Afgelopen maand heeft de Artikel 29 Werkgroep, het samenwerkingsverband van Europese privacy toezichthouders, twee nieuwe conceptrichtlijnen gepubliceerd. Deze documenten moeten meer duidelijkheid geven over de invulling van specifieke onderdelen van de in mei 2018 van toepassing zijnde Algemene Verordening Gegevensbescherming (AVG). Een van de twee recent gepubliceerde conceptrichtlijnen gaat over ‘geautomatiseerde besluitvorming en profilering’.

Voordat de definitieve versie van deze richtlijn gepubliceerd wordt, was er tot 28 november 2017 een openbare consultatieronde. De richtlijnen die de Europese privacywaakhond publiceert, zijn van belang aangezien deze een beeld schetsen van de interpretatie van de privacywetgeving door de nationale toezichthouders binnen de EU.

Geautomatiseerde besluitvorming en profilering in de praktijk

De Artikel 29 Werkgroep erkent in de richtlijn over ‘geautomatiseerde besluitvorming en profilering’ dat door nieuwe technologieën de ontwikkelingen rondom profilering steeds efficiënter worden, waardoor alsmaar meer middel besparende oplossingen geboden kunnen worden. Het risico bij deze ontwikkelingen is echter dat het kan leiden tot onrechtmatige inbreuken, die vaak automatisch worden doorgevoerd, op de rechten en vrijheden van betrokkene, bijvoorbeeld stereotypering en etnische segregatie.

Ter illustratie kan men kijken naar een proces waarbij gebruik gemaakt zou kunnen worden van geautomatiseerde besluitvorming gepaard met profilering, namelijk bij het uitschrijven van verkeersboetes op basis van flitscamera’s. Weggebruikers die te hard rijden ontvangen automatisch een boete voor te snel rijden, dit gebeurt op basis van geautomatiseerde besluitvorming. Als er tevens hierdoor een profiel wordt opgesteld aan de hand van cumulatieve verkeersboetes, door de activiteiten van de weggebruiker gedurende een langere periode te monitoren, en deze informatie bij een latere overtreding automatisch leidt tot een verhoging van de verkeersboete, is er sprake van profilering. Deze vorm van geautomatiseerde besluitvorming gepaard met profilering zou kunnen leiden tot onrechtmatige inbreuken op de rechten en vrijheden van de betrokkene.

Onder de AVG hebben personen, in beginsel, het recht om niet te worden onderworpen aan een uitsluitend op een geautomatiseerde verwerking gebaseerd besluit waaraan rechtsgevolgen zijn verbonden of waardoor deze persoon anderszins in aanmerkelijke mate getroffen wordt.

Wanneer is er sprake van profilering of geautomatiseerde besluitvorming?

De Artikel 29 Werkgroep geeft in zijn richtlijn aan wat er bedoeld wordt met ‘rechtsgevolgen’ en ‘in aanmerkelijke mate getroffen worden’. Onder ‘rechtsgevolgen’ wordt verstaan dat een beslissing effect heeft op de rechtspositie van een persoon (bijvoorbeeld door ontzegging van de toegang tot een land bij de grens). Om ‘in aanmerkelijke mate getroffen te worden’ moet een persoon een effect ervaren welke invloed kan hebben op zijn of haar omstandigheden, gedrag of keuze (bijvoorbeeld bij de afwijzing van een krediet aanvraag).

Is profilering bij kinderen toegestaan?

Verder gaat de conceptrichtlijn ook in op profilering bij kinderen. Hierbij vermeldt de Artikel 29 Werkgroep dat profilering bij kinderen onder de AVG niet wettelijk verboden is. Echter, een verwerkingsverantwoordelijke kan zich in het geval van geautomatiseerde besluitvorming bij kinderen, niet zomaar beroepen op de in de wet vermelde uitzonderingen. Dit mede vanwege de specifieke bescherming die kinderen krijgen met betrekking tot hun persoonsgegevens.

Verder wordt er ingegaan op andere eisen uit de AVG, waaronder op het feit dat de verwerkingsverantwoordelijke genoeg maatregelen moeten treffen om betrokkene te informeren over het gebruik van, en de logica achter, geautomatiseerde besluitvorming. Ook moeten er genoeg maatregelen getroffen worden om de betrokkene de consequenties van deze besluitvorming duidelijk te maken.

Vooruitzicht

Het einde van de consultatieperiode is inmiddels verstreken, de Artikel 29 Werkgroep zal waar nodig de richtlijn aanpassen op basis van de gegeven input. Hierover zullen wij u op de hoogte houden. Mocht u verder nog vragen hebben rondom het gebruik van profilering, automatische besluitvorming en de eisen die hieraan gesteld worden onder de AVG, neem dan contact met ons op.

Jonathan Toornstra Team Manager Legal & Responsible AI / Senior Legal Manager