Brief regering : Reactie advies AP inzake geautomatiseerde selectietechnieken

Nr. 310 BRIEF VAN DE STAATSSECRETARISSEN VAN BINNENLANDSE ZAKEN EN KONINKRIJKSRELATIES, VAN
JUSTITIE EN VEILIGHEID EN VAN FINANCIËN

Aan de Voorzitter van de Tweede Kamer der Staten-Generaal

Den Haag, 3 december 2024

Binnen de overheid worden veel processen geautomatiseerd uitgevoerd. Die processen
variëren van simpele tot geavanceerde modellen, zoals bijvoorbeeld een eenvoudige
beslisregel die kan bepalen of een burger al dan niet in aanmerking komt voor een
specifieke regeling, tot selectie-instrumenten met veel selectieregels waarmee bepaald
wordt of een geval voor een handmatige beoordeling in aanmerking komt.

Geautomatiseerde processen zijn voor de overheid onmisbaar; om wettelijke taken efficiënt
uit te voeren, maar ook om kwalitatief goede en tijdige dienstverlening te bieden.
Voorbeelden hiervan zijn de aanslag die geautomatiseerd wordt opgelegd na een aangifte
inkomstenbelasting en de reactie op een AOW-aanvraag, maar bijvoorbeeld ook de snelheid
waarmee op een verzoek of aanvraag kan worden gereageerd.

Bij het geautomatiseerd uitvoeren van processen dient altijd te worden voldaan aan
de voorwaarden uit wetgeving, waaronder in het bijzonder de Algemene Verordening Gegevensbescherming
(AVG) en de Algemene wet bestuursrecht (Awb). Bestuursorganen dienen dan ook te handelen
conform de algemene beginselen van behoorlijk bestuur. Dit samenstel van regels borgt
de rechten van betrokkenen. Het spreekt daarbij voor zich dat nimmer sprake mag zijn
van ongerechtvaardigd onderscheid.

Naar aanleiding van specifieke geautomatiseerde processen onder verantwoordelijkheid
van het Ministerie van Financiën, is onderzocht hoe geautomatiseerde selectie-instrumenten
zich verhouden tot artikel 22 van de AVG en artikel 40 van de Uitvoeringswet AVG (UAVG).
In de derde Voortgangsbrief Wet waarborgen gegevensverwerking Belastingdienst, Toeslagen
en Douane (WGBTD)1 werd uw Kamer erover geïnformeerd dat de landsadvocaat was gevraagd te adviseren
over het gebruik van geautomatiseerde selectie-instrumenten die bepalen welke aangiften
of aanvragen handmatig behandeld worden. Het advies van de landsadvocaat is op 13 maart
2024 aan uw Kamer aangeboden.2

De landsadvocaat benadrukte in zijn advies dat in artikel 22 AVG verschillende open
normen bevat waarover de rechtspraak nog niet is uitgekristalliseerd. De landsadvocaat
geeft aan dat het profileringsbegrip in de AVG ruim moet worden uitgelegd en acht
het waarschijnlijk dat een geautomatiseerde selectie een betrokkene in aanmerkelijke
mate kan treffen. De landsadvocaat heeft er in zijn advies echter steeds op gewezen
dat dit een inschatting is die met onzekerheid is omgeven omdat er uit de (beperkte)
rechtspraak nog geen eenduidig beeld te schetsen is en er nog geen concrete, door
de rechtspraak ontwikkelde handvatten zijn waaraan een rechter kan toetsen. Om nadere
duiding van de begrippen te krijgen, is de Autoriteit Persoonsgegevens (AP), als onafhankelijke
nationale toezichthouder op de AVG, die mede tot taak heeft het geven van normuitleg
over begrippen uit de verordening, gevraagd om aanvullend advies.

Bij brief van 25 oktober 2024 ontving uw Kamer van de staatssecretarissen van Financiën
het advies van de AP inzake geautomatiseerde selectie. Deze brief sloot af met de
toezegging dat uw Kamer op een later moment een kabinetsbrede reactie op het advies
ontvangt, aangezien het advies ook gevolgen heeft voor andere uitvoeringsdiensten
dan die van het Ministerie van Financiën. Met deze brief doen wij deze toezegging
gestand.

Kernpunten

De AP concludeert dat geen specifieke wetgeving nodig is voor het maken van geautomatiseerde
risicoselecties (op basis van profilering), wanneer eventuele gevolgen voor betrokkene
van selectie pas intreden na de betekenisvolle menselijke tussenkomst. Omdat eerder
door uw Kamer gedane informatieverzoeken gerelateerd aan dit advies in een ander licht
zijn komen te staan, zijn wij voornemens geen separate inventarisatie uit te voeren
en aan te sluiten bij het in kaart brengen van algoritmes in het kader van het Algoritmeregister.
De AP herhaalt dat bij geautomatiseerde selectie-instrumenten en geautomatiseerde
besluitvorming moet worden voldaan aan een aantal waarborgen. Op korte termijn zal
een aantal uitvoeringsorganisaties inzichten opdoen door een aantal selectie-instrumenten
in de uitvoeringspraktijk in het licht van het advies AP te bezien.

Leeswijzer

De brief geeft eerst een toelichting op het AP-advies. Daarbij wordt stilgestaan bij
de voorwaarden voor geautomatiseerde selectie-instrumenten en voorwaarden voor geautomatiseerde
besluitvorming. Daarna volgt de conclusie, inclusief de informatieverzoeken van uw
Kamer. Er wordt afgesloten met de algemene inzet van het kabinet.

Toelichting op het AP-advies: geautomatiseerde selectie-instrumenten versus geautomatiseerde
besluitvorming

1. Voorwaarden voor geautomatiseerde selectie-instrumenten

De AP onderkent in haar advies dat het voor veel overheidsprocessen onontbeerlijk
is dat in het kader van uitvoering of toezicht op basis van (risico)selectie gevallen
in beeld worden gebracht die extra aandacht moeten krijgen. Dit grote belang voor
effectief overheidsoptreden laat evenwel onverlet dat waarborgen in acht moeten worden
genomen die de risico’s ondervangen van verwerkingen met een geautomatiseerd karakter
en met profilering. De AP beoordeelt in haar advies dan ook hoe dit vraagstuk bezien
moet worden in het licht van de reikwijdte van artikel 22 AVG. Daarvoor staat vooral
de vraag centraal wanneer een geautomatiseerde verwerking kwalificeert als geautomatiseerde
besluitvorming.

Artikel 22, eerste lid, AVG verbiedt het nemen van een uitsluitend op geautomatiseerde
verwerking (met inbegrip van profilering) gebaseerd besluit, waaraan ofwel voor de
betrokkene rechtsgevolgen zijn verbonden ofwel dat hem anderszins in aanmerkelijk
mate treft. Hierop kunnen echter onder meer bij nationaal recht uitzonderingen worden
gemaakt, mits hierbij de rechten en belangen van betrokkenen voldoende worden gewaarborgd.
In Nederland is op grond van artikel 40 UAVG geautomatiseerde besluitvorming wel toegestaan,
maar alleen «indien de geautomatiseerde individuele besluitvorming, anders dan op basis van profilering, noodzakelijk is om te voldoen aan een wettelijke verplichting die op de verwerkingsverantwoordelijke
rust of noodzakelijk is voor de vervulling van een taak van algemeen belang.»

Om te beoordelen of het verbod van artikel 22 AVG van toepassing is, dient te worden
vastgesteld of een vorm van volledig geautomatiseerde verwerkingen zodanige impact
(in de vorm van een rechtgevolg of anderszins aanmerkelijk) op de burger heeft dat
sprake is van geautomatiseerde besluitvorming. Wordt iemand door een volledige geautomatiseerde
verwerking namelijk niet door middel van een rechtsgevolg of »anderszins in aanmerkelijke
mate» getroffen, dan is ook geen sprake van geautomatiseerde besluitvorming die op
basis van artikel 22 AVG verboden is.

De AP schrijft in haar advies dat er geen bindende en uitputtende invulling van deze
norm («anderszins in aanmerkelijke mate getroffen») kan worden gegeven, maar dat wel
algemene kaders kunnen worden gegeven. Gedacht moet worden aan ernstige, aanzienlijke
effecten die groot of belangrijk genoeg zijn om aandacht te verdienen.3 Dat is in ieder geval zo, als een geautomatiseerde verwerking het potentieel heeft
om de omstandigheden, het gedrag of de keuze van de betrokken personen in aanmerkelijke
mate te treffen; een langdurig of blijvend effect op de betrokkene te hebben; of,
in het uiterste geval, tot uitsluiting of discriminatie te leiden. Extra moeite of
tijd of reguliere, verwachte controle «treft» betrokkene volgens de AP doorgaans niet
aanmerkelijk, evenmin als een hogere kans dat nadelige onjuistheden aan het licht
komen. Dit zal volgens de AP van geval tot geval moeten worden bezien.

Het voorgaande betekent dat geautomatiseerde selectie-instrumenten die voor burgers
ernstige, aanzienlijke effecten hebben, onder het verbod van artikel 22 eerste lid
AVG vallen. Het is derhalve naar het oordeel van de AP toegestaan om, zonder aanvullende
wettelijke grondslag, bij uitvoering of toezicht geautomatiseerd risicoselecties te
maken als deze alleen maar gebruikt worden om te beoordelen of acties jegens betrokkene
nodig zijn, zoals navraag doen of informatie verzamelen. Dat bij deze selectie-instrumenten
gebruik wordt gemaakt van vormen van profilering, maakt dat in beginsel niet anders.
Dat het selecteren van aanvragen of verzoeken ten behoeve van handmatige beoordeling
gebeurt op basis van profilering, wil namelijk niet zeggen dat het uiteindelijke besluit
zelf ook is gebaseerd op profilering. Wanneer profilering geen invloed heeft op dat
besluit, staat het (rechts)gevolg daarvan geheel los van de profilering. Dat is het
geval wanneer het besluit tot stand is gekomen na handmatige behandeling (betekenisvolle
menselijke tussenkomst), waarbij de behandelaar in elk geval nagaat of de aanname
waarop de (profilerende) selectie voor handmatige controle is gebaseerd ook opgaat
in het voorliggende concrete geval. Hiermee valt de selectie/profilering buiten het
toepassingsbereik van artikel 22 AVG. Profilering is op grond van de AVG op zichzelf
immers toegestaan; slechts wanneer profilering geautomatiseerd en zonder menselijke
tussenkomst rechts- of aanmerkelijke gevolgen heeft voor betrokkenen wordt het verbod
van artikel 22 AVG geactiveerd.

De AP onderkent derhalve niet alleen het belang van geautomatiseerde risicoselectie
door middel van profilering als zijnde van groot belang voor effectief overheidsoptreden,
maar stelt bovendien vast dat bij het hanteren van dergelijke selectiemethoden waarin
deze wordt gevolgd door een betekenisvolle handmatige beoordeling, geautomatiseerde
besluitvorming zich niet voordoet. Dat betekent dat de artikelen 22 AVG en 40 UAVG
daarop evenmin van toepassing zijn.

Met het voorgaande heeft de AP in haar advies de vraag beantwoord in welke gevallen
het gebruik van geautomatiseerde selectie-instrumenten zodanige (feitelijke of rechts)gevolgen
heeft dat het verbod van artikel 22 AVG van kracht wordt. Uit het advies volgt dat
daarvan slechts in specifieke gevallen sprake is en dat de door de (U)AVG niet zonder
meer toegestane geautomatiseerde besluitvorming zich in veruit de meeste gevallen
binnen de overheid niet voordoet.

Wel wijst de AP er in zijn advies nadrukkelijk op dat op geautomatiseerde besluitvorming
reeds diverse waarborgen van toepassing zijn (onder andere voortvloeiend uit de Awb
en AVG). Het is van belang dat overheden deze waarborgen toepassen, zoals wij verderop
in de brief nader toelichten.

2. Voorwaarden voor geautomatiseerde besluitvorming

De AP geeft in het advies ook haar zienswijze over de voorwaarden die zouden moeten
gelden wanneer geautomatiseerde besluitvorming door overheidsorganisaties wél aan
de orde is.

Artikel 22, tweede lid aanhef en onder b AVG bepaalt dat het verbod op geheel geautomatiseerde
besluitvorming kan worden opgeheven bij een lidstaatrechtelijke bepaling die voorziet
in passende maatregelen ter bescherming van de rechten en vrijheden en gerechtvaardigde
belangen van de betrokkene en dat de vereiste passende maatregelen zijn neergelegd
in wetgeving die «op de verwerkingsverantwoordelijke van toepassing is». Daarbij wijst
de AP erop dat verwerkingsverantwoordelijke bestuursorganen gebonden moeten zijn aan
de waarborgen die de wet biedt. De Nederlandse wetgever heeft met artikel 40 UAVG
voorzien in voornoemde lidstaatrechtelijke uitzonderingsbepaling. Artikel 40 UAVG
kent echter zelf niet de door artikel 22 AVG vereiste «passende maatregelen ter bescherming
van de rechten en vrijheden en gerechtvaardigde belangen van de betrokkene», maar
draagt de verwerkingsverantwoordelijke op om deze zelf te stellen. Hierbij kan worden
gedacht aan het recht van de betrokkene op menselijke tussenkomst van de verwerkingsverantwoordelijke,
het recht om zijn standpunt kenbaar te maken en het recht om het jegens hem genomen
besluit aan te vechten. Dit betekent volgens de AP dat geautomatiseerde besluitvorming
op basis van artikel 40 UAVG alleen is toegestaan wanneer deze passende maatregelen
in andere wetgeving dan de UAVG worden voorgeschreven.

De AP stelt dat de toepassing van de Awb in veel gevallen een passende maatregel kan
zijn zoals op grond van artikel 22 AVG wordt vereist. Zo moet een besluit bevoegd
zijn genomen, berusten op een deugdelijke en kenbare motivering en kunnen worden aangevochten.
Ook als er bij de voorbereiding van een besluit sprake was van (een vorm van) (risico)selectie,
dan moet dat (in het uiteindelijke besluit) kenbaar zijn voor een betrokkene en kunnen
worden aangevochten. Ook is een bestuursorgaan gehouden bij de voorbereiding van besluitvorming
de nodige kennis te vergaren over de relevante feiten en af te wegen belangen. Bovendien
moet een bestuursorgaan bij haar handelen – en dus ook als ze besluiten neemt en voorbereidt
– de algemene beginselen van behoorlijk bestuur respecteren. Bij geautomatiseerde
besluitvorming moet zorgvuldig bezien worden of het geautomatiseerde proces hier voldoende
recht aan doet. Zo kunnen bij kwetsbare doelgroepen of bijzonder gevoelige besluiten
extra waarborgen voor bijvoorbeeld voldoende toegang tot het bestuursorgaan zijn aangewezen.
Voorts stelt de AP dat aan de hand van een data protection impact assessment (DPIA)
beoordeeld kan worden of de waarborgen uit de Awb volstaan. Als dat het geval is,
kan gesteld worden dat de Awb een voldoende passende maatregel is als bedoeld in artikel
22 AVG.

Wij concluderen dat voor veel overheidsprocessen waarbij sprake is van de uitoefening
van gebonden bevoegdheden, waarbij er zeer geringe beoordelingsruimte is4, de huidige uitvoeringspraktijk kan blijven bestaan. Hier ligt het wel op de weg
van de overheid om meer aandacht te besteden aan de vraag of de motivering van de
besluitvorming voldoende is, ook daar waar het gaat over de wijze waarop het besluit
geautomatiseerd tot stand gekomen is (uitleg over de werking van het algoritme). In
de regel gaat het hier om informatie over de werking van deze eenvoudige beslisregels.
Bij besluitvorming waarvoor een geringe beoordelingsruimte geldt, is het denkbaar
dat er minder aanvullende passende maatregelen getroffen hoeven te worden.

Conclusie

Op basis van het AP-advies komen wij tot de slotsom dat het zonder aanvullende wetgeving
is toegestaan om bij uitvoering of toezicht geautomatiseerde risicoselecties te maken,
wanneer eventuele gevolgen voor betrokkene van selectie pas intreden na de betekenisvolle
menselijke tussenkomst. Hieruit volgt dat er geen wettelijke grondslagen ontbreken
voor door de overheid gebruikte geautomatiseerde selectie-instrumenten in de hiervoor
omschreven zin. Dit neemt niet weg dat elk proces op zijn eigen merites dient te worden
beoordeeld.

Inzet van het kabinet

Dit kabinet hecht aan de verantwoorde inzet van algoritmes, waaronder geautomatiseerde
selectie-instrumenten. Het naleven van wetgeving is daarbij het minimum. Het kabinet
werkt aan het Algoritmekader, waarmee voor organisaties duidelijker en praktischer
gemaakt moet worden aan welke vereisten zij moeten voldoen bij de inzet van algoritmes
en AI. Onder meer de AVG en de AI-verordening zijn daarin verwerkt. Ook het advies
van de AP zal hierin verwerkt worden.

Zoals afgesproken in het regeerprogramma, wil het kabinet werk maken van meer transparantie
en betere rechtsbescherming bij de inzet van algoritmes. Van belang is dat burgers
moeten kunnen weten hoe een geautomatiseerd besluit tot stand is gekomen. In de zomer
zijn de laatste reacties binnengekomen op het «Reflectiedocument Algoritmische besluitvorming
en de Awb» dat het kabinet in internetconsultatie heeft geplaatst.5 In dit reflectiedocument wordt onder meer ingegaan op de vraag hoe de individuele
transparantie en waarborgfunctie bij de inzet van algoritmes verbeterd kan worden.
Het kabinet beziet momenteel de mogelijke vervolgstappen hiervoor.

Met het vorige kabinet6 zijn wij van mening dat artikel 40 UAVG alles bijeengenomen kan blijven gelden als
uitzonderingsbepaling op artikel 22 AVG, mits bij de toegepaste geautomatiseerde besluitvorming
voldoende waarborgen in acht worden genomen, waaronder die uit de Awb. Wij zullen
aan de hand van het advies van de AP artikel 40 van de UAVG nog eens tegen het licht
houden en bezien of dit, alles overziend, aanpassing behoeft.

Naleving waarborgen

Volgens de AP moeten selectie-instrumenten aan een aantal waarborgen voldoen om de
wettelijke rechten, vrijheden en gerechtvaardigde belangen van betrokkenen te garanderen.
Uitvoeringsorganisaties binnen de overheid hebben deze waarborgen al in meer of mindere
mate in hun processen opgenomen, maar er is nog ruimte voor verbetering en aanscherping.
Het is van belang om invulling te geven aan alle door de AP benoemde waarborgen in
automatische selectieprocessen.

We starten dan ook met het analyseren van casuïstiek met betrekking tot de inzet van
selectie-instrumenten in de huidige uitvoeringspraktijk. De nadruk zal daarbij liggen
op geautomatiseerde besluitvorming waarbij persoonsgegevens worden verwerkt, aangezien
deze vanuit het oogpunt van dit onderzoek het meest belangwekkend zijn. Er wordt daarbij
inzichtelijk gemaakt hoe deze selectie-instrumenten zich verhouden tot de duiding
van artikel 22 AVG, aan welke waarborgen voldaan wordt in de huidige praktijk, wat
er mogelijk aanvullend nodig is om selectie-instrumenten verantwoord in te blijven
zetten en de wijze waarop hierover openheid en transparantie richting burgers en bedrijven
wordt verschaft. Daarbij zullen wij uiteraard gebruik maken van de handvatten die
de AP ons in hun advies heeft aangeboden. Door binnen deze aanpak de kennis en expertise
vanuit beleid en uitvoering te bundelen vergroten we het algehele kennisniveau binnen
de overheid op dit punt. Het Netwerk van Publieke Dienstverleners (NPD) heeft inmiddels
de taak op zich genomen om deze kennisdeling tussen beleid en uitvoering op dit punt
te organiseren. Ontwikkelingen zullen op gebruikelijke wijze door de verantwoordelijk
bewindspersoon (zoals bijvoorbeeld de standen van de uitvoering) aan de Kamer gemeld
worden.

Inventarisatieverzoek

Naar aanleiding van het advies van de landsadvocaat heeft uw Kamer, via respectievelijk
de commissies Digitale Zaken en Financiën, gevraagd om een lijst van alle algoritmen
die mogelijkerwijs illegaal zijn7 en om een lijst van algoritmes en geautomatiseerde selectie-instrumenten bij het
Ministerie van Financiën die mogelijk in strijd zijn met het SCHUFA-arrest.8 De genoemde inzichten uit het AP-advies stellen de informatieverzoeken van uw Kamer
in een ander daglicht. Een rijksbrede inventarisatie van in gebruik zijnde selectie-instrumenten
lijkt niet langer aan de orde, omdat in tegenstelling tot de conclusies van de landsadvocaat,
de modellen volgens de AP niet onder het verbod van artikel 22 AVG vallen. Bovendien
zou de werklast van een aparte inventarisatie terecht komen bij de mensen die binnen
de organisaties al verantwoordelijk zijn voor het registreren van algoritmes in het
Algoritmeregister en het uitvoeren van risicoanalyses. Een extra inventarisatie gaat
zodoende ten koste van de benodigde inspanningen om verantwoord algoritmen in te zetten
binnen de overheid. De beperkte capaciteit die beschikbaar is moet ingezet worden
om voortgang te boeken in het structureel borgen van een verantwoorde inzet van geautomatiseerde
selectie-instrumenten.

Om deze redenen zijn wij voornemens om geen separate inventarisatie te organiseren.
Wel blijft het ons inziens noodzakelijk dat inzichtelijk is welke geautomatiseerde
selectie-instrumenten en algoritmen de overheid hanteert en dat deze voldoende waarborgen
bieden voor betrokkenen. Daarbij zullen wij als gezegd gebruik maken van de handvatten
die de AP in haar advies heeft opgenomen.

Verder sluiten we aan op lopende activiteiten van overheidsorganisaties rondom het
in kaart brengen van algoritmes binnen de overheid.9 Daarmee wordt inzicht geboden in welke algoritmes de overheid heeft. Een gedeelte
van de algoritmes kan geclassificeerd worden als geautomatiseerd selectie-instrument.
Op die manier wordt op constructieve wijze voldaan aan het inventarisatieverzoek.

Het doel blijft om te komen tot een overzicht van algoritmes en geautomatiseerde selectie-instrumenten
die binnen de overheid gebruikt worden. Het is de verantwoordelijkheid van de organisaties
zelf om algoritmes juist in kaart te brengen. De huidige centrale ondersteuning bij
het registreren in het Algoritmeregister zullen we continueren.

Beleid en uitvoering werken intensief samen aan goede inzet van geautomatiseerde selectie-instrumenten
en algoritmen. Aangezien dit veel capaciteit vraagt van de uitvoering is daarbij ook
aandacht voor de uitvoerbaarheid van deze opgave. Voor deze opgave moet worden bezien
welke keuzes worden gemaakt binnen het totaal aan taken belegd bij de uitvoering,
mede in het licht van het hoofdlijnenakkoord. Om hier op goede wijze invulling aan
te geven worden ook de oproepen uit de recent aangescherpte Staat van de Uitvoering
bij de goede inzet van geautomatiseerde selectie-instrumenten en algoritmen benut.10

De Staatssecretaris van Binnenlandse Zaken en Koninkrijksrelaties,
F.Z. Szabó

De Staatssecretaris van Justitie en Veiligheid,
T.H.D. Struycken

De Staatssecretaris van Financiën,
T. van Oostenbruggen