Preview document (🔗 origineel)

---

Tweede Kamer der Staten-Generaal	2
Vergaderjaar 2024-2025	Aanhangsel van de Handelingen
	Vragen gesteld door de leden der Kamer, met de daarop door de regering gegeven antwoorden

2593

Vragen van het lid Van Nispen (SP) aan de Minister en Staatssecretaris van Binnenlandse Zaken en Koninkrijksrelaties en de Staatssecretaris van Justitie en veiligheid over het bericht dat bestuursorganen risicoprofilering mogen toepassen zonder specifieke wetgeving (ingezonden 24 april 2025).

Antwoord van Staatssecretaris Van Marum (Binnenlandse Zaken en Koninkrijksrelaties) en van Staatssecretaris Struycken (Justitie en Veiligheid) (ontvangen 1 juli 2025). Zie ook Aanhangsel Handelingen, vergaderjaar 2024–2025, nr. 2281

Vraag 1

Wat is uw reactie op het artikel «Rechtsbescherming tegen risicoprofilering op basis van de AVG, het EVRM en het Handvest»?¹

Antwoord 1

Wij hebben kennis genomen van het artikel. De auteur, Fatma Çapkurt, bespreekt in dit artikel het advies van de Autoriteit Persoonsgegevens (AP) over geautomatiseerde besluitvorming en geautomatiseerde risicoselectie in relatie tot artikel 22 van de Algemene verordening gegevensbescherming (AVG).² Artikel 22, eerste lid, AVG verbiedt het nemen van een uitsluitend op geautomatiseerde verwerking, met inbegrip van profilering, gebaseerd besluit, wanneer dit voor de betrokkene rechtsgevolgen heeft of dit betrokkene anderszins in aanmerkelijke mate treft. De auteur van het artikel stelt, ten eerste, dat de waarborgen die de AP noemt voor de inzet van geautomatiseerde risicoselectie lastig te begrijpen zijn in het licht van artikel 22 AVG, en, ten tweede, dat de AP geen oog heeft voor het recht op respect op het privéleven.

De normen rondom de inzet van geautomatiseerde risicoselectie zijn nog niet uitgekristalliseerd. Geautomatiseerde risicoselectie kent een breed toepassingsgebied, van dienstverlening tot de detectie van fouten en fraude. De inzet van (deels) geautomatiseerde risicoselectie ondersteunt overheidsorganisaties bij het in beeld krijgen van dossiers of situaties die aandacht moeten krijgen. In 2024 verzocht de toenmalige Staatssecretaris Fiscaliteit en Belastingdienst de AP om nadere duiding te geven over de reikwijdte van artikel 22 AVG in relatie tot het gebruik van geautomatiseerde selectie-instrumenten door de Belastingdienst, de Dienst Toeslagen en de Douane. In haar advies van 10 oktober 2024, heeft de AP aanvullende waarborgen geformuleerd bij het toepassen van geautomatiseerde risicoselectie. De AP stelt in het advies dat het zonder een specifieke wettelijke grondslag is toegestaan om geautomatiseerde risicoselecties te maken, als deze alleen maar gebruikt worden om te beoordelen of acties jegens betrokkene nodig zijn, zoals navraag doen of informatie verzamelen, en eventuele gevolgen voor betrokkene pas tot stand komen na handmatige behandeling (betekenisvolle menselijke tussenkomst), mits aan een aantal voorwaarden wordt voldaan. In deze situatie valt de geautomatiseerde risicoselectie dus buiten de reikwijdte van het verbod van artikel 22 AVG.

Dat neemt niet weg dat de inzet van geautomatiseerde risicoselectie moet voldoen aan geldende wet- en regelgeving en in lijn moet zijn met de grondrechten. De AP geeft in haar advies mee aan welke aanvullende waarborgen bestuursorganen die zulke instrumenten gebruiken moeten voldoen. In de kabinetsreactie op dit advies hebben wij benadrukt dat het van belang is dat overheden deze waarborgen toepassen.³ Tevens hebben wij aangegeven hoe wij, in samenwerking met publieke dienstverleners, de komende tijd werken aan verbetering en aanscherping hiervan. Het Netwerk van Publieke Dienstverleners (NPD), met ondersteuning van het Ministerie van Binnenlandse Zaken en Koninkrijksrelaties, voert dit jaar een analyse uit van casuïstiek om inzichtelijk te maken hoe in de uitvoeringspraktijk geautomatiseerde risicoselectie zich verhoudt tot artikel 22 AVG, aan welke waarborgen wordt voldaan, wat er mogelijk aanvullend nodig is om risicoselectie verantwoord te blijven inzetten en de wijze waarop hierover openheid en transparantie richting burgers en bedrijven wordt verschaft. Het NPD zal ook de kennisdeling hierover tussen beleid en uitvoering organiseren. De Staatssecretaris van Binnenlandse Zaken en Koninkrijksrelaties is hierbij nauw betrokken en zal uw Kamer informeren voor het einde van 2025.

Daarnaast werken wij aan het vergroten van de transparantie over geautomatiseerde risicoselectie, mede op verzoek van uw Kamer. Het uitgangspunt is dat alle impactvolle algoritmen, waar geautomatiseerde risicoselectie-instrumenten onder vallen, worden opgenomen in het Algoritmeregister. Naar aanleiding van de motie van het lid Six Dijkstra zullen alle departementen voor de zomer 2025 een plan voor registratie van impactvolle algoritmen in het Algoritmeregister naar uw Kamer sturen en de Staatssecretaris van Binnenlandse Zaken en Koninkrijksrelaties zal eind van dit jaar rapporteren over de voortgang.⁴ De motie-Van Nispen verzoekt de regering alle algoritmen die mogelijk gebruikmaken van risicoprofilering en geautomatiseerde selectie-instrumenten in het Algoritmeregister te publiceren.⁵ Naar aanleiding van de motie van de leden Kathmann en Six Dijkstra haalt de Staatssecretaris van Binnenlandse Zaken en Koninkrijksrelaties momenteel input op bij de medeoverheden en uitvoeringsorganisaties over de mogelijkheden om burgers altijd te informeren als er een (deels) geautomatiseerde risicoselectie heeft plaatsgevonden en dit tot een besluit heeft geleid.⁶ Dit zal de rechtsbescherming van burgers versterken.

Kortom, net als de auteur van het genoemde artikel, onderschrijft het kabinet het belang van transparantie en rechtsbescherming bij de inzet van geautomatiseerde risicoselectie. Het kabinet heeft in het regeerprogramma afgesproken meer werk te maken van transparantie en betere rechtsbescherming bij de inzet van algoritmen. Specifiek voor geautomatiseerde risicoselectie werken wij op verschillende manieren aan het versterken van een verantwoorde inzet en het vergroten van transparantie hierover.

Vraag 2

Wat is uw reactie op de stelling uit het artikel dat de vijf voorwaarden uit het advies van de Autoriteit Persoonsgegevens (AP) lastig te begrijpen vallen in het licht van artikel 22 van de Algemene Verordening Gegevensbescherming (AVG), omdat deze vijf voorwaarden niet bepalen of er sprake is van een uitsluitend op profilering gebaseerd besluit?

Antwoord 2

Dat de vijf voorwaarden voor het gebruik van geautomatiseerde risicoselectie die de AP noemt niet geheel in pas lopen met artikel 22 AVG is navolgbaar, aangezien de AP deze voorwaarden formuleert voor situaties die niet onder het verbod van artikel 22 AVG vallen. De AP geeft in haar advies criteria om te kunnen beoordelen wanneer het gebruik van een geautomatiseerd selectie-instrument binnen het toepassingsbereik valt van artikel 22 AVG. Het gaat dan om situaties waarin sprake is van een uitsluitend op geautomatiseerde verwerking, met inbegrip van profilering, gebaseerd besluit (dus zonder menselijke tussenkomst) met rechtsgevolgen of anderszins aanmerkelijke gevolgen voor betrokkene. De AP geeft tevens haar zienswijze over de voorwaarden die dan gelden. Voor situaties waarin geautomatiseerde risicoselectie niet onder de reikwijdte van artikel 22 AVG valt, noemt de AP eveneens voorwaarden die in acht genomen moeten worden om de rechten, vrijheden en gerechtvaardigde belangen van betrokkenen te garanderen. Dit zijn de vijf voorwaarden die in het advies worden genoemd: voorwaarden waaraan geautomatiseerde risicoselectie bij uitvoering of toezicht volgens de AP moet voldoen.

Vraag 3

Hoe beoordeelt u de uitspraak van het Hof van Justitie van de Europese Unie (HvJEU) dat artikel 22 van de AVG geautomatiseerde besluitvorming, waaronder profilering, alleen toestaat wanneer dit is toegestaan op basis van nationale wetgeving? In uw reactie op de vraag van het lid Ergin⁷ stelt u dat de AP de wet niet minder strikt interpreteert; toch blijkt uit het advies van de AP dat er géén specifieke wettelijke grondslag vereist is, hetgeen in tegenspraak lijkt met de uitleg van het HvJEU. Kunt u deze tegenstrijdigheid toelichten?

Antwoord 3

Zoals gezegd ziet artikel 22 AVG op een verbod op uitsluitend op geautomatiseerde verwerking, met inbegrip van profilering, gebaseerde besluitvorming. Uitzonderingsmogelijkheden hierop zijn neergelegd in artikel 22 lid 2 AVG. Zo geldt het verbod niet als uitsluitend geautomatiseerde besluitvorming is toegestaan bij een lidstaatrechtelijke bepaling die voorziet in passende maatregelen ter bescherming van de rechten en vrijheden en gerechtvaardigde belangen van de betrokkene (artikel 22 lid 2 aanhef en onder b AVG). De vraag van het lid Ergin betrof het SCHUFA-arrest. Het HvJEU oordeelde in het SCHUFA-arrest dat niet alleen de uiteindelijke beslissing zelf, maar ook de voorbereidende handelingen die daaraan vooraf gaan, onder omstandigheden kunnen worden aangemerkt als een uitsluitend op geautomatiseerde verwerking gebaseerd besluit. Daarnaast benadrukt het oordeel van het HvJEU het belang van betekenisvolle menselijke tussenkomst. Het HvJEU heeft zich niet uitgesproken over nationale wetgeving die uitzonderingen op het verbod toestaat.

De Nederlandse wetgever heeft met artikel 40 UAVG voorzien in voornoemde lidstaatrechtelijke uitzonderingsbepaling, maar alleen voor uitsluitend op geautomatiseerde verwerking gebaseerde besluitvorming waarbij menselijke tussenkomst geen toegevoegde waarde heeft en niet voor geautomatiseerde besluitvorming op grond van profilering. Uit het AP-advies trekken wij de conclusie dat artikel 40 UAVG kan blijven gelden als uitzonderingsbepaling op artikel 22 AVG, mits bij de toegepaste geautomatiseerde besluitvorming voldoende waarborgen in acht worden genomen, waaronder die uit de Awb.

Het is voor een goed begrip van de geldende wet- en regelgeving van belang onderscheid te maken tussen een uitsluitend op geautomatiseerde verwerking, met inbegrip van profilering, gebaseerd besluit enerzijds, en geautomatiseerde risicoselectie, al dan niet door middel van profilering, anderzijds. Profilering op zich valt niet onder het verbod op uitsluitend geautomatiseerde besluitvorming zoals neergelegd in artikel 22 AVG. Zoals hierboven toegelicht, heeft de AP nader toegelicht dat geautomatiseerde risicoselectie, al dan niet door middel van profilering, niet onder de reikwijdte van het verbod valt als deze alleen maar gebruikt wordt om te beoordelen of acties jegens een betrokkene nodig zijn, zoals navraag doen of informatie verzamelen, en eventuele gevolgen voor de betrokkene pas tot stand komen na handmatige behandeling (betekenisvolle menselijke tussenkomst). De AP stelt dat in deze gevallen geen specifiek wettelijke grondslag vereist is als bedoeld in artikel 22, tweede lid, aanhef en onder b, van de AVG. Een tegenstrijdigheid met de rechtspraak van het HvJEU zien wij dan ook niet.

Vraag 4

Wat is uw reactie op de stelling in het artikel dat uit artikelen 7 en 8 van het Handvest, artikel 8 van het Europees Verdrag voor de Rechten van de Mens (EVRM) en artikel 10 van de Grondwet volgt dat een inbreuk of beperking op het recht op respect voor het privéleven alleen gerechtvaardigd kan worden op basis van wetgeving, in materiële dan wel formele zin?

Antwoord 4

Wij onderschrijven de stelling van de auteur dat geautomatiseerde risicoselectie alleen mag worden ingezet indien het recht op bescherming van de persoonlijke levenssfeer wordt gerespecteerd. Al het overheidshandelen moet immers in lijn zijn met de grondrechten. Inperkingen op het recht op de bescherming van de persoonlijke levenssfeer en de bescherming van de persoonsgegevens door overheidsorganisaties zijn alleen onder strikte voorwaarden mogelijk. Een inperking moet bij wet worden voorzien en voldoen aan de eisen van noodzakelijkheid, proportionaliteit en subsidiariteit. Deze inperkingen mogen enkel plaatsvinden op basis van een wet omdat de inbreuk voldoende voorspelbaar en voorzienbaar moet zijn voor de betrokkenen. Een dergelijke wet moet duidelijk, voorzienbaar en voldoende toegankelijk zijn. Dit vloeit voort uit de Grondwet, het Europees Verdrag voor de Rechten van de Mens (EVRM) en het Europees Handvest, en wordt eveneens bevestigd in de AVG en Richtlijn 2016/680. Voor overheidsorganisaties geldt (ook in het kader van opsporing en vervolging van strafbare feiten) dat de verwerking van persoonsgegevens noodzakelijk moet zijn voor het voldoen aan een wettelijke verplichting of voor het uitoefenen van een taak van algemeen belang of voor het uitoefenen van openbaar gezag (artikel 6 lid 1 onder c) en onder e) AVG). De wet waarin deze verplichting of taak is vastgelegd bevat ook de rechtsgrondslag op basis waarvan persoonsgegevens mogen worden verwerkt.

Vraag 5

Klopt het dat veel bestuursorganen momenteel gebruikmaken van algoritmische risicoprofilering, terwijl hiervoor geen specifieke wettelijke basis bestaat, waardoor zij mogelijk in strijd met de wet handelen?

Antwoord 5

Zoals wij in antwoord op vraag 1 en 3 hebben aangegeven, heeft de AP in haar advies geconcludeerd dat artikel 22 van de AVG geen specifieke wetgeving vereist voor het maken van geautomatiseerde risicoselecties, als deze alleen gebruikt worden om te beoordelen of acties jegens de betrokkene nodig zijn, zoals navraag doen of informatie verzamelen, en wanneer eventuele gevolgen voor de betrokkene van selectie pas intreden na de betekenisvolle menselijke tussenkomst. Alleen wanneer de risicoselectie geautomatiseerd, dus zonder menselijke tussenkomst, rechtsgevolgen of vergelijkbare aanmerkelijke effecten zou hebben voor betrokkene, geldt het verbod van artikel 22 AVG en is een wettelijke basis nodig om daarop een uitzondering te kunnen maken. Voor zover ons bekend is, wordt geautomatiseerde risicoselectie in de praktijk alleen ingezet om te beoordelen of acties jegens betrokkene nodig zijn, en treden eventuele (rechts)gevolgen voor betrokkene van de risicoselectie pas in na de betekenisvolle menselijke tussenkomst.

Vraag 6

Hoe groot of betekenisvol moet volgens u de menselijke tussenkomst zijn om niet te kwalificeren als «uitsluitend op profilering gebaseerde besluiten»?

Antwoord 6

Wat menselijke tussenkomst betekenisvol maakt is nog niet definitief bepaald. Volgens de Werkgroep gegevensbescherming artikel 29 zijn hierbij onder andere van belang dat de mens die tussenkomt bevoegd moet zijn (het voorgenomen) besluit te kunnen veranderen, het hierbij niet gaat om een louter symbolische handeling en alle relevante gegevens in de analyse door de mens die tussenkomt worden betrokken.⁸ De AP licht in haar advies toe dat betekenisvolle menselijke tussenkomst inhoudt dat de behandelend ambtenaar weet hoe het geautomatiseerde proces (selectieregel/algoritme/technologie) werkt en op welke wijze deze (de totstandkoming van) het uiteindelijke besluit vormt en beïnvloedt. De ambtenaar moet in elk geval nagaan of de aanname waarop de (profilerende) selectie voor handmatige controle is gebaseerd ook opgaat in het voorliggende concrete geval. De AP heeft in maart handvatten opgesteld om te bepalen of menselijke tussenkomst betekenisvol zou kunnen zijn en heeft organisaties, experts en belanghebbenden uitgenodigd hierop te reageren.⁹ Een nieuwe versie van de handvatten wordt later dit jaar gepubliceerd.

Vraag 7

Erkent u dat, om dat te kunnen beoordelen, juist transparantie vereist is over het besluitvormingstraject, inclusief de rol en invloed van risicoprofilering in individuele besluitvormingsprocedures?

Antwoord 7

Ja. Zonder transparantie is het voor een burger niet mogelijk om vast te stellen of en zo ja welke rol geautomatiseerde risicoselectie heeft gespeeld in de (voorbereiding van) besluitvorming. De AP adviseert dat het gebruik van geautomatiseerde risicoselectie voldoende kenbaar moet zijn voor betrokkene, indien de geautomatiseerde risicoselectie aanleiding was voor een bestuursorgaan om af te wegen of een bepaald Awb-besluit moest worden genomen of dit aanleiding gaf tot een bepaalde wijze van behandeling van een aanvraag. Daarom werkt het kabinet, mede op verzoek van uw Kamer, aan meer transparantie hierover, zie het antwoord op vraag 1. Meer algemeen wordt in dit kader uw Kamer nog geïnformeerd over de internetconsultatie over algoritmische besluitvorming en de Awb.

Vraag 8

Klopt het dat u, mede op basis van het advies van de AP, het verzoek van de Kamer om alle rijksbrede profileringsalgoritmen te publiceren niet uitvoert? Hoe verhoudt dit besluit zich tot de toezegging die is gedaan om met een lijst te komen met potentieel onrechtmatige algoritmes?¹⁰

Antwoord 8

Het verzoek om tot een lijst te komen van alle algoritmen die mogelijk onrechtmatig zijn, is gedaan naar aanleiding van het advies van de Landsadvocaat over het gebruik van geautomatiseerde selectie-instrumenten.¹¹ In de kabinetsreactie op het AP-advies hebben wij toegelicht dat de inzichten uit het AP-advies dit verzoek in een ander daglicht stelt en een rijksbrede inventarisatie niet langer aan de orde lijkt, omdat risicoselectie-instrumenten, indien wordt voldaan aan de door de AP genoemde voorwaarden, niet onder het verbod van artikel 22 AVG vallen. Het kabinet onderschrijft het belang van transparantie over geautomatiseerde risicoselectie en zet zich hiervoor in, zie het antwoord op vraag 1.

Vraag 9

Deelt u de opvatting dat het in de praktijk vrijwel onmogelijk is om vast te stellen of er sprake is van een uitsluitend op profilering gebaseerd besluit in de zin van artikel 22 van de AVG als duidelijke documentatie en transparantie ontbreekt over de rol en invloed van risicoprofilering in individuele besluitvormingsprocedures? Zo nee, waarom niet?

Antwoord 9

Ja, zie het antwoord op 7.

Vraag 10

Bent u bereid alsnog uitvoering te geven aan het verzoek van de Kamer strekkende tot de publicatie van alle rijksbrede profileringsalgoritmen?

Antwoord 10

Nee, zie het antwoord op vraag 8.

---

1. Nederlands Juristenblad, 18 april 2025, «Rechtsbescherming tegen risicoprofilering op basis van de AVG, het EVRM en het Handvest» (njb.nl/magazines/njb-14–2025/).↩︎

2. Autoriteit Persoonsgegevens, Advies artikel 22 AVG en geautomatiseerde selectie-instrumenten, 10 oktober 2024.↩︎

3. Kamerstukken II, vergaderjaar 2023–2024, 32 761 nr. 310.↩︎

4. Kamerstukken II, vergaderjaar 2024–2025, 26 643, nr. 1286.↩︎

5. Kamerstukken II, vergaderjaar 2024–2025, 32 761, nr. 322.↩︎

6. Kamerstukken II, vergaderjaar 2024–2025, 26 643, nr. 1287.↩︎

7. Kamerstuk 32 761, nr. 314.↩︎

8. Groep gegevensbescherming artikel 29, Richtsnoeren inzake geautomatiseerde individuele besluitvorming en profilering voor de toepassing van Verordening (EU) 2016/679,wp251rev.01, p. 24–25.↩︎

9. https://autoriteitpersoonsgegevens.nl/actueel/consultatie-betekenisvolle-menselijke-tussenkomst-bij-algoritmische-besluitvorming↩︎

10. Handelingen II, vergaderjaar 2023–2024, nr. 53, item 31.↩︎

11. Bijlage bij Kamerstukken II, 32 761, nr. 294.↩︎