Steeds meer organisaties maken op geautomatiseerde wijze besluiten over personen. Dit kan grote gevolgen hebben voor de privacy van betrokkenen. De Algemene Verordening Gegevensbescherming (AVG) stelt hieraan extra eisen met als doel de bescherming van persoonsgegevens. Wat houdt geautomatiseerde besluitvorming precies in, wanneer weet jij of jouw bedrijf daar ook aan doet en waar moet je dan op letten? We lichten het allemaal toe!

Wat houdt het in?

Als er automatisch, dus zonder tussenkomst van een natuurlijk persoon, een beslissing wordt gemaakt aan de hand van gegevens die te herleiden zijn naar een natuurlijk identificeerbaar persoon, spreekt men van automatische besluitvorming. Zelfs als het systeem alleen een advies geeft wat blind overgenomen wordt, gaat het om geautomatiseerde besluitvorming. Voorbeelden hiervan zijn het automatisch verwerken van online sollicitaties, het automatisch afsluiten van een geleverde service wanneer een klant de factuur niet heeft betaald of het automatisch rekenen van een lagere of hogere prijs aan een bepaalde (potentiële) klant op basis van gegevens over die klant, zoals woonplaats, leeftijd of naam.

Onder geautomatiseerde besluitvorming valt volgens de AVG: “Elke vorm van geautomatiseerde verwerking van persoonsgegevens, waarbij aan de hand daarvan bepaalde persoonlijke aspecten van een natuurlijke persoon worden geëvalueerd, met name met de bedoeling zijn beroepsprestaties, economische situatie, gezondheid, persoonlijke voorkeuren, interesses, betrouwbaarheid, gedrag, locatie of verplaatsingen te analyseren of te voorspellen.”

Daar deze beslissingen niet door een persoon genomen worden, maar door een geautomatiseerd systeem, zijn dit soort beslissingen over het algemeen verboden. De voornaamste reden hiervoor is dat een machine niet dezelfde afwegingen kan maken als een persoon, waardoor geautomatiseerde besluitvorming grote rechtsgevolgen kan hebben of die op dezelfde manier aanzienlijk van invloed kunnen zijn op een persoon.

‘Profiling’

Organisaties die automatische besluiten nemen kunnen hierbij profilering gebruiken. Profilering is het geautomatiseerd opbouwen van profielen van mensen aan de hand van hun gegevens, met als doel om inzicht te krijgen in bepaalde persoonlijke kenmerken van die persoon. Op een zakelijk level houdt dit in dat ze een besluit over iemand nemen op basis van het profiel van die persoon. Een voorbeeld hiervan is “Behavioral advertising”.

Het tonen van de advertenties op basis van persoonlijke kenmerken, kán er toe leiden dat er geautomatiseerde beslissingen worden genomen over de persoon. Bijvoorbeeld doordat de persoon alleen bepaalde advertenties te zien krijgt en daardoor in feite wordt ‘uitgesloten’ van het kunnen kopen van bepaalde producten of het kunnen gebruiken van bepaalde diensten.

Dit is relevant omdat profilering, net als geautomatiseerde besluitvorming, over het algemeen niet is toegestaan. Wel zijn hier enkele uitzonderingen op, die lichten we even kort toe.

Uitzonderingen

Er bestaan (gelukkig) enkele uitzonderingen. Enkel wanneer het absoluut noodzakelijk is voor de uitvoering van of het aangaan van een contract, wanneer dit wettelijk is toegestaan of wanneer de betrokkene(n) hier uitdrukkelijke toestemming voor heeft/hebben gegeven.

Daarnaast gelden er nog striktere regels omtrent geautomatiseerde besluitvorming waarbij bijzondere persoonsgegevens betrokken zijn. Wanneer het dit soort gegevens betreft mag geautomatiseerde besluitvorming alleen maar plaatsvinden wanneer de betrokkene(n) hier uitdrukkelijke toestemming voor geeft/geven of wanneer dit om redenen van zwaarwegend algemeen belang noodzakelijk is, zoals fraudepreventie en de exploitatie van een verzekeringsbedrijf.

Een heel actueel voorbeeld van een vorm van geautomatiseerde besluitvorming? Lees dit artikel uit de krant eens van 06-11-2020.