Nieuwe Normen voor Geautomatiseerde Besluitvorming onder de AVG

01/05/2025 - Sinds de Algemene Verordening Gegevensbescherming (AVG) in 2018 in werking is getreden hebben betrokkenen het recht om besluiten die uitsluitend zijn gebaseerd op geautomatiseerde verwerking te vermijden wanneer deze besluiten rechtsgevolgen hebben of hun op andere manieren in aanmerkelijke mate treffen. In de afgelopen maanden hebben verschillende belangrijke juridische ontwikkelingen de interpretatie, transparantieverplichtingen en handhaving van dit recht verduidelijkt. Deze veranderingen weerspiegelen de snelle groei van algoritmische besluitvorming sinds de invoering van de AVG. Deze blogpost bespreekt de ontwikkelingen en legt uit wat de uitspraken betekenen voor betrokkenen en organisaties waarvoor de AVG geld.    

Wat zegt de AVG?

Artikel 22 verbiedt organisaties om een uitsluitend geautomatiseerd besluit over iemand te nemen als er rechtsgevolgen aan verbonden zijn of als het betrokkenen anderszins in aanmerkelijke mate treft. Dit verbod geld alleen voor uitsluitend geautomatiseerde besluitvorming. Organisaties mogen wel geautomatiseerde besluiten nemen als er een mogelijkheid is voor menselijke tussenkomst.    

Organisaties mogen ook een uitsluitend geautomatiseerd besluit over iemand nemen in een van de volgende gevallen:   

• Noodzakelijk voor een overeenkomst: Het besluit is noodzakelijk om een overeenkomst tussen de verwerkingsverantwoordelijke en de betrokkene af te sluiten of uit te voeren. 

• Toegestaan door een andere wet: Het besluit is toegestaan bij een wet die op de verwerkingsverantwoordelijke van toepassing is en die voorziet in passende maatregelen ter bescherming van de rechten en vrijheden en gerechtvaardigde belangen van de betrokkene. 
• Uitdrukkelijke toestemming: Het besluit berust op de uitdrukkelijke toestemming van de betrokkene. 

Artikel 15 van de AVG vereist ook dat organisaties het gebruik van geautomatiseerde besluitvorming transparant maken en op verzoek informatie geven over “nuttige informatie over de onderliggende logica, alsmede over het belang en de verwachte gevolgen” van een besluitvorming voor de betrokken persoon.   

Transparantie van geautomatiseerde besluitvorming:   

 In februari 2025 heeft het Hof van Justitie van de Europese Unie (HvJ-EU) een belangrijke uitspraak gedaan in zaak C-203/22 met betrekking tot het recht van inzage in persoonsgegevens in de context van geautomatiseerde besluitvorming. In die zaak weigerde een aanbieder van mobiele telefonie een klant de mogelijkheid te bieden een overeenkomst te sluiten op grond van een geautomatiseerde kredietbeoordeling.  

Het HvJ-EU oordeelde dat verwerkingsverantwoordelijken in gevallen van geautomatiseerde besluitvorming beknopte, transparante, begrijpelijke en gemakkelijk toegankelijke uitleg moeten geven over “welke procedure en beginselen er concreet zijn toegepast” op de persoonsgegevens van de betrokkene. Organisaties voldoen niet aan de vereisten van transparantie en begrijpelijkheid van artikel 15 in de AVG (hierboven beschreven). Het Hof verduidelijkt dat “noch de loutere mededeling van een complexe wiskundige formule, zoals een algoritme, noch een gedetailleerde beschrijving van alle stappen van geautomatiseerde besluitvorming” aan deze vereisten kan voldoen “omdat geen van beide methoden een voldoende beknopte en begrijpelijke uitleg vormt.” 

Maar wat betekent dit in de praktijk? Voor veel organisaties die uitsluitend geautomatiseerde besluitvorming gebruiken, zou deze uitspraak op zijn minst een herformulering van hun privacyverklaringen vereisen. Het is niet genoeg om te melden dat u geautomatiseerde besluitvorming gebruikt. Organisaties zullen op intelligente wijze een beknopte beschrijving moeten formuleren die duidelijk uitlegt hoe een beslissing via geautomatiseerde middelen tot stand is gekomen op basis van de persoonsgegevens van een individu. Deze informatie moet in op verzoek van de betrokkene ter beschikking kunnen worden gesteld in een manier die de betrokkene begrijpt. Gezien de complexiteit van deze procedures is dit geen makkelijke taak.   

“Betekenisvolle” menselijke tussenkomst:   

Zoals hierboven vermeld geld het algemene verbod van artikel 22 in de AVG alleen voor uitsluitend geautomatiseerde besluitvorming. In de Richtsnoeren inzake geautomatiseerde individuele besluitvorming en profilering voor de toepassing van Verordening verduidelijkt de European Data Protection Board (EDPB) dit onderscheid: “Uitsluitend geautomatiseerde besluitvorming is het nemen van besluiten met technologische middelen en zonder menselijke tussenkomst.” Ze verduidelijken verder dat een organisatie de verplichtingen van Artikel 22 van de AVG (hierboven opgesomd) niet kan omzeilen door menselijke betrokkenheid voor te wenden. Volgens de EDPB: “Om daadwerkelijke menselijke tussenkomst te realiseren moet de verwerkingsverantwoordelijke ervoor zorgen dat al het toezicht op de besluitvorming zinvol is, en niet slechts een symbolische handeling is.”   

Helaas is er onduidelijkheid over wat betekenisvolle menselijke tussenkomst inhoudt. De Autoriteit Persoonsgegevens (AP) vroeg daarom op 6 maart 2025 via een consultatie bedrijven en organisaties om input over handvatten voor betekenisvolle menselijke tussenkomst. De AP ontwikkelt hiermee een hulpmiddel voor degenen die binnen een organisatie menselijke tussenkomst vormgeven en inrichten (de ‘inrichters’) en degenen die dit uitvoeren (de ‘beoordelaars’). In haar consultatiedocument legt de AP uit dat menselijke tussenkomst alleen betekenisvol kan zijn als de beoordelaar begrijpt hoe en op basis van welke gegevens het algoritme tot een resultaat komt. Dit vereist dat de beoordelaar voldoende inzicht heeft in het algoritme dat wordt gebruikt en beschikt over de relevante kennis en vaardigheid om het besluit te nemen. 

De AP heeft de consultatie op 6 april afgerond en heeft het consultatiedocument op hun officiële website gepubliceerd.   

Terwijl de ontwikkelingen op dit gebied zich blijven ontvouwen, blijven we bij Considerati toegewijd aan het bieden van tijdige en praktische ondersteuning. Wij staan klaar om uw organisatie te helpen bij het vernieuwen van uw transparantieverklaringen en het evalueren van uw geautomatiseerde besluitvormingsprocessen in kader van de normen voor betekenisvolle menselijke tussenkomst. Als uw organisatie verduidelijking zoekt over de naleving van deze wet- en regelgeving nodigen we u uit contact op te nemen met ons team voor een adviesgesprek. Laat ons u helpen om deze veranderende eisen vol vertrouwen te navigeren.