In artikel 4 onderdeel 4 AVG is profilering gedefinieerd als iedere vorm van geautomatiseerde verwerking van persoonsgegevens waarbij aan de hand van persoonsgegevens bepaalde persoonlijke aspecten van een persoon worden geëvalueerd, met name met de bedoeling zijn beroepsprestaties, economische situatie, gezondheid, persoonlijke voorkeuren, interesses, betrouwbaarheid, gedrag, locatie of verplaatsingen te analyseren of te voorspellen.
4.36.
Een betrokkene moet worden geïnformeerd over het bestaan van profilering en de gevolgen daarvan (overweging 60 van de AVG). Artikel 15 AVG geeft de betrokkene het recht informatie te verkrijgen over eventuele persoonsgegevens die voor profilering worden gebruikt, waaronder de categorieën van gegevens die zijn gebruikt om een profiel op te stellen. De verwerkingsverantwoordelijke heeft, ingevolge artikel 15 lid 3 AVG, de plicht de gegevens ter beschikking te stellen die als invoer voor het aanmaken van het profiel zijn gebruikt. Daarnaast moet hij toegang verschaffen tot informatie over het profiel en gegevens over de segmenten waarin de betrokkene is ingedeeld. Dit recht mag geen afbreuk doen aan de rechten en vrijheden van anderen (artikel 15 lid 4 AVG). Daaronder worden begrepen het zakengeheim of de intellectuele eigendom en met name het auteursrecht dat de onderliggende software beschermt (overweging 63 AVG).
Geautomatiseerde besluitvorming
4.37.
Op grond van artikel 22 AVG hebben [verzoekers] het recht, behoudens een aantal uitzonderingen, om niet te worden onderworpen aan een uitsluitend op geautomatiseerde verwerking of profilering gebaseerd besluit, waaraan voor hen rechtsgevolgen zijn verbonden of dat hen anderszins in aanmerkelijke mate treft. Van een uitsluitend op geautomatiseerde verwerking gebaseerd besluit is sprake indien er geen betekenisvolle menselijke tussenkomst is in het besluitvormingsproces.
4.38.
In de Richtsnoeren is vermeld dat de drempel voor “aanmerkelijke mate” vergelijkbaar moet zijn met de mate waarin de betrokkene wordt getroffen bij een besluit waaraan een rechtsgevolg is verbonden. Gegevensverwerking treft iemand volgens de Richtsnoeren in aanmerkelijke mate wanneer de effecten van de verwerking groot of belangrijk genoeg zijn om aandacht te verdienen. Het besluit moet het potentieel hebben om de omstandigheden, het gedrag of de keuzen van de betrokken personen in aanmerkelijke mate te treffen; een langdurig of blijvend effect op de betrokkene te hebben; of in het uiterste geval, tot uitsluiting of discriminatie van personen te leiden. In overweging 71 AVG worden als voorbeelden van geautomatiseerde besluitvorming genoemd: automatische weigering van een online ingediende kredietaanvraag of verwerking van sollicitaties via internet zonder menselijke tussenkomst.
4.39.
Geautomatiseerde besluitvorming is onder meer toegestaan als het betreffende besluit noodzakelijk is voor de totstandkoming of de uitvoering van een overeenkomst tussen de betrokkene en een verwerkingsverantwoordelijke of berust op de uitdrukkelijke toestemming van de betrokkene (artikel 22 lid 2 aanhef en onder a en c AVG). In dat geval moet de verwerkingsverantwoordelijke nog wel passende maatregelen treffen, waaronder ten minste het recht op menselijke tussenkomst, het recht voor betrokkene om zijn standpunt kenbaar te maken en het recht om het besluit aan te vechten (artikel 22 lid 3 AVG en overweging 71 AVG).
4.40.
Bij geautomatiseerde besluitvorming in het kader van een overeenkomst of op basis van toestemming gaat het om transparantie over de mate waarin geautomatiseerde besluitvorming een rol speelt bij de uitvoering van de overeenkomst. De betrokkene moet zich bij het aangaan van de overeenkomst bewust zijn van het eventuele gebruik van geautomatiseerde besluitvorming en profilering.
4.41.
Artikel 15 lid 1 aanhef en onder h AVG verplicht de verwerkingsverantwoordelijke ‘nuttige informatie over de onderliggende logica, alsmede het belang en de verwachte gevolgen van de verwerking’ te verstrekken. Deze begrippen zijn niet gedefinieerd in de AVG. In de Richtsnoeren is opgenomen dat het er om gaat dat de betrokkene kan begrijpen wat de achterliggende gedachte is van het besluit of op grond van welke criteria dat besluit genomen is. De begrippen ‘belang’ en ‘verwachte gevolgen’ duiden erop dat informatie moet worden verstrekt over de beoogde of toekomstige verwerking en over de wijze waarop de geautomatiseerde besluitvorming de betrokkene zou kunnen treffen. Met inachtneming van de toelichting in de Richtsnoeren verstaat de rechtbank onder ‘nuttige informatie over de onderliggende logica’ dat de belangrijkste beoordelingscriteria en de rol hiervan op het geautomatiseerde besluit aan de betrokkene wordt medegedeeld, zodat hij kan begrijpen op grond van welke criteria dat besluit is genomen en in staat is de juistheid en rechtmatigheid van de gegevensverwerking te controleren.
4.42.
Met toepassing van de hiervoor genoemde uitgangspunten beoordeelt de rechtbank het verzoek van [verzoekers] als volgt.
4.43.
Tussen partijen is (terecht) niet in geschil dat Ola gerechtigd is om gebruik te maken van geautomatiseerde besluitvorming en profilering voor zover dit noodzakelijk is voor de uitvoering van de overeenkomst tussen Ola en [verzoekers] Verder is niet in geschil dat Ola gebruik maakt van persoonsgegevens om geautomatiseerde beslissingen te nemen. In het document ‘How we process your data’ heeft Ola toegelicht bij welke beslissingen zij gebruik maakt van geautomatiseerde besluitvorming en profilering en welke (persoons)gegevens zij daarbij gebruikt. [verzoekers] stellen dat de door Ola verstrekte informatie onvolledig is. Volgens [verzoekers] ontbreekt informatie over geautomatiseerde besluitvorming en profilering die Ola toepast bij de hierna genoemde processen.
Fraud probability score
4.44.
[verzoekers] stellen zich op het standpunt dat de ‘fraud probality score’ een vorm van profilering is in de zin van artikel 4 onderdeel 4 AVG. Ola voert aan dat de ‘fraud probability score’ een intern gegeven is dat wordt gebruikt voor de handhaving van regels en afspraken, waarin Ola geen inzage hoeft te geven. De score betreft een inschatting van de kans dat een betrokkene frauduleus zal handelen. Volgens Ola valt informatie over de score buiten de reikwijdte van het inzagerecht overeenkomstig de redenering van het IND-arrest. Voor zover de verzochte informatie wel onder het inzagerecht valt, doet Ola een beroep op de uitzondering van artikel 15 lid 4 AVG en artikel 41 lid 1 sub i UAVG ter bescherming van (de integriteit van) haar diensten en haar handhavingsbeleid.
Bij toepassing van de ‘fraud probability score’ is sprake van profilering in de zin van artikel 4 onderdeel 4 AVG. Door geautomatiseerde verwerking van persoonsgegevens van [verzoekers] wordt immers een risicoprofiel opgesteld waarmee een voorspelling wordt gedaan over hun gedrag en betrouwbaarheid. [verzoekers] hebben evenwel niet gesteld en evenmin is gebleken dat op basis van dit risicoprofiel ten aanzien van hen geautomatiseerde beslissingen zijn genomen. De rechtbank gaat er daarom vanuit dat geen sprake is van geautomatiseerde besluitvorming in de zin van artikel 22 AVG. Dat neemt niet weg dat Ola inzage moet verstrekken in de persoonsgegevens van [verzoekers] die zij heeft gebruikt om het risicoprofiel op te stellen en gegevens moet verschaffen over de segmenten waarin [verzoekers] zijn ingedeeld, zodat [verzoekers] kunnen controleren of die gegevens juist zijn (zie hiervoor onder 4.36).
4.46.