Data analyse, Model GEB Rijksdienst (PIA), Big Data JenV, versie 1 april 2018, p. 25.

[4] Toelichting: Big Data analyse, Model GEB Rijksdienst (PIA), Big Data JenV, versie 1 april 2018, p. 26.

2. Big Data in het strafrecht: de invloed van de nieuwe Wpg, Boek 2 Modernisering Strafvordering en het Privacy Impact Assessment (PIA)

Gegevensbeschermingseffectbeoordeling of Privacy Impact Assessment (PIA)

Het ‘Privacy impact assessment’ (PIA) of ‘gegevensbeschermingseffectbeoordeling’ wordt in conceptartikel 4c van de Wijziging van de Wpg voorgesteld. Deze verplicht een gegevensverwerker om bij toekomstige technologieën die een hoog risico voor de vrijheden en rechten van natuurlijke personen opleveren, een beoordeling van het effect van de verwerkingsactiviteiten op de bescherming van persoonsgegevens te verrichten.[1] Het toetsmodel PIA heeft als sterk punt dat alle eisen uit de Wpg en AVG in acht worden genomen; onder meer de rechtsgrond, het doelbindingscriterium en de proportionaliteit en subsidiariteit van de gegevensverwerking moeten in de gegevensbeschermingseffectbeoordeling worden meegenomen.[2] Ook sterk zijn de aanbevelingen om slechts data-analyses uit te voeren bij kwesties die zich lenen voor patroonherkenning;[3] bij onregelmatig voorkomende verschijnselen neemt het risico op invalide/vals-positieve uitkomsten immers toe. Opgemerkt moet worden dat de toetsing op het niveau van de individuele betrokkene ontbreekt.[4]

‘Soft-law’-instrumenten: Living Labs en Kafkaknoppen  

De wetgever stelt vooralsnog geen ‘harde’ generieke wetten voor om de transparantie bij de toepassing van technologische ontwikkelingen, waaronder de inzet van algoritmen in de strafrechtelijke opsporing, te normeren.[5] In plaats daarvan verwijst de wetgever naar het al enige tijd bestaande ‘Living Labs’,[6] het platform voor de uitgave van Big Data Magazine en de symposia ‘Datakwaliteit’. Een concrete uitkomst van de symposia is het uitgangspunt dat Big Data-systemen een ‘Kafkaknop’ moeten krijgen, een metafoor voor het direct stoppen van foutieve geautomatiseerde systemen. De vereiste menselijke interventie brengt met zich dat de organisatie in staat moet zijn om fouten door het gehele systeem te herkennen én te herstellen. Een opvallend uitgangspunt houdt in dat zowel de mens als de computer, in kwestie algoritmen, in eenzelfde dossier besluiten voorbereiden. De uitkomst van de computer wordt gebruikt om de besluitvorming door de mens te controleren.[7] Dit uitgangspunt sluit goed aan bij de ‘expliciteringsplicht’ die door de Commissie is voorgesteld en die in het gemoderniseerde Wetboek van Strafvordering zou moeten worden opgenomen. Het uitgangspunt zou kunnen worden neergelegd in een concrete wettelijke verplichting tot wederzijdse controle op de besluitvorming, door mens en computer. Concreet en haalbaar lijkt het opnemen van een ‘Kafkameldplicht’ in geval van detectie van een systeemfout in data-analyse. Die plicht zou kunnen worden neergelegd in de gewijzigde Wpg. Natuurlijk staat of valt een meldplicht met de herkenning van een systeemfout door een opmerkzame ICT’er. 

Een algemene proportionaliteits- en subsidiariteitseis in Boek 2 van het Wetboek van Strafvordering (nieuw)
 

Het verdient ten slotte opmerking dat de wetgever met conceptartikel 2.1.2.2 een algemene proportionaliteits- en subsidiariteitseis voor het opsporingsonderzoek in het nieuwe Wetboek van Strafvordering op zal nemen.[8] Positief is dat de rechter-commissaris bij het afgeven van een machtiging vol zal moeten toetsen of de inzet van een opsporingsmethode door de Officier van Justitie voldoet aan de doelmatigheidseis, die is uitgewerkt in het criterium van ‘dringende noodzaak’. Een kanttekening die hierbij kan worden geplaatst, is dat die dringende noodzaak alleen achteraf door de zittingsrechter kan worden getoetst en slechts in gevallen waarin de tussenkomst van de rechter-commissaris niet nodig was voor de inzet van de opsporingsbevoegdheid. 

2.5 Deelconclusie

De inzet van Big Data-analyses in het kader van strafrechtelijke opsporing wordt gereguleerd door de Politiewet, Wet politiegegevens, het Wetboek van Strafvordering en de Algemene Verordening Gegevensbescherming. Deze regulering en bevoegdheidskwesties zijn besproken onder 2.2. De inzet van bestaande instrumenten voor Big Data-analyse, maar ook toekomstige technologieën, kent knelpunten en uitdagingen, waaronder bevoegdheidsoverschrijding en function creep. Het in de praktijk gebruikte datamininginstrument iColumbo is gebruikt ter illustratie van enkele knelpunten die onder het huidige recht bestaan (2.3). Eén van die knelpunten is dat de proportionaliteit en subsidiariteit (en het daarmee samenhangende principe van dataminimalisatie) onder druk komen te staan door het karakter van Big Data-analyse. Ik heb beoordeeld in hoeverre de toekomstige wetgeving de bestaande risico’s en knelpunten kan wegnemen (2.4). Eén van de sterkste troeven is wat mij betreft het voorstel van de Commissie-Koops, om een expliciteringseis in het Wetboek van Strafvordering op te nemen. Deze houdt in dat bij een beslissing die is genomen naar aanleiding van de uitkomst van geautomatiseerde besluitvorming, waaronder de inzet van een predictive policing-methode of het instellen van de vervolging, uitdrukkelijk uitgelegd zal moeten worden hoe en waarom tot de strafvorderlijke beslissing is gekomen. Het nadeel is dat deze expliciteringseis géén normering voorafgaand aan de inzet van data-analyses inhoudt, zodat het risico bestaat dat begrippen als doelbinding, dataminimalisatie en subsidiariteit niet (voldoende) worden toegepast.

---

[1] Kamerstukken II 2017/18, 34 889, nr. 3, p. 64.

[2] Toelichting: Big Data analyse, Model GEB Rijksdienst (PIA), Big Data JenV, versie 1 april 2018.

[3] Toelichting: Big Data analyse, Model GEB Rijksdienst (PIA), Big Data JenV, versie 1 april 2018, p. 13.

[4] Vgl. Richtlijn (EU) 2016/680, punt (58) van de considerans.

[5] Kamerstukken II 2017/18, 34 889, nr. 3, p. 37.

[6] Kamerstukken II 2016/17, 26 643, nr. 426, p. 4.

[7] ‘Zeven uitgangspunten: Menselijke tussenkomst bij geautomatiseerde besluitvorming’, Big Data JenV, versie 27 maart 2019.

[8] Voorstel van wet tot vaststelling van Boek 2 van het nieuwe Wetboek van Strafvordering inhoudende bepalingen over het opsporingsonderzoek in verband met de modernisering van het Wetboek van Strafvordering, Memorie van Toelichting, p. 18-19.