Brief regering : Tweede voortgangsrapportage over de uitvoering motie Marijnissen c.s. (Kamerstuk 35510-21) en motie Klaver c.s. (Kamerstuk 35510-16)

32 761
Verwerking en bescherming persoonsgegevens

Nr. 855
BRIEF VAN DE STAATSSECRETARIS VAN BINNENLANDSE ZAKEN EN KONINKRIJKSRELATIES

Aan de Voorzitter van de Tweede Kamer der Staten-Generaal

Den Haag, 23 mei 2022

Met deze tweede voortgangrapportage informeer ik u over de uitvoering van de moties
van de leden Marijnissen c.s. en Klaver c.s.1 (hierna: Motie#21). Met het aannemen van Motie#21 heeft de Kamer het kabinet verzocht
om te inventariseren waar afkomstgerelateerde persoonsgegevens worden gebruikt. Doel
is om discriminatie te voorkomen door het onrechtmatig en oneigenlijk gebruik van
afkomstgerelateerde gegevens in risicomodellen en verwerkingen tegen te gaan. Bij
onrechtmatig of oneigenlijk gebruik wordt dit beëindigd, worden betrokkenen zo nodig
geïnformeerd en de vervuilde data opgeruimd.

Mijn ambtsvoorganger heeft uw Kamer op 8 april 2021 – mede namens de toenmalige Staatssecretaris
Fiscaliteit en Belastingdienst, de toenmalige Staatssecretaris Toeslagen en Douane
en de toenmalige Minister van Sociale Zaken en Werkgelegenheid – geïnformeerd over
de voorgestelde aanpak voor de uitvoering van bovengenoemde Motie#212. Over de plannen van aanpak en planningen per ministerie werd u op 6 januari 2022
jl. geïnformeerd3.

Op 21 oktober 2021 ontving u van mijn ambtsvoorganger de eerste voortgangsrapportage4. In deze tweede rapportage ga ik in op de voortgang van de uitvoering van Motie#21
over de periode oktober 2021 tot en met april 2022 van de ministeries van Binnenlandse
Zaken en Koninkrijksrelaties (BZK), Defensie, Economische Zaken en Klimaat, Landbouw,
Natuur en Voedselkwaliteit (EZK/LNV), Infrastructuur en Waterstaat (IenW), Justitie
en Veiligheid (JenV), Onderwijs, Cultuur en Wetenschap (OCW) en Volksgezondheid, Welzijn
en Sport (VWS).

De onderzoeken van de ministeries van BZK, Defensie, EZK/LNV, IenW, JenV, OCW en VWS
verlopen in lijn met de eigen plannen van aanpak en volgens de daarin opgenomen tijdsplanning5.

Voor deze ministeries geldt dat de onderzoeken nog lopen en het nog te vroeg is om
vooruit te lopen op mogelijke uitkomsten en of die mogelijk onrechtmatig of oneigenlijk
zijn. Voorts is in een eerder stadium met uw Kamer afgesproken dat de bewindspersonen
van de ministeries uw Kamer zelf informeren over de uitkomsten binnen het eigen ministerie.
In 2022 komt een belangrijk deel van de onderzoeksresultaten beschikbaar en worden
deze door de ministeries zelf gedeeld met uw Kamer. In dat kader informeren de ministeries
van Algemene Zaken (AZ) en Buitenlandse Zaken (BuZa) uw Kamer voor 30 juni a.s. over
de uitkomsten. Het Ministerie van Financiën voert nu het traject «Herstellen, Verbeteren
en Borgen» uit en informeert uw Kamer zelf periodiek over het eigen onderzoek. Het
Ministerie van Sociale Zaken en Werkgelegenheid (SZW) heeft zijn onderzoek vorig jaar
juli al afgerond en de Minister van SZW heeft uw Kamer inmiddels geïnformeerd over
de uitkomsten met de rapportage «Inventarisatie nationaliteit6.

In deze voortgangsrapportage zal ik vervolgens nader ingaan op de wijze waarop risicomodellen
en verwerkingen waarbij afkomstgerelateerde persoonsgegevens worden gebruikt, worden
getoetst op (on)rechtmatigheid en (on)eigenlijk gebruik. Dit naar aanleiding van de
vragen die Kamerlid Van Baarle (DENK) eerder stelde tijdens het commissiedebat Digitaliserende
overheid, datagebruik en algoritmen, digitale identiteit op 22 maart jl. over het
gebruikte toetsingskader, de criteria waarop wordt getoetst, de uitkomsten van de
onderzoeken en over de mogelijke uitvoering van een externe toets. Ik sluit de tweede
voortgangsrapportage af met een vooruitblik naar acties voor de rest van 2022 en ga
daarbij kort in op de technische briefing van 25 mei a.s. Tot slot geef ik u in bijlagen
I en II respectievelijk het totaaloverzicht van de status per ministerie en een overzicht
van de afgeronde en lopende toezeggingen7.

Voortgang per ministerie

Het Ministerie van Binnenlandse Zaken en Koninkrijksrelaties (BZK) heeft conform het plan van aanpak de inventarisatie uitgevoerd en afgerond. Geen
van de onderdelen heeft aangegeven zonder wettelijke grondslag afkomstgerelateerde
gegevens vast te leggen. Alle verwerkingen waarbij afkomstgerelateerde persoonsgegevens
worden verwerkt, zijn door de onderdelen getoetst op onrechtmatig en oneigenlijk gebruik,
conform de privacywetgeving AVG. Een rapportage aan uw Kamer over de onderzoeksresultaten
is in de maak.

Daarnaast worden alle verwerkingen getoetst tegen het juridisch toetsingskader Etnisch
profileren van het College voor de Rechten van de Mens8. BZK kiest hiervoor met het doel om iedere vorm van discriminatie op basis van afkomst
uit te kunnen sluiten.

Het Ministerie van Defensie heeft de inventarisatie en toetsing bij alle Defensieonderdelen conform planning
grotendeels afgerond. Voor de Koninklijke Marechaussee (KMar) worden de verwerkingen
separaat bezien, omdat de KMar naast verwerkingen op grond van de AVG ook persoonsgegevens
verwerkt ter uitvoering van haar politietaken (art. 4 Politiewet 2012). Dit verloopt
ook volgens planning.

In het derde kwartaal van 2022 vindt zo nodig een aanvulling plaats op basis van een
extern onderzoek naar risicovolle verwerkingen van persoonsgegevens, zoals al in het
plan van aanpak aangekondigd. Uw Kamer wordt dan ook over de uitkomsten geïnformeerd.

De inventarisatie bij de KMar van de gegevensverwerkingen op basis van de AVG en op
basis van de Wet Politiegegevens verloopt volgens planning. Afronding van inventarisatie
en toetsing bij KMar is gepland in 2023.

Bij het Ministerie van Economische Zaken en Klimaat en het Ministerie van Landbouw,
Natuur en Voedselkwaliteit (EZK/LNV) loopt het onderzoek volgens planning. De ministeries van EZK/LNV hebben de wet- en
regelgeving waarin verwezen wordt naar afkomstgerelateerde persoonsgegevens geïnventariseerd.
Het gaat hier om regelgeving waarbij onder andere persoonsgegevens, zoals nationaliteit,
geboorteland of land van herkomst worden genoemd als te melden of te verwerken gegevens.

Daarnaast zijn bij 13 van de 26 onderdelen de inventarisatie en de toetsing van de
bevindingen afgerond. Vooralsnog is bij de toetsing van de bevindingen geen onrechtmatig
of oneigenlijk gebruik van afkomstgerelateerde persoonsgegevens aangetroffen. De ministeries
van EZK/LNV streven er gezamenlijk naar om uiterlijk eind september 2022 het onderzoek
te hebben afgerond en vervolgens uw Kamer te informeren over de uitkomsten.

Het Ministerie van Infrastructuur en Waterstaat (IenW) heeft in 2021 conform het plan van aanpak het onderzoek gestart met de inventarisatie
bij 16 diensten, waaronder vijf zbo’s, naar het gebruik van afkomstgerelateerde persoonsgegevens.
De antwoorden zijn ontvangen. Aanvullend wordt gekeken naar 25 andere zbo’s en rechtspersonen
met een wettelijke taak. De bevindingen uit de inventarisatie worden getoetst op rechtmatigheid
en behoorlijk gebruik. Vervolgens zal passende actie worden ondernomen. Het Ministerie
van IenW zal naar verwachting eind 2022 het onderzoek afronden en uw Kamer zo snel
mogelijk daarna informeren over de uitkomsten.

Het Ministerie van Justitie en Veiligheid (JenV) heeft 63 organisaties opgedragen uitvoering te geven aan Motie#21. 56 organisaties
hebben hun inventarisatie en beoordeling inmiddels afgerond. JenV heeft de organisaties
opdracht gegeven te toetsen of het gebruik van de afkomstgerelateerde persoonsgegevens
geboorteplaats, geboorteland, nationaliteit, etniciteit en ras rechtmatig en behoorlijk
is. De organisaties toetsen dit gebruik aan de wet- en regelgeving die op de desbetreffende
verwerking van de persoonsgegevens van toepassing is.

JenV brengt, waar er raakvlakken zijn met ketens en dienstverleningsprocessen van
JenV, eventuele koppelvlakken met medeoverheden in kaart. JenV benadert geen afzonderlijke
gemeenten.

De projectleider, tevens privacyjurist, benadert de betrokken organisaties zo nodig
met aanvullende vragen en stelt een rapportage op aan de hand van de bevindingen.
Het Ministerie van JenV verwacht, in lijn met zijn plan van aanpak en planning, in
het tweede kwartaal van 2022 de bevindingen aan uw Kamer te presenteren.

Het Ministerie van Onderwijs, Cultuur en Wetenschap (OCW) voert de inventarisatie en toetsing bij het bestuursdepartement en 10 dienstonderdelen
uit. Van de kleinere dienstonderdelen worden half juni 2022 de uitkomsten van de toetsing
verwacht. Bij het bestuursdepartement en de grotere dienstonderdelen, waaronder DUO,
zal dat naar verwachting voor 1 oktober 2022 gereed zijn. Het Ministerie van OCW zal
uw Kamer in oktober a.s. informeren over de bevindingen.

Het Ministerie van Volksgezondheid, Welzijn en Sport (VWS) heeft de organisatiedelen opdracht gegeven om te inventariseren of binnen hun organisatie
afkomstgerelateerde persoonsgegevens worden gebruikt en zo ja, of dit op een rechtmatige
dan wel behoorlijke wijze gebeurt. Eind april 2022 hebben gesprekken plaatsgevonden
met de organisatieonderdelen om de uitkomsten hiervan te bespreken. Het Ministerie
van VWS zal in lijn met het plan van aanpak en de planning in juli 2022 de bevindingen
aan uw Kamer presenteren.

Toetsen van gebruik van afkomstgerelateerde persoonsgegevens.

Voor Motie#21 voeren de ministeries de processtappen (1) inventariseren, (2) toetsen
en (3) rectificeren of wissen uit in overeenstemming met het voorstel van 8 april
2021 jl.9.

Hieronder geef ik een verdere toelichting over deze processtappen en ga ik bij de
procestap inventariseren in op de verwerking van afkomstgerelateerde persoonsgegevens,
bij procestap toetsen op de wet- en regelgeving die gebruikt wordt als toetsingskader
en met de processtap rectificeren/wissen op wat de uitkomsten tot nu toe zijn van
de onderzoeken en ten slotte op de verkenning die ik doe naar de mogelijkheden voor
een externe en onafhankelijke kwaliteitstoets na het onderzoek door een ministerie.

Processtap Inventariseren: Afkomstgerelateerde persoonsgegevens.

In de formulering van de moties van het lid Marijnissen c.s.10 en Klaver c.s.11 wordt specifiek gesproken over het gebruik van nationaliteit, etniciteit en geboorteplaats.
Doel is om discriminatie te voorkomen en het onrechtmatig en oneigenlijk gebruik van
afkomstgerelateerde gegevens in risicomodellen tegen te gaan. Daarom worden de aangetroffen
verwerkingen van afkomstgerelateerde persoonsgegevens getoetst aan het discriminatieverbod
van artikel 1 Grondwet («bestaat er een objectieve rechtvaardiging voor het gemaakte
onderscheid»).

Volgens artikel 9 van de AVG is het expliciet verboden om gegevens over ras/etniciteit
te verwerken. Alleen bij duidelijk omschreven uitzonderingen mogen deze gegevens worden
verwerkt. Het gebruik van afkomstgerelateerde gegevens verschilt per ministerie, vanwege
opgedragen taken en geldende wet- en regelgeving. In de uitvoering van de inventarisaties
houden de ministeries rekening met het verbod om afkomstgerelateerde persoonsgegevens
te verwerken en zij zullen – indien relevant – daarvan melding maken in de conclusies
en bevindingen van hun onderzoeken.

Processtap Toetsen: wet- en regelgeving en instrumenten.

De processtap «Toetsen» betreft de toetsing in hoeverre er sprake is van (on)rechtmatig
of (on)eigenlijk gebruik van afkomstgerelateerde gegevens in de aangetroffen risicomodellen
en verwerkingen. Overheidsorganisaties toetsen het gebruik aan de wet- en regelgeving,
die op de desbetreffende verwerking van de persoonsgegevens van toepassing is. De
staande wet- en regelgeving, zoals de AVG, vormt het toetsingskader voor de uitvoering
van Motie#21.

Bij twijfel neemt de Functionaris Gegevensbescherming (FG) contact op met de Autoriteit
Persoonsgegevens of het College voor de Rechten van de Mens. Als uiteindelijk blijkt
dat de verwerking van afkomstgerelateerde gegevens onrechtmatig of oneigenlijk is,
dan moet deze verwerking worden gestopt.

Graag ga ik nog iets verder in op het toetsingskader. Allereerst hecht het kabinet
er met uw Kamer zeer aan dat discriminatie, zoals bedoeld in artikel 1 van de Grondwet,
door het gebruik van risicomodellen te allen tijde wordt voorkomen. Het kabinet merkt
op dat het gebruik van afkomstgerelateerde persoonsgegevens, zoals nationaliteit,
etniciteit of geboorteplaats, alleen is toegestaan als daar een objectieve rechtvaardigingsgrond
voor is.

Ten tweede, binnen de werkingssfeer van de AVG, alsook de Wet Politiegegevens (Wpg),
de Wet justitiële en strafvorderlijke gegevens (Wjsg) en de Wet Basisregistraties
Personen (BRP), moeten verwerkingen van persoonsgegevens een wettelijke grondslag
hebben en voldoen aan de eisen van behoorlijkheid, transparantie, rechtmatigheid,
proportionaliteit en subsidiariteit.

Ten derde, ministeries kunnen voor het toetsen ook verschillende instrumenten hanteren
die voor de ontwikkeling en het gebruik van algoritmen worden ingezet, zoals de Impact
Assessment Mensenrechten en Algoritmen (IAMA)12, de handleiding Privacy by design13, de handreiking Non-discriminatie by design14, het Toetsingskader algoritmen van de Algemene Rekenkamer15 en het juridisch toetsingskader Etnisch profileren van het College voor de Rechten
van de Mens. Verder in de brief zal ik nader ingaan op structurele maatregelen voor
het toezicht op de ontwikkeling en het gebruik van algoritmen. Met deze maatregelen,
waaronder de inzet van eerdergenoemde instrumenten, worden nodige waarborgen getroffen
om discriminatie in de toekomst door het gebruik van risicomodellen, verwerkingen
en algoritmen te voorkomen.

Processtap Rectificeren of wissen: uitkomsten van de onderzoeken tot nu toe.

Met deze processtap is het, voor de personen die het betreft, van belang dat overheidsinstellingen
zo snel mogelijk gegevens rectificeren of wissen wanneer deze gebaseerd zijn op risicomodellen
waarin onrechtmatig of oneigenlijk gebruik is gemaakt van afkomstgerelateerde persoonsgegevens.
Op basis van de gevonden verwerkingen zal per geval onderzoek worden gedaan waar,
wanneer en met wie deze gegevens zijn gedeeld.

Voor de uitvoering van deze processtap worden aparte plannen van aanpak gemaakt en
acties in gang gezet om de persoonsgegevens als «vervuilde data» te rectificeren en
wissen, de onderliggende systemen, gegevensverwerking en processen te stoppen of aan
te passen en de betrokkenen zo nodig te informeren.

Uitvoering van een externe en onafhankelijke kwaliteitstoets na de opruimactie

De motie van het lid Van Baarle c.s. verzoekt de regering om op de uitkomsten van
de opruimactie van discriminerende algoritmen een externe toets uit te voeren16. Ondanks dat de motie niet is aangenomen door uw Kamer, verken ik toch graag de mogelijkheden
met de Auditdienst Rijk voor deze externe toets, waarmee duidelijkheid kan worden
gegeven over de kwaliteit en onafhankelijkheid van de opruimacties.

Vervolg

Met deze tweede voortgangsrapportage heb ik op hoofdlijnen geschetst waar we nu staan
met de uitvoering van Motie#21 en wat we over de periode oktober 2021 tot en met april
2022 hebben bereikt.

Ik span mij ervoor in om, in overleg met de ambtsgenoten van de andere ministeries
en met uw Kamer, vaart te blijven maken met de uitvoering. Het doel daarvan is dat
we op enig moment, nadat vervuilde data grondig zijn opgeruimd, en de nodige waarborgen
zijn getroffen om discriminatie in de toekomst door het gebruik van risicomodellen,
verwerkingen en algoritmen te voorkomen, dit dossier samen met uw Kamer kunnen sluiten.
De afgelopen maanden zijn in de diverse debatten vragen gesteld wanneer de doorlichting
klaar zal zijn en daarmee de onderzoeken en opruimacties volledig zullen zijn afgerond.
Dit benadrukt nog eens de urgentie en grote aandacht voor het opruimen van de vervuilde
data en de situatie daarna.

Naast deze opruimacties ga ik structurele maatregelen nemen om het toezicht op de
ontwikkeling en het gebruik van algoritmen vorm te geven. Met deze maatregelen worden
de nodige waarborgen getroffen om discriminatie in de toekomst door het gebruik van
risicomodellen, verwerkingen en algoritmen te voorkomen.

In Europees verband wordt wetgeving voorbereid voor de ontwikkeling en het gebruik
van AI en algoritmen. Het voorkomen van discriminatie is hierbij een belangrijk aandachtspunt.
Vooruitlopend daarop maak ik (rijksbrede) afspraken over het (externe) toezicht op
de ontwikkeling en het gebruik van algoritmen.

Daarbij maak ik gebruik van de Impact Assessment Mensenrechten en Algoritmen (IAMA),
de handleiding Privacy by design, de handreiking Non-discriminatie by design en hanteer
ik het Toetsingskader algoritmen van de Algemene Rekenkamer als uitgangspunt. Ik zal
uw Kamer daarover voor het begrotingsdebat per brief informeren.

Met het vaststellen van rijksbrede afspraken kom ik tegemoet aan de motie van de leden
Bouchallikh en Dekker-Abdulaziz c.s.17, en de motie van het lid Van Baarle c.s.18.

U heeft gekozen voor een technische briefing. Die briefing is inmiddels gepland op
25 mei a.s. met de Kamerleden van de commissie Digitale Zaken. Het doel is om de context
van de uitvoering van Motie#21 beter in perspectief te plaatsen en uitgebreid in te
gaan op de technische aspecten van de uitvoering; zoals het toetsingskader en instrumenten
waar de ministeries mee werken en de samenhang van het Motie#21-traject met het algoritmenonderzoek
door de Algemene Rekenkamer. In de technische briefing zal dan ook deze tweede voortgangsrapportage
worden toegelicht.

Tot slot zal ik vanuit mijn coördinatieverantwoordelijkheid uw Kamer periodiek blijven
informeren over de procedurele voortgang. De eerstvolgende en derde rapportage, over
de periode mei 2022 tot en met september 2022, ontvangt uw Kamer daarom voor het aankomende
herfstreces en uiterlijk vrijdag 21 oktober 2022.

De Staatssecretaris van Binnenlandse Zaken en Koninkrijksrelaties,
A.C. van Huffelen