26 643 Informatie- en communicatietechnologie (ICT)

32 761 Verwerking en bescherming persoonsgegevens

Nr. 1065 VERSLAG VAN EEN SCHRIFTELIJK OVERLEG

Vastgesteld 7 september 2023

De vaste commissie voor Buitenlandse Zaken heeft een aantal vragen en opmerkingen voorgelegd aan de Minister van Buitenlandse Zaken over de brief van 11 mei 2023 over de bevindingen van het Ministerie van Buitenlandse Zaken over het onderzoek gebruik afkomstgerelateerde gegevens en gebruik risicomodellen (Kamerstukken 26 643 en 32 761, nr. 1031).

De vragen en opmerkingen zijn op 6 juni 2023 aan de Minister van Buitenlandse Zaken voorgelegd. Bij brief van 4 september 2023 zijn de vragen beantwoord.

De voorzitter van de commissie, Rudmer Heerema

De adjunct-griffier van de commissie, Blom

Vragen en opmerkingen vanuit de fracties en reactie van de Minister

Inleiding

Hierbij bied ik de antwoorden aan op het schriftelijk overleg inzake bevindingen onderzoek gebruik afkomstgerelateerde gegevens en gebruik risicomodellen van 6 juni jl. Tevens geef ik met deze beantwoording (bijlage 1) en toezending van de notitie Informatie Ondersteund Beslissen (bijlage 2) uitvoering aan het verzoek van het lid van Baarle tijdens het ordedebat van 9 mei jl. (Handelingen II 2022/23, nr. 78, item 29)

Vragen en opmerkingen van de leden van de VVD-fractie

De leden van de VVD-fractie hebben met interesse kennisgenomen van de brief Bevindingen van het Ministerie van Buitenlandse Zaken aangaande het gebruik van afkomstgerelateerde gegevens en gebruikte risicomodellen. Zij hebben hierover enkele vragen.

De leden van de VVD-fractie zijn van mening dat zorgvuldig moet worden omgegaan met persoonsgegevens, ook bij het Ministerie van Buitenlandse Zaken. Echter, de leden begrijpen ook dat de verwerking van afkomstgerelateerde gegevens een onvermijdelijk onderdeel is van de gegevens waar het Ministerie van Buitenlandse Zaken mee te maken heeft. Het is van belang dat geen onnodige registraties plaatsvinden. Hoe zorgt de Minister ervoor dat dit niet gebeurt?

Antwoord van het kabinet:

Het ministerie heeft beleid opgesteld voor het werken met data en algoritmen. Hierin staan de afspraken en maatregelen die nodig zijn om het werken met en de ontwikkeling van op data-gebaseerde toepassingen en algoritmen binnen de gehele organisatie mogelijk te maken. Dit beleid dient er tevens toe dat een en ander op een eenduidige, eerlijke, ethische verantwoorde en duurzame wijze gebeurt. Het uitvoeren van een quickscan, een risicoanalyse en een (pre)Privacy Impact Assessment (PIA en DPIA¹) zijn standaard onderdeel van het proces voor de ontwikkeling van een informatieproduct en/of algoritme. Bij het uitvoeren van de (pre)DPIA wordt op basis van de AVG (principes van doelbinding en van minimale gegevensverwerking) bepaald welke persoonsgegevens voor het onderhavige proces minimaal nodig zijn om het wettelijke doel te bereiken. Het voorkomen van onnodige registraties van afkomstgerelateerde gegevens vindt bovendien plaats door toepassing van het principe «privacy by design» bij het ontwerpen en implementeren van systemen waarin persoonsgegevens worden verwerkt. In dat kader wordt o.a. getoetst of de verwerking van deze gegevens proportioneel en noodzakelijk is.

Daarnaast vragen deze leden of de Minister de toegevoegde waarde van afkomstgerelateerde modellen op basis van nationaliteitsgegevens nader kan toelichten. De leden van de VVD-fractie kunnen zich voorstellen dat het gebruik van deze modellen leidt tot meer effectiviteit en voorkomt dat minder mensen hoeven te worden ingezet (die moeilijk te werven zijn in deze krappe arbeidsmarkt). Hoe maakt de Minister een afweging tussen deze toegevoegde waarde en eventuele risico’s van modellen op basis van nationaliteit?

Antwoord van het kabinet:

Anders dan bijvoorbeeld bij het beoordelen van aanvragen voor toeslagen voor kinderopvang, is het gebruik van nationaliteit per definitie inherent aan het onderhavige werkterrein, i.c. het beoordelen van aanvragen voor visa voor kort verblijf. In de Europese regelgeving (Verordening (EG) nr. 539/2001) is vastgelegd welke nationaliteiten voor het Schengengebied visumplichtig zijn en welke niet.

Bij de beoordeling van visumaanvragen vormt de nationaliteit van de betrokkene derhalve een essentieel kenmerk/noodzakelijke factor. Daarbij kan er sprake zijn van een verband tussen nationaliteit en het met een aanvraag samenhangend risico, met name wat betreft illegale migratie, openbare orde en veiligheid als bedoeld in de hiervoor genoemde Verordening.

Het mede (dus niet alleen) op basis van dit kenmerk onderverdelen van visumaanvragen met een advies voor de intensiteit van de behandeling van de visumaanvraag bevordert het effectiever en efficiënter behandelen van aanvragen met een laag, dan wel hoger risico.

Door hierbij gebruik te maken van het instrument Informatie Ondersteund Beslissen (IOB) en het bijbehorend algoritme wordt de besluitvorming omtrent visumaanvragen objectiveerbaar en toetsbaar. Met het op deze wijze afhandelen van visumaanvragen worden toerisme, familiebezoek en economische diplomatie bevorderd en draagt het ministerie aan de voorkant bij aan de uitoefening van de taken van de migratieketen en daarmee aan de veiligheid in Nederland.

In dit verband kan nog worden verwezen naar het arrest van het Gerechtshof Den Haag van 14 februari 2023 (ECLI:NL:GHDHA:2023:173), waarin is geoordeeld dat het maken van onderscheid naar nationaliteit bij de risicobeoordeling als zodanig niet als discriminatie kan worden gekwalificeerd, indien dit relevant is voor het nemen van de juiste beslissing op een visumaanvraag

Wat betreft de inzet van medewerkers benadrukt het ministerie dat visumaanvragen kennisintensieve en kwalitatief hoogwaardige besluitvorming vereisen. Dit is een van de uitgangspunten van een doelmatige consulair-diplomatieke dienstverlening.

De leden van de VVD-fractie lezen dat er in het onderzoek van het Ministerie van Buitenlandse Zaken één risicomodel is aangetroffen: het Informatie Ondersteunend Beslissen (IOB) binnen het Kort Verblijf Visum (KVV)-proces. Welke definitie hanteert de Minister voor een risicomodel?

Antwoord van het kabinet:

De term risicomodel is niet wettelijk gedefinieerd.² Het IOB betreft geen verwerking die automatisch tot een beslissing op een visumaanvraag leidt op grond van afkomstgerelateerde gegevens. Het IOB behandeladvies zegt iets over de geadviseerde intensiteit van de behandeling van de visumaanvraag (zie hiervoor bijgevoegde notitie met een uitgebreide beschrijving van het IOB). Niettemin heeft het ministerie dit instrument zekerheidshalve gekwalificeerd als risicomodel, omdat er wel op basis van een algoritme richting wordt gegeven aan de wijze van behandeling van een visumaanvraag. Zie hiervoor ook de antwoorden op Kamervragen inzake het visumbeleid Buitenlandse Zaken.³

Daarnaast vernamen de leden van de VVD-fractie dat er in vijftig van de driehonderd gevallen sprake is van het gebruik van afkomstgerelateerde indicatoren. Gaat dit om nationaliteit en adresgegevens, of ook andere afkomstgerelateerde indicatoren?

Antwoord van het kabinet:

Naar aanleiding van de moties van het Lid Marijnissen c.s. (Kamerstuk 35 510, nr. 21) en het Lid Klaver c.s. (Kamerstuk 35 510, nr. 16) heeft het ministerie geïnventariseerd in welke gegevensverwerkingen en risicomodellen afkomstgerelateerde persoonsgegevens (nationaliteit, etniciteit en geboorteplaats) zijn opgenomen. Hierbij zijn de relevante processen (wet- en regelgeving, registraties, systemen, procedures, risicomodellen) onderzocht, waarin dergelijke gegevens verwerkt worden. Het gebruik van deze gegevens is in kaart gebracht aan de hand van het verwerkingsregister als bedoeld in artikel 30 Algemene Verordening Gegevensbescherming (AVG).

De resultaten van de inventarisatie zijn samengevat weergeven in bijlage 1 van de brief aan uw Kamer van 11 mei 2023.⁴ Daarin is aangegeven dat in de verschillende verwerkingen de volgende persoonsgegevens worden vermeld: (huidige en vorige) nationaliteit, geboorteplaats, etniciteit, Burgerservicenummer, kopie identiteitsbewijs, (pas)foto, land/provincie van herkomst, land dat vertegenwoordigd wordt en afkomst.

Deze leden zijn van mening dat de overheid transparant moet zijn in het gebruik van persoonsgegevens, risicoprofielen en algoritmes. Zijn de algoritmes en de daarbij behorende parameters geregistreerd bij het nationale algoritmeregister?

Antwoord van het kabinet:

Het ministerie zal ervoor zorg dragen dat het bij het IOB gebruikte algoritme in ieder geval voor de uiterlijke datum van 1 januari 2024 in het algoritmeregister is opgenomen en toegelicht.

Vragen en opmerkingen van de leden van de D66-fractie

De leden van de D66-fractie hebben kennisgenomen van de bevindingen van het Ministerie van Buitenlandse Zaken over het onderzoek gebruik afkomstgerelateerde gegevens en gebruik risicomodellen. Zij hebben hier nog enkele vragen over.

De leden van de D66-fractie zien dat het ministerie bij 50 processen afkomstgerelateerde gegevens verwerkt. Uit het onderzoek kwam daartussen slecht één risicomodel naar voren. Welke andere processen kwamen hiervoor het meest in aanmerking? Welke andere processen zijn intensief onderzocht? Worden de 49 processen waar geen risicomodel uit naar voren kwam door de Minister daarom gezien als rechtmatig, wenselijk en ethisch? Zijn er processen die de Minister vooralsnog als onwenselijk beschouwt?

Antwoord van het kabinet:

Voor het overzicht van de processen binnen het Ministerie van Buitenlandse Zaken waarbij gegevens over nationaliteit, etniciteit en geboorteplaats worden verwerkt, verwijs ik graag naar de bijlage (1) bij de Kamerbrief bevindingen BZ onderzoek gebruik afkomstgerelateerde gegevens in risicomodellen.⁵ In de verwerkingen zoals geïnventariseerd worden de specifieke persoonsgegevens benoemd en toegelicht en vervolgens voorzien van de wettelijke grondslag. Zie verder ook het antwoord op de vraag van de DENK-fractie inzake het functioneel gebruik van nationaliteit in wet- en regelgeving van Buitenlandse Zaken.

De leden van de D66-fractie zijn erg bezorgd over het gebruik van afkomstgerelateerde gegevens bij het beoordelingsproces voor visumaanvragen via het IOB. De Toeslagenaffaire heeft duidelijk gemaakt dat het laten doen van beoordelingen door algoritmen op basis van persoonsgegevens discriminatoir kan werken, met desastreuze gevolgen. Het heeft duidelijk laten zien dat dergelijke systemen uitgebannen moeten worden, zeker waar de overheid beslissingen maakt over mensen die grote impact hebben op hun persoonlijke leven. Toch blijft het ministerie het IOB-systeem toepassen. Hoe beoordeelt de Minister het gebruik van afkomstgerelateerde gegevens via algoritmen? Ziet de Minister het IOB-systeem als rechtmatig en wenselijk? Is de Minister bereid om dit algoritme te toetsen middels de Impact Assessment Mensenrechten en Algoritmes? Zo nee, waarom niet? En kan de Minister ook aan deze leden toezeggen dat dit algoritme wordt opgenomen in het algoritmeregister, dat precies om misstanden te voorkomen is ingesteld?

Antwoord van het kabinet:

De beoordeling van visumaanvragen dient te allen tijde objectief en zorgvuldig te geschieden aan de hand van de criteria die zijn vastgesteld in met name de Visumcode.⁶ Met het oog daarop heeft het ministerie de afgelopen jaren bewust en doelgericht geïnvesteerd in het bevorderen van een besluitvormingsproces dat is gebaseerd op objectieve gegevens en data-analyse. Daarbij ondersteunt het IOB de beslismedewerkers bij het adequaat inschatten van de vereiste intensiteit van het (dossier)onderzoek, waardoor de aanvragen zo objectief en zorgvuldig mogelijk worden beoordeeld (zie hiervoor bijgevoegde notitie met een uitgebreide beschrijving van het IOB).

Bij de inzet van risicomodellen moet uiteraard zorgvuldig worden gekeken naar proportionaliteit en subsidiariteit, zodat het gebruik ervan rechtmatig en eigenlijk is. Discriminatie op welke grond dan ook moet daarbij vanzelfsprekend worden voorkomen. Teneinde te voldoen aan de geldende wet- en regelgeving ten aanzien van privacy heeft het ministerie zich bij de ontwikkeling van het IOB van meet af aan (dat wil zeggen sinds 2015) voortdurend laten adviseren door ter zake deskundige interne en externe (juridische) adviseurs. Op basis van hun adviezen is geconcludeerd dat het gebruik van profielen in het IOB niet in strijd is met wet- en regelgeving.

Het ministerie ziet dan ook geen reden om aan te nemen dat het bij het IOB toegepaste algoritme discriminatoir is. Uiteraard dient er voor gewaakt te worden dat het uit dit instrument voortvloeiende behandeladvies aanleiding vormt voor enige vooringenomenheid bij de betrokken beslismedewerker. Het gebruik van het IOB behandeladvies wordt zorgvuldig gemonitord op eventuele afwijkingen in trends (zoals weigeringspercentages bij verschillende behandeladviezen). Voorts kan bij twijfel bij een beslismedewerker een senior medewerker worden geraadpleegd en kan besloten worden tot het opvragen van nadere informatie en het afnemen van interviews. Daarnaast worden op visumaanvragen genomen beslissingen periodiek in een kwaliteitsoverleg besproken en tevens steekproefsgewijs gecontroleerd.

Het ministerie zal ervoor zorg dragen dat het IOB gebruikte algoritme in ieder geval voor de uiterlijke datum van 1 januari 2024 in het algoritmeregister is opgenomen en toegelicht.

Wat betreft het Impact Assessment Mensenrechten en Algoritmes (IAMA) zal het ministerie de mogelijke risico’s voor mensenrechten bij de inzet van het IOB-algoritme in kaart brengen en, indien noodzakelijk, gepaste maatregelen nemen. Dit is voorzien in de tweede helft van 2023.

De leden van de D66-fractie hebben vernomen dat er binnen het ministerie eerder bezwaar is gemaakt tegen het IOB-systeem.⁷ Is het IOB-systeem inmiddels herzien? Zo nee, waarom is ervoor gekozen de bezwaren van de functionaris gegevensbescherming te negeren? Is de Minister bereid de schriftelijke vragen van de leden Dekker-Abdulaziz en Podt (beiden D66) hierover op korte termijn te beantwoorden?⁸

Antwoord van het kabinet:

Eerder is aangegeven dat op basis van intern en extern juridisch advies is geconcludeerd dat het gebruik van profielen in het IOB niet in strijd is met wet- en regelgeving. Deze visie werd onderschreven door de toenmalige Functionaris Gegevensbescherming (FG).

Het ministerie heeft de zorgen van de daarop volgende (en inmiddels voormalige) FG ten aanzien van mogelijke discriminatie zeer serieus genomen. Om die reden is besloten om additionele adviezen van ter zake externe deskundigen, onder wie de Landsadvocaat, in te winnen, met name wat betreft de vraag in hoeverre het gebruik van het gegeven nationaliteit relevant, noodzakelijk en proportioneel is binnen het instrument IOB. De conclusies van deze deskundigen luidden dat (i) er een wettelijke grondslag bestaat voor dit gebruik; (ii) verwerking van gegevens over nationaliteit nodig is vanwege zwaarwegende algemene belangen en om te voldoen aan een volkenrechtelijke verplichting en (iii) het maken van onderscheid naar nationaliteit bij de beoordeling van een visumaanvraag noodzakelijk en proportioneel is en niet als discriminatie kan worden gekwalificeerd. Het gebruik van dit risicomodel voldoet aldus aan de eisen die de relevante wet- en regelgeving daaraan stelt. De bevindingen van de externe deskundigen zijn toegevoegd aan de antwoorden op de vragen van leden van de D66-fractie van 7 juni 2023.⁹

De leden van de D66-fractie vragen of er andere processen binnen het ministerie zijn waar afkomstgerelateerde gegevens via algoritmen worden verwerkt. Kan de Minister deze processen uiteenzetten?

Antwoord van het kabinet:

Er zijn geen andere processen binnen het ministerie waar afkomstgerelateerde gegevens via algoritmen worden verwerkt.

Welke stappen worden door de Minister ondernomen om te voorkomen dat het gebruik van algoritmen en afkomstgerelateerde gegevens tot discriminatoire effecten leidt?

Antwoord van het kabinet:

Alleen als ondersteuning bij het besluitvormingsproces over visumaanvragen wordt gebruik gemaakt van een algoritme waarin afkomstgerelateerde gegevens een rol spelen. Dit algoritme wordt ingezet voor het generen van een advies voor de intensiteit waarmee een aanvraag behandeld dient te worden.

Het algoritme dat wordt gebruikt voor het opstellen van de profielen betreft geen zelflerend algoritme. Het is een algoritme dat werkt op basis van een beslisboom met eenvoudige «als-dan»-regels. Bij de ontwikkeling ervan zijn transparantie en uitlegbaarheid als uitgangpunten genomen, waardoor keuzes van dit algoritme goed uitlegbaar zijn met een hoge technische transparantie. Op basis van vooraf opgestelde regels wordt bij elke groep van aanvragen beoordeeld of er voldoende grond is om hiervan een profiel te maken. Deze regels zijn niet opgesteld door software, maar door experts.

Indien niet voldaan wordt aan deze regels wordt er geen profiel gedefinieerd. Dit betekent dat niet elke aanvraag in een profiel valt en er dus geen sprake is van een classificatie-algoritme dat op basis van profielen elke aanvraag als een kans dan wel als een risico classificeert.

Voor het opstellen van profielen kunnen zeven kenmerken worden gebruikt, te weten hoofddoel reis, nationaliteit, leeftijdsgroep, geslacht, de locatie van aanvraag, de burgerlijke staat en het beroep van de aanvrager. Deze gegevens dienen ingevolge de Visumcode verstrekt te worden bij het aanvragen van een visum. Ras en etniciteit behoren daar niet toe en worden dan ook niet gebruikt bij het opstellen van profielen. Een profiel bestaat altijd uit minimaal drie van de zeven kenmerken waarbij er altijd een combinatie van aanvraaggegevens en persoonsgegevens wordt gebruikt. Een profiel op basis van leeftijd, geslacht en nationaliteit is dus niet mogelijk, een combinatie van reisdoel, nationaliteit en geslacht wel.

De leden van de D66-fractie lezen dat het ministerie een verzoek tot aanvullende informatie heeft ontvangen van de Autoriteit Persoonsgegevens. Is de Minister bereid deze aanvullende informatie ook te delen met de Kamer, en de Kamer te informeren over de voortgang van het onderzoek van de AP?

Antwoord van het kabinet:

De Minister is door de Autoriteit Persoonsgegevens (AP) verzocht aanvullende informatie te verstrekken over de grondslag, de noodzakelijkheid en de proportionaliteit van de gegevensverwerking, gelet op de verplichtingen die voortvloeien uit de AVG. Zoals vermeld in de brief van 11 mei 2023¹⁰ zal uw Kamer te zijner tijd worden geïnformeerd over het vervolg van dit verzoek van de AP.

De leden van de D66-fractie zien dat afkomst of etniciteit bij verschillende andere processen verwerkt worden. Zo wordt etniciteit opgevraagd bij de klachtenbehandeling ongewenste omgangsvormen. Kan de Minister toelichten waarom het noodzakelijk is om etniciteit te verwerken bij de klachtenbehandeling van ongewenste omgangsvormen?

Antwoord van het kabinet:

Bij de behandeling van klachten over ongewenste omgangsvormen wordt het gegeven etniciteit uitsluitend verwerkt indien dit relevant is voor het geval zelf. Met andere woorden, etniciteit wordt alleen geregistreerd ingeval een medewerker een klacht heeft ingediend over een ervaren ongewenste omgangsvorm die betrekking heeft op de etniciteit van de medewerker. Deze registratie vindt dus niet standaard plaats bij alle klachten.

Vragen en opmerkingen van de leden van de PvdA-fractie

De leden van de PvdA-fractie hebben met interesse kennisgenomen van de Kamerbrief over het onderzoek gebruik afkomstgerelateerde gegevens en gebruik risicomodellen. Zij hebben hier nog enkele opmerkingen en vragen bij.

De leden van de PvdA-fractie lezen dat het Ministerie van Buitenlandse Zaken van mening is dat het gebruikmaken van afkomstgerelateerde gegevens noodzakelijk is voor het uitvoeren van het werk. Op welke manier is het betrekken van afkomstgerelateerde persoonsgegevens noodzakelijk voor het werk van de consulaire dienstverleners? Kan worden aangegeven welke rol de afkomstgerelateerde persoonsgegevens spelen in de processen waar zij voor worden gebruikt? Welke rol spelen de afkomstgerelateerde persoonsgegevens voor de beslissing over een visum kort verblijf? Welke landen worden aangemerkt als risicoafkomst en wat zijn de gevolgen hiervan voor de persoon?

Antwoord van het kabinet:

Het beoordelen van aanvragen voor visa voor kort verblijf behoort tot de verantwoordelijkheid van de Minister van Buitenlandse Zaken. Het verlenen van dergelijke visa vindt plaats voorafgaand aan de feitelijke toelating tot het grondgebied van Nederland, waarvoor de Koninklijke Marechaussee eindverantwoordelijk is. In de Europese regelgeving (Verordening (EG) nr. 539/2001) is bepaald welke derdelanders wel en niet visumplichting zijn voor het Schengengebied. In die zin is het hanteren van het gegeven nationaliteit als zodanig bij het beoordelen van visumaanvragen wettelijk voorgeschreven.

Wat betreft de besluitvorming over een visum voor kort verblijf, de rol van de afkomsgerelateerde gevens en de gevolgen voor de aanvrager: zie hierboven en de bijlage over het IOB. Aldaar wordt inzichtelijk gemaakt dat er geen sprake is van het gebruik van nationaliteit als enkelvoudig criterum om «risicoafkomst» te bepalen.

De leden van de PvdA-fractie lezen dat het voor de uitoefening van de publieke taak soms noodzakelijk zou zijn om risicomodellen in te zetten. Hoe verhouden deze risicomodellen zich tot de moties van het lid Marijnissen c.s.¹¹ en van het lid Klaver c.s.¹²? Wat zou precies de impact zijn van het volledig beëindigen van het gebruik van risicomodellen door Buitenlandse Zaken?

Antwoord van het kabinet:

Het «risicomodel» IOB draagt bij aan de invulling van de publiekrechterlijke taak zoals aan de Minister van Buitenlandse Zaken opgedragen. Kennisintensieve en door data ondersteunde besluitvorming op de aanvragen voor visa voor kort verblijf vormt een belangrijk onderdeel om de doelstelling vanuit de VIS-verordening¹³ te bereiken die op het ministerie rust. Dit betreft respectievelijk het faciliteren van visumaanvragen, het verbeteren van fraudebestrijding (misbruik van het visuminstrument) en het voorkomen van bedreigingen van de binnenlandse veiligheid van een van de lidstaten.

Met de inzet van het IOB geeft het ministerie invulling aan de beoogde kwalitatief hoogwaardige en doelmatige consulair-diplomatieke dienstverlening. Het IOB ondersteunt de beslismedewerkers door relevante en objectieve informatie ter beschikking te stellen die anders niet binnen een realistisch tijdsbestek handmatig geraadpleegd kan worden, mede gezien de tijdsdruk die op de aanvragen staat.

Het niet meer inzetten van het IBO zou de kwaliteit van de dienstverlening kunnen aantasten, het risico op fraude kunnen vergroten en het risico op illegale migratie kunnen vergroten. Denk daarbij aan langere doorlooptijd/oplopende beslistermijnen bij het behandelen van visumaanvragen, toename illegaal verblijf, asielaanvragen, uitbuiting en gevaren voor de openbare orde). Ook zouden steekproefsgewijs visumaanvragen nauwgezetter moeten worden onderzocht,

Vragen en opmerkingen van de leden van de DENK-fractie

De leden van de DENK-fractie hebben met belangstelling kennisgenomen van de brief van de Minister van Buitenlandse Zaken d.d. 11 mei 2023 over de bevindingen van het Ministerie van Buitenlandse Zaken over het onderzoek gebruik afkomstgerelateerde gegevens en gebruik risicomodellen. Deze leden vinden het belangrijk dat het kabinet invulling geeft aan de opvolging van de eerder genoemde moties Marijnissen c.s. en Klaver c.s. In de Toeslagenmisdaad hebben we gezien welke gevolgen het gebruik van afkomstgerelateerde gegevens in risicomodellen kan hebben. Deze leden zijn van mening dat we alles moeten doen om te voorkomen dat dit ooit nog gebeurt.

De Minister geeft aan dat bij de inzet van risicomodellen moet worden gekeken naar proportionaliteit en subsidiariteit, zodat de inzet rechtmatig en eigenlijk is. Het is de leden van de DENK-fractie nog onduidelijk of er getoetst is op eigenlijk gebruik. Dit blijkt namelijk niet uit de stukken. Deze leden vragen de Minister om hier duidelijkheid over te geven. Heeft het ministerie dit wel getoetst? Welke definitie van «eigenlijk gebruik» heeft het ministerie gehanteerd? Wat zijn de uitkomsten van deze toetsing?

Antwoord van het kabinet:

Het verwerken van persoonsgegevens (al dan niet met de inzet van een algoritme) moet rechtmatig en eigenlijk zijn en discriminatie op welke grond dan ook dient te worden voorkomen. Het uitgangspunt van het ministerie is dat indien risicomodellen (en bijbehorende algoritmen) gebruikt worden om natuurlijke personen (mensen) te beoordelen of in categorieën te delen, het risicomodel onderdeel uitmaakt van de ex-ante toetsing in de vorm van een DPIA als AVG-vereiste.

In een DPIA komt de beoordeling van de rechtmatigheid, proportionaliteit en subsidiariteit standaard aan de orde. De term «eigenlijk» verwijst daarbij naar de subsidiariteit; aldus wordt getoetst of hetzelfde resultaat (i.c. het resultaat van de beoordeling door een risicomodel) niet ook op een andere, minder ingrijpende, manier verkregen kan worden. Buitenlandse Zaken heeft hiertoe vastgesteld beleid. Zie over de uitkomst van de toetsen op rechtmatigheid en eigenlijkheid, het monitoren van het IOB behandeladvies en de eventuele aanleiding voor enige vooringenomenheid bij de betrokken beslismedewerker ook de antwoorden op de vragen van de VVD-fractie hierboven.

De leden van de DENK-fractie lezen dat de Minister stelt dat het gebruik van afkomstgerelateerde gegevens in kaart is gebracht aan de hand van het register van verwerkingsactiviteiten. Deze leden vragen zich af welke afkomstgerelateerde gegevens er geselecteerd en dus geïnventariseerd zijn. Kan de Minister dit uiteenzetten? Het is niet duidelijk welke afkomstgerelateerde gegevens er in kaart zijn gebracht binnen het Ministerie van Buitenlandse Zaken. Kan de Minister deze informatie zo snel mogelijk aan de Kamer doen toekomen?

Antwoord van het kabinet:

De resultaten van de inventarisatie zijn samengevat weergegeven in bijlage 1 van de brief aan uw Kamer van 11 mei 2023.¹⁴

De leden van de DENK-fractie constateren dat na de inventarisatie is beoordeeld of er sprake is van een risicomodel. Ook dit is onduidelijk, onvolledig en roept verschillende vragen op bij deze leden. Hoe is beoordeeld of er sprake is van een risicomodel? Deze leden ontvangen graag de definitie die gebruikt is om dit te beoordelen. Ook ontvangen deze leden graag een overzicht van alle risicomodellen die binnen het Ministerie van Buitenlandse Zaken zijn gebruikt.

Antwoord van het kabinet:

De term risicomodel is niet wettelijk gedefinieerd.¹⁵ Het IOB betreft geen verwerking die automatisch tot een beslissing op een visumaanvraag leidt op grond van afkomstgerelateerde gegevens. Het IOB behandeladvies zegt iets over de geadviseerde intensiteit van de behandeling van de visumaanvraag (zie hiervoor bijgevoegde notitie met een uitgebreide beschrijving van het IOB). Niettemin heeft het ministerie dit instrument zekerheidshalve gekwalificeerd als risicomodel, omdat er wel op basis van een algoritme richting wordt gegeven aan de wijze van behandeling van een visumaanvraag. Zie hiervoor ook de antwoorden op Kamervragen inzake het visumbeleid Buitenlandse Zaken.¹⁶ Behoudens het IOB is er geen model als risicomodel gekwalificeerd.

Er is een risicomodel aangetroffen in de processen waarin afkomstgerelateerde indicatoren worden verwerkt, zo constateren de leden van de DENK-fractie. Dit gaat om het Informatie Ondersteund Beslissen binnen het Kort Verblijf Visum-proces. Deze leden hebben hier vol verbazing kennis van genomen. De Minister geeft aan dat hij een informatieverzoek hierover heeft ontvangen om aanvullende informatie te verstrekken over de noodzakelijkheid en de proportionaliteit van de gegevensverwerking. Deze leden missen het standpunt van het kabinet hierover.

Waarom krijgt de Kamer deze aanvullende informatie niet? Was het gebruik van deze indicatoren rechtmatig of niet? Was het gebruik oneigenlijk of niet? Is het kabinet van mening dat aan de vereisten van noodzakelijkheid en proportionaliteit voldaan is? Wat is de aanleiding voor de Autoriteit Persoonsgegevens om dit informatieverzoek te doen? Kan de Minister de onderliggende stukken over dit informatieverzoek delen met de Kamer? Klopt het dat het Ministerie van Buitenlandse Zaken een zwaarwegend advies van de functionaris gegevensbescherming negeerde? Klopt het dat de functionaris gegevensbescherming een persoonlijk gesprek heeft gehad met de Minister van Buitenlandse Zaken en dat er daarna niks is veranderd? De leden van de DENK-fractie vragen de Minister om het verslag van het gesprek dat tussen de Autoriteit Persoonsgegevens en de Minister gaat plaatsvinden, eventueel vertrouwelijk, aan de Kamer te doen toekomen.

Antwoord van het kabinet:

Graag verwijs ik naar de antwoorden op de vergelijkbare vragen van de D66-fractie hierboven. Zoals vermeld in de brief van 11 mei 2023¹⁷ zal uw Kamer te zijner tijd worden geïnformeerd over het vervolg van het verzoek van de AP.

De rijksbrede aanpak bestaat uit drie stappen, zo constateren de leden van de DENK-fractie. De eerste stap is het inventariseren van gegevensverwerkingen waarin afkomstgerelateerde indicatoren worden verwerkt. Vervolgens vindt er een toetsing plaats of de gegevensverwerkingen eigenlijk en rechtmatig zijn. De laatste stap is het opruimen van de vervuilde data. Dit betekent dat de gegevensverwerking beëindigd wordt en dat de betrokkene genotificeerd wordt. Er is een risicomodel aangetroffen. De leden van de DENK-fractie vinden het zorgelijk dat er hierna geen vervolgstappen zijn genomen. Is er getoetst op rechtmatig en eigenlijk gebruik? Na de toetsing moeten de gegevens verwijderd worden als er sprake is van onrechtmatig en/of oneigenlijk gebruik. Gaat dit gebeuren? Kan de Minister deze leden verzekeren dat deze gegevens verwijderd gaan worden? En kan de Minister deze leden verzekeren dat de betrokkenen geïnformeerd worden? Is dit gebeurd bij het risicoprofiel dat is aangetroffen bij IOB?

Antwoord van het kabinet:

Zie de hierboven gegeven antwoorden. Op basis van intern en extern juridisch advies is geconcludeerd dat het gebruik van profielen in het IOB niet in strijd is met wet- en regelgeving. Er is dan ook geen aanleiding om de inzet van het IOB te beëindigen.

De leden van de DENK-fractie vragen of een overheidsinstelling onafhankelijk kan oordelen over eigen beleid. Deze leden vragen daarom om een externe toets. De Staatssecretaris heeft hiervoor de Auditdienst Rijk ingeschakeld. Hoe staat het hiermee? Wanneer kunnen we hier meer informatie over verwachten?

Antwoord van het kabinet:

De Staatssecretaris van Binnenlandse Zaken en Koninkrijksrelaties heeft uw Kamer op 12 juli 2023 geïnformeerd¹⁸ over de onafhankelijke toets op de uitvoering van de moties Marijnissen c.s. en Klaver c.s. bij alle departementen, inclusief de aangepaste opdrachtbevestiging aan de Auditdienst Rijk.

De leden van de DENK-fractie vinden het opmerkelijk dat het Ministerie van Buitenlandse Zaken pas op 11 mei 2023 haar onderzoek met de Kamer heeft gedeeld. Dit zou namelijk in december 2021 afgerond worden en in de eerste helft van 2022 met de Kamer gedeeld worden. Deze leden zouden graag een toelichting willen hebben van de Minister. Wat is hier misgegaan? Hoe kan het dat het ruim een jaar langer duurde?

Antwoord van het kabinet:

De wens van het ministerie was om integraal te rapporteren over alle verwerkingen bij het ministerie, inclusief het gebruik van het IOB. De doorlooptijd van de externe toetsen, het informatieverzoek van de AP en het opstellen van het advies door de Landsadvocaat hebben geleid tot het aanbieden van de bevindingen op 11 mei 2023.¹⁹

In 50 van de 300 verwerkingen worden afkomstgerelateerde indicatoren in het verwerkingsregister gebruikt. De leden van de DENK-fractie missen in de kabinetsreactie een conclusie dat deze verwerkingen allemaal rechtmatig zijn. Kan de Minister bevestigen dat alle 50 verwerkingen rechtmatig en eigenlijk zijn? De leden van de DENK-fractie ontvangen ook graag een overzicht van alle 50 verwerkingen.

Antwoord van het kabinet:

De resultaten van de inventarisatie zijn samengevat weergegeven in bijlage 1 van de brief aan uw Kamer van 11 mei 2023.²⁰

De leden van de DENK-fractie constateren dat de Kamer een overzicht ontving van 35 gevallen van wet- en regelgeving en beleid waarbij nationaliteit functioneel wordt gebruikt. Deze leden hebben dit met verontwaardiging gelezen. Het voorbeeld dat de Minister aanhaalt in zijn brief, is het systeem van erkend referenten. Deze leden vinden het zorgelijk dat de Minister dit functioneel gebruik noemt. Vorig jaar is gebleken dat de Immigratie- en Naturalisatiedienst (IND) etnisch profileerde door de afkomst van het bestuur van duizenden bedrijven te registreren in risicoprofielen, omdat men dacht dat mensen die in een bepaald land geboren waren eerder geneigd waren om te frauderen. Deze leden vinden het zorgelijk dat de Minister hieraan voorbij gaat en dit functioneel gebruik noemt.

Zijn deze risicoprofielen inmiddels verwijderd? Kan de Minister uitsluiten dat dit niet meer gebeurt? Wat is het doel van het registreren van de nationaliteit? Wat is de definitie van functioneel gebruik? De leden van de DENK-fractie ontvangen graag een overzicht van alle afkomstgerelateerde gegevens die worden verwerkt over erkend referenten en een overzicht van hoe en met wie deze gegevens worden gedeeld.

Antwoord van het kabinet:

In het kader van het naar aanleiding van de moties Marijnissen c.s. en Klaver c.s. uitgevoerde onderzoek is tevens een inventarisatie uitgevoerd van de toegepaste wet- en regelgeving op het terrein van Buitenlandse Zaken en op dat van Buitenlandse Handel en Ontwikkelingssamenwerking, waarin een referentie of vereiste/voorwaarde is opgenomen ten aanzien van de registratie van nationaliteit/nationaliteiten van een persoon. Deze omvat mede wet- en regelgeving van andere ministeries die mede namens de Minister van Buitenlandse Zaken tot stand is gekomen omdat laatstgenoemde daarbij een uitvoerende rol heeft. De inventarisatie laat zien dat de registratie van het afkomstgerelateerde gegeven nationaliteit daarbij als functioneel dient te worden beschouwd. Functioneel betekent in dit verband intrinsiek noodzakelijk voor en inherent aan de toepassing van de wet- en regelgeving in kwestie. Het betreffen hier dus geen met behulp van een algoritme opgestelde profielen. De inventarisatie met bijbehorende toelichtingen is opgenomen in bijlage 3 van de brief aan uw Kamer van 11 mei 2023.²¹

De leden van de DENK-fractie lezen in Kamerstuk 32 761, nr. 971 van 10 februari 2023 dat het Ministerie van Buitenlandse Zaken naast het onderzoek over gebruik van afkomstgerelateerde indicatoren in gegevensverwerking een nadere analyse uitvoert op het proces bij aanvragen voor een Visum Kort Verblijf en dat de Kamer in het eerste kwartaal van 2023 geïnformeerd zou worden over de uitkomst van de gehele inventarisatie. De Kamer heeft deze analyse niet ontvangen. De leden van de DENK-fractie ontvangen graag de volledige analyse, inclusief de resultaten en alle onderliggende stukken aangaande deze analyse. Deze leden vragen de Minister wat er precies geanalyseerd is. Wie heeft deze analyse uitgevoerd? Gaat het om een juridische analyse? Is er gekeken naar het functioneren van algoritmes? Is er een uitvoerige bias toets gedaan?

Antwoord van het kabinet:

Het ministerie gaat ervan uit dat derde voortgangsrapportage over de uitvoering van de moties Marijnissen c.s. en Klaver c.s. bedoeld wordt. De nadere analyses zijn aangeboden als bijlage bij de beantwoording van de vragen van Leden van de D66-fractie.²²

---

1 Onder de AVG is het uitvoeren van een Data Protection Impact Assessment – DPIA bij bepaalde verwerkingen van gegevens verplicht. Dit geeft inzicht in de privacyrisico’s die de verwerking oplevert voor de betrokkenen, en in de maatregelen die de verantwoordelijke moet nemen om de risico’s te beperken en/of te beheersen.

2 Zie hiervoor bijlage bij Kamerstukken 26 643 en 32 761, nr. 895.

3 Aanhangsel Handelingen II 2022/23, nr. 2842.

4 Kamerstukken 26 643 en 32 761, nr. 1031.

5 Kamerstukken 26 643 en 32 761, nr. 1031.

6 L_2009243NL.01000101.xml (europa.eu).

7 NRC, 23 april 2023, ««Pas op met deze visumaanvraag», waarschuwt het algoritme dat discriminatie in de hand werkt. Het ministerie negeert kritiek.»

8 Aanhangsel Handelingen II 2022/23, nr. 2842.

9 Zie voetnoot 3.

10 Kamerstukken 26 643 en 32 761, nr. 1031.

11 Kamerstuk 35 510, nr. 21.

12 Kamerstuk 35 510, nr. 16.

13 EG Nr. 767/2008: eur-lex.europa.eu/legal-content/NL/TXT/PDF/?uri=CELEX:32008R0767.

14 Kamerstukken 26 643 en 32 761, nr. 1031.

15 Zie hiervoor bijlage bij Kamerstuk 26 643, nr. 895.

16 Aanhangsel Handelingen II 2022/23, nr. 2842.

17 Kamerstukken 26 643 en 32 761, nr. 1031.

18 Kamerstuk 26 643, nr. 1059.

19 Kamerstukken 26 643 en 32 761, nr. 1031.

20 Kamerstukken 26 643 en 32 761, nr. 1031.

21 Kamerstukken 26 643 en 32 761, nr. 1031.

22 Aanhangsel Handelingen II 2022/23, nr. 2842.