a. (…)
i. de bescherming van de betrokkene of van de rechten en vrijheden van anderen; (…)
3.4
De Groep Gegevensbescherming Artikel 29 (thans: het Europees comité voor gegevensbescherming, in het Engels afgekort als: EDPB) heeft in 2017 richtsnoeren vastgesteld inzake geautomatiseerde individuele besluitvorming en profilering voor de toepassing van Verordening (EU) 2016/679. Hoofdstuk IV, paragraaf A, van deze richtsnoeren, zoals vastgesteld op 3 oktober 2017 en laatstelijk gewijzigd en vastgesteld op 6 februari 2018, WP251rev.01 (hierna: de EDPB 2017 richtsnoeren) luidt, voor zover hier van belang, als volgt:
A. “Uitsluitend op geautomatiseerde verwerking gebaseerd besluit”
Artikel 22, lid 1 betreft besluiten die “uitsluitend” gebaseerd zijn op geautomatiseerde verwerking. Dit betekent dat er geen sprake is van menselijke tussenkomst in het besluitvormingsproces.
Voorbeeld
Een geautomatiseerd proces produceert iets wat in feite een aanbeveling betreffende een betrokkene is. Als een mens het proces beoordeelt en bij het nemen van het definitieve besluit rekening houdt met andere factoren, zou dat besluit niet “uitsluitend op geautomatiseerde verwerking” zijn.
De verwerkingsverantwoordelijke kan de bepalingen van artikel 22 niet omzeilen door menselijke tussenkomst voor te wenden. Als iemand bijvoorbeeld routinematig automatisch gegeneerde profielen toepast op personen zonder het resultaat daadwerkelijk te beïnvloeden, is dit nog steeds een uitsluitend op geautomatiseerde verwerking gebaseerd besluit.
Om daadwerkelijke menselijke tussenkomst te realiseren moet de verwerkingsverantwoordelijke ervoor zorgen dat al het toezicht op de besluitvorming zinvol is, en niet slechts een symbolische handeling vormt. Deze tussenkomst moet worden uitgevoerd door iemand die bevoegd en bekwaam is om het besluit te veranderen. Hij moet alle relevante gegevens in zijn analyse betrekken.
In het kader van zijn gegevensbeschermingseffectbeoordeling moet de verwerkingsverantwoordelijke de mate van menselijke tussenkomst in het besluitvormingsproces en de fase waarin deze plaatsvond vaststellen en registreren.
Hoofdstuk IV, paragraaf B, van de EDPB richtsnoeren luidt, voor zover hier van belang, als volgt:
B. Besluit met "rechtsgevolgen" of dat de betrokkene "anderszins in aanmerkelijke mate treft"
In de AVG wordt erkend dat geautomatiseerde besluitvorming, waaronder profilering, ernstige gevolgen kan hebben voor personen. De AVG bevat geen definitie van een besluit met "rechtsgevolgen" of van een besluit dat de betrokkene "anderszins in aanmerkelijke mate treft", maar uit de formulering blijkt duidelijk dat in artikel 22 alleen ernstige, aanzienlijke effecten worden bedoeld.
"Besluit waaraan rechtsgevolgen zijn verbonden"
Een rechtsgevolg houdt in dat het besluit, dat uitsluitend op automatische verwerking is gebaseerd, van invloed is op iemands wettelijke rechten, zoals de vrijheid van vereniging, het stemrecht en het recht om rechtsmiddelen in te stellen. Een rechtsgevolg kan ook iets zijn wat iemands juridische status of zijn rechten uit hoofde van een overeenkomst beïnvloedt. Voorbeelden van een dergelijk gevolg zijn geautomatiseerde besluiten over een persoon die leiden tot:
• beëindiging van een overeenkomst;
• het recht op of de weigering van een bepaalde wettelijk toegekende sociale uitkering, zoals kinderbijslag of huurtoeslag;
• weigering van toelating tot een land of van toekenning van een nationaliteit.
"Hem anderszins in aanmerkelijke mate treft"
Zelfs wanneer een besluitvormingsproces geen gevolgen heeft voor iemands wettelijke rechten, kan het toch onder het toepassingsgebied van artikel 22 vallen als er een gevolg aan verbonden is dat hem anderszins in aanmerkelijke mate treft.
Met andere woorden, zelfs wanneer er niets verandert aan zijn wettelijke rechten of plichten, kan de betrokkene toch in zodanige mate worden getroffen dat de bescherming ingevolge deze bepaling vereist is. In de AVG is het woord "anderszins" toegevoegd (niet aanwezig in artikel 15 van Richtlijn 95/46/EG) aan de formulering "hem in aanmerkelijke mate treft". De drempel voor aanmerkelijke mate moet dus vergelijkbaar zijn met de mate waarin de betrokkene wordt getroffen bij een besluit waaraan een rechtsgevolg verbonden is.
In overweging 71 worden de volgende typische voorbeelden genoemd: "automatische weigering van een online ingediende kredietaanvraag" of "verwerking van sollicitaties via internet zonder menselijke tussenkomst".
Gegevensverwerking treft iemand in aanmerkelijke mate wanneer de effecten van de verwerking groot of belangrijk genoeg zijn om aandacht te verdienen. Met andere woorden, het besluit moet het potentieel hebben om:
• de omstandigheden, het gedrag of de keuzen van de betrokken personen in aanmerkelijke mate te treffen;
• een langdurig of blijvend effect op de betrokkene te hebben; of