Volgens artikel 15, lid 1 van de Algemene Verordening Gegevensbescherming (AVG) hebben betrokkenen het recht op inzage van hun verwerkte persoonsgegevens. Bij een geautomatiseerd besluit, zoals bedoeld in deel h, heeft de betrokkene recht op nuttige informatie over de gebruikte besluitvormingslogica. Hoewel de AVG niet expliciet verwijst naar een definitie van geautomatiseerde besluitvorming, kan deze het gebruik van algoritmen en kunstmatige intelligentie voor de verwerking van persoonsgegevens omvatten. Maar wanneer is de betreffende informatie volgens de AVG nuttig? Het Hof van Justitie van de Europese Unie (hierna: het Hof) bevestigde in dit arrest dat de verwerkingsverantwoordelijke de procedures en beginselen die daadwerkelijk worden toegepast zodanig moet uitleggen dat de betrokkene kan begrijpen welke persoonsgegevens zijn gebruikt bij de geautomatiseerde besluitvorming.
Zaak
HvJ EU 27 februari 2025 C-203/22 (CK tegen Magistrat der Stadt Wien)
Beleidsdossier en thematiek
Digitale Overheid en AVG
Feiten
De zaak betrof het conflict tussen particulier ‘CK’ en het kredietbeoordelingsbedrijf Dun & Bradstreet (D&B) in Oostenrijk. Een telecomprovider weigerde CK een telefoonabonnement te verstrekken op basis van een geautomatiseerde kredietbeoordeling van D&B. Bij de Oostenrijkse autoriteit voor persoonsgegevens, beriep CK zich op haar recht op inzage in de nuttige informatie over de logica die is gebruikt bij het besluit, conform artikel 15, lid 1 onder h van de AVG. De autoriteit verzocht D&B deze informatie te delen. Het bedrijf ging echter in beroep tegen het besluit en de rechter heeft vastgesteld dat D&B inbreuk had gemaakt op het betreffende artikel. D&B moest alsnog aan zijn informatieplicht voldoen en had ook onvoldoende gemotiveerd waarom zij deze informatie niet konden leveren.
CK wilde deze uitspraak ten uitvoer leggen bij het gemeentebestuur van de Stad Wenen. Niettemin was het gemeentebestuur van mening dat D&B geen aanvullende informatie hoefde te verstrekken. Om er toch voor te zorgen dat de onderneming voldeed aan zijn informatieplicht, ging CK weer in beroep bij de verwijzende rechter. De verwijzende rechter vroeg zich af wat D&B moest doen met oog op de tenuitvoerlegging van de informatieplicht.
Rechtsvraag
Om duidelijkheid te verkrijgen over de interpretatie van artikel 15, lid, 1 onder h, stelde de verwijzende rechter de prejudiciële volgende vraag aan het Hof:
‘Aan welke inhoudelijke vereisten moet een verstrekte inlichting voldoen om te kunnen worden aangemerkt als voldoende ‘nuttig’ in de zin van artikel 15, lid 1, onder h, AVG?’
Uitspraak Hof
Het Hof analyseerde de bewoording door een vergelijking van de verschillende taalversies, en stelde de context scherp door naar o.a. de AVG in zijn geheel te kijken.
Ten eerste bestudeerde het Hof de bewoording van het artikel door een vergelijking van de betekenis achter de termen ‘nuttige informatie’ en ‘onderliggende logica’, in verschillende talen van de Europese Unie. Met betrekking tot het concept nuttige informatie, geeft bijvoorbeeld de Nederlandse taal voorkeur aan de bruikbaarheid van de informatie terwijl het Roemeens eerder kijkt naar de relevantie van de informatie. Het Hof stelde echter dat ongeacht de verschillen in betekenissen, alle taalversies elkaar aanvullen. Het feit dat de verschillen in betekenissen elkaar aanvullen moet daarom in acht worden genomen. Hieruit vloeit voort, dat een versterkte inlichting alle informatie moet bevatten die relevant is voor de procedure en beginselen voor het geautomatiseerd gebruik van persoonsgegevens, volgens het Hof.
Gebaseerd op de context en de doelstelling van het artikel is de relevantie van bovengenoemde informatie niet voldoende. Hierbij overwoog het Hof ook andere relevante beginselen uit de AVG en rechtspraak om zijn antwoord uit te breiden. In het bijzonder belichtte het Hof artikel 12 van de AVG waarin het vereist is dat betrokkenen de verstrekte informatie in een beknopte, transparante, begrijpelijke en toegankelijke vorm ontvangen, geschreven in duidelijke en begrijpelijke taal. Gezien de mogelijke gevolgen van een geautomatiseerd besluit, legde het Hof verder nadruk op transparantie. Het doel van het recht op inzage is hier ook om de persoon de kans te geven om een mening te hebben over het besluit en eventueel bezwaar te kunnen aantekenen. Een melding alleen over het gebruik van een algoritme biedt daarbij niet genoeg toelichting.
Na zijn onderzoek over de bewoording en context en doelstelling van het artikel bevestigde het Hof aan welke inhoudelijk vereiste een verstrekte inlichting moet voldoen om ‘nuttig’ te zijn. Gedeelde informatie met de betrokkene over de onderliggende informatie achter het besluit is voldoende nuttig als de verwerkingsverantwoordelijke de procedure en beginselen die daadwerkelijk worden toegepast, zodanig beschrijft dat de betrokkene kan begrijpen welke persoonsgegevens zijn gebruikt bij de geautomatiseerde besluitvorming.
Decentrale relevantie
Bij een geautomatiseerd besluit, conform artikel 15, lid 1 onder h, zijn decentrale overheden dus verplicht om nuttige informatie over de onderliggende logica van dit besluit te delen. Een voorbeeld hiervan op decentraal niveau is het verwerken van persoonsgegevens door middel van algoritmes voor het opsporen van bijstandsfraude.
Deze uitspraak biedt duidelijkheid over welke informatie vereist is bij geautomatiseerde besluitvorming, waarbij decentrale overheden gericht informatie kunnen bieden. Het is daarbij niet genoeg dat decentrale overheden alleen het gebruik van algoritmes vermelden. Bij een informatieverzoek moeten zij duidelijk aangeven welke procedures en beginselen daadwerkelijk zijn toegepast, en dit zo toelichten dat de betrokkene precies weet welke persoonsgegevens zijn gebruikt. Het naleven van deze vereisten kan betekenen dat decentrale overheden optimale transparantie bieden bij geautomatiseerde besluitvorming en dit op een efficiëntere manier doen.
Ook voor de opkomst van kunstmatige intelligentie (AI) in publieke dienstverlening biedt deze uitspraak aanvullende helderheid. Decentrale overheden kunnen nu al rekening houden met de informatievereisten bij de mogelijke inzet van AI-systemen voor besluitvorming met verwerking van persoonsgegevens.
Bronnen
Uitgangspunten voor (semi-)geautomatiseerde besluitvorming door de overheid, College van de rechten van de mens