26 643 Informatie- en communicatietechnologie (ICT)

32 761 Verwerking en bescherming persoonsgegevens

Nr. 773 VERSLAG VAN EEN SCHRIFTELIJK OVERLEG

Vastgesteld 14 juli 2021

De vaste commissie voor Binnenlandse Zaken en Koninkrijksrelaties heeft een aantal vragen en opmerkingen voorgelegd aan de Staatssecretaris van Binnenlandse Zaken en Koninkrijksrelaties over de brief van 8 april 2021 over de reactie op de uitvoering van de motie van het lid Marijnissen c.s. over een voorstel hoe binnen overheidsinstellingen vervuilde data worden opgeruimd (Kamerstukken 26 643 en 32 761, nr. 751).

De vragen en opmerkingen zijn op 17 mei 2021 aan Staatssecretaris van Binnenlandse Zaken en Koninkrijksrelaties voorgelegd. Bij brief van 13 juli 2021 zijn de vragen beantwoord.

De fungerend voorzitter van de commissie, Martin Bosma

De adjunct-griffier van de commissie, Hendrickx

Vragen en opmerkingen van de VVD-fractie

1.

Aan het eind van 2021 wordt de Kamer geïnformeerd over de plannen van aanpak van de departementen en hun planningen. De leden van de VVD-fractie vragen of deze plannen van aanpak en de planningen niet eerder gereed kunnen zijn, bijvoorbeeld voor het zomerreces. Aan het einde van het jaar zijn we bijna een jaar na dato. Daarna moeten deze plannen nog worden uitgevoerd. Zij vragen de Staatssecretaris daar op in te gaan.

Departementen is gevraagd om de voorbereidingen te treffen voor het opstarten van deze onderzoeken. Het optuigen hiervan, bemensen en opstellen van een plan van aanpak kost tijd. Om er onder andere voor te zorgen dat resultaten ook vergelijkbaar zijn, vindt afstemming plaats over de manier waarop aangetroffen gegevensverwerkingen zullen worden getoetst. Het kost enkele maanden om tot een gedragen en passende (onderzoeks- en vergelijkings)methode te komen.

Streven is om deze plannen van aanpak in de zomer ambtelijk gereed te hebben en na de zomer (na de nodige afstemming) met de Kamer te kunnen delen.

2.

In de brief wordt aangegeven dat de uitvoering van de motie voor sommige departementen de volledige kabinetsperiode in beslag zal nemen. Om welke departementen gaat het? In hoeverre is het mogelijk om de uitvoering van de plannen van aanpak te bespoedigen en eerder gereed te zijn dan het einde van de komende kabinetsperiode. Kan de Staatssecretaris met een concreter tijdspad komen en kijken of de uitvoering binnen een jaar gerealiseerd kan zijn?

Hoe lang het duurt voordat departementen klaar zijn met de uitvoering van de motie is afhankelijk van de mate waarin zij voor de daartoe behorende beleidsterreinen gebruik maken van risicomodellen waarbij afkomstgerelateerde persoonsgegevens worden verwerkt.

Op dit moment gaat het slechts om een inschatting. De departementen moeten immers nog een plan van aanpak opstellen. Deze inschatting is gebaseerd op de ervaringen en doorlooptijden van de al lopende inventarisaties bij de Ministeries van Financiën en Sociale Zaken en Werkgelegenheid.

Op basis van een eerste inschatting zijn de departementen in drie groepen verdeeld: departementen die naar verwachting relatief weinig, gemiddeld en bovengemiddeld veel gebruik maken van risicomodellen waarbij (afkomstgerelateerde) persoonsgegevens worden verwerkt.

De Ministeries van Justitie en Veiligheid, Onderwijs Cultuur en Wetenschap, en Volksgezondheid Welzijn en Sport maken naar verwachting veel gebruik van risicomodellen waarbij (afkomstgerelateerde) persoonsgegevens worden verwerkt. Daaruit volgt de inschatting dat het onderzoek bij deze ministeries mogelijk langer kan duren.

Komend najaar worden de departementale plannen van aanpak met uw Kamer gedeeld en verwacht ik meer te kunnen zeggen over de planningen.

3.

Is er binnen de organisaties waarmee gecommuniceerd wordt en de departementen voldoende kennis beschikbaar over het opruimen van vervuilde data? Zo ja, waar blijkt dat uit?

Ja. In algemene zin is er voldoende kennis aanwezig over de wet- en regelgeving op dit gebied. Ook is er veel kennis aanwezig over processen, gegevensverwerkingen, systemen en koppelingen. Wel is het een uitdaging om deze kennis en capaciteit bij elkaar te brengen vanwege de grote belasting van het ambtelijk apparaat. De schaarse capaciteit moet worden ingezet op lopende zaken, de aanpak van coronacrisis en haar gevolgen, de werkzaamheden die voortvloeien uit kabinetsreactie Ongekend Onrecht en andere maatschappelijke vraagstukken. De benodigde bemensing heeft in de opstartfase hierdoor meer tijd gekost dan gewild.

Vragen en opmerkingen van de D66-fractie

4.

De leden van de D66-fractie vragen waarom het kabinet deze motie interpreteert? Volgt de interpretatie van het kabinet de beraadslagingen die aan de motie ten grondslag hebben gelegen?

Zoals aangegeven in mijn brief d.d. 8 april jl. (Kamerstukken 26 643 en 32 761, nr. 751) hecht het kabinet er met de Kamer aan dat discriminatie, zoals bedoeld in artikel 1 van de Grondwet, door het gebruik van risicomodellen te allen tijde wordt voorkomen. Het doel van deze motie staat voor het kabinet daarmee niet ter discussie. In lijn met de beraadslagingen die aan de motie ten grondslag hebben gelegen, heeft het kabinet een paar punten nader uitgewerkt ten behoeve van de uitvoering van de motie. Dit betreft de volgende in de brief aangegeven interpretaties:

• 1. Tijdens het debat heeft het kabinet aangegeven niet op voorhand het gebruik van risicomodellen te willen afschaffen. Wel dient bij de verwerking van afkomstgerelateerde gegevens (opnieuw) een toetsing plaats te vinden of de gegevensverwerkingen rechtmatig/ eigenlijk zijn.

• 2. Motie (Kamerstuk 35 510, nr. 16) van het lid Klaver (GL) c.s. en motie (Kamerstuk 35 510, nr. 16) van het lid Marijnissen (SP) c.s. vragen om te kijken naar de indicatoren nationaliteit, etniciteit en geboorteplaats. Op basis van bevindingen van de lopende onderzoeken bij de Ministeries van Financiën en Sociale Zaken en Werkgelegenheid is gekozen om het onderzoek niet te beperken tot deze drie indicatoren, maar juist breder te kijken naar afkomstgerelateerde indicatoren.

• 3. De term «vervuilde data» is geen juridisch gedefinieerde term. Op basis van de Algemene Verordening Gegevensbescherming (hierna: AVG) en de motie van het lid Westerveld (Kamerstuk 31 066, nr. 469) om betrokkenen proactief te informeren, heeft het kabinet dit verzoek opgevat als het notificeren van betrokkenen van wie gegevens zijn verwerkt en het rectificeren of wissen van deze gegevens.

5.

De leden van de D66-fractie lezen dat het kabinet opmerkt dat «het gebruik van afkomst gerelateerde indicatoren, zoals nationaliteit, etniciteit of geboorteplaats, alleen is toegestaan als daar een objectieve rechtvaardigingsgrond voor is.» Kunt u bevestigen dat het bij aan afkomst gerelateerde indicatoren ook gaat om onderzoek naar het onterechte en onrechtmatige gebruik van losse indicatoren, zoals bijvoorbeeld het enkel ten onrechte gebruik van de (tweede) nationaliteit?

Ja.

6.

Bedoelt u met uw overige ambtsgenoten op alle andere bewindspersonen in het kabinet? Welke departementen stellen een plan van aanpak op?

Ja, met ambtsgenoten bedoel ik bewindspersonen. De Ministeries van Financiën en Sociale Zaken en Werkgelegenheid hebben op dit moment al onderzoeken lopen. Alle andere departementen stellen ook een plan van aanpak op.

7.

Waarom geeft u aan dat er gebruik gemaakt kan worden van de gehanteerde definities en resultaten van het onderzoek van de Algemene Rekenkamer? Waarom is dit geen opdracht?

Het onderzoek van de Algemene Rekenkamer gaat specifiek over algoritmen. In dit onderzoek kijken we naar gebruik van afkomstgerelateerde indicatoren in risicomodellen. We gaan bestuderen of de al beschikbare definities voldoende bruikbaar zijn. Net als met de keuze om breder te kijken naar afkomstgerelateerde indicatoren, kan het zijn dat we ook hier breder zullen moeten kijken dan de nu beschikbare definities. Ik verwacht hier later dit jaar meer duidelijkheid over te kunnen geven.

8.

Hebben alle departementen een duidelijke en overzichtelijke domeinarchitectuur met een overzicht van de verschillende systemen, processen, administraties en onderlinge koppelingen?

Er zijn domeinarchitecturen voor specifieke onderdelen van de overheid, maar departementen hebben geen centrale domeinarchitectuur inclusief alle systemen, processen, administraties en onderlinge koppelingen.

9.

Hoe wordt de Kamer tussentijds geïnformeerd?

In reactie op de schriftelijke vragen van de leden Ceder (CU) en Leijten (SP) (Aanhangsel Handelingen II 2020/21, nr. 3083), heb ik toegezegd om Uw Kamer voorafgaand aan het begrotingsdebat te informeren over de voortgang.

Eind van het jaar zal ik uw Kamer informeren over de plannen van aanpak van de departementen en hun planningen.

Ook daarna zal het kabinet uw Kamer periodiek informeren over de planning, voortgang en bevindingen van de verschillende departementen, waarbij de betrokken bewindspersonen gelegenheid krijgen om deze aan u toe te lichten.

10.

De aan het woord zijnde leden horen graag waarom bij het voorstel over het objectief meetbaar maken van (on)rechtmatig of (on)eigenlijk gebruik van gegevens de Autoriteit Persoonsgegevens en het College voor de Rechten van de Mens niet eerder betrokken worden?

Een eerste toetsing binnen de organisatie, of een gegevensverwerking rechtmatig is – en of in de wettelijke basis voldoende rekening is gehouden met de eisen van proportionaliteit en subsidiariteit, vindt plaats door de Functionaris Gegevensbescherming. Bij de beoordeling van de rechtmatigheid van het gebruik van de gegevens worden de wettelijke kaders die voortvloeien uit artikel 1 van de Grondwet en de AVG toegepast, zoals de Autoriteit Persoonsgegevens en het College voor de Rechten van de Mens ook doen.

Indien daar aanleiding toe is, zal in dit proces contact worden opgenomen met de Autoriteit Persoonsgegevens en/ of het College voor de Rechten van de Mens.

11.

Wanneer kan de Kamer de voorstellen verwachten over de uiterste bewaartermijnen van vervuilde gegevens die afgeschermd bewaard moeten worden?

Deze zullen na de zomer beschikbaar zijn.

12.

Op welke manier is het kabinet van plan gedupeerden individueel recht tot inzage en verwijdering te garanderen?

Verwerkingsverantwoordelijke overheidsorganisaties zijn op grond van de AVG verplicht om betrokkene te informeren over zijn rechten en in staat te stellen zijn rechten uit te oefenen.

Departementen hebben procedures opgesteld voor de afhandeling van verzoeken. Ook maken zij gebruik van gezamenlijk opgestelde en verplichte modellen. In aanvulling op de departementale procedures hebben organisatieonderdelen vaak eigen procedures die zijn afgestemd op de specifieke gegevensverwerking van dat onderdeel.

13.

De leden van de D66-fractie lezen dat «... de vraag of het (on)rechtmatig of (on)eigenlijk gebruik betreft objectief meetbaar moet zijn, zodat de resultaten tussen overheidsorganisaties vergelijkbaar zijn». Kunt u bevestigen dat het gebruik van persoonsgegevens pas rechtmatig en eigenlijk is als deze objectief gerechtvaardigd is.

Voor elke overheidsorganisatie gelden dezelfde regels voor het maken van onderscheid. Deze zijn neergelegd in het discriminatieverbod van artikel 1 van de Grondwet en de gelijkebehandelingsregelgeving. Het maken van onderscheid is enkel toegestaan als het onderscheid objectief gerechtvaardigd kan worden en proportioneel is. Daarnaast vereist de AVG voor de verwerking van persoonsgegevens niet alleen een grondslag, maar ook dat de verwerking voldoet aan de beginselen van de AVG. Tot die beginselen behoren rechtmatigheid en behoorlijkheid. Een discriminatoire verwerking op basis van ongeoorloofd onderscheid zal strijdig zijn met genoemde beginselen van de AVG. In de inventarisatie worden beide wettelijke kaders meegenomen.

14.

Kunt u borgen dat u een uitputtend overzicht geeft van waar verschillende overheidsorganisaties onrechtmatig en/of oneigenlijk gebruik heeft gemaakt van persoonsgegevens als de (tweede) nationaliteit, de geboorteplaats en/of etniciteit?

Ik heb mijn collega’s verzocht om binnen het eigen departement deze inventarisatie uit te voeren en uw Kamer hierover te informeren. Voor de onderlinge vergelijkbaarheid van de resultaten zullen bevindingen van verschillende departementen langs dezelfde (interpretatie van) juridische criteria worden gelegd.

15.

Bent u bekend met voorbeelden waar het onrechtmatig en/of oneigenlijk gebruik is aangetroffen, maar dit niet objectief meetbaar is? Wanneer is dit volgens u objectief meetbaar?

De beoordeling van het rechtmatig en eigenlijk gebruik van bepaalde indicatoren vindt plaats met inachtneming van geldende wet- en regelgeving. Voor het onderzoek worden deze wettelijke kaders vertaald naar een toetsingskader dat door alle departementen zal worden gebruikt. Met de woorden «objectief meetbaar» is bedoeld te zeggen dat de uitkomsten langs deze lijnen kunnen worden bekeken en vergeleken.

16.

Kunt u verzekeren dat vervuilde gegevens of het onrechtmatig en/of oneigenlijk gebruik van gegevens veilig bewaard worden voordat deze worden gewist?

Op grond van de Archiefwet worden eisen gesteld aan het bewaren van gegevens voor waarheidsvinding en de vernietiging. De AVG stelt daarnaast de eis dat persoonsgegevens goed worden beveiligd en vertrouwelijk blijven. De zorgdrager en/of de verwerkingsverantwoordelijke overheidsorganisatie is verantwoordelijk voor de naleving van deze plicht en moet kunnen aantonen dat de verwerking passend is beveiligd. Hij dient passende technische en organisatorische maatregelen te nemen om de beveiliging van persoonsgegevens te waarborgen. De Chief Information Officer, de Chief Information Security Officer en de Functionaris Gegevensbescherming hebben elk vanuit hun eigen rol een verantwoordelijkheid om erop toe te zien dat dit adequaat gebeurt.

17.

Deelt u dat dit belangrijk is om eventuele gedupeerden of benadeelden op de hoogte te kunnen brengen van het onrechtmatige en/of oneigenlijke gebruik van hun persoonsgegevens?

Ja.

18.

Waarom moet dit [red. verwijst naar zin uit de brief «Er wordt nog besproken in hoeverre vervuilde gegevens enige tijd (veilig) bewaard moeten en mogen worden.»] nog besproken worden en is dit niet het uitgangspunt?

Hier lijkt sprake van een misverstand. Wanneer sprake is van een oneigenlijke of onrechtmatige gegevensverwerking, dient deze te worden beëindigd en dienen vervuilde gegevens te worden opgeruimd.

Daarnaast is het in het belang van betrokkenen dat er achteraf waarheidsvinding kan plaatsvinden. Hiervoor zullen deze gegevens gedurende enige tijd bewaard worden. We ontwikkelen een procedure voor de vraag hoe dit zorgvuldig gerealiseerd kan worden. De passage over «besproken worden» in mijn brief van 8 april jl. ziet op dit aspect.

Vragen en opmerkingen van de SP-fractie

19.

De leden van de fractie van de SP vragen naar de antwoorden op de vragen van de leden Ceder en Leijten die naar aanleiding van deze reactie zijn ingediend.

Waarom kunnen deze vragen niet binnen enkele weken beantwoord worden?

Deze vragen zijn inmiddels beantwoord (Aanhangsel Handelingen II 2020/21, nr. 3083).

20.

De leden van de fractie van de SP maken zich grote zorgen over het gebruik van data om mensen te categoriseren op oneigenlijke gronden. Nog altijd is er veel onduidelijk over welke data de overheid opslaat, hoe deze gebruikt wordt, door wie en waarvoor. Het is noodzakelijk dat dit zo snel mogelijk opgehelderd wordt en oneigenlijk gebruik van data of zogenaamde «zwarte lijsten» wordt gestopt. De gevolgen voor mensen die dit treft en geen inzage hebben in waarom zij door de overheid worden buitengesloten zijn immens.

Dit standpunt deel ik. Dit voorstel is erop gericht om conform de motie het oneigenlijk of onrechtmatig gebruik in kaart te brengen en te beëindigen.

21.

De leden van de fractie van de SP vragen of het rapport van KPMG naar producten van het voormalig Eurohandelsinstituut (EHI) die nu bij Datafundamenten & Analytics (DF&A) in gebruik zijn nu openbaar kan worden in plaats van pas in de zomer. Zij zien geen reden om hier langer mee te wachten. Zo niet, dan vragen genoemde leden naar een uitgebreide motivering hiervan.

Het rapport van KPMG is nog in de afrondende fase. Uw Kamer is op 26 mei jl. voor het laatst geïnformeerd over de voortgang in de tabel acties Herstellen Verbeteren Borgen (HVB) (Kamerstuk 31 066, nr. 807, bijlage 1) door de Staatssecretaris van Toeslagen en Douane en de Staatssecretaris van Fiscaliteit en Belastingen. Voor het commissiedebat van 22 juni 2021, zult u via de aangekondigde brief over de stand van zaken HVB, opnieuw worden geïnformeerd over de meest actuele stand van zaken rond dit onderzoek.

Vragen en opmerkingen van de PvdA-fractie

22.

De leden van de PvdA-fractie lezen en begrijpen dat gegevens over afkomst en indicatoren die daarmee verbonden zijn, zoals nationaliteit, wel nodig kunnen zijn voor dienstverlening aan diplomaten, buitenlandse studenten en expats en nodig kunnen zijn in de vreemdelingenketen. Echter vragen de aan het woord zijnde leden aan de hand van welke objectieve criteria het onderscheid wordt gemaakt tussen wanneer het gebruik van afkomstgegevens nodig kan zijn en in wanneer niet? Wanneer is er precies sprake van oneigenlijk gebruik van deze indicatoren in risicomodellen? En waarom zou een indicator zoals etniciteit ooit nodig kunnen zijn?

Het verwerken van persoonsgegevens is in beginsel verboden, tenzij er een uitzonderingsgrond bestaat. Op basis van de AVG is het toegestaan om gegevens over nationaliteit te gebruiken, als indicator in risicomodellen. Voorwaarde is dat er een objectieve rechtvaardiging voor bestaat in de vorm van een wettelijke grondslag, waarbij de eisen van proportionaliteit, subsidiariteit en evenredigheid zijn toegepast.

Naast dit kader gelden ook regels voor het maken van onderscheid. Deze zijn neergelegd in het discriminatieverbod van artikel 1 van de Grondwet en de gelijkebehandelingsregelgeving. Het maken van onderscheid is enkel toegestaan als het onderscheid objectief gerechtvaardigd kan worden. Dit betekent dat er sprake moet zijn van een legitiem doel en dat het onderscheid geschikt en passend moet zijn om het doel te bereiken, dat er wordt voldaan aan de eisen van proportionaliteit en er geen andere wijze is om het doel te bereiken (subsidiariteit).

Doel van het in mijn brief van 8 april jl. (Kamerstukken 26 643 en 32 761, nr. 751) aangekondigde onderzoek is om na te gaan in welke risicomodellen deze gegevens worden verwerkt en of deze verwerking zowel in overeenstemming met de wet plaatsvindt alsook te rechtvaardigen is. Ik verwijs naar antwoord 4 op de vragen van de leden Ceder (ChristenUnie) en Leijten (SP) over het bericht «Overheid heeft nog jaren nodig om «foute persoonsgegevens» op te ruimen» (ingezonden op 12 april 2021) en wil op dit moment niet verder vooruitlopen op gevallen waarin het onderscheid wel en niet geoorloofd is.

23.

De leden van de PvdA-fractie lezen dat u in aanvulling op de al lopende onderzoeken van de Belastingdienst, Toeslagen en van de Minister van Sociale Zaken en Werkgelegenheid uw overige ambtgenoten heeft verzocht om voor hun beleidsterreinen onderzoeken voor te bereiden naar het onrechtmatig of oneigenlijk gebruik van afkomst gerelateerde indicatoren in risicomodellen. Deze leden begrijpen dat niet alle departementen in dezelfde mal passen. Het is dus logisch dat elk departement een eigen aanpak moet kiezen. Tegelijkertijd kan een andere aanpak per Ministerie zorgen voor onzekere uitkomsten. Kunt u daarop reflecteren?

De aanpak bestaat uit drie stappen:

• 1. Het maken van een inventarisatie van gegevensverwerkingen waarin afkomstgerelateerde indicatoren worden verwerkt;

• 2. De toetsing of de gevonden gegevensverwerkingen eigenlijk en rechtmatig zijn, en

• 3. Wanneer blijkt dat dit niet het geval is geweest, het beëindigen van de gegevensverwerking, het notificeren van betrokkenen en opruimen van de vervuilde data.

Ad (1) De inventarisatie doen departementen zelf. Zoals aangegeven zal de omvang van de inventarisatie verschillen naar de aard van het taakveld van de departementen. Naarmate meer gebruik wordt gemaakt van risicomodellen waarbij gegevensverwerkingen plaatsvinden van afkomstgerelateerde indicatoren, kan dit meer tijd in beslag nemen. Grofweg worden de departementen in drie groepen ingedeeld: een groep die wat sneller de inventarisatie kan afronden, een middengroep en een groep die hier naar verwachting meer tijd voor nodig zal hebben.

Ad (2) Om vergelijkbaarheid te borgen van bevindingen wordt centraal een toetsingskader opgesteld dat overheidsorganisaties kunnen gebruiken.

Ad (3) Het beëindigen van de gegevensverwerking, het notificeren van betrokkenen en het opschonen van de vervuilde data is een verantwoordelijkheid die bij de verwerkingsverantwoordelijken zelf ligt.

24.

Begrijpen deze leden het goed dat pas tegen het einde van dit jaar plannen van aanpak worden opgesteld?

Nee. De plannen van aanpak zijn naar verwachting in de zomer ambtelijk gereed. Het vereist de nodige bestuurlijke afstemming voordat deze in het najaar worden vrijgegeven. De inventarisaties kunnen naar verwachting na de zomer starten.

25.

Betekent dit ook, gezien hetgeen u stelt dat de totale doorlooptijd van inventarisatie, toetsing op oneigenlijk gebruik niet goed voorspelbaar zijn, dat die vervuilde gegevens nog voor een niet te voorspellen en wellicht langere tijd blijven bestaan? Zo ja, deelt u de mening dat dan op een andere manier oneigenlijk gebruik van die gegevens eerder dient te worden voorkomen en hoe gaat u hiervoor zorgen? Zo nee, waarom deelt u die mening niet?

Gegevensverwerkingen die we lopende het onderzoek nog niet in beeld hebben, of nog niet zijn getoetst op rechtmatig/ eigenlijk gebruik, kunnen we ook nog niet beëindigen. Daar waar onrechtmatig of oneigenlijk gebruik in beeld komt, zal het gebruik zo snel mogelijk worden beëindigd.

26.

Kunt u toch concrete data noemen wanneer overheidsorganisaties hun gegevens geschoond moeten hebben?

Het is nu nog niet mogelijk om concrete data te noemen. Het streven is er vanzelfsprekend op gericht om dit zo snel mogelijk voor elkaar te krijgen, waarbij tegelijkertijd voldoende zorgvuldigheid wordt betracht.

27.

Hoe denkt u over het aanwijzen van een of meer ambtenaren of andere personen die ministerie-overstijgend alvast in kaart kunnen brengen waar evident sprake is van oneigenlijk gebruik van afkomst gerelateerde gegevens die u of uw collega’s dan snel kunnen laten schonen?

De belangrijkste uitdaging is om de gegevensverwerkingen in beeld te krijgen waar sprake is van gebruik van afkomstgerelateerde indicatoren. Bij deze inventarisatie is kennis nodig van processen, systemen en gegevensverwerkingen op de betreffende beleidsterreinen. Om die reden is gekozen voor een aanpak waarbij specialisten vanuit de departementen aan de slag gaan met deze inventarisatie. Een ministerie-overstijgend team zou bij de inventarisatie weinig toegevoegde waarde hebben.

Voor de coördinatie tussen deze trajecten, de vereiste juridische ondersteuning rond de toetsing en voor andere zaken is voor dit traject wel een ministerie-overstijgend team ingericht.

Vragen en opmerkingen van de GroenLinks-fractie

28.

Deelt het kabinet de observatie dat overheidsinstanties soms gebruikmaken van risicoprofielen met verwijzing naar algemene bepalingen die onvoldoende specifiek zijn voor deze toepassing? Hoe wordt beoordeeld of een wettelijke basis voldoende specifiek is voor risicoprofilering?

De AVG en de Wet Politiegegevens (Wpg) bieden duidelijke regels over de grondslagen voor verwerking van (bijzondere) persoonsgegevens. Het is aan de verwerkingsverantwoordelijke om zich ervan te vergewissen of een voorgenomen verwerking daarmee verenigbaar is.

29.

Deze leden vragen ook naar het wettelijk kader voor het gebruik van risicoprofielen in de Algemene Verordening Gegevensbescherming (AVG). Klopt het dat de verordening niet specifiek toeziet op het gebruik van risicoprofielen, afgezien van besluitvorming die uitsluitend is gebaseerd op geautomatiseerde verwerking, onder artikel 22?

Het is juist dat de AVG geen algeheel verbod op profileren kent, tenzij daarop uitsluitend geautomatiseerde besluitvorming is gebaseerd (art 22). Persoonsgegevens dienen evenwel onder de AVG te worden verwerkt in overeenstemming met het beginsel van behoorlijkheid, neergelegd in artikel 5 lid 1. Verwerkingen mogen dus niet in strijd zijn met fundamentele rechtsbeginselen, zoals het discriminatieverbod. Als bijvoorbeeld afkomst wordt gebruikt als onderscheidend criterium zonder dat daarvoor een objectieve rechtvaardiging bestaat, kan sprake zijn van discriminatie en strijd met het beginsel van behoorlijkheid. Daarnaast is onder de AVG de verwerking van bijzondere persoonsgegevens, zoals ras of etniciteit, in beginsel verboden.

30.

Deze leden vragen zich af of gegevens die in overeenstemming met de AVG kunnen worden verzameld en opgeslagen daarmee ook meteen kunnen worden ingezet voor niet-geautomatiseerde profilering en gebruik in risicomodellen? In hoeverre wordt de rechtmatigheid van risicoprofilering dan specifiek getoetst?

De algemene regel van de AVG is dat verwerking van persoonsgegevens alleen mag als dat verenigbaar is met het doel waarvoor de gegevens zijn verzameld. Wanneer in voorkomende gevallen een verwerking wordt beoogd voor een ander doel dan dat waarvoor de persoonsgegevens zijn verzameld, dan zal inderdaad een specifieke toetsing moeten plaatsvinden.

31.

De leden van de GroenLinks fractie lezen dat het kabinet verwerkingen zonder objectieve rechtvaardiging kwalificeert als oneigenlijk. Wanneer er een objectieve rechtvaardiging bestaat, valt de verwerking volgens het kabinet niet onder de uitvoering van de moties van het lid Marijnissen c.s. en het lid Klaver c.s. Wat zijn volgens het kabinet objectieve rechtvaardiging(en) voor het gebruik van nationaliteit, of een andere variabele, in risicoprofilering?

Zie het antwoord op vraag 22.

32.

Deelt het kabinet de mening dat een (vermeende) oververtegenwoordiging van een bepaalde groep in fraude of criminaliteit geen objectieve rechtvaardiging vormt, in overeenstemming met de mensenrechten? En dat ook het combineren van nationaliteit met andere kenmerken nog geen objectieve rechtvaardiging vormt, zoals de Autoriteit Persoonsgegevens ook vaststelde in relatie tot het gebruik van de indicator Nederlanderschap bij de toeslagenaffaire?

Ja.

33.

De leden van de GroenLinks fractie vragen het kabinet om in meer detail in te gaan op de uitvoering van de motie van het lid Klaver c.s., bijvoorbeeld met betrekking tot de variabelen etniciteit en geboorteplaats. In de brief van 9 februari (Kamerstuk 31 066, nr. 783) verwees het kabinet naar een op 27 januari jl. (Bijlage bij Kamerstuk 31 066, nr. 807) verstrekt overzicht van wettelijke grondslagen voor het gebruik van nationaliteit in gegevensverwerking door de Belastingdienst. Dit gaat echter uitsluitend over het gebruik van nationaliteit, een variabele die in sommige gevallen nodig kan zijn om te bepalen of iemand aanspraak maakt op een bepaalde regeling. Voor variabelen als etniciteit of geboorteplaats gaat dit echter niet op, zo denken deze leden. Deelt het kabinet deze analyse? Zo ja, is het kabinet dan bereid om de variabelen geboorteplaats en etniciteit volledig uit te sluiten van gebruik in risico-classificatiemodellen? Zo nee, waarom niet? En in welke gevallen ziet het kabinet dan een objectieve rechtvaardigingsgrond voor het opslaan van dergelijke gegevens en voor het gebruik ervan in risico-classificatiemodellen?

Zie het antwoord op vraag 22 voor het juridische kader. Dit vraagt om een beoordeling van geval tot geval en zal onderdeel uitmaken van de inventarisatie.

34.

Deze leden vragen het kabinet ook hoe het staat met de uitvoering van het verzoek aangaande zelflerende algoritmen in de motie van het lid Klaver c.s.? Hoe zorgt het kabinet dat dergelijke zelflerende algoritmen niet discrimineren, direct of indirect?

Deze vraag betreft de structurele borging van risico’s omtrent de inzet van algoritmen. Ook daar wordt aan gewerkt. Graag verwijs ik hiervoor naar de Kamerbrief voortgang algoritmen en artificiële intelligentie die op 10 juni jl. (Kamerstuk 26 643, nr. 765) naar uw Kamer is verzonden.

35.

De leden van de GroenLinks fractie vragen zich af of de onderzoeken niet in bredere zin zouden moeten kijken naar mogelijk discriminerende effecten van dergelijke risicomodellen? Is het kabinet het met deze leden eens dat discriminatie door risicomodellen ook kan optreden via andere mogelijk gecorreleerde variabelen, zoals postcode?

Ja. Risicomodellen zijn erop gericht om onderscheid te maken, te classificeren en in die zin te categoriseren. Het verbod op discriminatie in de zin van artikel 1 van de Grondwet stelt daar beperkingen aan voor een aantal categorieën die wij niet acceptabel vinden: zoals geslacht, afkomst, geaardheid, etc.

Ook het maken van indirect onderscheid op deze categorieën is niet zonder meer toegestaan. Daarom kijkt het kabinet in dit onderzoek bewust breder dan de drie genoemde indicatoren en richt zich op alle afkomstgerelateerde indicatoren.

36.

Is het kabinet bereid om de opzet van deze onderzoeken te verbreden naar de mogelijk discriminerende werking van risicomodellen in het algemeen?

Doel van deze motie is om de nu al in gebruik zijnde algoritmen met voorrang tegen het licht te houden op afkomstgerelateerde indicatoren. Omwille van de voortgang is een scopeverbreding op dit moment niet te adviseren.

Vragen en opmerkingen van de ChristenUnie-fractie

37.

Kan de regering aangeven wanneer de Kamer de antwoorden op de, door de leden Ceder en Leijten gestelde, schriftelijke vragen over de kabinetsreactie¹ kan verwachten?

De antwoorden op deze vragen heeft u ontvangen op 8 juni 2021.

---

1 Aanhangsel Handelingen II, nr. 3083.