Het 'black box'-karakter van geheime dataveillance & Big Data-analyse en uw rechten (deel III)

Deel II: uw recht om niet te worden onderworpen aan profilering, het recht van verzet en passende maatregelen ter compensatie van de inbreuk op uw recht om niet geprofileerd te worden

Overzicht
1. De wettelijke grondslag voor de rechtmatigheid van de verwerking van uw persoonsgegevens;
2. Doelbinding;
3. Proportionaliteit en subsidiariteit (noodzaak en dataminimalisatie)

1. De wettelijke grondslag voor de rechtmatigheid van de verwerking van uw persoonsgegevens
De verwerking van uw persoonsgegevens in het kader van dataveillance, data-analyse of profilering is slechts rechtmatig, indien de verwerking noodzakelijk is voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen (art. 6 lid 1 onder e AVG). De wettelijke grondslag moet specifiek zijn. Een beroep op de ‘publieke taak’ is onvoldoende specifiek voor de rechtmatigheid van de gegevensverwerking in het kader van data-analyse en profilering. De wettelijke grondslag voor gegevensverwerking kan niet gelijkgesteld worden met de wettelijke grondslag voor het uitvoeren van de publieke taak (Kamerstukken II 2017/18, 34 851, nr. 4, p. 34). 

Met de ‘wettelijke verplichting’ op grond van de Participatiewet is géén specifieke grondslag voor de rechtmatigheid van de gegevensverwerking gegeven. Het uitvoeren van een wettelijke verplichting moet redelijkerwijs niet goed mogelijk zijn zonder verwerking van de persoonsgegevens. Met andere woorden: de eisen van proportionaliteit en subsidiariteit brengen mee, dat de wettelijke grondslag voor de uitvoering van de publieke taak slechts als grondslag voor de gegevensverwerking kan gelden, indien de gegevensverwerking noodzakelijk is (lees: een voorwaarde) voor de uitvoering van de 'publieke taak'. Die noodzaak wordt onderschreven in het Model GEB Rijksdienst (Privacy Impact Assessment), zie onderdeel B,  'Beoordeling rechtmatigheid gegevensverwerkingen', p. 15.

De AVG moet worden uitgelegd overeenkomstig het recht op eerbiediging van het privéleven van de burger als bedoeld in art. 8 EVRM. De verwerking van persoonsgegevens raakt direct aan het recht op eerbiediging van de persoonlijke levenssfeer (EHRM 25 februari 1997, 22009/93 (Z./Finland), r.o. 117); EHRM 16 februari 2000, 27798/95 (Amann/Zwitserland), r.o. 65). Gegevensverwerking brengt een inmenging in het recht van art. 8 EVRM teweeg (EHRM 6 september 1978, 5029 /71 (Klass/Duitsland), r.o. 41; EHRM 2 augustus 1984, 8691/79 (Malone/Verenigd Koninkrijk)).

De relatie tussen de AVG en het EVRM brengt mee dat de wettelijke grondslag voor gegevensverwerking moet voldoen aan de voorzienbaarheidseis van het EHRM (EHRM 26 april 1979, 6538/74 (The Sunday Times/Verenigd Koninkrijk), r.o. 47-48). De ‘voorzienbaarheid’ houdt in dat de wetgeving dusdanig duidelijk moet zijn, dat betrokkene kan begrijpen onder welke omstandigheden en voorwaarden het overheidsoptreden inmenging kan maken op zijn privéleven (EHRM 2 augustus 1984, 8691/79 (Malone/Verenigd Koninkrijk), r.o. 67; EHRM 24 april 1990, 11105/84 (Huvig/Frankrijk), r.o. 29; EHRM 4 december 2008, 30562/04 en 30566/04 (S. en Marper/Verenigd Koninkrijk), r.o. 95; EHRM 18 mei 2010, 26839/05 (Kennedy/Verenigd Koninkrijk), r.o. 151; EHRM 29 juni 2006, 54934/00 (Weber en Saravia/Duitsland), r.o. 93; EHRM 28 juni 2007, 62540/00 (Association for European Integration and Human Rights en Ekimdzhiev/Bulgarije), r.o. 75). 

2. Doelbinding
Persoonsgegevens moeten voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden worden verzameld en mogen niet op een met die doeleinden onverenigbare wijze worden verwerkt (art. 5 lid 1 onder b AVG). Het zonder vooraf bepaalde doeleinden ‘minen’ van persoonsgegevens, het ongericht verzamelen en analyseren van data om aanwijzingen te verkrijgen dat sprake is van een verhoogde kans op fraude, is niet verenigbaar met het doelbindingsprincipe (E.M.L. Moerel & J.E.J. Prins, Privacy voor de homo digitalis, in: Homo digitalis, Handelingen Nederlandse Juristen Vereniging 2016/146-1, p. 19).  

De WRR merkt op dat het secundaire gebruik van data inherent is aan Big Data en op gespannen voet staat met het doelbindingscriterium (WRR, Big Data in een vrije en veilige samenleving, Den Haag/Amsterdam 2016, p. 90-93 en 108). Door de koppeling van databases van verschillende overheidsinstanties en hergebruik van opgeslagen data neemt de druk op de doelbinding toe (WRR, Big Data in een vrije en veilige samenleving, Den Haag/Amsterdam 2016, p. 107). De kans op verkrijging van niet-voorziene data is groot bij de inzet van voorspellende algoritmen, omdat de menselijke interventie beperkt is gedurende de processen van datamining en data-analyse.

3. Proportionaliteit en subsidiariteit (noodzaak en dataminimalisatie)
Het doelbindingsprincipe is onderdeel van de proportionaliteits- en subsidiariteitseis. Het beginsel van dataminimalisatie (art. 5 lid 1 onder c AVG) houdt in dat de verzameling en verwerking van persoonsgegevens blijft beperkt tot wat noodzakelijk is voor het bereiken van specifiek bepaalde, uitdrukkelijk omschreven doeleinden. Gegevens dienen zo selectief mogelijk te worden verzameld en verwerkt én alleen voor zover noodzakelijk. De verwerking dient noodzakelijk te zijn voor de vervulling van een van de voorwaarden in art. 6 lid 1 AVG. 

De door het EHRM ontwikkelde proportionaliteitseis houdt in, dat de inmenging in de persoonlijke levenssfeer strikt genomen noodzakelijk moet zijn vanwege een dringende maatschappelijke behoefte (‘pressing social need’) en dat die inmenging door dataverzameling en -verwerking proportioneel is om de gerechtvaardigde doeleinden te bereiken (EHRM 2 september 2010, 35623 (Uzun/Duitsland), r.o. 78; EHRM 26 maart 1978, 9248/81 (Leander/Zweden), r.o. 58). De inbreuk op de eerbiediging van de persoonlijke levenssfeer moet evenredig zijn in verhouding tot het doeleinde van de gegevensverwerking/profilering/datamining. Wanneer het om geheime surveillance gaat, is de discretionaire bevoegdheid van de nationale overheid ten aanzien van de invulling van de noodzakelijkheid beperkt (EHRM 12 januari 2016, 37138/14 (Szabó en Vissy/Hongarije), r.o. 54).

De ‘fair balance’-test van het EHRM in S. en Marper/Verenigd Koninkrijk bevat meerdere belangrijke vingerwijzingen voor het beoordelen van de proportionaliteit van de inmenging in het privéleven van de burger. De aard en ernst van de overtreding of misdrijf waarvan de betrokkene wordt verdacht, de duur van de bewaring van de persoonsgegevens, de mogelijkheden voor de betrokkene om zijn persoonsgegevens te laten verwijderen en de mogelijkheid tot onafhankelijk toezicht op de opslag van de persoonsgegevens zijn factoren die concreet worden gewogen in de proportionaliteitsbeoordeling door het EHRM. 

Of een instrument met een ‘black box’-karakter de proportionaliteitstoets van het EHRM zal doorstaan, is afhankelijk van de volgende vragen:
- Is er een dringende maatschappelijke behoefte waarvoor de dataveillance/profilering wordt toegepast?
- Van welke overtreding wordt de burger verdacht en hoe ernstig is deze overtreding?
- Heeft de burger de mogelijkheid om zijn persoonsgegevens te laten verwijderen?
- Kan de burger effectief zijn recht op het inschakelen van onafhankelijk toezicht uitoefenen? 

De subsidiariteitseis houdt in, dat alleen de minst ingrijpende methode mag worden ingezet om met de inbreuk op de rechten van de burger proportionele doeleinden te bereiken (EHRM 4 december 2015, 47143/06 (Zakharov/Rusland), r.o. 232). De verwerkingsverantwoordelijke die stelt dat het gekozen instrument voor dataveillance/analyse/profilering adequater is dan andere instrumenten, voldoet niet aan de subsidiariteitseis. Concreet moet worden getoetst of het doel waarvoor de persoonsgegevens worden verwerkt, in redelijkheid niet op een andere, voor de burger minder nadelige wijze kan worden bereikt (Advies SyRI, Autoriteit Persoonsgegevens 18 februari 2014, p. 4). 

In deel IV bespreek ik de toelaatbaarheid van beperkingen op de transparantie- en informatieplichten in uitzonderlijke gevallen, de uitzonderingsgronden in art. 41 Uitvoeringswet AVG, de behoefte aan rechtsvorming ten aanzien van art. 23 AVG en de specifieke gedragsregels die door de Autoriteit Persoonsgegevens zijn uitgevaardigd

Het 'black box'-karakter van geheime dataveillance & Big Data analyse en uw rechten (deel II)

Deel I: transparantie, uw concrete informatierechten en uw recht van inzage, rectificatie, wissing en beperking van gegevensverwerking 

Overzicht
1. Uw recht om niet te worden onderworpen aan geautomatiseerde verwerking en profilering;
2. Het recht om zich te verzetten tegen profilering, ongeacht geautomatiseerde besluitvorming;
3. 'Passende maatregelen' (appropriate safeguards) ter compensatie van de inbreuk op uw recht om niet geprofileerd te worden (art. 22 AVG)

1. Uw recht om niet te worden onderworpen aan geautomatiseerde verwerking en profilering

U hebt het recht niet te worden onderworpen aan een uitsluitend op geautomatiseerde verwerking, waaronder profilering, gebaseerd besluit waaraan voor u rechtsgevolgen zijn verbonden of dat u in aanmerkelijke mate treft (art. 22 AVG). 

De risicoprofielen die in SyRI worden opgemaakt vallen onder het bereik van art. 22 AVG. De verwerkingsverantwoordelijke kan slechts een gerechtvaardigd beroep doen op de uitzonderingen van art. 22 lid 2 AVG, indien de betrokkene toestemming heeft verleend of de betrokkene en de verwerkingsverantwoordelijke zulks zijn overeengekomen.

Een uitzondering is buiten die gevallen slechts mogelijk, indien een Unierechtelijke of lidstaatrechtelijke bepaling die op de verwerkingsverantwoordelijke van toepassing is, voorziet in passende maatregelen ter bescherming van de rechten en gerechtvaardigde belangen van de betrokkene die door de profilering wordt getroffen. De verwerkingsverantwoordelijke is slechts gerechtigd om te profileren, indien daarvoor een specifieke wettelijke bevoegdheidsregeling wordt verleend én concrete maatregelen ter bescherming van de rechten van de geprofileerde in de van toepassing zijnde regeling zijn opgenomen. Het Europees Comité heeft aangegeven welke maatregelen minimaal moeten worden getroffen door de verwerkingsverantwoordelijke.
 
2. Het recht om zich te verzetten tegen profilering, ongeacht geautomatiseerde besluitvorming
Het recht van betrokkene om geïnformeerd te worden op grond van art. 13 of 14 AVG in samenhang met art. 5 lid 1 AVG moet aldus worden uitgelegd, dat de betrokkene door de verwerkingsverantwoordelijke moet worden geïnformeerd over het feit dat hij/zij aan profilering wordt onderworpen én dat de betrokkene het recht heeft om zich te verzetten tegen profilering, ongeacht of geautomatiseerde besluitvorming op basis van profilering plaatsvindt (punt 60 van de preambule van de AVG; Guidelines on automated Individual decision-making and Profiling for the purposes of Regulation 2016/679, 6 feb. 2018, WP251rev.01, p. 17). 

Het recht van inzage (art. 15 AVG) houdt in dat de verwerkingsverantwoordelijke inzicht verschaft in de gegevens die als input zijn gebruikt om een profiel van de betrokkene op te maken; tevens dient de betrokkene toegang te hebben tot informatie over de hem betreffende profilering en de details van de categorisering waarin de betrokkene is ingedeeld. Uitzonderingen op deze concrete verplichtingen worden gemaakt voor zover het de handelsgeheimen en intellectuele eigendomsrechten van de verwerker betreft (Guidelines on automated Individual decision-making and Profiling for the purposes of Regulation 2016/679, 6 feb. 2018, WP251rev.01, p. 17).

  

3. 'Passende maatregelen' (appropriate safeguards) ter compensatie van de inbreuk op uw recht om niet geprofileerd te worden (art. 22 AVG) 
Het Europees Comité voor gegevensbescherming, European Data Protection Board, wijst op de gevaren die profilering met zich brengt. Fouten en/of bias in verzamelde en gedeelde data, alsmede fouten en bias in geautomatiseerde (besluitvormings)processen en instrumenten voor profilering resulteren in incorrecte classificaties en beoordelingen gebaseerd op inadequate projecties. De rechten en belangen van betrokkenen worden rechtstreeks getroffen. Het EDPB onderstreept de noodzaak tot transparantie. De betrokkene die aan geautomatiseerde besluitvorming of profilering is onderworpen, kan een beslissing slechts in twijfel trekken, als de verwerkingsverantwoordelijke inzichtelijk heeft gemaakt hoe de beslissing tot stand is gekomen en op welke basis de beslissing is gebaseerd. 

De verwerkingsverantwoordelijke is verplicht om de betrokkene specifieke informatie te verschaffen en te garanderen dat de betrokkene de besluitvorming in het kader van profilering aan kan vechten (punt 71 van de preambule AVG; Guidelines on automated Individual decision-making and Profiling for the purposes of Regulation 2016/679, 6 feb. 2018, WP251rev.01, p. 27). De verwerkingsverantwoordelijke is verplicht om de betrokkene: 

- te informeren over de activiteit waarvoor de data van de betrokkene worden verzameld en verwerkt;
- inzicht te verschaffen in de achterliggende logica van het instrument;
- uitleg te geven over de invloed op de belangen van en mogelijke gevolgen voor de betrokkene.

Het verschaffen van inzicht in de achterliggende instrument voor data-analyse, geautomatiseerde besluitvorming en profilering moet 'betekenisvol' zijn. Om te voorkomen dat de verwerker met onbegrijpelijke statistieken of berekeningen aan komt zetten om aan de plicht tot het verschaffen van inzicht in de logica te voldoen, heeft het EDPB aangegeven dat 'betekenisvolle informatie' over de toegepaste logica (algoritmen) onder meer betrekking heeft op:

- gegevens betreffende in het verleden geconstateerde fraude en betalingsachterstanden;
- de wijze van 'credit scoring': welke waarde wordt toegekend aan bepaalde gegevens, ofwel: in welke mate gegevens tot een bepaalde risicoscore leiden;
- officiële, publiekelijk bekende gegevens, zoals gegevens over insolventie en openbare gegevens over fraude;
- de garantie van de verwerkingsverantwoordelijke dat regelmatig wordt gecontroleerd en bewaakt dat de data-analyse en profilering eerlijk, adequaat en vrij van bias is.
(Guidelines on automated Individual decision-making and Profiling for the purposes of Regulation 2016/679, 6 feb. 2018, WP251rev.01, p. 24-26). 

In het volgende bericht, deel III, ga ik in op de wettelijke grondslag voor de rechtmatigheid van de verwerking van uw persoonsgegevens, de doelbindingseis en de eisen van proportionaliteit en subsidiariteit (noodzaak en dataminimalisatie)

Het 'black box'-karakter van geheime dataveillance & Big Data-analyse en uw rechten (deel I)

Het recht van de burger op informatie, inzage, rectificatie, wissing en verwerkingsbeperking, ongeacht het 'black box'-karakter van data-analyse en profilering
Voorstanders van geheime dataveillance voeren aan dat ongerichte dataveillance gerechtvaardigd is ten behoeve van de opsporing van fraude en delicten. De insteek van de discussie zou anders moeten zijn. Stel, u komt in de WIA na een arbeidsongeval en na afloop van de WIA ontvangt u een uitkering krachtens de Participatiewet. U hebt uw persoonsgegevens af moeten staan. Het overheidsorgaan laat uw gegevens verzamelen en verwerken zonder u daarvan op de hoogte te brengen. Volgens het overheidsorgaan is er een toereikende rechtsgrond voor de verzameling en verwerking van uw gegevens, omdat u een uitkering krachtens de Participatiewet ontvangt. Ontegenzeglijk hebt u uw gegevens niet afgestaan met de intentie dat instrumenten voor datamining en data-analyse zich een weg door uw persoonsgegevens banen. Als ik de pech heb dat ik een uitkering aan zou moeten vragen, dan geef ik mijn persoonlijke data niet af met het doel om deze over te leveren aan een inlichtingenbureau of een privaat bedrijfje in Big Data-analyse. Zamyatin heeft het goed ingezien: zoals hij in 1920 in zijn dystopische novel ‘Мы’ (‘Wij’) voorspelde, kan iedere seconde van het leven van de mens met behulp van kunstmatige intelligentie aan massasurveillance worden onderworpen.  
 

De discussie over de inzet van instrumenten zoals SyRI, Hansken, iColumbo, het systeem Alert en door privaatrechtelijke bedrijfjes ontwikkelde instrumenten voor data-analyse en datamining, zou betrekking moeten hebben op de effectiviteit waarmee iedere burger zijn of haar recht op eerbiediging van de persoonlijke levenssfeer kan uitoefenen. De discussie zou wat mij betreft dan ook niet uitsluitend op (discriminerende) algoritmen gericht  moeten zijn. Toegepaste voorspellende algoritmen zijn niet zo intelligent dat zij uit zichzelf onderscheid aan kunnen brengen. Dit technische gegeven maakt dat het voor de betrokkene dan ook niet interessant is om de 'black box'-problematiek te bestrijden door inzicht in de voorspellende algoritmen te eisen. Zou een overheidsorgaan aan die eis tegemoetkomen, dan krijgt de betrokkene waarschijnlijk een onbegrijpelijke statistiek te zien die hem niet meer inzicht verschaft over hoe de verwerkingsverantwoordelijke met zijn persoonsgegevens is omgegaan. Het resultaat zou daarmee alsnog niet voldoen aan de eis van transparantie bij de verstrekking van informatie aan de betrokkene als bedoeld in de Algemene Verordening Gegevensbescherming (art. 12 AVG).

In een vorig bericht, 'Datamining, Machine Learning en voorspellende algoritmen: hoe geschikt zijn deze methoden voor risicotaxatie?', constateerde ik dat algoritmen worden getraind met datasets die menselijke waardeoordelen van de opdrachtgever uitdrukken. Waar inzicht in de algoritmen van instrumenten als SyRI voor de betrokkene weinig zinvol zal zijn, wordt mijns inziens beter aangesloten bij de eisen van transparantie, informatie, toegang en inzage (artt. 12-15 AVG) door inzicht in de datasets en audit-logbestanden, alsmede in de uitvoering van het verplichte Privacy Impact Assessment (PIA) te verschaffen. Ik kom hier nog op terug. In het onderstaande bericht ga ik in op uw concrete informatierechten, uw recht van inzage, rectificatie en wissing, onverschillig het 'black box'-karakter van de verwerking van uw persoonsgegevens. 

Overzicht
Minimale vereisten voor dataverzameling, - verwerking en -analyse op grond van de AVG:
1. Transparantie;
2. Uw concrete informatierechten;
3. Uw recht van inzage, rectificatie, wissing en beperking van gegevensverwerking

Minimale vereisten voor dataverzameling, -verwerking en -analyse op grond van de AVG
1. Transparantie
Persoonsgegevens behoren op transparante wijze te worden verwerkt (art. 5 lid 1 sub a AVG). De verwerker dient de betrokkene in verband met de verwerking van persoonsgegevens op transparante, begrijpelijke en gemakkelijk toegankelijke wijze informatie te verschaffen (art. 12 AVG). Zoals ik heb opgemerkt, neemt het heimelijke karakter van op ‘black box’-principes gebaseerde systemen voor dataveillance en -analyse (waaronder SyRI en het voormalige Systeem Alert) niet weg dat de betrokkene zijn informatierecht effectief moet kunnen uitoefenen. Indien de persoonsgegevens bij de betrokkene zijn verzameld, is art. 13 AVG op de informatieplicht van toepassing; zijn de persoonsgegevens niet van de betrokkene verkregen, dan gelden dezelfde voorwaarden o.g.v. art.14 AVG. 

2. Uw concrete informatierechten
De verwerkingsverantwoordelijke dient de identiteit en contactgegevens van zichzelf en/of de vertegenwoordiger van de verwerkingsverantwoordelijke te verstrekken (art. 14 lid 1 onder a AVG). Dit betekent dat het overheidsorgaan als verwerkingsverantwoordelijke en de verwerker (een privaat bedrijf in data-analyse of het Inlichtingenbureau in Utrecht) de identiteit en contactgegevens behoren op te geven aan de betrokkene. 

De verwerkingsdoeleinden waarvoor de persoonsgegevens zijn bestemd en de rechtsgrond voor de verwerking dienen te worden verstrekt, evenals de categorieën van persoonsgegevens die zijn verzameld en verwerkt (art. 14 lid 1 onder c-d AVG). De persoon of instantie die de persoonsgegevens van de verwerker ontvangt, dient te worden vermeld (art. 14 lid 1 onder e AVG). De betrokkene moet worden geïnformeerd over de periode van de opslag van persoonsgegevens (art. 14 lid 2 onder a AVG). Roept de verwerkingsverantwoordelijke gerechtvaardigde belangen in als grond voor de rechtmatigheid van de verwerking (art. 6 lid 1 onder f AVG), dan moet over deze ‘gerechtvaardigde belangen’ informatie worden verstrekt (art. 14 lid 2 onder b AVG). 

De betrokkene heeft het recht op inzage en rectificatie van de persoonsgegevens. Ook kan de betrokkene om beperking van de verwerking van zijn persoonsgegevens verzoeken en bezwaar maken tegen de verwerking en overdracht van zijn persoonsgegevens (art. 14 lid 2 onder c AVG). Tegen de verwerking van persoonsgegevens moet een klacht kunnen worden ingediend bij de toezichthoudende autoriteit, de Autoriteit Persoonsgegevens (art. 14 lid 2 onder e AVG). De verwerkingsverantwoordelijke moet aangeven uit welke bronnen de persoonsgegevens afkomstig zijn, ook als het openbare bronnen betreft (art. 14 lid 2 onder f AVG). 

Relevant ten aanzien van systemen zoals SyRI is dat de betrokkene het recht heeft om geïnformeerd te worden over hem betreffende profilering. De verwerker is verplicht om informatie te verschaffen over het belang en de verwachte gevolgen van de profilering voor de betrokkene (art. 14 lid 2 onder g AVG). Is de verwerkingsverantwoordelijke voornemens om persoonsgegevens verder te verwerken voor een ander doel waarvoor de gegevens zijn verkregen, dan dient de betrokkene van nog vóór die verdere verwerking te worden geïnformeerd over het nieuwe doeleinde (art. 14 lid 4 AVG). 

3. Uw recht van inzage, rectificatie, wissing en beperking van gegevensverwerking
De hiervoor besproken transparantie- en informatieverplichtingen van de verwerkingsverantwoordelijke dienen de uitoefening van uw recht van inzage, wissing en beperking van de verwerking van uw persoonsgegevens mogelijk te maken. De betrokkene dient van de verwerkingsverantwoordelijke uitsluitsel te krijgen over de verwerking. Het recht van inzage houdt in, dat u geïnformeerd moet worden over de doeleinden van de verwerking, de betrokken categorieën van persoonsgegevens, de ontvangers aan wie uw gegevens zijn of zullen worden verstrekt en de periode van de opslag van uw gegevens (art. 15 lid 1 onder a-d AVG).

In het geval van profilering of geautomatiseerde besluitvorming, dient u te worden geïnformeerd over het belang en de gevolgen van de verwerking (art. 15 lid 1 onder h AVG). U hebt het recht om te verzoeken om rectificatie, wissing of beperking van de verwerking van uw gegevens en om bezwaar te maken (art. 15 lid 1 onder e AVG). U dient te worden geïnformeerd over de mogelijkheid om de Autoriteit Persoonsgegevens in te schakelen (art. 15 lid 1 onder f AVG). De verwerkingsverantwoordelijke moet aangeven uit welke bronnen de persoonsgegevens afkomstig zijn (art. 15 lid 1 onder g AVG). 

U hebt het recht om van de verwerkingsverantwoordelijke onverwijld rectificatie van onjuiste gegevens te verkrijgen; tevens dient de verwerkingsverantwoordelijke ervoor te zorgen dat uw persoonsgegevens volledig zijn. Indien u aanvulling verstrekt, moet de verwerkingsverantwoordelijke deze verwerken (art. 16 AVG). Voorts hebt u het recht om gegevenswissing in het kader van uw recht op vergetelheid te verzoeken bij de verwerkingsverantwoordelijke (art. 17 AVG).

U dient van de verwerkingsverantwoordelijke beperking van de verwerking van uw persoonsgegevens te verkrijgen, indien u de juistheid van uw gegevens betwist en de verwerkingsverantwoordelijke in staat wordt gesteld om de juistheid van uw gegevens te controleren, de verwerking onrechtmatig is, de verwerkte gegevens niet meer nodig zijn voor de verwerkingsdoeleinden of indien u op grond van art. 21 AVG bezwaar hebt gemaakt tegen de verwerking van uw gegevens (art. 18 lid 1 onder a-d AVG). 

In het volgende bericht, deel II, ga ik in op uw recht om niet geprofileerd te worden.

Datamining, Machine Learning en voorspellende algoritmen: hoe geschikt zijn deze methoden voor risicotaxatie?

(Big) Data-analyse: 'garbage out' is noodzakelijk om te voorkomen dat algoritmen verkeerd worden getraind

Om willekeurige of ongestructureerde data van relevante data te schiften, moet een analytisch instrument worden ingezet. De hoeveelheid data moet niet alleen worden verkleind, maar ook worden verfijnd om tot een specifieker resultaat te komen. Daarvoor kan gebruik worden gemaakt van een zogenaamd ‘Warehouse’, een digitale verzameling data afkomstig uit diverse bronnen. Om te voorkomen dat voorspellende algoritmen worden getraind met verouderde data en om het risico op inaccurate voorspellingen (vals-positieven) te verkleinen, dienen de data te worden ververst en in omvang te worden beperkt, ofwel: garbage out.[1] Met een dergelijk ‘digitaal warenhuis’ als referentiepunt kunnen correlaties tussen data worden ontdekt. Over de duur van het bewaren van persoonsgegevens in een Warehouse is niets bekend; op grond van het voormelde zal het waarschijnlijk gaan om een onbepaalde duur, behoudens de verversing. Het luistert in deze vroege fase van het proces van data-analyse nauw: als inaccurate gegevens worden bewaard en toegepast, wordt de onderzochte persoon onterecht als 'verdachte' of 'mogelijke fraudeur' aangemerkt.

Datamining, Supervised Machine Learning en Kunstmatige Intelligentie

Een belangrijke stap in het ontdekken van correlaties tussen datasets is ‘Knowledge Discovery of Databases’, of ‘datamining’.[2] Statistical Analysis System (SAS) omschrijft datamining als ‘het proces waarbij naar anomalieën, patronen en correlaties wordt gezocht, om een bepaalde uitkomst te kunnen voorspellen’.[3] De voorloper van datamining is ‘machine learning', een techniek die inhoudt dat algoritmen op basis van statistische gegevens worden getraind.[4] Formules worden ingegeven om algoritmen te ontwikkelen, trainingsets van data worden als ‘input’ gegeven en het resultaat ervan wordt als ‘output’ verstrekt. Algoritmen krijgen de opdracht om het verband tussen input en output te leggen en zichzelf te evalueren. De uitkomst van deze feedback wordt gebruikt om patronen te herkennen.[5] Deze vorm, ‘supervised machine learning’ is bij uitstek geschikt om data te classificeren: algoritmen categoriseren data naar het voorbeeld van vooraf verstrekte, gelabelde datasets en leren om data te ‘labelen’, ofwel een bepaalde eigenschap toe te kennen.[6] Als een plaatje van een ploertendoder als input en een vergelijkbaar plaatje met de titel ‘ploertendoder’ als output wordt verstrekt, leren de algoritmen om plaatjes van ploertendoders te classificeren. 

Profilering en voorspellende algoritmen en het risico op bias-gedreven valse resultaten

Algoritmen zijn de moleculen van alle vormen van kunstmatige intelligentie. Een algoritme kan worden omschreven als een formule, een eindige reeks die ingegeven data (bijvoorbeeld door opdrachten in zoekmachines, muisklikken en het bezoeken van webpagina’s gegenereerd) omzet in ‘output’, een bepaald resultaat. Om profilering van bepaalde categorieën van personen of verschijnselen en van bepaalde groepen van personen mogelijk te maken, dienen algoritmen te worden getraind met datasets. Het trainen van algoritmen, supervised machine learning, is vooralsnog een menselijke aangelegenheid. De waarde die door de onderzoeker of opdrachtgever wordt toegekend aan de dataset, beïnvloedt de uitkomst van het onderzoek. De uitkomst is, evenals de invoer van de dataset, afhankelijk van vooroordelen. Bij voortzetting van de gebruikelijke wijze van profilering is een bias in de datasets en daarmee in de profielschets of risicotaxatie onvermijdelijk. Bias-gedreven profilering vergroot het risico op valse positieven, dat nog eens wordt versterkt door te trainen met verouderde (persoons)gegevens. Bovendien is een zwakte inherent aan de toepassing van algoritmen in het data-analyseproces: algoritmen zeggen niets over causaliteit, het verband tussen oorzaak en gevolg. Algoritmen worden slechts toegepast om correlaties tussen verschijnselen bloot te leggen. Dat maakt voorspellende algoritmen niet geschikt om verwachtingen te toetsen.

Unsupervised Machine Learning, ongeschikt voor profilering

Bij een andere vorm van machine learning, ‘unsupervised machine learning’, ontbreekt het voorbeeld van gelabelde datasets. Algoritmen leggen patronen tussen ongestructureerde data. Unsupervised machine learning wordt gebruikt om ongestructureerde data te clusteren, in te delen naar overeenkomsten zonder een bepaald label te gebruiken.[7] De algoritmen plaatsen bijvoorbeeld allerlei plaatjes van ploertendoders in één omgeving, maar weten niet hoe deze wapens heten. Dat maakt unsupervised machine learning ongeschikt voor profilering, waarbij niet alleen relaties moeten worden gegenereerd, maar ook namen en classificaties (bijvoorbeeld ‘fraud!’) zullen moeten worden verbonden aan het resultaat. 

Een subvorm van machine learning is deep learning, het via een gelaagde neurale structuur ontdekken van complexe patronen in grote hoeveelheden data.[8] Het onderscheidende aan deep learning is de behoefte aan forse ‘computational power’ voor het uitvoeren van een complexe taak; één neurale laag kan uit wel vierhonderd processoren bestaan.[9]  Machine learning en deep learning vallen onder het onderzoeksgebied van de Kunstmatige Intelligentie (K.I.), met dien verstande dat K.I. geen synoniem is voor machine learning. Kunstmatige Intelligentie bestudeert het vermogen van computers om autonoom complexe taken uit te voeren en probleemoplossend te werk te gaan.[10] 

Zijn algoritmen wel geschikt om risico's te taxeren? Correlatie, geen causaliteit

Algoritmen liggen ten grondslag aan de automatisering van processen, waaronder datamining. Kenmerkend van door Big Data gedreven algoritmen is dat géén hypotheses worden ingegeven. Het doel is niet om een bepaalde verwachting te toetsen, maar om correlaties tussen verschijnselen te ontdekken.[11] Dat maakt dat de causaliteit van een gebeurtenis in de fase van de datamining buiten beschouwing blijft.

Conclusie
Profilering in de huidige verschijningsvorm wordt gekenmerkt door 'supervised machine learning', het trainen van algoritmen met vooraf ingegeven datasets. Deze datasets dragen, afhankelijk van de intentie van de opdrachtgever, in de regel menselijke waardeoordelen. Algoritmen die worden ingezet voor profilering zijn in die zin niet intelligent, dat zij zelf patronen kunnen ontdekken. Een zwakte aan profilering is dat (voorspellende) algoritmen niet worden ingezet om hypotheses te toetsen, maar slechts om correlaties te weergeven. Het onderzoeken van de causaliteit van een gebeurtenis blijft een menselijke aangelegenheid. Het 'minen' van grote hoeveelheden data is evenmin een geschikte methode om hypotheses te toetsen. Aan de resultaten van profilering en datamining mag geen betekenis worden toegekend voordat nadere menselijke interventie of interventie door een geschikte methode heeft plaatsgevonden. 'Vals-positieven' moeten uit programma's die werken op voorspellende algoritmen worden getraind. Bovendien kunnen de datasets waarmee voorspellende algoritmen worden getraind, bias bevatten. Daarmee is de bias in de profielschets of risicotaxatie onvermijdelijk. 

---

[1] B. Mali, C. Bronkhorst-Giesen en M. den Hengst, Predictive Policing: lessen voor de toekomst. Een evaluatie van de landelijke pilot (2017), p. 91-92; ‘Machine Learning in Information Security: Where the Hype Ends’, Cisco White Paper 2018, p. 3.

[2] R. Sietsma, Gegevensverwerking in het kader van de opsporing. Toepassing van datamining ten behoeve van de opsporingstaak: afweging tussen het opsporingsbelang en het recht op privacy, (diss. Universiteit Leiden), Leiden (2006), p. 23

[3] https://www.sas.com/nl_nl/insights/analytics/data-mining.html (geraadpleegd op 20 mei 2019).

[4] Vgl. https://cs.stanford.edu/memoriam/professor-arthur-samuel.

[5] Vgl. https://www.sas.com/nl_nl/insights/analytics/machine-learning.html (laatstelijk geraadpleegd op 20 mei 2019).

[6] Cisco Innovation Labs: How machine learning finds network trouble faster than anyone, via https://www.cisco.com/c/m/en_us/network-intelligence/service-provider/digital-transformation/get-to-know-machine-learning.html (laatstelijk geraadpleegd op 26 mei 2019).

[7] ‘Machine Learning in Information Security: Where the hype ends’, Cisco Whitepaper 2018, via https://www.cisco.com/c/dam/en/us/products/collateral/security/white-paper-c11-741159.pdf (geraadpleegd op 24 mei 2019).

[8] Vgl. https://machinelearningmastery.com/what-is-deep-learning/ (laatstelijk geraadpleegd op 26 mei 2019).

[9] Expanding deep learning, via https://www.umass.edu/research-report/expanding-deep-learning (geraadpleegd op 26 mei 2019).

[10] Definitie ontleend aan de informatie van de Universiteit van Massachusetts, faculteit Kunstmatige Intelligentie, via https://www.cics.umass.edu/research/area/artificial-intelligence (laatstelijk geraadpleegd op 26 mei 2019).

[11] T. Calders & B.H.M. Custers, ‘What is data mining and how does it work?’, in: B.H.M.

Custers e.a. (red.), Discrimination and privacy in the information society, Heidelberg:

Springer 2013, p. 27-28; G.H. Evers, ‘In de schaduw van de rechtsstaat: profilering en nudging door de overheid’, Computerrecht 2016/84-3, p. 167.

SyRI is in strijd met de EHRM-criteria, maar de lagere rechter zal het gebruik van SyRI rechtmatig oordelen

Reeds in 2014 heb ik aan de landelijke kranten een bericht over SyRI (Systeem Risico Indicatie) gestuurd, over de risico's van en bezwaren tegen systemen voor massasurveillance zoals SyRI. Het was te vooruitstrevend om in 2014 kritische noten te plaatsen bij het gebruik van SyRI: de grote dagbladen vonden het onderwerp niet prangend genoeg.

Die desinteresse heb ik ook geproefd binnen de sectie. Van de afdeling kreeg ik toestemming om onderzoek te doen naar de verenigbaarheid van SyRI met het verbod van détournement de pouvoir, de onschuldpresumptie en het rechtsbeginsel equality of arms. Naast de bestuursrechtelijke en strafrechtelijke noties zou ik onderzoek instellen naar de verenigbaarheid van SyRI met het recht op eerbiediging van het privéleven. De supervisor van het onderzoek heeft aangegeven SyRI als 'klein wetje' niet interessant en belangwekkend te vinden. De belangen die geraakt worden door de inzet van SyRI, werden geringschattend beoordeeld. Ik ben het er roerend mee oneens dat de inzet van SyRI als maatschappelijk onbeduidend wordt afgedaan.

Inmiddels is SyRI wél onderwerp van gesprek en wordt de maatschappelijke invloed ervan onderkend. Op 29 oktober 2019 heeft de Rechtbank Den Haag zich over de materie gebogen in de eerste zitting van de bodemprocedure in de SyRI-zaak. Ik verwacht dat de rechtbank de inzet van SyRI rechtmatig zal oordelen. Mocht de SyRI-zaak voor het Hof voor de Rechten van de Mens (EHRM) worden gebracht, dan zal het EHRM naar verwachting een vernietigend oordeel vellen.
  
De wettelijke basis van SyRI
SyRI is bij wijziging van de wet SUWI (Structuur Uitvoeringsorganisaties Werk en Inkomen) in de wet SUWI verankerd. In hoofdstuk 5a van het Besluit SUWI vindt u de bepalingen over het gebruik van SyRI door overheidsinstanties. Artikel 5a.1 van het Besluit SUWI wekt de indruk dat de systematische vergaring en verwerking van gegevens slechts in het kader van bestuursrechtelijk optreden door overheidsorganen en uitsluitend binnen de limitatieve opsomming van gegevens als bedoeld in artikel 5a.1 lid 3 onder a-q van het Besluit SUWI geschiedt; de gegevens van de burger worden echter door alle overheidsinstanties integraal verstrekt op grond van artikel 64 en 65 van de wet SUWI. Grootschalige en systematische analyse en verwerking van gegevens wordt dus gefaciliteerd door de koppeling van registers van overheidsorganen. Het doel van SyRI is de bevordering van de integrale samenwerking van overheidsorganen in de bestrijding van sociale zekerheids- en belastingfraude (art. 65 lid 2 jo. 64 lid 1 wet SUWI).

De betrokkene wordt níet in kennis gesteld van de verwerking van diens gegevens in SyRI (artikel 5a.5 leden 1 en 4 Besluit SUWI). Met 'instemming van de personen' met het verzoek tot systematische surveillance en verwerking (artikel 5a.1 lid 4 sub a Besluit SUWI) wordt dan ook niet de instemming van de betrokkene bedoeld, maar de instemming van personen die toezicht houden op de naleving van andere regelgeving afkomstig van de Minister van Sociale Zaken en Werkgelegenheid (artikel 64 lid 1 wet SUWI).

Black box: verborgen voorspellende algoritmen
Met de inzet van SyRI wordt een risicoprofiel opgemaakt. SyRI taxeert het risico op sociale zekerheidsfraude en belastingfraude aan de hand van onder meer opleidingsgegevens, de woonsituatie, omgevingsfactoren, studieschuld, andere schuldenlasten en gegevens over re-integratie. De samenstelling van de risicofactoren is in nevelen gehuld (artikel 5a.1 lid 7 Besluit SUWI). In het Besluit SUWI zijn de vereisten van proportionaliteit en subsidiariteit opgenomen (artikel 5a.1 lid 4 Besluit SUWI). De voorspellende algoritmen die achter SyRI schuilgaan, worden toegepast zonder dat sprake is van een concrete verdenking van fraude.

De inzet van SyRI kan door de burger niet worden gecontroleerd, omdat de overheid de 'black box-methode' toepast. Met 'black box' wordt geduid op de verborgen input van voorspellende algoritmen in Big Data-processen. Op de bezwaren tegen de black box heb ik gewezen in mijn onderzoek naar de toepassing van Big Data-analyses voor strafvorderlijke doeleinden.

Betrokkenen kunnen niet effectief toetsen of een overheidsorgaan bij grootschalige dataveillance en verwerking van persoonsgegevens, voldoet aan de vereisten van proportionaliteit en subsidiariteit. De doelbindingseis, het beginsel van dataminimalisatie en de mogelijkheid om rectificatie te eisen, neergelegd in de Algemene Verordening Gegevensbescherming (AVG), worden hiermee van betekenis ontdaan.

De prognose: de rechtbank oordeelt dat de toepassing van SyRI rechtmatig is....
Mijn verwachting is dat de Rechtbank Den Haag, die 29 oktober 2019 de eerste zitting in de zaak-SyRI behandelde en op 29 januari 2020 uitspraak zal doen in de bodemprocedure, de toepassing van SyRI rechtmatig zal oordelen. Dat oordeel kan worden gebaseerd op het formele vereiste van een wettelijke basis voor de systematische verzameling en verwerking van gegevens in de wet SUWI.
Het recht op eerbiediging van de persoonlijke levenssfeer, verankerd in artikel 10 van de Grondwet, wordt in de regel al snel gepasseerd als overheidsorganen hun werkzaamheden op een formele wet kunnen baseren.

....het EHRM zal de inzet van SyRI in strijd met artikel 8 EVRM oordelen
Het Europese Hof voor de Rechten van de Mens (EHRM) zal anders oordelen over de toelaatbaarheid van SyRI. De inzet van SyRI voldoet namelijk niet aan de eisen die het EHRM stelt aan de verenigbaarheid van deze wijze van datasurveillance met het recht op eerbiediging van het privéleven (artikel 8 EVRM). De omvangrijke jurisprudentie van het EHRM inzake systematische datasurveillance laat daarover geen twijfel bestaan. SyRI faalt op het criterium van de voorzienbaarheid van de aanwending van de bevoegdheid van het overheidsorgaan. Wettelijke waarborgen om de inbreuk op artikel 8 EVRM door de inzet van SyRI te compenseren, ontbreken. De wet dient duidelijke en gedetailleerde regels te stellen aan de toepassing van SyRI, zodat de betrokkene weet onder welke omstandigheden en onder welke voorwaarden de overheid bevoegd is om SyRI in te zetten (EHRM 21 juni 2011, 30194/09 (Shimovolos/Rusland), r.o. 68).

De aard en maximale duur van de inzet van SyRI moeten worden vermeld in de wet, evenals de procedures die door overheidsorganen worden gevolgd om persoonsgegevens in SyRI te onderzoeken, te gebruiken en op te slaan (EHRM 29 juni 2006, 54934/00 (Weber en Saravia/Duitsland), r.o. 95). De wet moet bovendien melding maken van de middelen die door de burger kunnen worden ingesteld tegen SyRI (EHRM 28 juni 2007 (Ekimdzhiev/Bulgarije), r.o. 71-77).

Door het 'black box'-karakter van SyRI, waarbij de onderwerping aan het onderzoek en de werking van voorspellende algoritmen voor de burger verborgen blijven, is het voor de burger onduidelijk onder welke omstandigheden en voorwaarden een overheidsorgaan bevoegd is om SyRI in te zetten. De wet SUWI en het Besluit SUWI stellen géén duidelijke, gedetailleerde regels aan de inzet van SyRI. Het enkel hebben van de hoedanigheid van uitkeringsgerechtigde krachtens de WW, WIA of Participatiewet, is niet een specifieke voorwaarde om aan SyRI te kunnen worden onderworpen.

Bovendien maken de wet en het Besluit géén melding van de middelen die door de burger kunnen worden ingesteld tegen de toepassing van SyRI. Als de wet SUWI wél melding zou maken van de rechtsmiddelen die kunnen worden aangewend, dan kan de burger zijn recht op het instellen van middelen alsnog niet effectief uitoefenen door de 'black box', omdat de burger niet in kennis wordt gesteld van de onderwerping aan SyRI.

Wat mij betreft moeten de volgende kwesties nader worden onderzocht:
- in hoeverre resultaten strafvorderlijke analyses, onder meer op basis van Hansken, iColumbo en de Raffinaderij, gekoppeld kunnen worden binnen het kader van de 'integrale samenwerking tussen overheidsorganen'. Hoewel het uitgangspunt is om in de SyRI-projecten géén justitiële gegevens te verwerken, sluiten de wet SUWI en het Besluit SUWI de verwerking van dergelijke gegevens niet uit;
- of de wettelijke bewaartermijn van twee jaar (art. 65 leden 5-7 wet SUWI) kan worden overschreden door een SyRI-onderzoek vóór afloop van de uiterste termijn te heropenen of nieuwe gegevens toe te voegen aan de risicotaxatie.

Conclusie
Vanwege het ontbreken van duidelijke, gedetailleerde regels die de burger inlichten over de voorwaarden en omstandigheden voor toepassing van SyRI én vanwege het ontbreken van wettelijke waarborgen voor het compenseren van de inbreuk op artikel 8 EVRM, zal het EHRM naar verwachting een vernietigend oordeel vellen over de inzet van SyRI door de overheid. Vóórdat het EHRM een verzoekschrift in behandeling neemt, dienen de Nederlandse rechtsmiddelen te zijn uitgeput. Het kan dus nog jaren gaan duren voordat de zaak het tot het EHRM brengt. In de tussentijd heeft de overheid een nieuw taxatie-instrument dat wordt gedreven door voorspellende algoritmen geïntroduceerd, om de SyRI-controverse te vermijden, of een wetswijziging ingevoerd om te voldoen aan de minimumeisen voor een proportionele en subsidiaire toepassing van SyRI.

Toetsing EHRM-criteria: artikel 8 EVRM