Groep gegevensbescherming artikel 29

GROEP GEGEVENSBESCHERMING ARTIKEL 29
Deze groep is opgericht op grond van artikel 29 van Richtlijn 95/46/EG. Zij is een onafhankelijk Europees adviesorgaan inzake
gegevensbescherming en de persoonlijke levenssfeer, waarvan de taken zijn omschreven in artikel 30 van Richtlijn 95/46/EG
en in artikel 15 van Richtlijn 2002/58/EG.
Het secretariaat wordt verzorgd door directoraat C (Grondrechten en burgerschap van de Unie) van de Europese Commissie,
directoraat-generaal Justitie, B-1049 Brussel, België, kamer MO- 59 02/013.
Website: http://ec.europa.eu/justice/data-protection/index_nl.htm
17/NL
WP251rev.01
Richtsnoeren inzake geautomatiseerde individuele besluitvorming en profilering voor de toepassing van Verordening (EU) 2016/679
Vastgesteld op 3 oktober 2017
Zoals laatstelijk gewijzigd en vastgesteld op 6 februari 2018
2
DE GROEP VOOR DE BESCHERMING VAN NATUURLIJKE PERSONEN IN VERBAND
MET DE VERWERKING VAN PERSOONSGEGEVENS
ingesteld bij Richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995,
gezien de artikelen 29 en 30,
gezien haar reglement van orde,
HEEFT DE VOLGENDE RICHTSNOEREN VASTGESTELD:
3
INHOUDSOPGAVE
I. INLEIDING ................................................................................................................................................ 5
II. DEFINITIES ............................................................................................................................................... 6
A. PROFILERING ............................................................................................................................................. 7
B. GEAUTOMATISEERDE BESLUITVORMING .......................................................................................................... 9
C. DE BENADERING VAN DE CONCEPTEN IN DE AVG .............................................................................................. 9
III. ALGEMENE BEPALINGEN INZAKE PROFILERING EN GEAUTOMATISEERDE BESLUITVORMING ................ 10
A. BEGINSELEN VAN GEGEVENSBESCHERMING .................................................................................................... 10
1. Artikel 5, lid 1, onder a) – rechtmatig, behoorlijk en transparant ....................................................... 10
2. Artikel 5, lid 1, onder b) – verdere verwerking en doelbinding ............................................................ 12
3. Artikel 5, lid 1, onder c) – minimale gegevensverwerking ................................................................... 13
4. Artikel 5, lid 1, onder d) – juistheid ...................................................................................................... 13
5. Artikel 5, lid 1, onder e) – opslagbeperking ......................................................................................... 14
B. RECHTSGRONDEN VOOR VERWERKING .......................................................................................................... 14
1. Artikel 6, lid 1, onder a) – toestemming .............................................................................................. 14
2. Artikel 6, lid 1, onder b) – noodzakelijk voor de uitvoering van een overeenkomst ............................ 15
3. Artikel 6, lid 1, onder c) – noodzakelijk om te voldoen aan een wettelijke verplichting ...................... 16
4. Artikel 6, lid 1, onder d) – noodzakelijk om vitale belangen te beschermen........................................ 16
5. Artikel 6, lid 1, onder e) – noodzakelijk voor de vervulling van een taak van algemeen belang of de uitoefening van het openbaar gezag............................................................................................................ 16
6. Artikel 6, lid 1, onder f) – noodzakelijk voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde ......................................................................................... 16
C. ARTIKEL 9 – BIJZONDERE CATEGORIEËN VAN GEGEVENS .................................................................................... 17
D. RECHTEN VAN DE BETROKKENE .................................................................................................................... 18
1. Artikelen 13 en 14 – recht om geïnformeerd te worden ...................................................................... 19
2. Artikel 15 – Recht van inzage............................................................................................................... 20
3. Artikel 16 – Recht op rectificatie, artikel 17 – Recht op gegevenswissing en artikel 18 – Recht op beperking van de verwerking ....................................................................................................................... 20
4. Artikel 21 – Recht van bezwaar ........................................................................................................... 21
IV. SPECIFIEKE BEPALINGEN OVER UITSLUITEND GEAUTOMATISEERDE BESLUITVORMING ZOALS BEDOELD IN ARTIKEL 22 ................................................................................................................................................. 23
A. "UITSLUITEND OP GEAUTOMATISEERDE VERWERKING GEBASEERD BESLUIT" .......................................................... 24
B. BESLUIT MET "RECHTSGEVOLGEN" OF DAT DE BETROKKENE "ANDERSZINS IN AANMERKELIJKE MATE TREFT" ................ 25
C. UITZONDERINGEN OP HET VERBOD ............................................................................................................... 27
1. Uitvoering van een overeenkomst ....................................................................................................... 27
4
2. Toegestaan bij een Unierechtelijke of lidstaatrechtelijke bepaling ..................................................... 28
3. Uitdrukkelijke toestemming ................................................................................................................. 28
D. BIJZONDERE CATEGORIEËN VAN PERSOONSGEGEVENS – ARTIKEL 22, LID 4 ........................................................... 29
E. RECHTEN VAN DE BETROKKENE .................................................................................................................... 29
1. Artikel 13, lid 2, onder f) en artikel 14, lid 2, onder g) – recht om geïnformeerd te worden ............... 29
2. Artikel 15, lid 1, onder h) – Recht van inzage....................................................................................... 32
F. PASSENDE BESCHERMINGSMAATREGELEN TREFFEN .......................................................................................... 33
V. KINDEREN EN PROFILERING ................................................................................................................... 34
VI. GEGEVENSBESCHERMINGSEFFECTBEOORDELINGEN EN FUNCTIONARISSEN VOOR GEGEVENSBESCHERMING .............................................................................................................................. 36
BIJLAGE 1 – AANBEVELINGEN VOOR GOEDE PRAKTIJKEN ............................................................................... 37
BIJLAGE 2 – BELANGRIJKE BEPALINGEN IN DE AVG ........................................................................................ 42
BELANGRIJKE BEPALINGEN IN DE AVG DIE BETREKKING HEBBEN OP ALGEMENE PROFILERING EN GEAUTOMATISEERDE BESLUITVORMING .................................................................................................................................................. 42
BELANGRIJKE BEPALINGEN IN DE AVG DIE BETREKKING HEBBEN OP GEAUTOMATISEERDE BESLUITVORMING ZOALS BEDOELD IN ARTIKEL 22 ........................................................................................................................................................... 43
BIJLAGE 3 – AANVULLENDE INFORMATIE ....................................................................................................... 46
5
I. Inleiding
De algemene verordening gegevensbescherming ("de AVG") is specifiek van toepassing op profilering en geautomatiseerde individuele besluitvorming, waaronder profilering1.
In een groeiend aantal sectoren, zowel in het private als het publieke domein, wordt gebruikgemaakt van profilering en geautomatiseerde besluitvorming. De banken- en financiële sector, de gezondheidszorg, het belastingwezen, het verzekeringswezen en de marketing- en reclamesector zijn slechts enkele voorbeelden van gebieden waar profilering met toenemende regelmaat wordt toegepast om besluitvorming te ondersteunen.
Vooruitgang in de technologie en de mogelijkheden van analyse op basis van "big data", kunstmatige intelligentie en machinaal leren hebben het eenvoudiger gemaakt profielen aan te maken en geautomatiseerde besluiten te nemen, met als mogelijk gevolg dat de rechten en vrijheden van personen in wezenlijke mate worden beïnvloed.
Door de wijdverbreide beschikbaarheid van persoonsgegevens op het internet en via genetwerkte apparaten van het internet der dingen, en door de mogelijkheid om verbanden te leggen en links aan te maken, is het mogelijk aspecten van de persoonlijkheid of het gedrag van een persoon of diens interesses en gewoonten te bepalen, te analyseren en te voorspellen.
Profilering en geautomatiseerde besluitvorming kunnen van nut zijn voor personen en organisaties en diverse voordelen opleveren, zoals:
• een verhoogde efficiëntie; en
• besparingen van middelen.
Ze kunnen voor veel zakelijke doeleinden worden gebruikt, bijvoorbeeld om markten beter te segmenteren en diensten en producten op persoonlijke behoeften af te stemmen. De geneeskunde, het onderwijs, de gezondheidszorg en de vervoersector kunnen ook van deze processen profiteren.
1 Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG. Profilering en geautomatiseerde individuele besluitvorming vallen ook onder het toepassingsgebied van Richtlijn (EU) 2016/680 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door bevoegde autoriteiten met het oog op de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, en betreffende het vrije verkeer van die gegevens. Deze richtsnoeren zijn gericht op profilering en geautomatiseerde individuele besluitvorming in het kader van de AVG, maar hebben ook betrekking op deze twee thema's in het kader van Richtlijn (EU) 2016/680 ten aanzien van hun gelijksoortige bepalingen. Deze richtsnoeren omvatten geen analyse van specifieke kenmerken van profilering en geautomatiseerde individuele besluitvorming in het kader van Richtlijn (EU) 2016/680, aangezien de richtsnoeren hiervoor zijn opgenomen in Advies WP258 over enkele belangrijke kwesties betreffende Richtlijn (EU) 2016/680 ("Opinion on some key issues of the Law Enforcement Directive (EU 2016/680)", goedgekeurd door de Groep artikel 29 op 29.11.2017. Op bladzijden 11 tot en met 14 van dat advies wordt ingegaan op geautomatiseerde individuele besluitvorming en profilering in de context van gegevensverwerking voor doeleinden in verband met rechtshandhaving. Het advies is beschikbaar via: http://ec.europa.eu/newsroom/article29/item-detail.cfm?item_id=610178
6
Profilering en geautomatiseerde besluitvorming kunnen echter aanzienlijke risico's met zich meebrengen voor de rechten en vrijheden van personen, waarvoor passende waarborgen moeten worden geboden.
Dergelijke processen zijn niet altijd transparant. Het is mogelijk dat personen niet weten dat ze worden geprofileerd of niet begrijpen waar het om gaat.
Profilering kan bestaande stereotypen en sociale segregatie bestendigen. Het kan er ook voor zorgen dat personen in 'hokjes' worden geplaatst en zo worden vastgepind op hun veronderstelde voorkeuren. Hierdoor kan hun vrijheid om te kiezen, bijvoorbeeld bepaalde producten of diensten zoals boeken, muziek of nieuwsberichten, worden ondermijnd. In sommige gevallen kan profilering tot onjuiste voorspellingen leiden. In andere gevallen kan profilering tot weigering van dienstverlening en goederen en tot ongerechtvaardigde discriminatie leiden.
De AVG omvat nieuwe bepalingen voor de bestrijding van de risico's die ontstaan door profilering en geautomatiseerde besluitvorming, met name op het gebied van de persoonlijke levenssfeer. Het doel van deze richtsnoeren is deze bepalingen te verduidelijken.
Dit document omvat:
• definities van profilering en geautomatiseerde besluitvorming en de insteek van de AVG op deze processen in het algemeen – Hoofdstuk II
• algemene bepalingen inzake profilering en geautomatiseerde besluitvorming – Hoofdstuk III
• specifieke bepalingen over uitsluitend geautomatiseerde besluitvorming zoals bedoeld in artikel 22 – Hoofdstuk IV
• kinderen en profilering – Hoofdstuk V
• gegevensbeschermingseffectbeoordeling en functionaris voor gegevensbescherming – Hoofdstuk VI
In de bijlagen zijn aanbevelingen geformuleerd op basis van beste praktijken die voortbouwen op de ervaring die in verschillende EU-lidstaten is opgedaan.
De Groep gegevensbescherming artikel 29 ("Groep artikel 29") zal toezicht houden op de tenuitvoerlegging van deze richtsnoeren en zal deze indien nodig met nadere details aanvullen.
II. Definities
De AVG omvat bepalingen die ervoor moeten zorgen dat profilering en geautomatiseerde individuele besluitvorming (met of zonder profilering) niet zodanig worden gebruikt dat ze ongerechtvaardigde gevolgen hebben voor de rechten van personen; bijvoorbeeld:
• specifieke vereisten in verband met transparantie en behoorlijkheid;
• strengere verplichtingen in verband met de verantwoordingsplicht;
• de voor de verwerking vastgestelde rechtsgrond;
• het recht van personen om bezwaar te maken tegen profilering en specifiek profilering voor marketingdoeleinden; en
7
• indien aan bepaalde voorwaarden is voldaan, de noodzaak om een gegevensbeschermingseffectbeoordeling uit te voeren.
De AVG richt zich niet alleen op de besluiten die worden genomen op basis van geautomatiseerde verwerking of profilering, maar is ook van toepassing op de verzameling van gegevens voor het aanmaken van profielen en de toepassing van deze profielen op personen.
A. Profilering
In artikel 4, punt 4), AVG wordt profilering als volgt gedefinieerd:
elke vorm van geautomatiseerde verwerking van persoonsgegevens waarbij aan de hand van persoonsgegevens bepaalde persoonlijke aspecten van een natuurlijke persoon worden geëvalueerd, met name met de bedoeling zijn beroepsprestaties, economische situatie, gezondheid, persoonlijke voorkeuren, interesses, betrouwbaarheid, gedrag, locatie of verplaatsingen te analyseren of te voorspellen;
Profilering bestaat uit drie elementen:
• het moet een geautomatiseerde vorm van verwerking zijn;
• het moet betrekking hebben op persoonsgegevens; en
• het doel van de profilering moet het evalueren van persoonlijke aspecten van een natuurlijk persoon zijn.
In artikel 4, onder 4) wordt verwezen naar "elke vorm van geautomatiseerde verwerking" en niet naar "uitsluitend" geautomatiseerde verwerking (zoals in artikel 22). Bij profilering moet sprake zijn van een zekere vorm van geautomatiseerde verwerking, hoewel menselijke tussenkomst niet hoeft te betekenen dat de activiteit niet onder de definitie valt.
Profilering is een procedure die een reeks statistische gevolgtrekkingen kan omvatten. Profilering wordt vaak toegepast om voorspellingen over mensen te doen door gebruik te maken van gegevens uit verschillende bronnen om een persoon eigenschappen toe te kennen op basis van de kenmerken van anderen die in statistisch opzicht vergelijkbaar zijn.
In de AVG wordt profilering omschreven als geautomatiseerde verwerking van persoonsgegevens voor het evalueren van persoonlijke aspecten, met name om zaken over personen te analyseren of te voorspellen. Het gebruik van het woord "evalueren" suggereert dat bij profilering een zekere beoordeling over een persoon wordt gemaakt.
Een eenvoudige indeling van personen op grond van kenmerken zoals leeftijd, geslacht en lengte leidt niet noodzakelijkerwijs tot profilering. Dat hangt af van het doel van die indeling.
Het is bijvoorbeeld mogelijk dat een bedrijf voor statistische doeleinden zijn klanten wil indelen op basis van leeftijd of geslacht en een overzicht van zijn klanten wil opstellen zonder voorspellingen te doen of conclusies te trekken over een bepaalde persoon. In dit geval is het doel niet het evalueren van individuele kenmerken en is er dus geen sprake van profilering.
8
De definitie in de AVG bouwt voort op de definitie van profilering in Aanbeveling CM/Rec (2010)13 van de Raad van Europa2 (de "aanbeveling"), maar is daaraan niet identiek, doordat de aanbeveling verwerking zonder dat daaraan gevolgtrekkingen worden verbonden, uitsluit. In de aanbeveling wordt echter op concrete wijze toegelicht dat profilering uit drie afzonderlijke stappen kan bestaan:
• verzameling van gegevens;
• geautomatiseerde analyse om verbanden vast te stellen;
• het verband toepassen op een persoon om kenmerken van huidig of toekomstig gedrag vast te stellen.
Verwerkingsverantwoordelijken die profilering toepassen, moeten ervoor zorgen dat zij bij alle bovengenoemde stappen aan de vereisten van de AVG voldoen.
In algemene bewoordingen betekent profilering het verzamelen van informatie over een persoon (of een groep personen) en het evalueren van hun kenmerken of gedragspatronen om deze persoon of personen in een bepaalde categorie of groep te plaatsen, met name om zijn of hun:
• vermogen om een taak uit te voeren;
• interesses; of
• waarschijnlijk gedrag
te analyseren of hierover voorspellingen te doen.
Voorbeeld
Een informatiemakelaar verzamelt gegevens uit verschillende openbare en private bronnen, ofwel namens zijn klanten ofwel voor eigen doeleinden. De informatiemakelaar combineert de gegevens om profielen van personen te ontwikkelen, die hij indeelt in segmenten. Hij verkoopt deze informatie aan bedrijven die hun producten en diensten gerichter willen aanbieden. De informatiemakelaar past profilering toe door een persoon op grond van zijn interesses in een bepaalde categorie te plaatsen.
Het hangt van de omstandigheden af of er al dan niet sprake is van geautomatiseerde besluitvorming zoals omschreven in artikel 22, lid 1.
2 Raad van Europa, The protection of individuals with regard to automatic processing of personal data in the context of profiling, Aanbeveling CM/Rec (2010)13 en toelichting, 23.11.2010, https://www.coe.int/t/dghl/standardsetting/cdcj/CDCJ%20Recommendations/CMRec(2010)13E_Profiling.pdf, geraadpleegd op 24.4.2017.
9
B. Geautomatiseerde besluitvorming
Geautomatiseerde besluitvorming heeft een ander toepassingsgebied en kan profilering gedeeltelijk overlappen of het resultaat zijn van profilering. Uitsluitend geautomatiseerde besluitvorming is het nemen van besluiten met technologische middelen en zonder menselijke tussenkomst. Geautomatiseerde besluiten kunnen op elk type gegevens gebaseerd zijn, bijvoorbeeld:
• gegevens die rechtstreeks door de betrokken personen zijn verstrekt (zoals antwoorden op een vragenlijst);
• gegevens over de betrokkenen die zijn geregistreerd (zoals locatiegegevens die via een applicatie zijn verzameld);
• afgeleide gegevens, zoals een profiel van de persoon dat reeds is aangemaakt (bv. een kredietscore).
Geautomatiseerde besluiten kunnen met of zonder profilering worden genomen; profilering kan plaatsvinden zonder dat geautomatiseerde besluiten worden genomen. Profilering en geautomatiseerde besluitvorming zijn echter niet noodzakelijkerwijs gescheiden activiteiten. Iets wat begint als een eenvoudig geautomatiseerd besluitvormingsproces, kan zich ontwikkelen tot automatische besluitvorming op basis van profilering, afhankelijk van hoe de gegevens worden gebruikt.
Voorbeeld
Het opleggen van snelheidsboeten louter op grond van bewijs van flitscamera's is geautomatiseerde besluitvorming waarbij niet noodzakelijkerwijs profilering wordt toegepast.
Er zou echter sprake zijn van een besluit op basis van profilering als de rijgewoonten van de persoon langere tijd werden waargenomen en de hoogte van de boete bijvoorbeeld is bepaald op grond van een beoordeling waarin ook andere factoren zijn meegenomen, zoals de vraag of de persoon herhaaldelijk snelheidsovertredingen heeft begaan of de vraag of de bestuurder recentelijk andere verkeersovertredingen heeft begaan.
Bij besluiten die niet uitsluitend geautomatiseerd zijn, kan ook sprake zijn van profilering. Voorbeeld: een bank kan, voordat zij besluit een hypotheek te verstrekken, de kredietscore van de lener beoordelen, waarbij aanvullende relevante menselijke tussenkomst plaatsvindt voordat een besluit wordt genomen ten aanzien van een persoon.
C. De benadering van de concepten in de AVG
Er zijn drie potentiële manieren waarop profilering kan worden gebruikt:
i) algemene profilering;
ii) besluitvorming op basis van profilering; en
iii) uitsluitend geautomatiseerde besluitvorming, waaronder profilering, waaraan rechtsgevolgen verbonden zijn of die de betrokkene anderszins in aanmerkelijke mate treft (artikel 22, lid 1).
10
Het verschil tussen ii) en iii) kan het best worden toegelicht aan de hand van de volgende twee voorbeelden waarbij iemand online een lening aanvraagt:
• een mens besluit of de lening wordt verstrekt op basis van een profiel dat enkel met geautomatiseerde middelen is aangemaakt (ii);
• een algoritme besluit of de lening wordt verstrekt en het besluit wordt automatisch aan de persoon bekendgemaakt, zonder voorafgaande en zinvolle beoordeling door een mens (iii).
Verwerkingsverantwoordelijken kunnen profilering en geautomatiseerde besluitvorming toepassen zolang zij aan alle beginselen voldoen en een rechtsgrond voor de verwerking hebben. Aanvullende beschermingsmaatregelen en beperkingen zijn van toepassing in geval van uitsluitend geautomatiseerde besluitvorming, waaronder profilering, zoals omschreven in artikel 22, lid 1.
In hoofdstuk III van deze richtsnoeren worden de bepalingen van de AVG toegelicht voor alle gevallen van profilering en geautomatiseerde individuele besluitvorming. Dit omvat ook besluitvormingsprocessen die niet uitsluitend geautomatiseerd zijn.
In hoofdstuk IV van deze richtsnoeren worden de specifieke bepalingen toegelicht die alleen van toepassing zijn op uitsluitend geautomatiseerde individuele besluitvorming, waaronder profilering3. Met het oog op de potentiële risico's voor de rechten en vrijheden van personen geldt een algemeen verbod op dit soort verwerking.
III. Algemene bepalingen inzake profilering en geautomatiseerde besluitvorming
Dit overzicht van de bepalingen is van toepassing voor alle profilering en geautomatiseerde besluitvorming. Indien de verwerking aan de definitie in artikel 22, lid 1, voldoet, zijn aanvullende specifieke bepalingen van toepassing.
A. Beginselen van gegevensbescherming
De beginselen zijn relevant voor alle profilering en geautomatiseerde besluitvorming waarbij persoonsgegevens betrokken zijn4. Ten behoeve van naleving moeten verwerkingsverantwoordelijken de volgende belangrijke gebieden in acht nemen:
1. Artikel 5, lid 1, onder a) – rechtmatig, behoorlijk en transparant
Transparantie van de verwerking5 is een fundamenteel vereiste van de AVG.
3 Zoals omschreven in artikel 22, lid 1, AVG.
4 AVG – Overweging 72: "Voor profilering gelden de regels van deze verordening betreffende de verwerking van persoonsgegevens, bijvoorbeeld de rechtsgronden voor verwerking of beginselen van gegevensbescherming."
5 De richtsnoeren inzake transparantie van de Groep artikel 29 gaan uitvoeriger in op transparantie, zie Guidelines on Transparency under Regulation 2016/679 (WP260 rev. 1) van 114.2018, http://ec.europa.eu/newsroom/article29/item-detail.cfm?item_id=622227
11
Het proces van profilering is voor de betrokkene vaak onzichtbaar. In de praktijk worden afgeleide gegevens over personen gecreëerd – "nieuwe" persoonsgegevens die niet rechtstreeks door de betrokkenen zelf zijn verstrekt. De mate waarin mensen dergelijke processen begrijpen, verschilt per persoon en voor sommigen kan het moeilijk zijn de complexe technieken die bij profilering en geautomatiseerde besluitvorming worden toegepast, te begrijpen.
Artikel 12, lid 1, verplicht de verwerkingsverantwoordelijke betrokkenen beknopte, transparante, begrijpelijke en gemakkelijk toegankelijke informatie over de verwerking van hun persoonsgegevens te verstrekken6.
Voor gegevens die rechtstreeks bij de betrokkene worden verzameld, moet deze informatie worden verstrekt op het moment van verzameling (artikel 13); voor onrechtstreeks verkregen gegevens moet de informatie worden verstrekt binnen de in artikel 14, lid 3, genoemde termijnen.
Voorbeeld
Sommige verzekeraars bieden verzekeringstarieven en diensten die gebaseerd zijn op het rijgedrag van de betreffende persoon. Daarbij kunnen de volgende factoren in aanmerking worden genomen: de gereden afstand, de tijd achter het stuur en de gereden routes, evenals voorspellingen op basis van andere gegevens die door sensoren in een (slimme) auto zijn verzameld. De verzamelde gegevens worden gebruikt voor profilering met het doel om slecht rijgedrag te identificeren (zoals snel optrekken, plotseling remmen en te hard rijden). Er kunnen dwarsverbanden worden gelegd met andere informatiebronnen (zoals het weer, de verkeerssituatie, het type weg) om het gedrag van de bestuurder beter te doorgronden.
De verwerkingsverantwoordelijke moet ervoor zorgen dat hij voor dit soort verwerking over een rechtsgrond beschikt. De verwerkingsverantwoordelijke moet de betrokkene ook informatie verschaffen over de verzamelde gegevens, en, indien van toepassing, het bestaan van geautomatiseerde besluitvorming zoals bedoeld in artikel 22, leden 1 en 4, de onderliggende logica en het belang en de verwachte gevolgen van die verwerking.
De specifieke vereisten met betrekking tot informatie en toegang tot persoonsgegevens worden toegelicht in hoofdstuk III (afdeling D) en hoofdstuk IV (afdeling E).
De verwerking moet ook eerlijk en transparant zijn.
Profilering kan oneerlijk zijn en voor discriminatie zorgen, bijvoorbeeld doordat personen de toegang tot werkgelegenheidskansen, leningen of verzekeringen wordt ontzegd of doordat hun
6 Office of the Australian Information Commissioner, Consultation draft: Guide to big data and the Australian Privacy Principles, 05/2016: "Privacy notices have to communicate information handling practices clearly and simply, but also comprehensively and with enough specificity to be meaningful. The very technology that leads to greater collection of personal information also presents the opportunity for more dynamic, multi-layered and user centric privacy notices." (In privacyverklaringen moeten gegevensverwerkingspraktijken op een duidelijke en eenvoudige wijze worden beschreven, maar ook op zodanige wijze dat de beschrijving compleet is en specifiek genoeg is om zinvol te zijn. De technologie die tot toenemende verzameling van persoonsgegevens leidt biedt ook de mogelijkheid dynamischere, meerlagige en gebruikergerichte privacyverklaringen te formuleren.), https://www.oaic.gov.au/engage-with-us/consultations/guide-to-big-data-and-the-australian-privacy-principles/consultation-draft-guide-to-big-data-and-the-australian-privacy-principles, geraadpleegd op 24.4.2017.
12
buitensporig risicovolle of dure financiële producten wordt aangeboden. Het volgende voorbeeld, dat niet voldoet aan de vereisten van artikel 5, lid 1, onder a), toont hoe oneerlijke profilering ertoe kan leiden dat sommige consumenten een minder aantrekkelijk aanbod krijgen dan anderen.
Voorbeeld
Een informatiemakelaar verkoopt consumentenprofielen aan financiële bedrijven zonder toestemming van de consumenten en zonder dat deze consumenten kennis hebben van de onderliggende gegevens. Via de profielen worden de consumenten in categorieën ingedeeld (die benamingen hebben zoals "plattelandsbewoner die nauwelijks kan rondkomen", "tegen armoede vechtende voorstadbewoner met migratieachtergrond", "ploeterende starter: jonge alleenstaande ouders") of wordt hun een "score" toegekend die samenhangt met hun financiële kwetsbaarheid. De financiële bedrijven bieden deze consumenten flitskredieten en andere "niet-traditionele" financiële diensten aan (leningen met hoge kosten en andere producten met hoge financiële risico's)7.
2. Artikel 5, lid 1, onder b) – verdere verwerking en doelbinding
Bij profilering kunnen persoonsgegevens worden gebruikt die oorspronkelijk voor iets anders zijn verzameld.
Voorbeeld
Sommige mobiele applicaties bieden locatiediensten waarmee de gebruiker restaurants in zijn nabije omgeving kan vinden en kortingen aangeboden krijgt. De verzamelde gegevens worden echter ook gebruikt om een profiel van de betrokkene samen te stellen voor marketingdoeleinden – om zijn voedingsvoorkeuren of leefwijze in het algemeen te bepalen. De betrokkene verwacht dat zijn gegevens worden gebruikt om restaurants te vinden, maar niet om reclame voor pizzabezorging te ontvangen omdat via de app is achterhaald dat hij laat thuiskomt. Dit verdere gebruik van de locatiegegevens is mogelijk onverenigbaar met de doelen waarvoor ze aanvankelijk waren verzameld en vereist dus mogelijk toestemming van de betrokken persoon8.
Of deze aanvullende verwerking verenigbaar is met de oorspronkelijke doelen waarvoor de gegevens werden verzameld, hangt af van een aantal factoren9, onder andere welke informatie
7 Dit voorbeeld is overgenomen van: United States Senate, Committee on Commerce, Science, and Transportation, A Review of the Data Broker Industry: Collection, Use, and Sale of Consumer Data for Marketing Purposes, Staff Report for Chairman Rockefeller, 18.12.2013, https://www.commerce.senate.gov/public/_cache/files/0d2b3642-6221-4888-a631-08f2f255b577/AE5D72CBE7F44F5BFC846BECE22C875B.12.18.13-senate-commerce-committee-report-on-data-broker-industry.pdf. Zie met name bladzijde ii van de samenvatting (Executive Summary) en bladzijde 12 van het hoofdgedeelte van het document, geraadpleegd op 21.7. 2017.
8De bepalingen van de toekomstige e-privacyverordening kunnen ook van toepassing zijn.
9 Benadrukt in: Groep gegevensbescherming artikel 29, Opinion 03/2013 on purpose limitation, 2.4.2013, http://ec.europa.eu/justice/data-protection/article-29/documentation/opinion-recommendation/files/2013/wp203_en.pdf, geraadpleegd op 24.4.2017.
13
de verwerkingsverantwoordelijke aanvankelijk aan de betrokkene heeft verstrekt. Deze factoren zijn opgenomen in de AVG
10 en kunnen als volgt worden samengevat:
• het verband tussen de doeleinden waarvoor de gegevens zijn verzameld, en de doeleinden van de verdere verwerking;
• het kader waarin de gegevens zijn verzameld en de redelijke verwachtingen van de betrokkenen betreffende het verdere gebruik ervan;
• de aard van de gegevens;
• de gevolgen van de verdere verwerking voor de betrokkenen; en
• de waarborgen die door de verwerkingsverantwoordelijke worden toegepast om voor eerlijke verwerking te zorgen en ongewenste gevolgen voor de betrokkenen te voorkomen.
3. Artikel 5, lid 1, onder c) – minimale gegevensverwerking
De kansen die profilering voor het bedrijfsleven biedt, goedkopere opslagkosten en de mogelijkheid om grote hoeveelheden gegevens te verwerken kunnen organisaties aanmoedigen meer persoonsgegevens te verzamelen dan ze eigenlijk nodig hebben, voor het geval dit in de toekomst van pas komt. Verwerkingsverantwoordelijken moeten ervoor zorgen dat zij aan het beginsel van minimale gegevensverwerking voldoen, alsook aan de vereisten van doelbinding en opslagbeperking.
Verwerkingsverantwoordelijken moeten duidelijk kunnen uitleggen en rechtvaardigen waarom zij persoonsgegevens moeten verzamelen en bewaren, of overwegen samengevoegde, geanonimiseerde of (wanneer dit voldoende bescherming biedt) gepseudonimiseerde gegevens te gebruiken voor profilering.
4. Artikel 5, lid 1, onder d) – juistheid
Verwerkingsverantwoordelijken moeten in alle stappen van het profileringsproces juistheid in het oog houden, in het bijzonder bij:
• het verzamelen van gegevens;
• het analyseren van gegevens;
• het opstellen van een profiel van een persoon; of
• het toepassen van een profiel om een besluit met betrekking tot de persoon te nemen.
Als de gegevens die in een proces van geautomatiseerde besluitvorming of profilering worden gebruikt onjuist zijn, zullen ook besluiten of profielen die daaruit voortkomen onjuist zijn. Besluiten zijn mogelijk genomen op basis van verouderde gegevens of de onjuiste interpretatie van externe gegevens. Onjuistheden kunnen leiden tot ondeugdelijke voorspellingen of verklaringen over bijvoorbeeld iemands gezondheid, kredietrisico of verzekeringsrisico.
Zelfs wanneer ruwe gegevens correct worden opgeslagen, is de gegevensreeks mogelijk niet geheel representatief of kunnen de analysegegevens ongemerkt vooroordelen bevatten.
10 AVG, artikel 6, lid 4.
14
Verwerkingsverantwoordelijken moeten krachtige maatregelen invoeren om ervoor te zorgen en erop toe te zien dat hergebruikte of onrechtstreeks verkregen gegevens juist en actueel zijn. Dit maakt het des te belangrijker dat duidelijke informatie wordt verstrekt over de persoonsgegevens die worden verwerkt, zodat de betrokkene onjuistheden kan corrigeren en de kwaliteit van de gegevens kan verbeteren.
5. Artikel 5, lid 1, onder e) – opslagbeperking
Automatisch lerende algoritmen worden ontworpen om grote hoeveelheden informatie te verwerken en verbanden tot stand te brengen die organisaties in staat stellen zeer uitgebreide, intieme profielen van personen samen te stellen. Hoewel het bij profilering voordelen kan hebben gegevens te bewaren, aangezien het algoritme zo meer gegevens heeft om van te leren, moeten verwerkingsverantwoordelijken het beginsel van minimale gegevensverwerking naleven wanneer zij persoonsgegevens verzamelen en ervoor zorgen dat zij die persoonsgegevens niet langer bewaren dan noodzakelijk is voor, en een en ander in verhouding staat tot, de doelen waarvoor de persoonsgegevens worden verwerkt.
Het bewaringsbeleid van de verwerkingsverantwoordelijke moet overeenkomstig de vereisten van artikel 5, lid 1, onder e), rekening houden met de rechten en vrijheden van de persoon.
De verwerkingsverantwoordelijke moet er ook voor zorgen dat de gegevens gedurende de bewaartermijn actueel blijven om het risico op onjuistheden te verminderen11.
B. Rechtsgronden voor verwerking
Geautomatiseerde besluitvorming zoals bedoeld in artikel 22, lid 1, is alleen toegestaan indien een van de in hoofdstuk IV (afdelingen C en D) beschreven uitzondering van toepassing is. De volgende rechtsgronden voor verwerking zijn relevant voor alle andere geautomatiseerde individuele besluitvorming en profilering.
1. Artikel 6, lid 1, onder a) – toestemming
Toestemming als grond voor verwerking in het algemeen wordt behandeld in de richtsnoeren inzake toestemming van de Groep artikel 2912. Uitdrukkelijke toestemming is een van de uitzonderingen op het verbod op geautomatiseerde besluitvorming en profilering zoals bedoeld in artikel 22, lid 1.
Profilering kan een ondoorzichtig proces zijn, dat vaak berust op gegevens die van andere gegevens zijn afgeleid en niet op gegevens die rechtstreeks door de betrokkene zijn verstrekt.
Verwerkingsverantwoordelijken die toestemming als rechtsgrond voor profilering willen hanteren, moeten aantonen dat de betrokkenen precies begrijpen waarvoor zij toestemming verlenen en moeten zich ervan bewust zijn dat toestemming niet altijd een passende
11 Datatilsynet (Noorse gegevensbeschermingsautoriteit), The Great Data Race – How commercial utilisation of personal data challenges privacy, verslag, november 2015, https://www.datatilsynet.no/English/Publications/The-Great-Data-Race/, geraadpleegd op 24.4.2017.
12 Groep gegevensbescherming artikel 29, Richtsnoeren inzake toestemming overeenkomstig Verordening 2016/679, WP259, 28.11.2017, http://ec.europa.eu/newsroom/article29/item-detail.cfm?item_id=623051, geraadpleegd op 18.12.2017.
15
rechtsgrond is voor de verwerking
13. In alle gevallen moeten betrokkenen over voldoende relevante informatie beschikken over het voorgenomen gebruik en de gevolgen van de verwerking, om zeker te stellen dat de toestemming die zij verlenen een geïnformeerde keuze vormt.
2. Artikel 6, lid 1, onder b) – noodzakelijk voor de uitvoering van een overeenkomst
Verwerkingsverantwoordelijken kunnen er behoefte aan hebben geautomatiseerde besluitvorming toe te passen, omdat deze processen:
• potentieel een betere consistentie of een eerlijkere benadering in het besluitvormingsproces mogelijk maken (bv. door de kans op menselijke fouten, discriminatie en machtsmisbruik te verkleinen);
• het risico dat klanten niet voor goederen of diensten betalen, verminderen (bv. door beoordeling van kredietwaardigheid); of
• hen in staat stellen sneller besluiten te nemen en de doeltreffendheid te vergroten.
Ongeacht het bovenstaande zijn deze overwegingen alleen niet voldoende om aan te tonen dat dit soort verwerking overeenkomstig artikel 6, lid 1, onder b), noodzakelijk is voor de uitvoering van de overeenkomst. Zoals beschreven in het advies over gerechtvaardigd belang van de Groep artikel 2914 moet noodzaak nauw worden geïnterpreteerd.
Hieronder volgt een voorbeeld van profilering dat niet voldoet aan de voorwaarde van artikel 6, lid 1, onder b).
Voorbeeld
Iemand koopt enkele artikelen bij een online detailhandelaar. Om de overeenkomst te kunnen uitvoeren moet de detailhandelaar de creditcardgegevens en het adres van de koper verwerken om de betaling mogelijk te maken en de waren te bezorgen. De uitvoering van de overeenkomst is niet afhankelijk van de opbouw van een profiel van de smaken en levensstijlkeuzen van de koper op basis van zijn bezoeken aan de website. Het feit dat profilering specifiek wordt genoemd in de kleine letters van de overeenkomst, betekent niet dat profilering noodzakelijk is voor de uitvoering van de overeenkomst.
13 Ibid.
14 Europese Commissie, Groep gegevensbescherming artikel 29, Advies 06/2014 over het begrip "gerechtvaardigd belang van de voor de gegevensverwerking verantwoordelijke" in artikel 7 van Richtlijn 95/46/EG van 9.4.2014, http://ec.europa.eu/justice/article-29/documentation/opinion-recommendation/files/2014/wp217_nl.pdf, geraadpleegd op 24.4.2017.
16
3. Artikel 6, lid 1, onder c) – noodzakelijk om te voldoen aan een wettelijke verplichting
Er zijn gevallen denkbaar waarin het wettelijk verplicht15 is profilering toe te passen – bijvoorbeeld in verband met preventie van fraude of witwassen van geld. Het advies over gerechtvaardigd belang van de Groep artikel 2916 bevat nuttige informatie over deze grond voor verwerking, waaronder de waarborgen die moeten worden toegepast.
4. Artikel 6, lid 1, onder d) – noodzakelijk om vitale belangen te beschermen
Hierbij gaat het om situaties waarin de verwerking noodzakelijk is voor de bescherming van een belang dat voor het leven van de betrokkene of dat van een andere natuurlijke persoon essentieel is.
Sommige soorten verwerking kunnen zowel gewichtige redenen van algemeen belang als de vitale belangen van de betrokkene dienen, bijvoorbeeld wanneer de verwerking noodzakelijk is om modellen te ontwikkelen die de verspreiding van levensbedreigende ziekten voorspellen of in humanitaire noodsituaties. In deze gevallen kan de verwerkingsverantwoordelijke in beginsel echter alleen gronden in verband met vitale belangen aanwenden indien er geen andere rechtsgrond voor de verwerking beschikbaar is17. Indien ook gegevens van bijzondere categorieën worden verwerkt, moet de verwerkingsverantwoordelijke er ook voor zorgen dat aan de vereisten van artikel 9, lid 2, onder c), wordt voldaan.
5. Artikel 6, lid 1, onder e) – noodzakelijk voor de vervulling van een taak van algemeen belang of de uitoefening van het openbaar gezag
Artikel 6, lid 1, onder e), kan in bepaalde omstandigheden een geschikte grond zijn voor profilering in de publieke sector. De taak of functie moet een duidelijke, wettelijk vastgestelde rechtsgrond hebben.
6. Artikel 6, lid 1, onder f) – noodzakelijk voor de behartiging van de gerechtvaardigde belangen18 van de verwerkingsverantwoordelijke of van een derde
Profilering is toegestaan indien zij noodzakelijk is voor de behartiging van gerechtvaardigde belangen19 van de verwerkingsverantwoordelijke of van een derde. Artikel 6, lid 1, onder f), is echter niet automatisch van toepassing enkel omvat de verwerkingsverantwoordelijke of
15 AVG, overwegingen 41 en 45.
16 Europese Commissie, Groep gegevensbescherming artikel 29, Advies 06/2014 over het begrip "gerechtvaardigd belang van de voor de gegevensverwerking verantwoordelijke" in artikel 7 van Richtlijn 95/46/EG, 9.4.2014, blz. 19, http://ec.europa.eu/justice/article-29/documentation/opinion-recommendation/files/2014/wp217_nl.pdf, geraadpleegd op 24.4.2017.
17 AVG, overweging 46.
18 Gerechtvaardigde belangen zoals bedoeld in overweging 47 van de AVG kunnen onder andere verwerking ten behoeve van direct marketing zijn, of verwerking die strikt noodzakelijk is voor fraudevoorkoming.
19 Het "gerechtvaardigde belang" van de verwerkingsverantwoordelijke kan profilering niet rechtmatig maken als de definitie van artikel 22, lid 1, op de verwerking van toepassing is.
17
derde een gerechtvaardigd belang heeft. De verwerkingsverantwoordelijke moet een afweging maken om te beoordelen of zijn belangen ondergeschikt zijn aan de belangen of fundamentele rechten en vrijheden van de betrokkene.
Hierbij is met name het volgende van belang:
• het detailgehalte van het profiel (profilering van een betrokkene binnen een breed omschreven groep zoals "mensen met belangstelling voor Engelse literatuur", of segmentering of benadering van een betrokkene op gedetailleerd niveau);
• de volledigheid van het profiel (een profiel dat slechts een klein aspect van de betrokkene weergeeft of een profiel dat een vollediger beeld schetst);
• de gevolgen van de profilering (de effecten op de betrokkene); en
• de waarborgen die worden toegepast om te zorgen voor eerlijkheid, non-discriminatie en nauwkeurigheid in het profileringsproces.
Hoewel het advies over gerechtvaardigd belang van de Groep artikel 2920 gebaseerd is op artikel 7 van Richtlijn 95/46/EG (de Richtlijn), bevat het voorbeelden die nog steeds relevant zijn voor verwerkingsverantwoordelijken die profilering toepassen. Er wordt ook in opgemerkt dat het moeilijk zou zijn voor verwerkingsverantwoordelijken om de aanwending van gerechtvaardigde belangen te rechtvaardigen als rechtsgrond voor indringende profilerings- en opsporingspraktijken voor marketing- of reclamedoeleinden, bijvoorbeeld praktijken waarbij personen via talrijke websites, locaties, apparaten, diensten of activiteiten van informatiemakelaars worden gevolgd.
De verwerkingsverantwoordelijke moet bij de beoordeling van de rechtmatigheid van de verwerking overeenkomstig artikel 6, lid 1, onder f), ook het toekomstige gebruik of de toekomstige combinatie van profielen in aanmerking nemen.
C. Artikel 9 – bijzondere categorieën van gegevens
Verwerkingsverantwoordelijken mogen persoonsgegevens van bijzondere categorieën alleen verwerken als aan een van de in artikel 9, lid 2, genoemde voorwaarden en aan een voorwaarde van artikel 6 is voldaan. Dit geldt ook voor gegevens van bijzondere categorieën die uit profileringsactiviteiten zijn afgeleid.
Via profilering kunnen gegevens van bijzondere categorieën worden gecreëerd op basis van gegevens die zelf niet tot bijzondere categorieën van gegevens behoren maar wel hiertoe gaan behoren wanneer ze met andere gegevens worden gecombineerd. Het kan bijvoorbeeld mogelijk zijn iemands gezondheidstoestand af te leiden uit de geregistreerde gegevens van zijn boodschappen in combinatie met gegevens over de kwaliteit en energie-inhoud van voedingsmiddelen.
Zo kunnen verbanden worden ontdekt die een aanwijzing geven over iemands gezondheid, politieke overtuigingen, geloofsovertuigingen of seksuele geaardheid, zoals het volgende voorbeeld laat zien:
20 Europese Commissie, Groep gegevensbescherming artikel 29, Advies 06/2014 over het begrip "gerechtvaardigd belang van de voor de gegevensverwerking verantwoordelijke" in artikel 7 van Richtlijn 95/46/EG, 9.4.2014, blz. 47, voorbeelden op blz. 59 en 60 http://ec.europa.eu/justice/article-29/documentation/opinion-recommendation/files/2014/wp217_nl.pdf, geraadpleegd op 24.4.2017.
18
Voorbeeld
In een studie21 werden Facebook-"likes" gecombineerd met gegevens van een beperkte enquête en werd vastgesteld dat onderzoekers de seksuele geaardheid van mannelijke gebruikers in 88 % van de gevallen en hun etnische afkomst in 95 % van de gevallen goed hadden ingeschat. In 82 % van de gevallen hadden ze goed ingeschat of een gebruiker christen of moslim was.
Wanneer gevoelige voorkeuren en eigenschappen worden afgeleid uit profilering, moet de verwerkingsverantwoordelijke ervoor zorgen dat:
• de verwerking niet onverenigbaar is met het oorspronkelijke doel;
• hij een rechtsgrond voor de verwerking van bijzondere categorieën van gegevens heeft vastgesteld; en
• hij de betrokkene van de verwerking in kennis stelt.
Geautomatiseerde besluitvorming zoals bedoeld in artikel 22, lid 1, die gebaseerd is op bijzondere categorieën van gegevens komt aan bod in hoofdstuk IV (afdeling D).
D. Rechten van de betrokkene22
Met de AVG worden sterkere rechten voor betrokkenen ingevoerd en nieuwe verplichtingen voor verwerkingsverantwoordelijken vastgesteld.
Bij profilering kunnen deze rechten worden aangewend jegens een verwerkingsverantwoordelijke die een profiel heeft aangemaakt en een verwerkingsverantwoordelijke die een geautomatiseerd besluit over een betrokkene heeft genomen (met of zonder menselijke tussenkomst), voor zover deze organisaties niet dezelfde zijn.
Voorbeeld
Een informatiemakelaar past profilering van persoonsgegevens toe. Ingevolge zijn verplichtingen uit hoofde van de artikelen 13 en 14 moet de informatiemakelaar de persoon over de verwerking inlichten, en ook mededelen of hij voornemens is het profiel met andere organisaties te delen. De informatiemakelaar moet ook afzonderlijk gedetailleerde informatie verstrekken over het recht om bezwaar te maken overeenkomstig artikel 21, lid 1.
De informatiemakelaar geeft het profiel door aan een ander bedrijf. Dit bedrijf gebruikt het profiel voor direct marketing.
21 Kosinski, M., Stilwell, D. en Graepel, T., "Private traits and attributes are predictable from digital records of human behaviour", Proceedings of the National Academy of Sciences of the United States of America, http://www.pnas.org/content/110/15/5802.full.pdf, geraadpleegd op 29.3.2017.
22 Deze afdeling is van toepassing op zowel profilering als geautomatiseerde besluitvorming. Voor geautomatiseerde besluitvorming overeenkomstig artikel 22 zijn ook aanvullende vereisten van toepassing zoals beschreven in hoofdstuk IV.
19
Het bedrijf moet de persoon informeren over de doeleinden waarvoor dit profiel wordt gebruikt (artikel 14, lid 1, onder c)) en uit welke bron het bedrijf de gegevens heeft verkregen (artikel 14, lid 2, onder f)). Het bedrijf moet de betrokkene ook inlichten over zijn recht om bezwaar te maken tegen de verwerking, waaronder profilering, voor doeleinden in verband met direct marketing (artikel 21, lid 2).
De informatiemakelaar en het bedrijf zouden de betrokkene het recht moeten geven op inzage van de gebruikte informatie (artikel 15), op rectificatie van onjuiste gegevens (artikel 16) en in bepaalde omstandigheden op wissing van het profiel of persoonsgegevens die zijn gebruikt om het profiel aan te maken (artikel 17). De betrokkene moet ook worden geïnformeerd over zijn profiel, bijvoorbeeld in welke "segmenten" of "categorieën" hij is ingedeeld. 23
Als het bedrijf het profiel gebruikt in het kader van uitsluitend geautomatiseerde besluitvorming met rechtsgevolgen of andere gevolgen die de betrokkene in aanmerkelijke mate treffen, is het bedrijf de verwerkingsverantwoordelijke en onderworpen aan de bepalingen van artikel 22. (Dit betekent niet dat artikel 22 niet van toepassing is voor de informatiemakelaar indien de verwerking de betreffende drempel overschrijdt.)
1. Artikelen 13 en 14 – recht om geïnformeerd te worden
Gezien het kernbeginsel van transparantie dat aan de AVG ten grondslag ligt, moeten verwerkingsverantwoordelijken ervoor zorgen dat zij betrokkenen op duidelijke en eenvoudige wijze uitleggen hoe het proces van profilering of geautomatiseerde besluitvorming werkt.
Met name wanneer bij de verwerking sprake is van op profilering gebaseerde besluitvorming (ongeacht of deze onder de bepalingen van artikel 22 valt), moet het feit dat de verwerking zowel (a) profilering als (b) besluitvorming op basis van het aangemaakte profiel tot doel heeft, duidelijk kenbaar worden gemaakt aan de betrokkene24.
In overweging 60 wordt verklaard dat de verstrekking van informatie over profilering tot de transparantieverplichtingen van de verwerkingsverantwoordelijke uit hoofde van artikel 5, lid 1, onder a), behoort. De betrokkene heeft het recht door de verwerkingsverantwoordelijke te worden geïnformeerd over en in bepaalde omstandigheden het recht bezwaar te maken tegen profilering, ongeacht of uitsluitend geautomatiseerde individuele besluitvorming op basis van profilering plaatsvindt.
23 Datatilsynet (Noorse gegevensbeschermingsautoriteit), The Great Data Race – How commercial utilisation of personal data challenges privacy, verslag, november 2015, https://www.datatilsynet.no/English/Publications/The-Great-Data-Race/, geraadpleegd op 24.4.2017.
24 AVG, artikel 13, lid 1, onder c) en artikel 14, lid 1, onder c). Ingevolge artikel 13, lid 2, onder f) en artikel 14, lid 2, onder g), is de verwerkingsverantwoordelijke verplicht de betrokkene in te lichten over het bestaan van geautomatiseerde besluitvorming, met inbegrip van de in artikel 22, leden 1 en 4, bedoelde profilering. Dit wordt nader toegelicht in hoofdstuk IV.
20
Nadere toelichting over transparantie in het algemeen is beschikbaar in de richtsnoeren inzake transparantie overeenkomstig de AVG van de Groep artikel 2925.
2. Artikel 15 – recht van inzage
Artikel 15 geeft de betrokkene het recht informatie te verkrijgen over eventuele persoonsgegevens die voor profilering worden gebruikt, waaronder de categorieën van gegevens die zijn gebruikt om een profiel op te stellen.
Naast de algemene informatie over de verwerking heeft de verwerkingsverantwoordelijke ingevolge artikel 15, lid 3, de plicht de gegevens ter beschikking te stellen die als invoer voor het aanmaken van het profiel zijn gebruikt, en moet hij toegang verschaffen tot informatie over het profiel en gegevens over de segmenten waarin de betrokkene is ingedeeld.
Dit verschilt van het in artikel 20 neergelegde recht op overdraagbaarheid van gegevens, waarbij de verwerkingsverantwoordelijke alleen de gegevens die door de betrokkene zijn verstrekt of die de verwerkingsverantwoordelijke heeft geregistreerd moet verstrekken en niet het profiel zelf26.
Overweging 63 biedt enige bescherming voor verwerkingsverantwoordelijken die ervoor vrezen dat zakengeheimen of intellectuele eigendom bekend worden gemaakt, wat met name van belang kan zijn in verband met profilering. Er staat: "Dat recht mag geen afbreuk doen aan de rechten of vrijheden van anderen, met inbegrip van het zakengeheimen of de intellectuele eigendom en met name aan het auteursrecht dat de software beschermt." De verwerkingsverantwoordelijke mag bescherming van zijn zakengeheimen echter niet aanwenden als voorwendsel om toegang tot gegevens te weigeren of de betrokkene informatie te onthouden.
Overweging 63 vermeldt daarnaast het volgende: "Indien mogelijk moet de verwerkingsverantwoordelijke op afstand toegang kunnen geven tot een beveiligd systeem waarop de betrokkene direct zijn persoonsgegevens kan inzien."
3. Artikel 16 – recht op rectificatie, artikel 17 – recht op gegevenswissing en artikel 18 – recht op beperking van de verwerking
Profilering kan een element van voorspelling in zich dragen, wat het risico op onjuistheden vergroot. De invoergegevens kunnen onjuist of irrelevant zijn, of kunnen uit hun context zijn genomen. Het algoritme dat wordt gebruikt om verbanden te herkennen, kan een fout bevatten.
Het in artikel 16 neergelegde recht op rectificatie kan van toepassing zijn wanneer een persoon bijvoorbeeld in een categorie wordt geplaatst die iets zegt over zijn vermogen om een
25 Groep gegevensbescherming artikel 29, Guidelines on transparency under Regulation 2016/679, WP260, 28.11.2017, http://ec.europa.eu/newsroom/just/document.cfm?doc_id=48850, geraadpleegd op 18.12.2017.
26 Groep artikel 29, Guidelines on the Right to data portability, WP242, blz. 9, http://ec.europa.eu/newsroom/document.cfm?doc_id=45685, geraadpleegd op 8.1.2018.
21
taak uit te voeren en dat profiel op onjuiste informatie is gebaseerd. Personen kunnen de juistheid van de gebruikte gegevens en van een groep of categorie waarin zij zijn ingedeeld, betwisten.
Het recht op rectificatie en gegevenswissing27 is van toepassing op zowel de "ingevoerde persoonsgegevens" (de persoonsgegevens die zijn gebruikt om het profiel aan te maken) als de "uitvoergegevens" (het profiel zelf of de "score" die aan de persoon is toegekend).
Artikel 16 geeft de betrokkene ook het recht de persoonsgegevens te vervolledigen met aanvullende informatie.
Voorbeeld
In het computersysteem van een lokale kliniek wordt een persoon ingedeeld in een groep patiënten met het hoogste risico op hartaandoeningen. Dit "profiel" is niet noodzakelijkerwijs onjuist, zelfs als de persoon nooit aan hartaandoeningen lijdt.
Het profiel geeft enkel aan dat de persoon een groter risico loopt om hartaandoeningen te krijgen. Dat kan statistisch gezien feitelijk correct zijn.
Desondanks heeft de betrokkene, gelet op het doel van de verwerking, het recht om een aanvullende verklaring te verstrekken. In het bovengenoemde scenario kan dit bijvoorbeeld gebaseerd zijn op een geavanceerder medisch computersysteem (en statistisch model) dat aanvullende gegevens meeweegt en gedetailleerdere beoordelingen verricht dan het systeem van de lokale kliniek met beperktere capaciteiten.
Het recht op beperking van de verwerking (artikel 18) is van toepassing op elke fase van het profileringsproces.
4. Artikel 21 – recht van bezwaar
De verwerkingsverantwoordelijke moet gedetailleerde informatie over het recht van bezwaar overeenkomstig artikel 21, leden 1 en 2 uitdrukkelijk onder de aandacht van de betrokkene brengen en deze informatie duidelijk en gescheiden van enige andere informatie weergeven (artikel 21, lid 4).
Ingevolge artikel 21, lid 1, kan de betrokkene om redenen die met zijn specifieke situatie verband houden, bezwaar maken tegen de verwerking (met inbegrip van profilering). Verwerkingsverantwoordelijken hebben specifiek de plicht deze rechten toe te kennen wanneer de verwerking gebaseerd is op artikel 6, lid 1, onder e) of f).
Wanneer de betrokkene dit recht uitoefent, moet de verwerkingsverantwoordelijke het profileringsproces staken28 (of de start ervan annuleren), tenzij hij dwingende gerechtvaardigde gronden aanvoert die zwaarder wegen dan de belangen, rechten en vrijheden
27 AVG, artikel 17.
28 AVG, artikel 18, lid 1, onder d).
22
van de betrokkene. De verwerkingsverantwoordelijke moet de betreffende persoonsgegevens mogelijk ook wissen
29.
In de AVG wordt niet toegelicht wat onder dwingende gerechtvaardigde gronden wordt verstaan30. Het kan bijvoorbeeld voorkomen dat profilering van nut is voor de maatschappij in het algemeen (of de bredere gemeenschap) en niet alleen voor de zakelijke belangen van de verwerkingsverantwoordelijke, zoals profilering die wordt toegepast om de verspreiding van besmettelijke ziekten te voorspellen.
De verwerkingsverantwoordelijke moet in dat geval:
• het belang van de profilering voor zijn specifieke doel in overweging nemen;
• de gevolgen van de profilering voor de belangen, rechten en vrijheden van de betrokkene in overweging nemen – dit moet worden beperkt tot het minimum dat nodig is om het doel te bereiken; en
• een afweging maken.
Er moet altijd een afweging worden gemaakt tussen de belangen van de verwerkingsverantwoordelijke en de grond van het bezwaar van de betrokkene (waarbij het om persoonlijke, maatschappelijke of beroepsredenen kan gaan). Anders dan in Richtlijn 95/46/EG ligt de bewijslast voor het aanvoeren van dwingende gerechtvaardigde gronden bij de verwerkingsverantwoordelijke en niet bij de betrokkene.
Uit de formulering van artikel 21 blijkt duidelijk dat de afweging verschilt van de afweging zoals bedoeld in artikel 6, lid 1, onder f). Met andere woorden, het is voor een verwerkingsverantwoordelijke niet voldoende om enkel aan te tonen dat zijn eerder gemaakte analyse van een gerechtvaardigd belang juist was. Bij deze afweging moet worden aangetoond dat het gerechtvaardigde belang dwingend is, waardoor de drempel voor zwaarder wegende bezwaren hoger ligt.
Artikel 21, lid 2, kent de betrokkene een onvoorwaardelijk recht toe om bezwaar te maken tegen de verwerking van zijn persoonsgegevens ten behoeve van direct marketing, met inbegrip van profilering die betrekking heeft op direct marketing31. Dit betekent dat het afwegen van belangen niet nodig is; de verwerkingsverantwoordelijke moet de wensen van de betrokkene respecteren zonder de redenen van het bezwaar ter discussie te stellen. In overweging 70 wordt aanvullende achtergrondinformatie over dit recht gegeven en wordt gespecificeerd dat het te allen tijde en kosteloos mag worden uitgeoefend.
29 AVG, artikel 17, lid 1, onder c).
30 Zie de toelichting over gerechtvaardigd belang, Groep gegevensbescherming artikel 29, Advies 06/2014 over het begrip "gerechtvaardigd belang van de voor de gegevensverwerking verantwoordelijke" in artikel 7 van Richtlijn 95/46/EG, 9.4.2014, blz. 24-26, http://ec.europa.eu/justice/article-29/documentation/opinion-recommendation/files/2014/wp217_nl.pdf. geraadpleegd op 24.4.2017.
31 Overeenkomstig artikel 12, lid 2, zouden verwerkingsverantwoordelijken die persoonsgegevens verzamelen met het voornemen om deze ten behoeve van direct marketing te gebruiken, moeten overwegen op het moment van verzameling de betrokkenen een eenvoudige manier te bieden om aan te geven dat zij niet willen dat hun persoonsgegevens voor dat doeleinde worden gebruikt, in plaats van op een later moment te verlangen dat zij hun recht van bezwaar uitoefenen.
23
IV. Specifieke bepalingen over uitsluitend geautomatiseerde besluitvorming zoals bedoeld in artikel 22
In artikel 22, lid 1, wordt het volgende bepaald:
De betrokkene heeft het recht niet te worden onderworpen aan een uitsluitend op geautomatiseerde verwerking, waaronder profilering, gebaseerd besluit waaraan voor hem rechtsgevolgen zijn verbonden of dat hem anderszins in aanmerkelijke mate treft.
Het woord "recht" in deze bepaling betekent niet dat artikel 22, lid 1, alleen van toepassing is wanneer de betrokkene er specifiek een beroep op doet. Artikel 22, lid 1, voorziet in een algemeen verbod op uitsluitend op geautomatiseerde verwerking gebaseerde besluitvorming. Dit verbod is van toepassing, ongeacht of de betrokkene wel of niet actie onderneemt met betrekking tot de verwerking van zijn persoonsgegevens.
Kortom, in artikel 22 wordt het volgende bepaald:
i) als regel geldt een algemeen verbod op volledig geautomatiseerde individuele besluitvorming, met inbegrip van profilering waaraan voor de betrokkene juridische of anderszins aanmerkelijke gevolgen zijn verbonden;
ii) er zijn uitzonderingen op de regel;
iii) wanneer een van deze uitzonderingen van toepassing is, moeten maatregelen worden genomen om de rechten en vrijheden en het gerechtvaardigde belang van de betrokkene te waarborgen32.
Deze uitlegging versterkt het idee dat de betrokkene controle heeft over zijn persoonsgegevens, in overeenstemming met de grondbeginselen van de AVG. De uitlegging van artikel 22 als een verbod in plaats van een in te roepen recht houdt in dat personen automatisch beschermd zijn tegen de mogelijke gevolgen die dit soort verwerking kan hebben. Deze intentie blijkt uit de wijze waarop het artikel is geformuleerd en wordt ondersteund door overweging 71, waarin het volgende is vermeld:
Besluitvorming op basis van een dergelijke verwerking, waaronder profilering, dient echter wel mogelijk te zijn wanneer deze uitdrukkelijk is toegestaan bij Unierecht of lidstatelijk recht [...], of noodzakelijk [is] voor de sluiting of uitvoering van een overeenkomst [...], of wanneer de betrokkene zijn uitdrukkelijke toestemming heeft gegeven.
Dit houdt in dat verwerking zoals bedoeld in artikel 22, lid 1, in het algemeen niet is toegestaan33.
32 In overweging 71 wordt bepaald: "In ieder geval moeten voor dergelijke verwerking passende waarborgen worden geboden, waaronder specifieke informatie aan de betrokkene en het recht op menselijke tussenkomst, om zijn standpunt kenbaar te maken, om uitleg over het na een dergelijke beoordeling genomen besluit te krijgen en om het besluit aan te vechten."
33 Zie bijlage 2 voor nadere toelichting over de uitlegging van artikel 22 als verbod.
24
Het verbod ingevolge artikel 22, lid 1, is echter alleen van toepassing in specifieke omstandigheden wanneer een uitsluitend op geautomatiseerde verwerking, waaronder profilering, gebaseerd besluit rechtsgevolgen voor iemand heeft of de persoon anderszins in aanmerkelijke mate treft, zoals nader toegelicht in de richtsnoeren. Zelfs in deze gevallen zijn er welbepaalde uitzonderingen waarin zulke verwerking is toegestaan.
De vereiste waarborgingsmaatregelen, die hieronder nader worden behandeld, omvatten het recht om geïnformeerd te worden (behandeld in de artikelen 13 en 14 – in het bijzonder om nuttige informatie te ontvangen over de onderliggende logica, het belang en de verwachte gevolgen voor de betrokkene), beschermingsmaatregelen, zoals het recht op menselijke tussenkomst, en het recht om het besluit aan te vechten (behandeld in artikel 22, lid 3).
Bij elke verwerking die waarschijnlijk een hoog risico voor betrokkenen zal inhouden, is de verwerkingsverantwoordelijke verplicht een gegevensbeschermingseffectbeoordeling34 uit te voeren. Naast de beoordeling van andere risico's die aan de verwerking verbonden zijn, kan een gegevensbeschermingseffectbeoordeling zeer nuttig zijn voor verwerkingsverantwoordelijken die er niet zeker van zijn of hun aangeboden activiteiten onder de definitie in artikel 22, lid 1, vallen, en, indien deze op grond van een welbepaalde uitzondering zijn toegestaan, welke beschermingsmaatregelen moeten worden genomen.
A. "Uitsluitend op geautomatiseerde verwerking gebaseerd besluit"
Artikel 22, lid 1, betreft besluiten die "uitsluitend" gebaseerd zijn op geautomatiseerde verwerking. Dit betekent dat er geen sprake is van menselijke tussenkomst in het besluitvormingsproces.
Voorbeeld
Een geautomatiseerd proces produceert iets wat in feite een aanbeveling betreffende een betrokkene is. Als een mens het proces beoordeelt en bij het nemen van het definitieve besluit rekening houdt met andere factoren, zou dat besluit niet "uitsluitend op geautomatiseerde verwerking gebaseerd" zijn.
De verwerkingsverantwoordelijke kan de bepalingen van artikel 22 niet omzeilen door menselijke tussenkomst voor te wenden. Als iemand bijvoorbeeld routinematig automatisch gegenereerde profielen toepast op personen zonder het resultaat daadwerkelijk te beïnvloeden, is dit nog steeds een uitsluitend op geautomatiseerde verwerking gebaseerd besluit.
Om daadwerkelijke menselijke tussenkomst te realiseren moet de verwerkingsverantwoordelijke ervoor zorgen dat al het toezicht op de besluitvorming zinvol is, en niet slechts een symbolische handeling vormt. Deze tussenkomst moet worden
34 Europese Commissie, Groep gegevensbescherming artikel 29, Guidelines on Data Protection Impact Assessment (DPIA) and determining whether processing is “likely to result in a high risk” for the purposes of Regulation 2016/679, 4.4.2017, http://ec.europa.eu/newsroom/document.cfm?doc_id=44137, geraadpleegd op 24.4.2017.
25
uitgevoerd door iemand die bevoegd en bekwaam is om het besluit te veranderen. Hij moet alle relevante gegevens in zijn analyse betrekken.
In het kader van zijn gegevensbeschermingseffectbeoordeling moet de verwerkingsverantwoordelijke de mate van menselijke tussenkomst in het besluitvormingsproces en de fase waarin deze plaatsvond vaststellen en registreren.
B. Besluit met "rechtsgevolgen" of dat de betrokkene "anderszins in aanmerkelijke mate treft"
In de AVG wordt erkend dat geautomatiseerde besluitvorming, waaronder profilering, ernstige gevolgen kan hebben voor personen. De AVG bevat geen definitie van een besluit met "rechtsgevolgen" of van een besluit dat de betrokkene "anderszins in aanmerkelijke mate treft", maar uit de formulering blijkt duidelijk dat in artikel 22 alleen ernstige, aanzienlijke effecten worden bedoeld.
"Besluit waaraan rechtsgevolgen zijn verbonden"
Een rechtsgevolg houdt in dat het besluit, dat uitsluitend op automatische verwerking is gebaseerd, van invloed is op iemands wettelijke rechten, zoals de vrijheid van vereniging, het stemrecht en het recht om rechtsmiddelen in te stellen. Een rechtsgevolg kan ook iets zijn wat iemands juridische status of zijn rechten uit hoofde van een overeenkomst beïnvloedt. Voorbeelden van een dergelijk gevolg zijn geautomatiseerde besluiten over een persoon die leiden tot:
• beëindiging van een overeenkomst;
• het recht op of de weigering van een bepaalde wettelijk toegekende sociale uitkering, zoals kinderbijslag of huurtoeslag;
• weigering van toelating tot een land of van toekenning van een nationaliteit.
"Hem anderszins in aanmerkelijke mate treft"
Zelfs wanneer een besluitvormingsproces geen gevolgen heeft voor iemands wettelijke rechten, kan het toch onder het toepassingsgebied van artikel 22 vallen als er een gevolg aan verbonden is dat hem anderszins in aanmerkelijke mate treft.
Met andere woorden, zelfs wanneer er niets verandert aan zijn wettelijke rechten of plichten, kan de betrokkene toch in zodanige mate worden getroffen dat de bescherming ingevolge deze bepaling vereist is. In de AVG is het woord "anderszins" toegevoegd (niet aanwezig in artikel 15 van Richtlijn 95/46/EG) aan de formulering "hem in aanmerkelijke mate treft". De drempel voor aanmerkelijke mate moet dus vergelijkbaar zijn met de mate waarin de betrokkene wordt getroffen bij een besluit waaraan een rechtsgevolg verbonden is.
In overweging 71 worden de volgende typische voorbeelden genoemd: "automatische weigering van een online ingediende kredietaanvraag" of "verwerking van sollicitaties via internet zonder menselijke tussenkomst".
26
Gegevensverwerking treft iemand in aanmerkelijke mate wanneer de effecten van de verwerking groot of belangrijk genoeg zijn om aandacht te verdienen. Met andere woorden, het besluit moet het potentieel hebben om:
• de omstandigheden, het gedrag of de keuzen van de betrokken personen in aanmerkelijke mate te treffen;
• een langdurig of blijvend effect op de betrokkene te hebben; of
• in het uiterste geval, tot uitsluiting of discriminatie van personen te leiden.
Het is moeilijk om nauwkeurig te bepalen wat als ernstig genoeg wordt beschouwd om de drempel van aanmerkelijke mate te halen. De volgende besluiten zouden echter in deze categorie kunnen vallen:
• besluiten die iemands financiële situatie treffen, zoals zijn mogelijkheid om in aanmerking te komen voor een lening;
• besluiten die iemands toegang tot gezondheidszorgdiensten treffen;
• besluiten waarmee iemand de toegang tot een werkgelegenheidskans wordt geweigerd of waarmee hij daarbij ernstig wordt benadeeld;
• besluiten die iemands toegang tot onderwijs, bijvoorbeeld toelating tot een universiteit, treffen.
Dit brengt ons ook bij de kwestie van online reclame, waarbij in toenemende mate gebruik wordt gemaakt van geautomatiseerde instrumenten en geautomatiseerde individuele besluitvorming wordt toegepast. Naast de naleving van de algemene bepalingen van de AVG, die in hoofdstuk III zijn toegelicht, kunnen ook de bepalingen van de voorgestelde e-privacyverordening relevant zijn. Voorts is voor kinderen aanvullende bescherming vereist, zoals toegelicht in hoofdstuk V.
In veel typische gevallen zal het besluit om gerichte reclame op basis van profilering te tonen personen niet anderszins in aanmerkelijke mate treffen, bijvoorbeeld een advertentie voor een gangbare online mode-outlet op basis van een eenvoudig demografisch profiel: "vrouwen in de leeftijd van 25 tot 35 in de regio Brussel die waarschijnlijk geïnteresseerd zijn in mode en bepaalde kleding".
Het kan echter voorkomen dat het besluit personen wel anderszins in aanmerkelijke mate treft, afhankelijk van de specifieke kenmerken van het geval, waaronder:
• het indringende karakter van het profileringsproces, zoals opsporing via verschillende websites, apparaten en diensten;
• de verwachtingen en wensen van de betrokken personen;
• de manier waarop de advertentie wordt gepresenteerd; of
• het gebruik van kennis over de kwetsbaarheden van de benaderde betrokkenen.
Verwerking die personen in het algemeen weinig treft, kan bepaalde groepen van de maatschappij, zoals minderheden of kwetsbare volwassenen, mogelijk in aanmerkelijke mate treffen. Als bijvoorbeeld een persoon waarvan bekend is dat hij financiële moeilijkheden heeft of die waarschijnlijk in financiële moeilijkheden verkeert, regelmatig advertenties voor leningen met een hoge rente wordt getoond, is het mogelijk dat hij zich voor deze aanbiedingen aanmeldt en zich dieper in de schulden steekt.
27
Geautomatiseerde besluitvorming die leidt tot verschillende prijzen op basis van persoonsgegevens of persoonlijke kenmerken kan personen ook in aanmerkelijke mate treffen als, bijvoorbeeld, extreem hoge prijzen iemand feitelijk de toegang tot bepaalde goederen of diensten blokkeren.
Een persoon kan ook anderszins in aanmerkelijke mate worden getroffen door de handelingen van andere personen dan de persoon op wie het automatische besluit betrekking heeft. Dit wordt hieronder toegelicht.
Voorbeeld
Hypothetisch kan een creditcardbedrijf de kaartlimiet van een klant verlagen op basis van onconventionele kredietcriteria, zoals een analyse van andere klanten die in hetzelfde gebied wonen en in dezelfde winkels inkopen, in plaats van op basis van de eigen betalingshistorie van de klant.
Dit zou kunnen betekenen dat iemands mogelijkheden worden beperkt op grond van de handelingen van anderen.
In andere omstandigheden zou het gebruik van deze kenmerken het voordeel kunnen hebben dat meer krediet wordt verleend aan personen met een normale krediethistorie, waar dit anders zou worden geweigerd.
C. Uitzonderingen op het verbod
Artikel 22, lid 1, voorziet in een algemeen verbod op uitsluitend geautomatiseerde individuele besluitvorming waaraan rechtsgevolgen verbonden zijn of die de betrokkene anderszins in aanmerkelijke mate treft, zoals hierboven omschreven.
Dit betekent dat de verwerkingsverantwoordelijke de in artikel 22, lid 1, beschreven verwerking niet mag toepassen, tenzij een van de volgende in artikel 22, lid 2, genoemde uitzonderingen van toepassing is, namelijk indien het besluit:
a) noodzakelijk is voor de uitvoering of totstandkoming van een overeenkomst;
b) is toegestaan bij een Unierechtelijke of lidstaatrechtelijke bepaling die op de verwerkingsverantwoordelijke van toepassing is en die ook voorziet in passende maatregelen ter bescherming van de rechten en vrijheden en gerechtvaardigde belangen van betrokkene; of
c) berust op de uitdrukkelijke toestemming van de betrokkene.
Indien bij de besluitvorming de in artikel 9, lid 1, bedoelde bijzondere categorieën van persoonsgegevens betrokken zijn, moet de verwerkingsverantwoordelijke er ook voor zorgen dat hij aan de vereisten van artikel 22, lid 4 voldoet.
1. Uitvoering van een overeenkomst
Verwerkingsverantwoordelijken willen mogelijk gebruikmaken van uitsluitend op automatische verwerking gebaseerde besluitvorming voor doeleinden in verband met een overeenkomst, omdat dit volgens hen de meest doeltreffende manier is om het doel te
28
bereiken. Routinematige menselijke tussenkomst kan soms eenvoudigweg door de hoeveelheid verwerkte gegevens onpraktisch of onmogelijk zijn.
De verwerkingsverantwoordelijke moet kunnen aantonen dat dit soort verwerking noodzakelijk is, waarbij hij moet nagaan of een methode denkbaar is die minder nadelig is voor wat betreft gegevensbescherming. 35 Als er andere doeltreffende en minder nadelige middelen bestaan om hetzelfde doel te bereiken, dan is de verwerking niet "noodzakelijk".
Geautomatiseerde besluitvorming zoals bedoeld in artikel 22, lid 1, kan ook noodzakelijk zijn voor verwerking voorafgaand aan de afsluiting van een overeenkomst.
Voorbeeld
Een bedrijf plaatst een vacature. Aangezien deze werkgever zeer populair is, ontvangt het bedrijf tienduizenden sollicitaties. Vanwege het uitzonderlijk hoge aantal sollicitaties acht het bedrijf het praktisch onmogelijk om geschikte kandidaten te selecteren zonder eerst volledig geautomatiseerde middelen te gebruiken om ongeschikte kandidaten uit te filteren. In dit geval kan geautomatiseerde besluitvorming noodzakelijk zijn om een voorselectie van mogelijke kandidaten te maken, met de bedoeling om een overeenkomst met een betrokkene te sluiten.
Hoofdstuk III (afdeling B) bevat meer informatie over overeenkomsten als rechtsgrond voor verwerking.
2. Toegestaan bij een Unierechtelijke of lidstaatrechtelijke bepaling
Geautomatiseerde verwerking, waaronder profilering, kan in potentie plaatsvinden ingevolge artikel 22, lid 2, onder b), indien een Unierechtelijke of lidstaatrechtelijke bepaling de toepassing ervan toestaat. De betreffende wet moet ook voorzien in passende maatregelen ter bescherming van de rechten en vrijheden en gerechtvaardigde belangen van de betrokkene.
In overweging 71 wordt gespecificeerd dat het hierbij kan gaan om het gebruik van geautomatiseerde besluitvorming zoals bedoeld in artikel 22, lid 1, ten behoeve van de controle en voorkoming van belastingfraude en -ontduiking, of om te zorgen voor de veiligheid en betrouwbaarheid van een dienst die door de verwerkingsverantwoordelijke wordt verleend.
3. Uitdrukkelijke toestemming
Krachtens artikel 22 is uitdrukkelijke toestemming vereist. Verwerking die aan de definitie van artikel 22, lid 1, voldoet, brengt aanzienlijke gegevensbeschermingsrisico's met zich mee en daarom wordt een hoge mate van individuele controle over persoonsgegevens passend geacht.
35 Buttarelli, G., Europese Toezichthouder voor gegevensbescherming Assessing the necessity of measures that limit the fundamental right to the protection of personal data: A Toolkit, 11.4.2017, https://edps.europa.eu/sites/edp/files/publication/17-04-11_necessity_toolkit_en_0.pdf, geraadpleegd op 24.4.2017.
29
De AVG bevat geen definitie van het begrip "uitdrukkelijke toestemming". In de richtsnoeren inzake toestemming van de Groep artikel 2936 wordt toegelicht hoe dit moet worden opgevat.
Hoofdstuk III (afdeling B) bevat meer informatie over toestemming in het algemeen.
D. Bijzondere categorieën van persoonsgegevens – artikel 22, lid 4
Geautomatiseerde besluitvorming (zoals beschreven in artikel 22, lid 1) waarbij persoonsgegevens van bijzondere categorieën worden verwerkt, is alleen toegestaan indien aan beide volgende voorwaarden wordt voldaan (artikel 22, lid 4):
• er is een vrijstelling van toepassing overeenkomstig een van de voorwaarden van artikel 22, lid 2; en
• letter a) of g) van artikel 9, lid 2, is van toepassing.
Artikel 9, lid 2, onder a) – uitdrukkelijke toestemming van de betrokkene; of
Artikel 9, lid 2, onder g) – de verwerking is noodzakelijk om redenen van zwaarwegend algemeen belang, op grond van Unierecht of lidstatelijk recht, waarbij de evenredigheid met het nagestreefde doel wordt gewaarborgd, de wezenlijke inhoud van het recht op bescherming van persoonsgegevens wordt geëerbiedigd en passende en specifieke maatregelen worden getroffen ter bescherming van de grondrechten en de fundamentele belangen van de betrokkene.
In beide bovenstaande gevallen moet de verwerkingsverantwoordelijke passende maatregelen treffen om de rechten en vrijheden en het gerechtvaardigde belang van de betrokkene te waarborgen.
E. Rechten van de betrokkene37
1. Artikel 13, lid 2, onder f) en artikel 14, lid 2, onder g) – recht om geïnformeerd te worden
Gezien de mogelijke risico's van profilering zoals bedoeld in artikel 22 en de mogelijke aantasting van de rechten van betrokkenen, moeten verwerkingsverantwoordelijken hun transparantieverplichtingen zeer zorgvuldig in acht nemen.
Ingevolge artikel 13, lid 2, onder f) en artikel 14, lid 2, onder g), zijn verwerkingsverantwoordelijken verplicht specifieke, eenvoudig toegankelijke informatie te verstrekken over uitsluitend op geautomatiseerde verwerking gebaseerde besluitvorming,
36 Groep gegevensbescherming artikel 29, Richtsnoeren inzake toestemming overeenkomstig Verordening 2016/679, WP259, 28.11.2017, http://ec.europa.eu/newsroom/just/document.cfm?doc_id=48849, geraadpleegd op 18.12.2017.
37 In artikel 12 van de AVG zijn de regels voor de uitoefening van de rechten van de betrokkene vastgesteld.
30
waaronder profilering, waaraan rechtsgevolgen verbonden zijn of die de betrokkene anderszins in aanmerkelijke mate treft
38.
Als de verwerkingsverantwoordelijke geautomatiseerde besluiten toepast zoals beschreven in artikel 22, lid 1, moet hij:
• de betrokkene mededelen dat hij dit soort activiteit toepast;
• nuttige informatie verstrekken over de onderliggende logica; en
• het belang en de verwachte gevolgen van de verwerking toelichten.
Het verstrekken van deze informatie zal verwerkingsverantwoordelijken ook helpen sommige van de vereiste beschermingsmaatregelen zoals bedoeld in artikel 22, lid 3 en overweging 71 te treffen.
Valt de geautomatiseerde besluitvorming en profilering niet onder de definitie van artikel 22, lid 1, dan is het desalniettemin een goede praktijk om de bovengenoemde informatie te verstrekken. In alle gevallen moet de verwerkingsverantwoordelijke de betrokkene voldoende informatie ter beschikking stellen opdat de verwerking eerlijk is,39 en aan alle andere informatievereisten van de artikelen 13 en 14 voldoet.
Nuttige informatie over de "onderliggende logica"
Door de groei en complexiteit van machinaal leren kan het moeilijk zijn om te begrijpen hoe een geautomatiseerd besluitvormingsproces of profilering werkt.
De verwerkingsverantwoordelijke moet eenvoudige manieren vinden om de betrokkene uit te leggen wat de achterliggende gedachte is of op grond van welke criteria het besluit is genomen. De AVG verplicht de verwerkingsverantwoordelijke nuttige informatie over de onderliggende logica te verstrekken, niet noodzakelijkerwijs een ingewikkelde toelichting over de gebruikte algoritmen of een uiteenzetting van het volledige algoritme40. De verstrekte informatie moet echter volledig genoeg zijn voor de betrokkene om de redenen van het besluit te kunnen begrijpen.
Voorbeeld
Een verwerkingsverantwoordelijke maakt gebruik van kredietscores om een leningaanvraag van een persoon te beoordelen en af te wijzen. De score kan door een kredietinformatiebureau zijn verstrekt of rechtstreeks zijn berekend aan de hand van informatie waarover de verwerkingsverantwoordelijke beschikt.
38 Zoals beschreven in artikel 22, leden 1 en 4. De in de artikelen 13 en 14 bepaalde algemene informatievereisten komen aan bod in de richtsnoeren inzake transparantie van de Groep artikel 29.
39 AVG, overweging 60: "De verwerkingsverantwoordelijke dient de betrokkene de nadere informatie te verstrekken die noodzakelijk is om tegenover de betrokkene een behoorlijke en transparante verwerking te waarborgen, met inachtneming van de specifieke omstandigheden en de context waarin de persoonsgegevens worden verwerkt. Voorts moet de betrokkene worden geïnformeerd over het bestaan van profilering en de gevolgen daarvan."
40 Complexiteit is geen excuus om de betrokkene geen informatie te verstrekken. In overweging 58 wordt in dit verband het volgende vermeld: "[het transparantiebeginsel] geldt in het bijzonder voor situaties, waarin het vanwege zowel het grote aantal actoren als de technologische complexiteit van de praktijk voor een betrokkene moeilijk is te weten en te begrijpen of, door wie en met welk doel zijn persoonsgegevens worden verzameld, zoals bij onlineadvertenties."
31
Ongeacht de bron (en de verwerkingsverantwoordelijke is krachtens artikel 14, lid 2, onder f), verplicht informatie over de bron te verstrekken wanneer de persoonsgegevens niet van de betrokkene zijn verkregen) moet de verwerkingsverantwoordelijke, als hij deze score als basis gebruikt, die score en de achterliggende gedachte ervan aan de betrokkene kunnen toelichten.
De verwerkingsverantwoordelijke legt uit dat dit proces hem helpt eerlijke en verantwoorde beslissingen voor kredietverstrekking te nemen. Hij verstrekt gedetailleerde informatie over de belangrijkste kenmerken die bij de besluitvorming in beschouwing worden genomen, de bron van deze informatie en het belang ervan. Deze kan bijvoorbeeld bestaan uit:
• de informatie die de betrokkene via het aanvraagformulier heeft verstrekt;
• informatie over omgang met krediet in het verleden, waaronder betalingsachterstanden; en
• informatie uit officiële openbare bronnen, zoals frauderegisters en insolventieregisters.
De verwerkingsverantwoordelijke verstrekt ook informatie om de betrokkene erop te wijzen dat de voor het kredietscoresysteem gebruikte methoden regelmatig worden getest om te waarborgen dat ze eerlijk, doelgericht en onbevooroordeeld blijven.
De verwerkingsverantwoordelijke verstrekt de betrokkene contactgegevens ten behoeve van verzoeken tot heroverweging van afwijzingsbesluiten overeenkomstig de bepalingen van artikel 22, lid 3.
"Belang" en "verwachte gevolgen"
Deze begrippen duiden erop dat informatie moet worden verstrekt over de beoogde of toekomstige verwerking en over de wijze waarop de geautomatiseerde besluitvorming de betrokkene zou kunnen treffen41. Om deze informatie nuttig en begrijpelijk te maken, moeten echte, concrete voorbeelden van de mogelijke gevolgen worden gegeven.
41 Raad van Europa, Draft Explanatory Report on the modernised version of CoE Convention 108, lid 75: "Data subjects should be entitled to know the reasoning underlying the processing of their data, including the consequences of such a reasoning, which led to any resulting conclusions, in particular in cases involving the use of algorithms for automated-decision making including profiling. For instance in the case of credit scoring, they should be entitled to know the logic underpinning the processing of their data and resulting in a ‘yes’ or ‘no’ decision, and not simply information on the decision itself. Without an understanding of these elements there could be no effective exercise of other essential safeguards such as the right to object and the right to complain to a competent authority." (Betrokkenen moeten het recht hebben de achterliggende redenering van de verwerking van hun gegevens te kennen, met inbegrip van de gevolgen van deze redenering die tot daaruit voortvloeiende conclusies heeft geleid, met name in gevallen waarin algoritmen voor geautomatiseerde besluitvorming, waaronder profilering, worden gebruikt. Bij de toepassing van kredietscores hebben zij bijvoorbeeld het recht de logica die aan de verwerking van hun gegevens ten grondslag ligt en tot een "ja"- of "nee"-besluit leidt, te kennen, en niet louter informatie over het besluit zelf. Wanneer betrokkenen deze elementen niet kunnen begrijpen, kunnen andere essentiële waarborgen zoals het recht om bezwaar aan te tekenen bij een bevoegde autoriteit, niet daadwerkelijk worden uitgeoefend.), https://rm.coe.int/CoERMPublicCommonSearchServices/DisplayDCTMContent?documentId=09000016806b6ec2, geraadpleegd op 24.4.2017.
32
In een digitale context kunnen verwerkingsverantwoordelijken mogelijk aanvullende middelen gebruiken om deze gevolgen toe te lichten.
Voorbeeld
Een verzekeringsmaatschappij maakt gebruik van geautomatiseerde besluitvorming om premies voor een motorrijtuigenverzekering vast te stellen op basis van monitoring van het rijgedrag van klanten. Om het belang en de verwachte gevolgen van de verwerking toe te lichten, legt de verwerkingsverantwoordelijke uit dat gevaarlijk rijden tot hogere verzekeringsuitkeringen kan leiden en stelt hij een app ter beschikking die fictieve bestuurders, waarvan één met gevaarlijke rijgewoonten zoals snel optrekken en op het laatste moment remmen, met elkaar vergelijkt.
Hij gebruikt beeldmateriaal om tips te geven om deze gewoonten te verbeteren en zodoende de verzekeringspremies te verlagen.
Verwerkingsverantwoordelijken kunnen vergelijkbare visuele technieken gebruiken om toe te lichten hoe een besluit in het verleden is genomen.
2. Artikel 15, lid 1, onder h) – Recht van inzage
Ingevolge artikel 15, lid 1, onder h), hebben betrokkenen het recht dezelfde informatie over uitsluitend geautomatiseerde besluitvorming, waaronder profilering, te ontvangen als vereist is krachtens artikel 13, lid 2, onder f) en artikel 14, lid 2, onder g), te weten:
• het bestaan van geautomatiseerde besluitvorming, met inbegrip van profilering;
• nuttige informatie over de onderliggende logica; en
• het belang en de verwachte gevolgen van die verwerking voor de betrokkene.
De verwerkingsverantwoordelijke zou de betrokkene deze gegevens al verstrekt moeten hebben ingevolge zijn verplichtingen uit hoofde van artikel 1342.
In artikel 15, lid 1, onder h), wordt bepaald dat de verwerkingsverantwoordelijke de betrokkene informatie moet verstrekken over de verwachte gevolgen van de verwerking en niet een toelichting van een specifiek besluit. In overweging 63 wordt dit toegelicht met de vermelding dat elke betrokkene recht van inzage dient te hebben om "te worden meegedeeld" hoe automatische gegevensverwerking werkt, met inbegrip van welke logica eraan ten grondslag ligt en, ten minste wanneer de verwerking op profilering is gebaseerd, wat de gevolgen van een dergelijke verwerking zijn
Door zijn rechten uit hoofde van artikel 15 uit te oefenen kan de betrokkene kennis nemen van een besluit dat ten aanzien van hem is genomen, met inbegrip van een op profilering gebaseerd besluit.
De verwerkingsverantwoordelijke moet de betrokkene algemene informatie verstrekken (met name over factoren die in het besluitvormingsproces in aanmerking zijn genomen, en hun
42 In artikel 12, lid 3, AVG, wordt bepaald binnen welk tijdsbestek de verwerkingsverantwoordelijke deze informatie moet verstrekken.
33
respectieve "weging" op een geaggregeerd niveau) die hem ook van nut is om het besluit aan te vechten.
F. Passende beschermingsmaatregelen treffen
Is de grond voor de verwerking artikel 22, lid 2, onder a), artikel 22, lid 2, onder c) of artikel 22, lid 3, dan is de verwerkingsverantwoordelijke verplicht passende maatregelen ter bescherming van de rechten en vrijheden en gerechtvaardigde belangen van de betrokkene te treffen. Overeenkomstig artikel 22, lid 2, onder b), moet de Unierechtelijke of lidstaatrechtelijke bepaling op grond waarvan de verwerking is toegestaan ook voorzien in passende beschermingsmaatregelen.
Deze maatregelen omvatten ten minste een manier voor de betrokkene om menselijke tussenkomst te verkrijgen, zijn standpunt kenbaar te maken en het besluit aan te vechten.
Menselijke tussenkomst is een cruciaal element. Elke beoordeling moet worden uitgevoerd door iemand die bevoegd en bekwaam is om het besluit te veranderen. De beoordelaar moet alle relevante gegevens grondig evalueren, met inbegrip van eventuele aanvullende informatie die de betrokkene verstrekt.
In overweging 71 wordt benadrukt dat passende waarborgen in ieder geval ook het volgende moet omvatten;
[...] specifieke informatie aan de betrokkene en het recht [...] om uitleg over de na een dergelijke beoordeling genomen besluit te krijgen en om het besluit aan te vechten.
De verwerkingsverantwoordelijke moet de betrokkene een eenvoudige manier bieden om deze rechten uit te oefenen.
Dit onderstreept de noodzaak van transparantie over de verwerking. De betrokkene kan een besluit alleen aanvechten of zijn standpunt kenbaar maken als hij volledig begrijpt hoe en op grond waarvan dat besluit tot stand is gekomen. In hoofdstuk IV (afdeling E) wordt nader ingegaan op transparantievereisten.
Fouten of vooroordelen in verzamelde of gedeelde gegevens of een fout of vooroordeel in het geautomatiseerde besluitvormingsproces kan leiden tot:
• een onjuiste indeling; en
• beoordelingen die op onnauwkeurige voorspellingen berusten; die
• negatieve gevolgen kunnen hebben voor personen.
Verwerkingsverantwoordelijken moeten de gegevensverzamelingen die zij verwerken regelmatig beoordelen om te controleren of er geen sprake is van vooroordelen, en manieren ontwikkelen om nadelige elementen, waaronder overmatig vertrouwen in verbanden, aan te pakken.
Systemen die algoritmen controleren en regelmatige beoordelingen van de nauwkeurigheid en relevantie van geautomatiseerde besluitvorming, met inbegrip van profilering, zijn andere nuttige maatregelen.
34
Verwerkingsverantwoordelijken moeten passende maatregelen treffen om fouten, onjuistheden43 of discriminatie op grond van gegevens van bijzondere categorieën te voorkomen. Deze maatregelen moeten op een cyclische basis worden gebruikt; niet alleen in de ontwerpfase, maar ook doorlopend, gedurende de toepassing van de profilering op personen. De uitkomsten van deze tests moeten worden teruggekoppeld ten behoeve van het ontwerp van het systeem.
Zie de afdeling Aanbevelingen voor meer voorbeelden van passende beschermingsmaatregelen.
V. Kinderen en profilering
De AVG voorziet in aanvullende verplichtingen voor verwerkingsverantwoordelijken wanneer zij de persoonsgegevens van kinderen verwerken.
In artikel 22 zelf wordt voor de verwerking van gegevens geen onderscheid gemaakt tussen volwassenen en kinderen. In overweging 71 wordt echter vermeld dat uitsluitend geautomatiseerde besluitvorming, met inbegrip van profilering, waaraan rechtsgevolgen verbonden zijn of die de betrokkene anderszins in aanmerkelijke mate treft, niet van toepassing mag zijn op kinderen44. Aangezien deze formulering niet terugkomt in het artikel zelf, beschouwt de Groep artikel 29 dit niet als een absoluut verbod op dit soort verwerking met betrekking tot kinderen. In het licht van deze overweging beveelt de Groep artikel 29 echter aan dat verwerkingsverantwoordelijken in beginsel geen gebruik mogen maken van de vrijstellingen van artikel 22, lid 2, om dit soort verwerking te rechtvaardigen.
Er zijn echter omstandigheden denkbaar waarin het voor verwerkingsverantwoordelijken noodzakelijk is uitsluitend geautomatiseerde besluitvorming, met inbegrip van profilering, waaraan rechtsgevolgen verbonden zijn of die de betrokkene anderszins in aanmerkelijke mate treft, toe te passen op kinderen, bijvoorbeeld ter bescherming van hun welzijn. In dit geval mag de verwerking, waar passend, worden uitgevoerd op grond van de uitzonderingen in artikel 22, lid 2, onder a), b) of c).
In deze gevallen moeten er passende beschermingsmaatregelen worden getroffen overeenkomstig artikel 22, lid 2, onder b) en artikel 22, lid 3, en deze maatregelen moeten daarom geschikt zijn voor kinderen. De verwerkingsverantwoordelijke moet ervoor zorgen dat deze maatregelen de rechten en vrijheden en gerechtvaardigde belangen van de kinderen waarvan zij gegevens verwerken, daadwerkelijk beschermen.
De noodzaak van bijzondere bescherming voor kinderen is weerspiegeld in overweging 38, waarin het volgende wordt vermeld:
43 In overweging 71 van de AVG wordt het volgende bepaald:
"Teneinde een voor de betrokkene behoorlijke en transparante verwerking te garanderen, met inachtneming van de concrete omstandigheden en context waarin de persoonsgegevens worden verwerkt, dient de verwerkingsverantwoordelijke voor de profilering passende wiskundige en statistische procedures te hanteren en technische en organisatorische maatregelen te treffen waarmee factoren die aanleiding geven tot onjuistheden van persoonsgegevens worden gecorrigeerd en het risico op fouten wordt geminimaliseerd [...]"
44 Overweging 71 – "Een dergelijke maatregel mag geen betrekking hebben op een kind."
35
"Kinderen hebben met betrekking tot hun persoonsgegevens recht op specifieke bescherming, aangezien zij zich allicht minder bewust zijn van de betrokken risico's, gevolgen en waarborgen en van hun rechten in verband met de verwerking van persoonsgegevens. Die specifieke bescherming moet met name gelden voor het gebruik van persoonsgegevens van kinderen voor marketingdoeleinden of voor het opstellen van persoonlijkheids- of gebruikersprofielen en het verzamelen van persoonsgegevens over kinderen bij het gebruik van rechtstreeks aan kinderen verstrekte diensten."
Artikel 22 verbiedt verwerkingsverantwoordelijken niet uitsluitend geautomatiseerde besluiten ten aanzien van kinderen te nemen als het besluit geen rechtsgevolgen heeft of het kind niet anderszins in aanmerkelijke mate treft Uitsluitend geautomatiseerde besluitvorming die de keuzen en het gedrag van een kind beïnvloedt, kan echter potentieel rechtsgevolgen hebben of het kind anderszins in aanmerkelijke mate treffen, afhankelijk van de aard van de keuzen en gedragingen in kwestie.
Aangezien kinderen een kwetsbaardere groep van de maatschappij vormen, moeten organisaties in het algemeen afzien van profilering van kinderen voor marketingdoeleinden45. Kinderen zijn bijzonder kwetsbaar in de onlineomgeving en zijn eenvoudiger te beïnvloeden met op surfgedrag afgestemde reclame. Bijvoorbeeld bij onlinespellen kan profilering worden gebruikt om reclame te richten aan spelers die volgens het algoritme eerder geneigd zijn om geld aan het spel uit te geven en om meer gepersonaliseerde reclame te tonen. Vanwege hun leeftijd en onvolwassenheid begrijpen kinderen mogelijk niet goed wat de redenen van dit soort marketing zijn en welke gevolgen die voor hen kan hebben46.
In artikel 40, lid 2 onder g), wordt uitdrukkelijk verwezen naar de opstelling van gedragscodes die voorzien in bescherming van kinderen; het kan ook mogelijk zijn bestaande gedragscode aan te passen47.
45 In advies 02/2013 van de Groep artikel 29 over apps op slimme apparaten (WP202), goedgekeurd op 27.2.2013 wordt in deel 3.10 over kinderen op bladzijde 26 het volgende gespecificeerd: "data controllers should not process children’s data for behavioural advertising purposes, neither directly nor indirectly, since this will be outside of the scope of the child’s understanding and therefore exceed the boundaries of lawful processing" (verwerkingsverantwoordelijken mogen gegevens van kinderen niet verwerken voor doeleinden in verband met op surfgedrag afgestemde reclame, noch rechtstreeks, noch onrechtstreeks, aangezien dit het begripsvermogen van het kind overstijgt en daarom buiten het kader van rechtmatige verwerking valt).
46 Een EU-onderzoek naar het effect van marketing via sociale media, onlinespellen en mobiele apps op het gedrag van kinderen heeft aangetoond dat marketingpraktijken duidelijke effecten heeft op het gedrag van kinderen. Dit onderzoek is gebaseerd op kinderen in de leeftijd van 6 tot 12 jaar.
47 Een voorbeeld van een gedragscode waarin op kinderen gerichte marketing wordt behandeld, is de gedragscode die is opgesteld door FEDMA en beschikbaar is via: http://www.oecd.org/sti/ieconomy/2091875.pdf, geraadpleegd op 15.5.2017. Zie met name: "6.2 Marketers targeting children, or for whom children are likely to constitute a section of their audience, should not exploit children’s credulity, loyalty, vulnerability or lack of experience." (6.2 Marketeers die reclame richten aan kinderen of voor wie kinderen waarschijnlijk een deel van hun doelgroep vormen, mogen geen misbruik maken van de goedgelovigheid, oprechtheid, kwetsbaarheid of onervarenheid van kinderen); "6.8.5 Marketers should not make a child’s access to a website contingent on the collection of detailed personal information. In, particular, special incentives such as prize offers and games should not be used to entice children to divulge detailed personal information." (6.8.5 Marketeers mogen de verwerving van gedetailleerde persoonsgegevens niet als voorwaarde stellen om een kind toegang tot een website te verschaffen. In het bijzonder mogen geen bijzondere prikkels, zoals het winnen van prijzen en spellen, worden gebruikt om kinderen aan te zetten tot verstrekking van gedetailleerde persoonsgegevens.)
36
VI. Gegevensbeschermingseffectbeoordeling en functionaris voor gegevensbescherming
De verantwoordingsplicht is een belangrijk onderdeel en een uitdrukkelijk vereiste van de AVG. 48
Een gegevensbeschermingseffectbeoordeling is een belangrijk middel voor naleving van de verantwoordingsplicht waarmee de verwerkingsverantwoordelijke de aan geautomatiseerde besluitvorming, met inbegrip van profilering, verbonden risico's kan beoordelen. Het is een manier om aan te tonen dat passende maatregelen zijn getroffen om die risico's aan te pakken en te bewijzen dat de AVG wordt nageleefd.
In artikel 35, lid 3, onder a), wordt bepaald dat de verwerkingsverantwoordelijke een gegevensbeschermingseffectbeoordeling moet uitvoeren in geval van:
een systematische en uitgebreide beoordeling van persoonlijke aspecten van natuurlijke personen, die is gebaseerd op geautomatiseerde verwerking, waaronder profilering, en waarop besluiten worden gebaseerd waaraan voor de natuurlijke persoon rechtsgevolgen zijn verbonden of die de natuurlijke persoon op vergelijkbare wijze wezenlijk treffen;
In artikel 35, lid 3, onder a), wordt verwezen naar beoordelingen waaronder profilering en besluiten die "gebaseerd" zijn op geautomatiseerde verwerking, en niet op uitsluitend geautomatiseerde verwerking. Daaronder verstaan we dat artikel 35, lid 3, onder a), van toepassing is in geval van besluitvorming, waaronder profilering, waaraan rechtsgevolgen verbonden zijn of die de betrokkene op vergelijkbare wijze wezenlijk treft, die niet volledig geautomatiseerd is, én in geval van uitsluitend geautomatiseerde besluitvorming zoals bedoeld in artikel 22, lid 1.
Als de verwerkingsverantwoordelijke een "model" beoogt waarin hij uitsluitend geautomatiseerde besluiten neemt met een sterk effect op personen op basis van profielen die over hen worden gemaakt en hij zich niet kan baseren op de toestemming van de persoon, een overeenkomst met de persoon of een wettelijke bepaling op grond waarvan dit toegestaan is, mag de verwerkingsverantwoordelijke dit niet tot uitvoering brengen.
De verwerkingsverantwoordelijke kan wel een "model" van besluitvorming op basis van profilering beogen als hij de mate van menselijke tussenkomst aanzienlijk verhoogt opdat het model niet langer een volledig geautomatiseerd besluitvormingsproces is, hoewel de verwerking nog steeds risico's voor de fundamentele rechten en vrijheden van de betrokkene met zich mee kan brengen. In dit geval moet de verwerkingsverantwoordelijke ervoor zorgen dat hij deze risico's kan beheersen en aan de in hoofdstuk III van deze richtsnoeren beschreven vereisten voldoet.
Een gegevensbeschermingseffectbeoordeling kan ook een nuttige manier zijn voor de verwerkingsverantwoordelijke om vast te stellen welke maatregelen hij moet treffen om de aan de verwerking verbonden gegevensbeschermingsrisico's aan te pakken. Deze maatregelen49 kunnen bestaan uit:
48 Zoals vereist krachtens artikel 5, lid 2, AVG.
49 Weerspiegeling van de vereisten in artikel 13, lid 2, onder f), artikel 14, lid 2, onder g), en artikel 22, lid 3.
37
• de betrokkene informeren over het bestaan van geautomatiseerde besluitvorming en de onderliggende logica;
• het belang en de verwachte gevolgen van de verwerking voor de betrokkene toelichten;
• de betrokkene de middelen ter beschikking stellen om het besluit aan te vechten; en
• de betrokkene toestaan zijn standpunt kenbaar te maken.
Ook andere profileringsactiviteiten kunnen een gegevensbeschermingseffectbeoordeling rechtvaardigen, al naargelang de specifieke kenmerken van het geval. Het is voor verwerkingsverantwoordelijken raadzaam de richtsnoeren inzake gegevensbeschermingseffectbeoordelingen van de Groep artikel 2950 te raadplegen voor meer informatie en om beter te kunnen beoordelen of een gegevensbeschermingseffectbeoordeling nodig is.
Een aanvullende eis in het kader van de verantwoordingsplicht is de aanwijzing van een functionaris voor gegevensbescherming wanneer de profilering en/of de geautomatiseerde besluitvorming een kernactiviteit van de verwerkingsverantwoordelijke vormt en regelmatige en stelselmatige observatie op grote schaal van betrokkenen vereist (artikel 37, lid 1, onder b))51.
BIJLAGE 1 – Aanbevelingen voor goede praktijken
De volgende aanbevelingen voor goede praktijken zullen verwerkingsverantwoordelijken helpen aan de vereisten van de AVG inzake profilering en geautomatiseerde besluitvorming te voldoen52.
Artikel
Kwestie
Aanbeveling
5, lid 1, onder a), 12, 13, 14
Recht om informatie te ontvangen
Verwerkingsverantwoordelijken moeten de richtsnoeren inzake transparantie (WP260) van de Groep artikel 29 raadplegen voor algemene transparantievereisten.
Verwerkingsverantwoordelijken die gegevens verwerken zoals bedoeld in artikel 22 moeten naast de algemene vereisten nuttige informatie over de onderliggende logica verstrekken.
De verwerkingsverantwoordelijke dient niet een ingewikkelde wiskundige toelichting over de werking van algoritmen of machinaal leren
50 Groep gegevensbescherming artikel 29, Guidelines on Data Protection Impact Assessment (DPIA) and determining whether processing is “likely to result in a high risk” for the purposes of Regulation 2016/679, 4.4.2017, http://ec.europa.eu/newsroom/document.cfm?doc_id=44137, geraadpleegd op 24.4.2017.
51 Groep gegevensbescherming artikel 29, Richtlijnen voor functionarissen voor gegevensbescherming (Data Protection Officer, DPO), 5.4.2017, http://ec.europa.eu/newsroom/article29/item-detail.cfm?item_id=612048, geraadpleegd op 22.1.2018.
52 Verwerkingsverantwoordelijken moeten er ook voor zorgen dat zij degelijke procedures hanteren om te garanderen dat zij hun verplichtingen uit hoofde van de artikelen 15 tot en met 22 kunnen naleven binnen de in de AVG gestelde termijnen.
38
te verstrekken, maar duidelijke en begrijpelijke manieren te gebruiken om de informatie aan de betrokkene te presenteren, bijvoorbeeld:
• de gegevenscategorieën die zijn gebruikt of zullen worden gebruikt in het profilerings- of besluitvormingsproces;
• de redenen waarom deze categorieën relevant worden geacht;
• de manier waarop de in het geautomatiseerde besluitvormingsproces gebruikte profielen worden samengesteld, met inbegrip van statistieken die in de analyse worden gebruikt;
• de redenen waarom dit profiel relevant is voor het geautomatiseerde besluitvormingsproces; en
• de manier waarop het voor een besluit over de betrokkene wordt gebruikt.
Deze informatie is doorgaans nuttiger voor de betrokkene en draagt bij aan de transparantie van de verwerking.
Verwerkingsverantwoordelijken kunnen overwegen visualisatie- en interactieve technieken te gebruiken om de transparantie van algoritmen te vergroten53.
6, lid 1, onder a)
Toestemming als grond voor verwerking
Als verwerkingsverantwoordelijken zich baseren op toestemming als grond voor verwerking, dienen zij de richtsnoeren inzake toestemming (WP259) van de Groep artikel 29 te raadplegen.
15
Recht van inzage
Verwerkingsverantwoordelijken kunnen overwegen een mechanisme in te voeren waarmee betrokkenen hun profiel kunnen controleren, met inbegrip van de afzonderlijke gegevens en de bronnen die zijn gebruikt om het profiel samen te stellen.
53 Information Commissioner’s Office, Big data, artificial intelligence, machine learning and data protection, versie 2.0, 03/2017, blz. 87, punt 194, maart 2017, https://ico.org.uk/media/for-organisations/documents/2013559/big-data-ai-ml-and-data-protection.pdf, geraadpleegd op 24.4.2017.
39
16
Recht op rectificatie
Verwerkingsverantwoordelijken die betrokkenen in verband met hun rechten uit hoofde van artikel 15 toegang tot hun profiel bieden, moeten hun de mogelijkheid bieden onjuistheden in de gegevens of het profiel bij te werken of aan te passen. Dit kan hen bovendien helpen hun verplichtingen uit hoofde van artikel 5, lid 1, onder d), na te komen.
Verwerkingsverantwoordelijken moeten overwegen online-instrumenten voor het beheer van voorkeuren, zoals een privacycontrolepaneel, in te voeren. Dit geeft betrokkenen de mogelijkheid te bepalen wat er binnen een aantal verschillende diensten met hun gegevens gebeurt. Zo kunnen zij instellingen aanpassen, hun persoonsgegevens bijwerken en hun profiel evalueren of bewerken om eventuele onjuistheden te rectificeren.
21, leden 1 en 2
Recht van bezwaar
Het in artikel 21, leden 1 en 2 neergelegde recht van bezwaar moet uitdrukkelijk onder de aandacht van de betrokkene worden gebracht en duidelijk en gescheiden van enige andere informatie worden weergegeven (artikel 21, lid 4).
Verwerkingsverantwoordelijken moeten dit recht duidelijk zichtbaar vermelden op hun website of in documentatie, en niet verbergen in andere voorwaarden.
22 en overweging 71
Passende beschermingsmaatregelen
Hieronder volgt een niet-uitputtende lijst van enkele suggesties voor goede praktijken die verwerkingsverantwoordelijken kunnen overwegen wanneer zij uitsluitend geautomatiseerde besluiten, waaronder profilering (gedefinieerd in artikel 22, lid 1), nemen:
• regelmatige kwaliteitscontroles van hun systemen om te waarborgen dat personen eerlijk worden behandeld en niet worden gediscrimineerd op grond van bijzondere categorieën van persoonsgegevens of op een andere manier;
• de evaluatie van algoritmen – het testen van de gebruikte en door machinaal lerende systemen ontwikkelde algoritmen om te bewijzen dat ze daadwerkelijk functioneren zoals bedoeld en geen discriminerende, onjuiste of ongerechtvaardigde
40
resultaten genereren;
• voor onafhankelijke evaluaties door een "derde" (wanneer besluitvorming op basis van profilering personen in sterke mate treft), de beoordelaar alle vereiste informatie verstrekken over hoe het algoritme of het machinaal lerende systeem werkt;
• contractuele waarborgen verkrijgen voor algoritmen van derden die bewijzen dat evaluaties en tests zijn uitgevoerd en het algoritme aan de overeengekomen normen voldoet;
• specifieke maatregelen ten behoeve van minimale gegevensverwerking, om duidelijke bewaartermijnen te hanteren voor profielen en voor persoonsgegevens die voor de samenstelling of toepassing van de profielen zijn gebruikt;
• het gebruik van technieken voor anonimisering of pseudonimisering in het kader van profilering;
• manieren om de betrokkene de mogelijkheid te bieden zijn standpunt kenbaar te maken en besluiten aan te vechten; en
• een mechanisme voor menselijke tussenkomst in specifieke gevallen, bijvoorbeeld de verstrekking van een link naar een bezwaarprocedure op het moment waarop het geautomatiseerde besluit aan de betrokkene wordt medegedeeld, met overeengekomen termijnen voor herziening en een aangewezen aanspreekpunt voor vragen.
Verwerkingsverantwoordelijken kunnen ook opties verkennen zoals:
• certificeringsmechanismen voor verwerkingsprocedures;
• gedragscodes voor auditprocedures waarbij machinaal leren betrokken is;
• commissies voor ethische beoordeling van de potentiële schadelijke gevolgen en voordelen voor de maatschappij van specifieke toepassingen van profilering.
41
42
BIJLAGE 2 – Belangrijke bepalingen in de AVG
Belangrijke bepalingen in de AVG die betrekking hebben op algemene profilering en geautomatiseerde besluitvorming
Artikel
Overweging
Opmerkingen
3, lid 2, onder b)
24
Het monitoren van het gedrag van betrokkenen, voor zover dit gedrag in de Unie plaatsvindt.
Overweging 24
"[...] op het internet worden gevolgd [...] persoonsgegevensverwerkingstechnieken worden gebruikt waarbij een profiel wordt opgesteld van een natuurlijke persoon, in het bijzonder om besluiten ten aanzien van hem te nemen of om zijn persoonlijke voorkeuren, gedragingen en attitudes te analyseren of te voorspellen."
4, lid 4
30
Artikel 4, punt 4) definitie van profilering
Overweging 30
"online-identificatoren [...], zoals internetprotocol (IP)-adressen, identificatiecookies of andere identificatoren zoals radiofrequentie-identificatietags. Dit kan sporen achterlaten die, met name wanneer zij met unieke identificatoren en andere door de servers ontvangen informatie worden gecombineerd, kunnen worden gebruikt om profielen op te stellen van natuurlijke personen en natuurlijke personen te herkennen."
5 en 6
72
Overweging 72:
"Voor profilering gelden de regels van deze verordening betreffende de verwerking van persoonsgegevens, bijvoorbeeld de rechtsgronden voor verwerking (artikel 6) of beginselen van gegevensbescherming (artikel 5)."
8
38
Gebruik van persoonsgegevens van kinderen voor profilering.
Overweging 38:
"Kinderen hebben [...] recht op specifieke bescherming [...] met name [...] voor het gebruik van persoonsgegevens van kinderen [...] voor het opstellen van persoonlijkheids- of gebruikersprofielen."
13 en 14
60
Recht om informatie te ontvangen.
Overweging 60:
"Voorts moet de betrokkene worden geïnformeerd over het bestaan van profilering en de gevolgen daarvan."
15
63
Recht van inzage.
Overweging 63:
"het recht te hebben, te weten en te worden meegedeeld voor welke doeleinden de persoonsgegevens worden verwerkt, [...] en, ten minste wanneer de verwerking op profilering is gebaseerd, wat de gevolgen van een dergelijke verwerking zijn."
21, leden 1, 2 en 3
70
Recht om bezwaar te maken tegen profilering.
Overweging 70
"[...] het recht [...] bezwaar te maken tegen deze verwerking, ook in het geval van profilering voor zover deze betrekking heeft op de direct
43
marketing."
23
73
Overweging 73:
"In het Unierecht of het lidstatelijke recht kunnen beperkingen worden gesteld aan de specifieke beginselen en [...] het recht om bezwaar te maken, alsook aan besluiten gebaseerd op profilering [...] voor zover dat in een democratische samenleving noodzakelijk en evenredig is [...]" voor de bescherming van specifieke doelstellingen van algemeen en openbaar belang.
35, lid 3, onder a)
91
Een gegevensbeschermingseffectbeoordeling is vereist in geval van "een systematische en uitgebreide beoordeling van persoonlijke aspecten van natuurlijke personen, die is gebaseerd op geautomatiseerde verwerking, waaronder profilering, en waarop besluiten worden gebaseerd waaraan voor de natuurlijke persoon rechtsgevolgen zijn verbonden of die de natuurlijke persoon op vergelijkbare wijze wezenlijk treffen;" Van toepassing op besluitvorming, met inbegrip van profilering, die niet uitsluitend geautomatiseerd is.
Belangrijke bepalingen in de AVG die betrekking hebben op geautomatiseerde besluitvorming zoals bedoeld in artikel 22
Artikel
Overweging
Opmerkingen
13, lid 2, onder f) en 14, lid 2, onder g)
61
Recht om informatie te ontvangen over:
• het bestaan van geautomatiseerde besluitvorming zoals bedoeld in artikel 22, leden 1 en 4;
• nuttige informatie over de onderliggende logica;
• het belang en de verwachte gevolgen van de deze verwerking.
15, onder h)
Specifieke rechten van inzage van informatie over het bestaan van uitsluitend geautomatiseerde besluitvorming, met inbegrip van profilering.
22, lid 1
71
Verbod op uitsluitend op geautomatiseerde verwerking, waaronder profilering, gebaseerde besluitvorming waaraan rechtsgevolgen zijn verbonden of die de betrokkene anderszins in aanmerkelijke mate treft.
De volgende punten, die een aanvulling op de toelichting in het hoofdgedeelte van de richtsnoeren vormen, gaan nader in op de redenering voor de uitlegging van artikel 22 als een verbod:
• Hoewel hoofdstuk III de rechten van de betrokkene betreft, gaan de bepalingen van de artikelen 12 tot en met 22 niet uitsluitend in op de actieve uitoefening van rechten. Sommige van de rechten zijn passief; ze hebben niet allen betrekking op situaties waarin de betrokkene een handeling verricht, d.w.z. een verzoek of een klacht indient of iets soortgelijks. De artikelen 15 tot en met 18 en de
44
artikelen 20 en 21 betreffen rechten die actief door de betrokkene worden uitgeoefend, maar de artikelen 13 en 14 betreffen verplichtingen die de verwerkingsverantwoordelijke zonder actieve betrokkenheid van de betrokkene moet nakomen. Dus het feit op zich dat artikel 22 in dit hoofdstuk is opgenomen, betekent niet dat het een recht van bezwaar behelst.
• In artikel 12, lid 2, wordt verwezen naar de uitoefening van "de rechten van de betrokkene uit hoofde van de artikelen 15 tot en met 22", maar dit betekent niet dat artikel 22, lid 1, op zich als een recht moet worden geïnterpreteerd. Artikel 22 behelst wel degelijk een actief recht, maar dat maakt deel uit van de beschermingsmaatregelen die moeten worden getroffen in de gevallen waarin geautomatiseerde besluitvorming is toegestaan (artikelen 22, lid 2, onder a) tot en met c)) – het recht op menselijke tussenkomst, het recht om zijn standpunt kenbaar te maken en het recht om het besluit aan te vechten. Het is alleen in die gevallen van toepassing, omdat de uitvoering van de in artikel 22, lid 1, beschreven verwerking op andere gronden verboden is.
• Artikel 22 maakt binnen de AVG deel uit van de afdeling getiteld "Recht van bezwaar en geautomatiseerde individuele besluitvorming", hetgeen suggereert dat artikel 22 niet een recht van bezwaar is zoals artikel 21. Ook het feit dat in artikel 22 een even uitdrukkelijke informatieplicht als die in artikel 21, lid 4, ontbreekt, wijst daarop.
• Als artikel 22 als recht van bezwaar moest worden geïnterpreteerd, zou de uitzondering in artikel 22, lid 2, onder c) vrij onlogisch zijn. De uitzondering luidt dat geautomatiseerde besluitvorming wel mag plaatsvinden als de betrokkene uitdrukkelijke toestemming heeft gegeven (zie hieronder). Dit zou tegenstrijdig zijn, omdat een betrokkene bij dezelfde verwerking niet toestemming geven en tegelijkertijd bezwaar maken kan.
• Bezwaar zou betekenen dat menselijke tussenkomst moet plaatsvinden. De uitzonderingen in artikel 22, lid 2, onder a) en c), maken de hoofdregel van artikel 22, lid 1 ongeldig, maar alleen zolang de betrokkene over menselijke tussenkomst kan beschikken zoals bepaald in artikel 22, lid 3. Aangezien de betrokkene (door bezwaar te maken) al om menselijke tussenkomst heeft verzocht, zouden de bepalingen van artikel 22, lid 2, onder a) en c) telkens automatisch worden omzeild, waardoor de toepassing ervan geen effect zou hebben.
Overweging 71:
"[…] Een verwerking van die aard omvat 'profilering', wat bestaat
45
in de geautomatiseerde verwerking van persoonsgegevens ter beoordeling van persoonlijke aspecten van een natuurlijke persoon, met name om kenmerken betreffende beroepsprestaties, economische situatie, gezondheid, persoonlijke voorkeuren of interesses, betrouwbaarheid of gedrag, locatie of verplaatsingen van de betrokkene te analyseren of te voorspellen [...]" "Een dergelijke maatregel mag geen betrekking hebben op een kind."
22, lid 2, onder a) tot en met c)
71
Ingevolge artikel 22, lid 2, wordt het verbod opgeheven voor verwerking die gegrond is op a) de totstandkoming of de uitvoering van een overeenkomst, b) een Unierechtelijke of lidstaatrechtelijke bepaling, of c) uitdrukkelijke toestemming.
In overweging 71 wordt aanvullende achtergrond voor artikel 22, lid 2, onder b), gegeven en wordt vermeld dat de in artikel 22, lid 1, beschreven verwerking:
"[...] echter wel mogelijk [dient] te zijn wanneer deze uitdrukkelijk is toegestaan bij Unierecht of lidstatelijk recht dat op de verwerkingsverantwoordelijke van toepassing is, onder meer ten behoeve van de controle en voorkoming van belastingfraude en -ontduiking overeenkomstig de regelgeving, normen en aanbevelingen van de instellingen van de Unie of de nationale voor oversight bevoegde instanties, en om te zorgen voor de veiligheid en betrouwbaarheid van een dienst die door de verwerkingsverantwoordelijke wordt verleend [...]"
22, lid 3
71
In artikel 22, lid 3 en overweging 71 wordt ook gespecificeerd dat zelfs in de in artikel 22, lid 2, onder a) en c), bedoelde gevallen voor de verwerking passende beschermingsmaatregelen moeten worden getroffen.
Overweging 71:
"[...] waaronder specifieke informatie aan de betrokkene en het recht op menselijke tussenkomst, om zijn standpunt kenbaar te maken, om uitleg over de na een dergelijke beoordeling genomen besluit te krijgen en om het besluit aan te vechten. Een dergelijke maatregel mag geen betrekking hebben op een kind."
23
73
Overweging 73:
"In het Unierecht of het lidstatelijke recht kunnen beperkingen worden gesteld aan de specifieke beginselen en [...] het recht om bezwaar te maken, alsook aan besluiten gebaseerd op profilering ... voor zover dat in een democratische samenleving noodzakelijk en evenredig is [...] " voor de bescherming van specifieke doelstellingen van algemeen en openbaar belang.
35, lid 3, onder a)
91
Verplichting om een gegevensbeschermingseffectbeoordeling uit te voeren
47, lid 2, onder e)
In de in artikel 47, lid 1, bedoelde bindende bedrijfsvoorschriften moet ten minste "het recht om niet te worden onderworpen aan louter op geautomatiseerde verwerking gebaseerde besluiten, met inbegrip van profilering overeenkomstig artikel 22 [...]" worden vermeld.
46
BIJLAGE 3 – Aanvullende informatie
In deze richtsnoeren zijn de volgende documenten in aanmerking genomen:
- Groep artikel 29, Advice paper on essential elements of a definition and a provision on profiling within the EU General Data Protection Regulation, goedgekeurd op 13.5.2013
- Groep artikel 29, Advies 2/2010 over online reclame op basis van surfgedrag (‘behavioural advertising’), WP171
- Groep artikel 29, Opinion 03/2013 on purpose limitation, WP 203
- Groep artikel 29, Advies 06/2014 over het begrip "gerechtvaardigd belang van de voor de gegevensverwerking verantwoordelijke" in artikel 7 van Richtlijn 95/46/EG, WP217
- Groep artikel 29, Statement on the role of a risk-based approach to data protection legal frameworks, WP218
- Groep artikel 29, Advies 8/2014 over de recente ontwikkelingen op het gebied van het internet van de dingen, WP223
- Groep artikel 29, Richtlijnen voor functionarissen voor gegevensbescherming (Data Protection Officer, DPO), WP243
- Groep artikel 29, Guidelines on identifying a controller or processor’s lead supervisory authority, WP244
- Groep artikel 29, Richtsnoeren inzake toestemming overeenkomstig Verordening 2016/679, WP259
- Groep artikel 29, Guidelines on transparency, WP260
- Raad van Europa, Recommendation CM/Rec(2010)13 on the protection of individuals with regard to automatic processing of personal data in the context of profiling
- Raad van Europa, Guidelines on the protection of individuals with regard to the processing of personal data in a world of Big Data, 01/2017
- Information Commissioner’s Office, Big data, artificial intelligence, machine learning and data protection, versie 2.0, 03/2017
- Office of the Australian Commissioner, Consultation draft: Guide to big data and the Australian Privacy Principles, 05/2016
- Europese Toezichthouder voor gegevensbescherming, Advies 7/2015 – Meeting the challenges of big data, 19.11.2015
- Datatilsynet, Big Data – privacy principles under pressure, 09/2013
- Raad van Europa, Verdrag tot bescherming van personen met betrekking tot de geautomatiseerde verwerking van persoonsgegevens, Draft explanatory report on the modernised version of CoE Convention 108, augustus 2016
- Datatilsynet, The Great Data Race – How commercial utilisation of personal data challenges privacy, verslag, november 2015
- Europese Toezichthouder voor gegevensbescherming, Assessing the necessity of measures that limit the fundamental right to the protection of personal data: A Toolkit
- Gemengd Comité van Europese toezichthoudende autoriteiten, Joint Committee Discussion Paper on the use of Big Data by financial institutions, 2016-86 https://www.esma.europa.eu/sites/default/files/library/jc-2016-86_discussion_paper_big_data.pdf
47
- Commissie voor de bescherming van de persoonlijke levenssfeer, Big Data Rapport https://www.privacycommission.be/sites/privacycommission/files/documents/Big%20Data%20voor%20MindMap%2022-02-17%20nl.pdf.
- United States Senate, Committee on Commerce, Science, and Transportation, A Review of the Data Broker Industry: Collection, Use, and Sale of Consumer Data for Marketing Purposes, Staff Report for Chairman Rockefeller, 18 december 2013, https://www.commerce.senate.gov/public/_cache/files/0d2b3642-6221-4888-a631-08f2f255b577/AE5D72CBE7F44F5BFC846BECE22C875B.12.18.13-senate-commerce-committee-report-on-data-broker-industry.pdf
- Edwards L. en Veale, M., Slave to the Algorithm? Why a ‘Right to an Explanation’ is probably not the remedy you are looking for, onderzoeksdocument, gepubliceerd op 24.5.2017 https://papers.ssrn.com/sol3/papers.cfm?abstract_id=2972855
- NYTimes.com, Showing the Algorithms behind New York City Services. https://mobile.nytimes.com/2017/08/24/nyregion/showing-the-algorithms-behind-new-york-city-services.html?referer=https://t.co/6uUVVjOIXx?amp=1, geraadpleegd op 24.8.2017.
- Raad van Europa, Recommendation CM/REC(2018)x of the Committee of Ministers to Member States on Guidelines to promote, protect and fulfil children’s rights in the digital environment, (herzien ontwerp, 25.7.2017), https://www.coe.int/en/web/children/-/call-for-consultation-guidelines-for-member-states-to-promote-protect-and-fulfil-children-s-rights-in-the-digital-environment?inheritRedirect=true&redirect=%2Fen%2Fweb%2Fchildren, geraadpleegd op 31.8.2017
- Unicef, Privacy, protection of personal information and reputation rights, Reeks discussienota's: Children’s Rights and Business in a Digital World, https://www.unicef.org/csr/files/UNICEF_CRB_Digital_World_Series_PRIVACY.pdf, geraadpleegd op 31.8.2017
- House of Lords, Select Committee on Communications, Growing up with the internet, tweede verslag van zittingen 2016-17, https://publications.parliament.uk/pa/ld201617/ldselect/ldcomuni/130/13002.htm, geraadpleegd op 31.8.2017
- Wachter, S., Mittelstadt, B. en Floridi, L., Why a right to explanation of automated decision-making does not exist in the General Data Protection Regulation, 28.12.2016. https://www.turing.ac.uk/research_projects/data-ethics-group-deg/, geraadpleegd op 13.12.2017
- Wachter, S., Mittelstadt, B. en Russell, C., Counterfactual explanations Without Opening the Black Box: Automated Decisions and the GDPR, 6.10.2017, https://papers.ssrn.com/sol3/papers.cfm?abstract_id=3063289, geraadpleegd op 13.12.2017
- Australische regering, Better Practice Guide, Automated Assistance in Administrative Decision-Making. Six steps methodology, plus summary of checklist points Part 7, februari 2007 , https://www.oaic.gov.au/images/documents/migrated/migrated/betterpracticeguide.pdf, geraadpleegd op 9.1.2018