Antwoord schriftelijke vragen : Antwoord op vragen van het lid Van Nispen over het bericht dat bestuursorganen risicoprofilering mogen toepassen zonder specifieke wetgeving

Antwoord van Staatssecretaris Van Marum (Binnenlandse Zaken en Koninkrijksrelaties)
en van Staatssecretaris Struycken (Justitie en Veiligheid) (ontvangen 1 juli 2025).
Zie ook Aanhangsel Handelingen, vergaderjaar 2024–2025, nr. 2281

Vraag 1

Wat is uw reactie op het artikel «Rechtsbescherming tegen risicoprofilering op basis
van de AVG, het EVRM en het Handvest»?1

Antwoord 1

Wij hebben kennis genomen van het artikel. De auteur, Fatma Çapkurt, bespreekt in
dit artikel het advies van de Autoriteit Persoonsgegevens (AP) over geautomatiseerde
besluitvorming en geautomatiseerde risicoselectie in relatie tot artikel 22 van de
Algemene verordening gegevensbescherming (AVG).2 Artikel 22, eerste lid, AVG verbiedt het nemen van een uitsluitend op geautomatiseerde
verwerking, met inbegrip van profilering, gebaseerd besluit, wanneer dit voor de betrokkene
rechtsgevolgen heeft of dit betrokkene anderszins in aanmerkelijke mate treft. De
auteur van het artikel stelt, ten eerste, dat de waarborgen die de AP noemt voor de
inzet van geautomatiseerde risicoselectie lastig te begrijpen zijn in het licht van
artikel 22 AVG, en, ten tweede, dat de AP geen oog heeft voor het recht op respect
op het privéleven.

De normen rondom de inzet van geautomatiseerde risicoselectie zijn nog niet uitgekristalliseerd.
Geautomatiseerde risicoselectie kent een breed toepassingsgebied, van dienstverlening
tot de detectie van fouten en fraude. De inzet van (deels) geautomatiseerde risicoselectie
ondersteunt overheidsorganisaties bij het in beeld krijgen van dossiers of situaties
die aandacht moeten krijgen. In 2024 verzocht de toenmalige Staatssecretaris Fiscaliteit
en Belastingdienst de AP om nadere duiding te geven over de reikwijdte van artikel
22 AVG in relatie tot het gebruik van geautomatiseerde selectie-instrumenten door
de Belastingdienst, de Dienst Toeslagen en de Douane. In haar advies van 10 oktober
2024, heeft de AP aanvullende waarborgen geformuleerd bij het toepassen van geautomatiseerde
risicoselectie. De AP stelt in het advies dat het zonder een specifieke wettelijke
grondslag is toegestaan om geautomatiseerde risicoselecties te maken, als deze alleen
maar gebruikt worden om te beoordelen of acties jegens betrokkene nodig zijn, zoals
navraag doen of informatie verzamelen, en eventuele gevolgen voor betrokkene pas tot
stand komen na handmatige behandeling (betekenisvolle menselijke tussenkomst), mits
aan een aantal voorwaarden wordt voldaan. In deze situatie valt de geautomatiseerde
risicoselectie dus buiten de reikwijdte van het verbod van artikel 22 AVG.

Dat neemt niet weg dat de inzet van geautomatiseerde risicoselectie moet voldoen aan
geldende wet- en regelgeving en in lijn moet zijn met de grondrechten. De AP geeft
in haar advies mee aan welke aanvullende waarborgen bestuursorganen die zulke instrumenten
gebruiken moeten voldoen. In de kabinetsreactie op dit advies hebben wij benadrukt
dat het van belang is dat overheden deze waarborgen toepassen.3 Tevens hebben wij aangegeven hoe wij, in samenwerking met publieke dienstverleners,
de komende tijd werken aan verbetering en aanscherping hiervan. Het Netwerk van Publieke
Dienstverleners (NPD), met ondersteuning van het Ministerie van Binnenlandse Zaken
en Koninkrijksrelaties, voert dit jaar een analyse uit van casuïstiek om inzichtelijk
te maken hoe in de uitvoeringspraktijk geautomatiseerde risicoselectie zich verhoudt
tot artikel 22 AVG, aan welke waarborgen wordt voldaan, wat er mogelijk aanvullend
nodig is om risicoselectie verantwoord te blijven inzetten en de wijze waarop hierover
openheid en transparantie richting burgers en bedrijven wordt verschaft. Het NPD zal
ook de kennisdeling hierover tussen beleid en uitvoering organiseren. De Staatssecretaris
van Binnenlandse Zaken en Koninkrijksrelaties is hierbij nauw betrokken en zal uw
Kamer informeren voor het einde van 2025.

Daarnaast werken wij aan het vergroten van de transparantie over geautomatiseerde
risicoselectie, mede op verzoek van uw Kamer. Het uitgangspunt is dat alle impactvolle
algoritmen, waar geautomatiseerde risicoselectie-instrumenten onder vallen, worden
opgenomen in het Algoritmeregister. Naar aanleiding van de motie van het lid Six Dijkstra
zullen alle departementen voor de zomer 2025 een plan voor registratie van impactvolle
algoritmen in het Algoritmeregister naar uw Kamer sturen en de Staatssecretaris van
Binnenlandse Zaken en Koninkrijksrelaties zal eind van dit jaar rapporteren over de
voortgang.4 De motie-Van Nispen verzoekt de regering alle algoritmen die mogelijk gebruikmaken
van risicoprofilering en geautomatiseerde selectie-instrumenten in het Algoritmeregister
te publiceren.5 Naar aanleiding van de motie van de leden Kathmann en Six Dijkstra haalt de Staatssecretaris
van Binnenlandse Zaken en Koninkrijksrelaties momenteel input op bij de medeoverheden
en uitvoeringsorganisaties over de mogelijkheden om burgers altijd te informeren als
er een (deels) geautomatiseerde risicoselectie heeft plaatsgevonden en dit tot een
besluit heeft geleid.6 Dit zal de rechtsbescherming van burgers versterken.

Kortom, net als de auteur van het genoemde artikel, onderschrijft het kabinet het
belang van transparantie en rechtsbescherming bij de inzet van geautomatiseerde risicoselectie.
Het kabinet heeft in het regeerprogramma afgesproken meer werk te maken van transparantie
en betere rechtsbescherming bij de inzet van algoritmen. Specifiek voor geautomatiseerde
risicoselectie werken wij op verschillende manieren aan het versterken van een verantwoorde
inzet en het vergroten van transparantie hierover.

Vraag 2

Wat is uw reactie op de stelling uit het artikel dat de vijf voorwaarden uit het advies
van de Autoriteit Persoonsgegevens (AP) lastig te begrijpen vallen in het licht van
artikel 22 van de Algemene Verordening Gegevensbescherming (AVG), omdat deze vijf
voorwaarden niet bepalen of er sprake is van een uitsluitend op profilering gebaseerd
besluit?

Antwoord 2

Dat de vijf voorwaarden voor het gebruik van geautomatiseerde risicoselectie die de
AP noemt niet geheel in pas lopen met artikel 22 AVG is navolgbaar, aangezien de AP
deze voorwaarden formuleert voor situaties die niet onder het verbod van artikel 22
AVG vallen. De AP geeft in haar advies criteria om te kunnen beoordelen wanneer het
gebruik van een geautomatiseerd selectie-instrument binnen het toepassingsbereik valt
van artikel 22 AVG. Het gaat dan om situaties waarin sprake is van een uitsluitend
op geautomatiseerde verwerking, met inbegrip van profilering, gebaseerd besluit (dus
zonder menselijke tussenkomst) met rechtsgevolgen of anderszins aanmerkelijke gevolgen
voor betrokkene. De AP geeft tevens haar zienswijze over de voorwaarden die dan gelden.
Voor situaties waarin geautomatiseerde risicoselectie niet onder de reikwijdte van
artikel 22 AVG valt, noemt de AP eveneens voorwaarden die in acht genomen moeten worden
om de rechten, vrijheden en gerechtvaardigde belangen van betrokkenen te garanderen.
Dit zijn de vijf voorwaarden die in het advies worden genoemd: voorwaarden waaraan
geautomatiseerde risicoselectie bij uitvoering of toezicht volgens de AP moet voldoen.

Vraag 3

Hoe beoordeelt u de uitspraak van het Hof van Justitie van de Europese Unie (HvJEU)
dat artikel 22 van de AVG geautomatiseerde besluitvorming, waaronder profilering,
alleen toestaat wanneer dit is toegestaan op basis van nationale wetgeving? In uw
reactie op de vraag van het lid Ergin7 stelt u dat de AP de wet niet minder strikt interpreteert; toch blijkt uit het advies
van de AP dat er géén specifieke wettelijke grondslag vereist is, hetgeen in tegenspraak
lijkt met de uitleg van het HvJEU. Kunt u deze tegenstrijdigheid toelichten?

Antwoord 3

Zoals gezegd ziet artikel 22 AVG op een verbod op uitsluitend op geautomatiseerde
verwerking, met inbegrip van profilering, gebaseerde besluitvorming. Uitzonderingsmogelijkheden
hierop zijn neergelegd in artikel 22 lid 2 AVG. Zo geldt het verbod niet als uitsluitend
geautomatiseerde besluitvorming is toegestaan bij een lidstaatrechtelijke bepaling
die voorziet in passende maatregelen ter bescherming van de rechten en vrijheden en
gerechtvaardigde belangen van de betrokkene (artikel 22 lid 2 aanhef en onder b AVG).
De vraag van het lid Ergin betrof het SCHUFA-arrest. Het HvJEU oordeelde in het SCHUFA-arrest
dat niet alleen de uiteindelijke beslissing zelf, maar ook de voorbereidende handelingen
die daaraan vooraf gaan, onder omstandigheden kunnen worden aangemerkt als een uitsluitend
op geautomatiseerde verwerking gebaseerd besluit. Daarnaast benadrukt het oordeel
van het HvJEU het belang van betekenisvolle menselijke tussenkomst. Het HvJEU heeft
zich niet uitgesproken over nationale wetgeving die uitzonderingen op het verbod toestaat.

De Nederlandse wetgever heeft met artikel 40 UAVG voorzien in voornoemde lidstaatrechtelijke
uitzonderingsbepaling, maar alleen voor uitsluitend op geautomatiseerde verwerking
gebaseerde besluitvorming waarbij menselijke tussenkomst geen toegevoegde waarde heeft
en niet voor geautomatiseerde besluitvorming op grond van profilering. Uit het AP-advies
trekken wij de conclusie dat artikel 40 UAVG kan blijven gelden als uitzonderingsbepaling
op artikel 22 AVG, mits bij de toegepaste geautomatiseerde besluitvorming voldoende
waarborgen in acht worden genomen, waaronder die uit de Awb.

Het is voor een goed begrip van de geldende wet- en regelgeving van belang onderscheid
te maken tussen een uitsluitend op geautomatiseerde verwerking, met inbegrip van profilering,
gebaseerd besluit enerzijds, en geautomatiseerde risicoselectie, al dan niet door
middel van profilering, anderzijds. Profilering op zich valt niet onder het verbod
op uitsluitend geautomatiseerde besluitvorming zoals neergelegd in artikel 22 AVG.
Zoals hierboven toegelicht, heeft de AP nader toegelicht dat geautomatiseerde risicoselectie,
al dan niet door middel van profilering, niet onder de reikwijdte van het verbod valt
als deze alleen maar gebruikt wordt om te beoordelen of acties jegens een betrokkene
nodig zijn, zoals navraag doen of informatie verzamelen, en eventuele gevolgen voor
de betrokkene pas tot stand komen na handmatige behandeling (betekenisvolle menselijke
tussenkomst). De AP stelt dat in deze gevallen geen specifiek wettelijke grondslag
vereist is als bedoeld in artikel 22, tweede lid, aanhef en onder b, van de AVG. Een
tegenstrijdigheid met de rechtspraak van het HvJEU zien wij dan ook niet.

Vraag 4

Wat is uw reactie op de stelling in het artikel dat uit artikelen 7 en 8 van het Handvest,
artikel 8 van het Europees Verdrag voor de Rechten van de Mens (EVRM) en artikel 10
van de Grondwet volgt dat een inbreuk of beperking op het recht op respect voor het
privéleven alleen gerechtvaardigd kan worden op basis van wetgeving, in materiële
dan wel formele zin?

Antwoord 4

Wij onderschrijven de stelling van de auteur dat geautomatiseerde risicoselectie alleen
mag worden ingezet indien het recht op bescherming van de persoonlijke levenssfeer
wordt gerespecteerd. Al het overheidshandelen moet immers in lijn zijn met de grondrechten.
Inperkingen op het recht op de bescherming van de persoonlijke levenssfeer en de bescherming
van de persoonsgegevens door overheidsorganisaties zijn alleen onder strikte voorwaarden
mogelijk. Een inperking moet bij wet worden voorzien en voldoen aan de eisen van noodzakelijkheid,
proportionaliteit en subsidiariteit. Deze inperkingen mogen enkel plaatsvinden op
basis van een wet omdat de inbreuk voldoende voorspelbaar en voorzienbaar moet zijn
voor de betrokkenen. Een dergelijke wet moet duidelijk, voorzienbaar en voldoende
toegankelijk zijn. Dit vloeit voort uit de Grondwet, het Europees Verdrag voor de
Rechten van de Mens (EVRM) en het Europees Handvest, en wordt eveneens bevestigd in
de AVG en Richtlijn 2016/680. Voor overheidsorganisaties geldt (ook in het kader van
opsporing en vervolging van strafbare feiten) dat de verwerking van persoonsgegevens
noodzakelijk moet zijn voor het voldoen aan een wettelijke verplichting of voor het
uitoefenen van een taak van algemeen belang of voor het uitoefenen van openbaar gezag
(artikel 6 lid 1 onder c) en onder e) AVG). De wet waarin deze verplichting of taak
is vastgelegd bevat ook de rechtsgrondslag op basis waarvan persoonsgegevens mogen
worden verwerkt.

Vraag 5

Klopt het dat veel bestuursorganen momenteel gebruikmaken van algoritmische risicoprofilering,
terwijl hiervoor geen specifieke wettelijke basis bestaat, waardoor zij mogelijk in
strijd met de wet handelen?

Antwoord 5

Zoals wij in antwoord op vraag 1 en 3 hebben aangegeven, heeft de AP in haar advies
geconcludeerd dat artikel 22 van de AVG geen specifieke wetgeving vereist voor het
maken van geautomatiseerde risicoselecties, als deze alleen gebruikt worden om te
beoordelen of acties jegens de betrokkene nodig zijn, zoals navraag doen of informatie
verzamelen, en wanneer eventuele gevolgen voor de betrokkene van selectie pas intreden
na de betekenisvolle menselijke tussenkomst. Alleen wanneer de risicoselectie geautomatiseerd,
dus zonder menselijke tussenkomst, rechtsgevolgen of vergelijkbare aanmerkelijke effecten
zou hebben voor betrokkene, geldt het verbod van artikel 22 AVG en is een wettelijke
basis nodig om daarop een uitzondering te kunnen maken. Voor zover ons bekend is,
wordt geautomatiseerde risicoselectie in de praktijk alleen ingezet om te beoordelen
of acties jegens betrokkene nodig zijn, en treden eventuele (rechts)gevolgen voor
betrokkene van de risicoselectie pas in na de betekenisvolle menselijke tussenkomst.

Vraag 6

Hoe groot of betekenisvol moet volgens u de menselijke tussenkomst zijn om niet te
kwalificeren als «uitsluitend op profilering gebaseerde besluiten»?

Antwoord 6

Wat menselijke tussenkomst betekenisvol maakt is nog niet definitief bepaald. Volgens
de Werkgroep gegevensbescherming artikel 29 zijn hierbij onder andere van belang dat
de mens die tussenkomt bevoegd moet zijn (het voorgenomen) besluit te kunnen veranderen,
het hierbij niet gaat om een louter symbolische handeling en alle relevante gegevens
in de analyse door de mens die tussenkomt worden betrokken.8 De AP licht in haar advies toe dat betekenisvolle menselijke tussenkomst inhoudt
dat de behandelend ambtenaar weet hoe het geautomatiseerde proces (selectieregel/algoritme/technologie)
werkt en op welke wijze deze (de totstandkoming van) het uiteindelijke besluit vormt
en beïnvloedt. De ambtenaar moet in elk geval nagaan of de aanname waarop de (profilerende)
selectie voor handmatige controle is gebaseerd ook opgaat in het voorliggende concrete
geval. De AP heeft in maart handvatten opgesteld om te bepalen of menselijke tussenkomst
betekenisvol zou kunnen zijn en heeft organisaties, experts en belanghebbenden uitgenodigd
hierop te reageren.9 Een nieuwe versie van de handvatten wordt later dit jaar gepubliceerd.

Vraag 7

Erkent u dat, om dat te kunnen beoordelen, juist transparantie vereist is over het
besluitvormingstraject, inclusief de rol en invloed van risicoprofilering in individuele
besluitvormingsprocedures?

Antwoord 7

Ja. Zonder transparantie is het voor een burger niet mogelijk om vast te stellen of
en zo ja welke rol geautomatiseerde risicoselectie heeft gespeeld in de (voorbereiding
van) besluitvorming. De AP adviseert dat het gebruik van geautomatiseerde risicoselectie
voldoende kenbaar moet zijn voor betrokkene, indien de geautomatiseerde risicoselectie
aanleiding was voor een bestuursorgaan om af te wegen of een bepaald Awb-besluit moest
worden genomen of dit aanleiding gaf tot een bepaalde wijze van behandeling van een
aanvraag. Daarom werkt het kabinet, mede op verzoek van uw Kamer, aan meer transparantie
hierover, zie het antwoord op vraag 1. Meer algemeen wordt in dit kader uw Kamer nog
geïnformeerd over de internetconsultatie over algoritmische besluitvorming en de Awb.

Vraag 8

Klopt het dat u, mede op basis van het advies van de AP, het verzoek van de Kamer
om alle rijksbrede profileringsalgoritmen te publiceren niet uitvoert? Hoe verhoudt
dit besluit zich tot de toezegging die is gedaan om met een lijst te komen met potentieel
onrechtmatige algoritmes?10

Antwoord 8

Het verzoek om tot een lijst te komen van alle algoritmen die mogelijk onrechtmatig
zijn, is gedaan naar aanleiding van het advies van de Landsadvocaat over het gebruik
van geautomatiseerde selectie-instrumenten.11 In de kabinetsreactie op het AP-advies hebben wij toegelicht dat de inzichten uit
het AP-advies dit verzoek in een ander daglicht stelt en een rijksbrede inventarisatie
niet langer aan de orde lijkt, omdat risicoselectie-instrumenten, indien wordt voldaan
aan de door de AP genoemde voorwaarden, niet onder het verbod van artikel 22 AVG vallen.
Het kabinet onderschrijft het belang van transparantie over geautomatiseerde risicoselectie
en zet zich hiervoor in, zie het antwoord op vraag 1.

Vraag 9

Deelt u de opvatting dat het in de praktijk vrijwel onmogelijk is om vast te stellen
of er sprake is van een uitsluitend op profilering gebaseerd besluit in de zin van
artikel 22 van de AVG als duidelijke documentatie en transparantie ontbreekt over
de rol en invloed van risicoprofilering in individuele besluitvormingsprocedures?
Zo nee, waarom niet?

Antwoord 9

Ja, zie het antwoord op 7.

Vraag 10

Bent u bereid alsnog uitvoering te geven aan het verzoek van de Kamer strekkende tot
de publicatie van alle rijksbrede profileringsalgoritmen?

Antwoord 10

Nee, zie het antwoord op vraag 8.