Verslag van een schriftelijk overleg : Verslag van een schriftelijk overleg over de bevindingen van het ministerie van Buitenlandse Zaken over het onderzoek gebruik afkomstgerelateerde gegevens en gebruik risicomodellen (Kamerstuk 26643-1031) en reactie op het verzoek van het lid Van Baarle, gedaan tijdens de regeling van Werkzaamheden van 9 mei 2023, over het bericht ‘Pas op met deze visumaanvraag’, waarschuwt het algoritme van het ministerie’ (Nrc.nl, 23 april 2023)

32 761 Verwerking en bescherming persoonsgegevens

Nr. 1065 VERSLAG VAN EEN SCHRIFTELIJK OVERLEG

Vastgesteld 7 september 2023

De vaste commissie voor Buitenlandse Zaken heeft een aantal vragen en opmerkingen
voorgelegd aan de Minister van Buitenlandse Zaken over de brief van 11 mei 2023 over
de bevindingen van het Ministerie van Buitenlandse Zaken over het onderzoek gebruik
afkomstgerelateerde gegevens en gebruik risicomodellen (Kamerstukken 26 643 en 32 761, nr. 1031).

De vragen en opmerkingen zijn op 6 juni 2023 aan de Minister van Buitenlandse Zaken
voorgelegd. Bij brief van 4 september 2023 zijn de vragen beantwoord.

De voorzitter van de commissie, Rudmer Heerema

De adjunct-griffier van de commissie, Blom

Vragen en opmerkingen vanuit de fracties en reactie van de Minister

Inleiding

Hierbij bied ik de antwoorden aan op het schriftelijk overleg inzake bevindingen onderzoek
gebruik afkomstgerelateerde gegevens en gebruik risicomodellen van 6 juni jl. Tevens
geef ik met deze beantwoording (bijlage 1) en toezending van de notitie Informatie
Ondersteund Beslissen (bijlage 2) uitvoering aan het verzoek van het lid van Baarle
tijdens het ordedebat van 9 mei jl. (Handelingen II 2022/23, nr. 78, item 29)

Vragen en opmerkingen van de leden van de VVD-fractie

De leden van de VVD-fractie hebben met interesse kennisgenomen van de brief Bevindingen
van het Ministerie van Buitenlandse Zaken aangaande het gebruik van afkomstgerelateerde
gegevens en gebruikte risicomodellen. Zij hebben hierover enkele vragen.

De leden van de VVD-fractie zijn van mening dat zorgvuldig moet worden omgegaan met
persoonsgegevens, ook bij het Ministerie van Buitenlandse Zaken. Echter, de leden
begrijpen ook dat de verwerking van afkomstgerelateerde gegevens een onvermijdelijk
onderdeel is van de gegevens waar het Ministerie van Buitenlandse Zaken mee te maken
heeft. Het is van belang dat geen onnodige registraties plaatsvinden. Hoe zorgt de
Minister ervoor dat dit niet gebeurt?

Antwoord van het kabinet:

Het ministerie heeft beleid opgesteld voor het werken met data en algoritmen. Hierin
staan de afspraken en maatregelen die nodig zijn om het werken met en de ontwikkeling
van op data-gebaseerde toepassingen en algoritmen binnen de gehele organisatie mogelijk
te maken. Dit beleid dient er tevens toe dat een en ander op een eenduidige, eerlijke,
ethische verantwoorde en duurzame wijze gebeurt. Het uitvoeren van een quickscan,
een risicoanalyse en een (pre)Privacy Impact Assessment (PIA en DPIA1) zijn standaard onderdeel van het proces voor de ontwikkeling van een informatieproduct
en/of algoritme. Bij het uitvoeren van de (pre)DPIA wordt op basis van de AVG (principes
van doelbinding en van minimale gegevensverwerking) bepaald welke persoonsgegevens
voor het onderhavige proces minimaal nodig zijn om het wettelijke doel te bereiken.
Het voorkomen van onnodige registraties van afkomstgerelateerde gegevens vindt bovendien
plaats door toepassing van het principe «privacy by design» bij het ontwerpen en implementeren van systemen waarin persoonsgegevens worden verwerkt.
In dat kader wordt o.a. getoetst of de verwerking van deze gegevens proportioneel
en noodzakelijk is.

Daarnaast vragen deze leden of de Minister de toegevoegde waarde van afkomstgerelateerde
modellen op basis van nationaliteitsgegevens nader kan toelichten. De leden van de
VVD-fractie kunnen zich voorstellen dat het gebruik van deze modellen leidt tot meer
effectiviteit en voorkomt dat minder mensen hoeven te worden ingezet (die moeilijk
te werven zijn in deze krappe arbeidsmarkt). Hoe maakt de Minister een afweging tussen
deze toegevoegde waarde en eventuele risico’s van modellen op basis van nationaliteit?

Antwoord van het kabinet:

Anders dan bijvoorbeeld bij het beoordelen van aanvragen voor toeslagen voor kinderopvang,
is het gebruik van nationaliteit per definitie inherent aan het onderhavige werkterrein,
i.c. het beoordelen van aanvragen voor visa voor kort verblijf. In de Europese regelgeving
(Verordening (EG) nr. 539/2001) is vastgelegd welke nationaliteiten voor het Schengengebied
visumplichtig zijn en welke niet.

Bij de beoordeling van visumaanvragen vormt de nationaliteit van de betrokkene derhalve
een essentieel kenmerk/noodzakelijke factor. Daarbij kan er sprake zijn van een verband
tussen nationaliteit en het met een aanvraag samenhangend risico, met name wat betreft
illegale migratie, openbare orde en veiligheid als bedoeld in de hiervoor genoemde
Verordening.

Het mede (dus niet alleen) op basis van dit kenmerk onderverdelen van visumaanvragen
met een advies voor de intensiteit van de behandeling van de visumaanvraag bevordert
het effectiever en efficiënter behandelen van aanvragen met een laag, dan wel hoger
risico.

Door hierbij gebruik te maken van het instrument Informatie Ondersteund Beslissen
(IOB) en het bijbehorend algoritme wordt de besluitvorming omtrent visumaanvragen
objectiveerbaar en toetsbaar. Met het op deze wijze afhandelen van visumaanvragen
worden toerisme, familiebezoek en economische diplomatie bevorderd en draagt het ministerie
aan de voorkant bij aan de uitoefening van de taken van de migratieketen en daarmee
aan de veiligheid in Nederland.

In dit verband kan nog worden verwezen naar het arrest van het Gerechtshof Den Haag
van 14 februari 2023 (ECLI:NL:GHDHA:2023:173), waarin is geoordeeld dat het maken van onderscheid naar
nationaliteit bij de risicobeoordeling als zodanig niet als discriminatie kan worden
gekwalificeerd, indien dit relevant is voor het nemen van de juiste beslissing op
een visumaanvraag

Wat betreft de inzet van medewerkers benadrukt het ministerie dat visumaanvragen kennisintensieve
en kwalitatief hoogwaardige besluitvorming vereisen. Dit is een van de uitgangspunten
van een doelmatige consulair-diplomatieke dienstverlening.

De leden van de VVD-fractie lezen dat er in het onderzoek van het Ministerie van Buitenlandse
Zaken één risicomodel is aangetroffen: het Informatie Ondersteunend Beslissen (IOB)
binnen het Kort Verblijf Visum (KVV)-proces. Welke definitie hanteert de Minister
voor een risicomodel?

Antwoord van het kabinet:

De term risicomodel is niet wettelijk gedefinieerd.2 Het IOB betreft geen verwerking die automatisch tot een beslissing op een visumaanvraag
leidt op grond van afkomstgerelateerde gegevens. Het IOB behandeladvies zegt iets
over de geadviseerde intensiteit van de behandeling van de visumaanvraag (zie hiervoor
bijgevoegde notitie met een uitgebreide beschrijving van het IOB). Niettemin heeft
het ministerie dit instrument zekerheidshalve gekwalificeerd als risicomodel, omdat
er wel op basis van een algoritme richting wordt gegeven aan de wijze van behandeling
van een visumaanvraag. Zie hiervoor ook de antwoorden op Kamervragen inzake het visumbeleid
Buitenlandse Zaken.3

Daarnaast vernamen de leden van de VVD-fractie dat er in vijftig van de driehonderd
gevallen sprake is van het gebruik van afkomstgerelateerde indicatoren. Gaat dit om
nationaliteit en adresgegevens, of ook andere afkomstgerelateerde indicatoren?

Antwoord van het kabinet:

Naar aanleiding van de moties van het Lid Marijnissen c.s. (Kamerstuk 35 510, nr. 21) en het Lid Klaver c.s. (Kamerstuk 35 510, nr. 16) heeft het ministerie geïnventariseerd in welke gegevensverwerkingen en risicomodellen
afkomstgerelateerde persoonsgegevens (nationaliteit, etniciteit en geboorteplaats)
zijn opgenomen. Hierbij zijn de relevante processen (wet- en regelgeving, registraties,
systemen, procedures, risicomodellen) onderzocht, waarin dergelijke gegevens verwerkt
worden. Het gebruik van deze gegevens is in kaart gebracht aan de hand van het verwerkingsregister
als bedoeld in artikel 30 Algemene Verordening Gegevensbescherming (AVG).

De resultaten van de inventarisatie zijn samengevat weergeven in bijlage 1 van de
brief aan uw Kamer van 11 mei 2023.4 Daarin is aangegeven dat in de verschillende verwerkingen de volgende persoonsgegevens
worden vermeld: (huidige en vorige) nationaliteit, geboorteplaats, etniciteit, Burgerservicenummer,
kopie identiteitsbewijs, (pas)foto, land/provincie van herkomst, land dat vertegenwoordigd
wordt en afkomst.

Deze leden zijn van mening dat de overheid transparant moet zijn in het gebruik van
persoonsgegevens, risicoprofielen en algoritmes. Zijn de algoritmes en de daarbij
behorende parameters geregistreerd bij het nationale algoritmeregister?

Antwoord van het kabinet:

Het ministerie zal ervoor zorg dragen dat het bij het IOB gebruikte algoritme in ieder
geval voor de uiterlijke datum van 1 januari 2024 in het algoritmeregister is opgenomen
en toegelicht.

Vragen en opmerkingen van de leden van de D66-fractie

De leden van de D66-fractie hebben kennisgenomen van de bevindingen van het Ministerie
van Buitenlandse Zaken over het onderzoek gebruik afkomstgerelateerde gegevens en
gebruik risicomodellen. Zij hebben hier nog enkele vragen over.

De leden van de D66-fractie zien dat het ministerie bij 50 processen afkomstgerelateerde
gegevens verwerkt. Uit het onderzoek kwam daartussen slecht één risicomodel naar voren.
Welke andere processen kwamen hiervoor het meest in aanmerking? Welke andere processen
zijn intensief onderzocht? Worden de 49 processen waar geen risicomodel uit naar voren
kwam door de Minister daarom gezien als rechtmatig, wenselijk en ethisch? Zijn er
processen die de Minister vooralsnog als onwenselijk beschouwt?

Antwoord van het kabinet:

Voor het overzicht van de processen binnen het Ministerie van Buitenlandse Zaken waarbij
gegevens over nationaliteit, etniciteit en geboorteplaats worden verwerkt, verwijs
ik graag naar de bijlage (1) bij de Kamerbrief bevindingen BZ onderzoek gebruik afkomstgerelateerde
gegevens in risicomodellen.5 In de verwerkingen zoals geïnventariseerd worden de specifieke persoonsgegevens benoemd
en toegelicht en vervolgens voorzien van de wettelijke grondslag. Zie verder ook het
antwoord op de vraag van de DENK-fractie inzake het functioneel gebruik van nationaliteit
in wet- en regelgeving van Buitenlandse Zaken.

De leden van de D66-fractie zijn erg bezorgd over het gebruik van afkomstgerelateerde
gegevens bij het beoordelingsproces voor visumaanvragen via het IOB. De Toeslagenaffaire
heeft duidelijk gemaakt dat het laten doen van beoordelingen door algoritmen op basis
van persoonsgegevens discriminatoir kan werken, met desastreuze gevolgen. Het heeft
duidelijk laten zien dat dergelijke systemen uitgebannen moeten worden, zeker waar
de overheid beslissingen maakt over mensen die grote impact hebben op hun persoonlijke
leven. Toch blijft het ministerie het IOB-systeem toepassen. Hoe beoordeelt de Minister
het gebruik van afkomstgerelateerde gegevens via algoritmen? Ziet de Minister het
IOB-systeem als rechtmatig en wenselijk? Is de Minister bereid om dit algoritme te
toetsen middels de Impact Assessment Mensenrechten en Algoritmes? Zo nee, waarom niet?
En kan de Minister ook aan deze leden toezeggen dat dit algoritme wordt opgenomen
in het algoritmeregister, dat precies om misstanden te voorkomen is ingesteld?

Antwoord van het kabinet:

De beoordeling van visumaanvragen dient te allen tijde objectief en zorgvuldig te
geschieden aan de hand van de criteria die zijn vastgesteld in met name de Visumcode.6 Met het oog daarop heeft het ministerie de afgelopen jaren bewust en doelgericht
geïnvesteerd in het bevorderen van een besluitvormingsproces dat is gebaseerd op objectieve
gegevens en data-analyse. Daarbij ondersteunt het IOB de beslismedewerkers bij het
adequaat inschatten van de vereiste intensiteit van het (dossier)onderzoek, waardoor
de aanvragen zo objectief en zorgvuldig mogelijk worden beoordeeld (zie hiervoor bijgevoegde
notitie met een uitgebreide beschrijving van het IOB).

Bij de inzet van risicomodellen moet uiteraard zorgvuldig worden gekeken naar proportionaliteit
en subsidiariteit, zodat het gebruik ervan rechtmatig en eigenlijk is. Discriminatie
op welke grond dan ook moet daarbij vanzelfsprekend worden voorkomen. Teneinde te
voldoen aan de geldende wet- en regelgeving ten aanzien van privacy heeft het ministerie
zich bij de ontwikkeling van het IOB van meet af aan (dat wil zeggen sinds 2015) voortdurend
laten adviseren door ter zake deskundige interne en externe (juridische) adviseurs.
Op basis van hun adviezen is geconcludeerd dat het gebruik van profielen in het IOB
niet in strijd is met wet- en regelgeving.

Het ministerie ziet dan ook geen reden om aan te nemen dat het bij het IOB toegepaste
algoritme discriminatoir is. Uiteraard dient er voor gewaakt te worden dat het uit
dit instrument voortvloeiende behandeladvies aanleiding vormt voor enige vooringenomenheid
bij de betrokken beslismedewerker.
Het gebruik van het IOB behandeladvies wordt zorgvuldig gemonitord op eventuele afwijkingen
in trends (zoals weigeringspercentages bij verschillende behandeladviezen). Voorts
kan bij twijfel bij een beslismedewerker een senior medewerker worden geraadpleegd
en kan besloten worden tot het opvragen van nadere informatie en het afnemen van interviews.
Daarnaast worden op visumaanvragen genomen beslissingen periodiek in een kwaliteitsoverleg
besproken en tevens steekproefsgewijs gecontroleerd.

Het ministerie zal ervoor zorg dragen dat het IOB gebruikte algoritme in ieder geval
voor de uiterlijke datum van 1 januari 2024 in het algoritmeregister is opgenomen
en toegelicht.

Wat betreft het Impact Assessment Mensenrechten en Algoritmes (IAMA) zal het ministerie
de mogelijke risico’s voor mensenrechten bij de inzet van het IOB-algoritme in kaart
brengen en, indien noodzakelijk, gepaste maatregelen nemen. Dit is voorzien in de
tweede helft van 2023.

De leden van de D66-fractie hebben vernomen dat er binnen het ministerie eerder bezwaar
is gemaakt tegen het IOB-systeem.7 Is het IOB-systeem inmiddels herzien? Zo nee, waarom is ervoor gekozen de bezwaren
van de functionaris gegevensbescherming te negeren? Is de Minister bereid de schriftelijke
vragen van de leden Dekker-Abdulaziz en Podt (beiden D66) hierover op korte termijn
te beantwoorden?8

Antwoord van het kabinet:

Eerder is aangegeven dat op basis van intern en extern juridisch advies is geconcludeerd
dat het gebruik van profielen in het IOB niet in strijd is met wet- en regelgeving.
Deze visie werd onderschreven door de toenmalige Functionaris Gegevensbescherming
(FG).

Het ministerie heeft de zorgen van de daarop volgende (en inmiddels voormalige) FG
ten aanzien van mogelijke discriminatie zeer serieus genomen. Om die reden is besloten
om additionele adviezen van ter zake externe deskundigen, onder wie de Landsadvocaat,
in te winnen, met name wat betreft de vraag in hoeverre het gebruik van het gegeven
nationaliteit relevant, noodzakelijk en proportioneel is binnen het instrument IOB.
De conclusies van deze deskundigen luidden dat (i) er een wettelijke grondslag bestaat
voor dit gebruik; (ii) verwerking van gegevens over nationaliteit nodig is vanwege
zwaarwegende algemene belangen en om te voldoen aan een volkenrechtelijke verplichting
en (iii) het maken van onderscheid naar nationaliteit bij de beoordeling van een visumaanvraag
noodzakelijk en proportioneel is en niet als discriminatie kan worden gekwalificeerd.
Het gebruik van dit risicomodel voldoet aldus aan de eisen die de relevante wet- en
regelgeving daaraan stelt. De bevindingen van de externe deskundigen zijn toegevoegd
aan de antwoorden op de vragen van leden van de D66-fractie van 7 juni 2023.9

De leden van de D66-fractie vragen of er andere processen binnen het ministerie zijn
waar afkomstgerelateerde gegevens via algoritmen worden verwerkt. Kan de Minister
deze processen uiteenzetten?

Antwoord van het kabinet:

Er zijn geen andere processen binnen het ministerie waar afkomstgerelateerde gegevens
via algoritmen worden verwerkt.

Welke stappen worden door de Minister ondernomen om te voorkomen dat het gebruik van
algoritmen en afkomstgerelateerde gegevens tot discriminatoire effecten leidt?

Antwoord van het kabinet:

Alleen als ondersteuning bij het besluitvormingsproces over visumaanvragen wordt gebruik
gemaakt van een algoritme waarin afkomstgerelateerde gegevens een rol spelen. Dit
algoritme wordt ingezet voor het generen van een advies voor de intensiteit waarmee
een aanvraag behandeld dient te worden.

Het algoritme dat wordt gebruikt voor het opstellen van de profielen betreft geen
zelflerend algoritme. Het is een algoritme dat werkt op basis van een beslisboom met
eenvoudige «als-dan»-regels. Bij de ontwikkeling ervan zijn transparantie en uitlegbaarheid
als uitgangpunten genomen, waardoor keuzes van dit algoritme goed uitlegbaar zijn
met een hoge technische transparantie. Op basis van vooraf opgestelde regels wordt
bij elke groep van aanvragen beoordeeld of er voldoende grond is om hiervan een profiel
te maken. Deze regels zijn niet opgesteld door software, maar door experts.

Indien niet voldaan wordt aan deze regels wordt er geen profiel gedefinieerd. Dit
betekent dat niet elke aanvraag in een profiel valt en er dus geen sprake is van een
classificatie-algoritme dat op basis van profielen elke aanvraag als een kans dan
wel als een risico classificeert.

Voor het opstellen van profielen kunnen zeven kenmerken worden gebruikt, te weten
hoofddoel reis, nationaliteit, leeftijdsgroep, geslacht, de locatie van aanvraag,
de burgerlijke staat en het beroep van de aanvrager. Deze gegevens dienen ingevolge
de Visumcode verstrekt te worden bij het aanvragen van een visum. Ras en etniciteit
behoren daar niet toe en worden dan ook niet gebruikt bij het opstellen van profielen.
Een profiel bestaat altijd uit minimaal drie van de zeven kenmerken waarbij er altijd
een combinatie van aanvraaggegevens en persoonsgegevens wordt gebruikt. Een profiel
op basis van leeftijd, geslacht en nationaliteit is dus niet mogelijk, een combinatie
van reisdoel, nationaliteit en geslacht wel.

De leden van de D66-fractie lezen dat het ministerie een verzoek tot aanvullende informatie
heeft ontvangen van de Autoriteit Persoonsgegevens. Is de Minister bereid deze aanvullende
informatie ook te delen met de Kamer, en de Kamer te informeren over de voortgang
van het onderzoek van de AP?

Antwoord van het kabinet:

De Minister is door de Autoriteit Persoonsgegevens (AP) verzocht aanvullende informatie
te verstrekken over de grondslag, de noodzakelijkheid en de proportionaliteit van
de gegevensverwerking, gelet op de verplichtingen die voortvloeien uit de AVG. Zoals
vermeld in de brief van 11 mei 202310 zal uw Kamer te zijner tijd worden geïnformeerd over het vervolg van dit verzoek
van de AP.

De leden van de D66-fractie zien dat afkomst of etniciteit bij verschillende andere
processen verwerkt worden. Zo wordt etniciteit opgevraagd bij de klachtenbehandeling
ongewenste omgangsvormen. Kan de Minister toelichten waarom het noodzakelijk is om
etniciteit te verwerken bij de klachtenbehandeling van ongewenste omgangsvormen?

Antwoord van het kabinet:

Bij de behandeling van klachten over ongewenste omgangsvormen wordt het gegeven etniciteit
uitsluitend verwerkt indien dit relevant is voor het geval zelf. Met andere woorden,
etniciteit wordt alleen geregistreerd ingeval een medewerker een klacht heeft ingediend
over een ervaren ongewenste omgangsvorm die betrekking heeft op de etniciteit van
de medewerker. Deze registratie vindt dus niet standaard plaats bij alle klachten.

Vragen en opmerkingen van de leden van de PvdA-fractie

De leden van de PvdA-fractie hebben met interesse kennisgenomen van de Kamerbrief
over het onderzoek gebruik afkomstgerelateerde gegevens en gebruik risicomodellen.
Zij hebben hier nog enkele opmerkingen en vragen bij.

De leden van de PvdA-fractie lezen dat het Ministerie van Buitenlandse Zaken van mening
is dat het gebruikmaken van afkomstgerelateerde gegevens noodzakelijk is voor het
uitvoeren van het werk. Op welke manier is het betrekken van afkomstgerelateerde persoonsgegevens
noodzakelijk voor het werk van de consulaire dienstverleners? Kan worden aangegeven
welke rol de afkomstgerelateerde persoonsgegevens spelen in de processen waar zij
voor worden gebruikt? Welke rol spelen de afkomstgerelateerde persoonsgegevens voor
de beslissing over een visum kort verblijf? Welke landen worden aangemerkt als risicoafkomst
en wat zijn de gevolgen hiervan voor de persoon?

Antwoord van het kabinet:

Het beoordelen van aanvragen voor visa voor kort verblijf behoort tot de verantwoordelijkheid
van de Minister van Buitenlandse Zaken. Het verlenen van dergelijke visa vindt plaats
voorafgaand aan de feitelijke toelating tot het grondgebied van Nederland, waarvoor
de Koninklijke Marechaussee eindverantwoordelijk is. In de Europese regelgeving (Verordening
(EG) nr. 539/2001) is bepaald welke derdelanders wel en niet visumplichting zijn voor
het Schengengebied. In die zin is het hanteren van het gegeven nationaliteit als zodanig
bij het beoordelen van visumaanvragen wettelijk voorgeschreven.

Wat betreft de besluitvorming over een visum voor kort verblijf, de rol van de afkomsgerelateerde
gevens en de gevolgen voor de aanvrager: zie hierboven en de bijlage over het IOB.
Aldaar wordt inzichtelijk gemaakt dat er geen sprake is van het gebruik van nationaliteit
als enkelvoudig criterum om «risicoafkomst» te bepalen.

De leden van de PvdA-fractie lezen dat het voor de uitoefening van de publieke taak
soms noodzakelijk zou zijn om risicomodellen in te zetten. Hoe verhouden deze risicomodellen
zich tot de moties van het lid Marijnissen c.s.11 en van het lid Klaver c.s.12? Wat zou precies de impact zijn van het volledig beëindigen van het gebruik van risicomodellen
door Buitenlandse Zaken?

Antwoord van het kabinet:

Het «risicomodel» IOB draagt bij aan de invulling van de publiekrechterlijke taak
zoals aan de Minister van Buitenlandse Zaken opgedragen. Kennisintensieve en door
data ondersteunde besluitvorming op de aanvragen voor visa voor kort verblijf vormt
een belangrijk onderdeel om de doelstelling vanuit de VIS-verordening13 te bereiken die op het ministerie rust. Dit betreft respectievelijk het faciliteren
van visumaanvragen, het verbeteren van fraudebestrijding (misbruik van het visuminstrument)
en het voorkomen van bedreigingen van de binnenlandse veiligheid van een van de lidstaten.

Met de inzet van het IOB geeft het ministerie invulling aan de beoogde kwalitatief
hoogwaardige en doelmatige consulair-diplomatieke dienstverlening. Het IOB ondersteunt
de beslismedewerkers door relevante en objectieve informatie ter beschikking te stellen
die anders niet binnen een realistisch tijdsbestek handmatig geraadpleegd kan worden,
mede gezien de tijdsdruk die op de aanvragen staat.

Het niet meer inzetten van het IBO zou de kwaliteit van de dienstverlening kunnen
aantasten, het risico op fraude kunnen vergroten en het risico op illegale migratie
kunnen vergroten. Denk daarbij aan langere doorlooptijd/oplopende beslistermijnen
bij het behandelen van visumaanvragen, toename illegaal verblijf, asielaanvragen,
uitbuiting en gevaren voor de openbare orde). Ook zouden steekproefsgewijs visumaanvragen
nauwgezetter moeten worden onderzocht,

Vragen en opmerkingen van de leden van de DENK-fractie

De leden van de DENK-fractie hebben met belangstelling kennisgenomen van de brief
van de Minister van Buitenlandse Zaken d.d. 11 mei 2023 over de bevindingen van het
Ministerie van Buitenlandse Zaken over het onderzoek gebruik afkomstgerelateerde gegevens
en gebruik risicomodellen. Deze leden vinden het belangrijk dat het kabinet invulling
geeft aan de opvolging van de eerder genoemde moties Marijnissen c.s. en Klaver c.s.
In de Toeslagenmisdaad hebben we gezien welke gevolgen het gebruik van afkomstgerelateerde
gegevens in risicomodellen kan hebben. Deze leden zijn van mening dat we alles moeten
doen om te voorkomen dat dit ooit nog gebeurt.

De Minister geeft aan dat bij de inzet van risicomodellen moet worden gekeken naar
proportionaliteit en subsidiariteit, zodat de inzet rechtmatig en eigenlijk is. Het
is de leden van de DENK-fractie nog onduidelijk of er getoetst is op eigenlijk gebruik.
Dit blijkt namelijk niet uit de stukken. Deze leden vragen de Minister om hier duidelijkheid
over te geven. Heeft het ministerie dit wel getoetst? Welke definitie van «eigenlijk
gebruik» heeft het ministerie gehanteerd? Wat zijn de uitkomsten van deze toetsing?

Antwoord van het kabinet:

Het verwerken van persoonsgegevens (al dan niet met de inzet van een algoritme) moet
rechtmatig en eigenlijk zijn en discriminatie op welke grond dan ook dient te worden
voorkomen. Het uitgangspunt van het ministerie is dat indien risicomodellen (en bijbehorende
algoritmen) gebruikt worden om natuurlijke personen (mensen) te beoordelen of in categorieën
te delen, het risicomodel onderdeel uitmaakt van de ex-ante toetsing in de vorm van
een DPIA als AVG-vereiste.

In een DPIA komt de beoordeling van de rechtmatigheid, proportionaliteit en subsidiariteit
standaard aan de orde. De term «eigenlijk» verwijst daarbij naar de subsidiariteit;
aldus wordt getoetst of hetzelfde resultaat (i.c. het resultaat van de beoordeling
door een risicomodel) niet ook op een andere, minder ingrijpende, manier verkregen
kan worden. Buitenlandse Zaken heeft hiertoe vastgesteld beleid. Zie over de uitkomst
van de toetsen op rechtmatigheid en eigenlijkheid, het monitoren van het IOB behandeladvies
en de eventuele aanleiding voor enige vooringenomenheid bij de betrokken beslismedewerker
ook de antwoorden op de vragen van de VVD-fractie hierboven.

De leden van de DENK-fractie lezen dat de Minister stelt dat het gebruik van afkomstgerelateerde
gegevens in kaart is gebracht aan de hand van het register van verwerkingsactiviteiten.
Deze leden vragen zich af welke afkomstgerelateerde gegevens er geselecteerd en dus
geïnventariseerd zijn. Kan de Minister dit uiteenzetten? Het is niet duidelijk welke
afkomstgerelateerde gegevens er in kaart zijn gebracht binnen het Ministerie van Buitenlandse
Zaken. Kan de Minister deze informatie zo snel mogelijk aan de Kamer doen toekomen?

Antwoord van het kabinet:

De resultaten van de inventarisatie zijn samengevat weergegeven in bijlage 1 van de
brief aan uw Kamer van 11 mei 2023.14

De leden van de DENK-fractie constateren dat na de inventarisatie is beoordeeld of
er sprake is van een risicomodel. Ook dit is onduidelijk, onvolledig en roept verschillende
vragen op bij deze leden. Hoe is beoordeeld of er sprake is van een risicomodel? Deze
leden ontvangen graag de definitie die gebruikt is om dit te beoordelen. Ook ontvangen
deze leden graag een overzicht van alle risicomodellen die binnen het Ministerie van
Buitenlandse Zaken zijn gebruikt.

Antwoord van het kabinet:

De term risicomodel is niet wettelijk gedefinieerd.15 Het IOB betreft geen verwerking die automatisch tot een beslissing op een visumaanvraag
leidt op grond van afkomstgerelateerde gegevens. Het IOB behandeladvies zegt iets
over de geadviseerde intensiteit van de behandeling van de visumaanvraag (zie hiervoor
bijgevoegde notitie met een uitgebreide beschrijving van het IOB). Niettemin heeft
het ministerie dit instrument zekerheidshalve gekwalificeerd als risicomodel, omdat
er wel op basis van een algoritme richting wordt gegeven aan de wijze van behandeling
van een visumaanvraag. Zie hiervoor ook de antwoorden op Kamervragen inzake het visumbeleid
Buitenlandse Zaken.16 Behoudens het IOB is er geen model als risicomodel gekwalificeerd.

Er is een risicomodel aangetroffen in de processen waarin afkomstgerelateerde indicatoren
worden verwerkt, zo constateren de leden van de DENK-fractie. Dit gaat om het Informatie
Ondersteund Beslissen binnen het Kort Verblijf Visum-proces. Deze leden hebben hier
vol verbazing kennis van genomen. De Minister geeft aan dat hij een informatieverzoek
hierover heeft ontvangen om aanvullende informatie te verstrekken over de noodzakelijkheid
en de proportionaliteit van de gegevensverwerking. Deze leden missen het standpunt
van het kabinet hierover.

Waarom krijgt de Kamer deze aanvullende informatie niet? Was het gebruik van deze
indicatoren rechtmatig of niet? Was het gebruik oneigenlijk of niet? Is het kabinet
van mening dat aan de vereisten van noodzakelijkheid en proportionaliteit voldaan
is? Wat is de aanleiding voor de Autoriteit Persoonsgegevens om dit informatieverzoek
te doen? Kan de Minister de onderliggende stukken over dit informatieverzoek delen
met de Kamer? Klopt het dat het Ministerie van Buitenlandse Zaken een zwaarwegend
advies van de functionaris gegevensbescherming negeerde? Klopt het dat de functionaris
gegevensbescherming een persoonlijk gesprek heeft gehad met de Minister van Buitenlandse
Zaken en dat er daarna niks is veranderd? De leden van de DENK-fractie vragen de Minister
om het verslag van het gesprek dat tussen de Autoriteit Persoonsgegevens en de Minister
gaat plaatsvinden, eventueel vertrouwelijk, aan de Kamer te doen toekomen.

Antwoord van het kabinet:

Graag verwijs ik naar de antwoorden op de vergelijkbare vragen van de D66-fractie
hierboven. Zoals vermeld in de brief van 11 mei 202317 zal uw Kamer te zijner tijd worden geïnformeerd over het vervolg van het verzoek
van de AP.

De rijksbrede aanpak bestaat uit drie stappen, zo constateren de leden van de DENK-fractie.
De eerste stap is het inventariseren van gegevensverwerkingen waarin afkomstgerelateerde
indicatoren worden verwerkt. Vervolgens vindt er een toetsing plaats of de gegevensverwerkingen
eigenlijk en rechtmatig zijn. De laatste stap is het opruimen van de vervuilde data.
Dit betekent dat de gegevensverwerking beëindigd wordt en dat de betrokkene genotificeerd
wordt. Er is een risicomodel aangetroffen. De leden van de DENK-fractie vinden het
zorgelijk dat er hierna geen vervolgstappen zijn genomen. Is er getoetst op rechtmatig
en eigenlijk gebruik? Na de toetsing moeten de gegevens verwijderd worden als er sprake
is van onrechtmatig en/of oneigenlijk gebruik. Gaat dit gebeuren? Kan de Minister
deze leden verzekeren dat deze gegevens verwijderd gaan worden? En kan de Minister
deze leden verzekeren dat de betrokkenen geïnformeerd worden? Is dit gebeurd bij het
risicoprofiel dat is aangetroffen bij IOB?

Antwoord van het kabinet:

Zie de hierboven gegeven antwoorden. Op basis van intern en extern juridisch advies
is geconcludeerd dat het gebruik van profielen in het IOB niet in strijd is met wet-
en regelgeving. Er is dan ook geen aanleiding om de inzet van het IOB te beëindigen.

De leden van de DENK-fractie vragen of een overheidsinstelling onafhankelijk kan oordelen
over eigen beleid. Deze leden vragen daarom om een externe toets. De Staatssecretaris
heeft hiervoor de Auditdienst Rijk ingeschakeld. Hoe staat het hiermee? Wanneer kunnen
we hier meer informatie over verwachten?

Antwoord van het kabinet:

De Staatssecretaris van Binnenlandse Zaken en Koninkrijksrelaties heeft uw Kamer op
12 juli 2023 geïnformeerd18 over de onafhankelijke toets op de uitvoering van de moties Marijnissen c.s. en Klaver
c.s. bij alle departementen, inclusief de aangepaste opdrachtbevestiging aan de Auditdienst
Rijk.

De leden van de DENK-fractie vinden het opmerkelijk dat het Ministerie van Buitenlandse
Zaken pas op 11 mei 2023 haar onderzoek met de Kamer heeft gedeeld. Dit zou namelijk
in december 2021 afgerond worden en in de eerste helft van 2022 met de Kamer gedeeld
worden. Deze leden zouden graag een toelichting willen hebben van de Minister. Wat
is hier misgegaan? Hoe kan het dat het ruim een jaar langer duurde?

Antwoord van het kabinet:

De wens van het ministerie was om integraal te rapporteren over alle verwerkingen
bij het ministerie, inclusief het gebruik van het IOB. De doorlooptijd van de externe
toetsen, het informatieverzoek van de AP en het opstellen van het advies door de Landsadvocaat
hebben geleid tot het aanbieden van de bevindingen op 11 mei 2023.19

In 50 van de 300 verwerkingen worden afkomstgerelateerde indicatoren in het verwerkingsregister
gebruikt. De leden van de DENK-fractie missen in de kabinetsreactie een conclusie
dat deze verwerkingen allemaal rechtmatig zijn. Kan de Minister bevestigen dat alle
50 verwerkingen rechtmatig en eigenlijk zijn? De leden van de DENK-fractie ontvangen
ook graag een overzicht van alle 50 verwerkingen.

Antwoord van het kabinet:

De resultaten van de inventarisatie zijn samengevat weergegeven in bijlage 1 van de
brief aan uw Kamer van 11 mei 2023.20

De leden van de DENK-fractie constateren dat de Kamer een overzicht ontving van 35
gevallen van wet- en regelgeving en beleid waarbij nationaliteit functioneel wordt
gebruikt. Deze leden hebben dit met verontwaardiging gelezen. Het voorbeeld dat de
Minister aanhaalt in zijn brief, is het systeem van erkend referenten. Deze leden
vinden het zorgelijk dat de Minister dit functioneel gebruik noemt. Vorig jaar is
gebleken dat de Immigratie- en Naturalisatiedienst (IND) etnisch profileerde door
de afkomst van het bestuur van duizenden bedrijven te registreren in risicoprofielen,
omdat men dacht dat mensen die in een bepaald land geboren waren eerder geneigd waren
om te frauderen. Deze leden vinden het zorgelijk dat de Minister hieraan voorbij gaat
en dit functioneel gebruik noemt.

Zijn deze risicoprofielen inmiddels verwijderd? Kan de Minister uitsluiten dat dit
niet meer gebeurt? Wat is het doel van het registreren van de nationaliteit? Wat is
de definitie van functioneel gebruik? De leden van de DENK-fractie ontvangen graag
een overzicht van alle afkomstgerelateerde gegevens die worden verwerkt over erkend
referenten en een overzicht van hoe en met wie deze gegevens worden gedeeld.

Antwoord van het kabinet:

In het kader van het naar aanleiding van de moties Marijnissen c.s. en Klaver c.s.
uitgevoerde onderzoek is tevens een inventarisatie uitgevoerd van de toegepaste wet-
en regelgeving op het terrein van Buitenlandse Zaken en op dat van Buitenlandse Handel
en Ontwikkelingssamenwerking, waarin een referentie of vereiste/voorwaarde is opgenomen
ten aanzien van de registratie van nationaliteit/nationaliteiten van een persoon.
Deze omvat mede wet- en regelgeving van andere ministeries die mede namens de Minister
van Buitenlandse Zaken tot stand is gekomen omdat laatstgenoemde daarbij een uitvoerende
rol heeft. De inventarisatie laat zien dat de registratie van het afkomstgerelateerde
gegeven nationaliteit daarbij als functioneel dient te worden beschouwd. Functioneel
betekent in dit verband intrinsiek noodzakelijk voor en inherent
aan de toepassing van de wet- en regelgeving in kwestie. Het betreffen hier dus geen
met behulp van een algoritme opgestelde profielen. De inventarisatie met bijbehorende
toelichtingen is opgenomen in bijlage 3 van de brief aan uw Kamer van 11 mei 2023.21

De leden van de DENK-fractie lezen in Kamerstuk 32 761, nr. 971 van 10 februari 2023 dat het Ministerie van Buitenlandse Zaken naast het onderzoek
over gebruik van afkomstgerelateerde indicatoren in gegevensverwerking een nadere
analyse uitvoert op het proces bij aanvragen voor een Visum Kort Verblijf en dat de
Kamer in het eerste kwartaal van 2023 geïnformeerd zou worden over de uitkomst van
de gehele inventarisatie. De Kamer heeft deze analyse niet ontvangen. De leden van
de DENK-fractie ontvangen graag de volledige analyse, inclusief de resultaten en alle
onderliggende stukken aangaande deze analyse. Deze leden vragen de Minister wat er
precies geanalyseerd is. Wie heeft deze analyse uitgevoerd? Gaat het om een juridische
analyse? Is er gekeken naar het functioneren van algoritmes? Is er een uitvoerige
bias toets gedaan?

Antwoord van het kabinet:

Het ministerie gaat ervan uit dat derde voortgangsrapportage over de uitvoering van
de moties Marijnissen c.s. en Klaver c.s. bedoeld wordt. De nadere analyses zijn aangeboden
als bijlage bij de beantwoording van de vragen van Leden van de D66-fractie.22