Artikel 22 AVG: wat het inhoudt en wanneer het geldt

Artikel 22 van de AVG geeft je het recht om niet uitsluitend door een geautomatiseerd systeem beoordeeld te worden als dat besluit juridische of vergelijkbare gevolgen voor je heeft. Denk aan een automatische afwijzing van een lening, een sollicitatie die door een algoritme wordt uitgeselecteerd, of een verzekeringsaanbod dat volledig op basis van profieldata wordt bepaald. Zonder tussenkomst van een mens mag dat in de meeste gevallen niet.

Wat zegt artikel 22 AVG precies?

Artikel 22 van de Algemene Verordening Gegevensbescherming (AVG) bepaalt dat een betrokkene, dus de persoon over wie gegevens worden verwerkt, het recht heeft niet onderworpen te worden aan een besluit dat uitsluitend gebaseerd is op geautomatiseerde verwerking, inclusief profilering, als dat besluit rechtsgevolgen voor hem of haar heeft of hem of haar op vergelijkbare wijze in aanmerkelijke mate treft.

Het woord “uitsluitend” is daarin bepalend. Zodra een mens op een zinvolle manier meekijkt en meebesluit, valt het besluit in principe buiten de reikwijdte van dit artikel. Maar die menselijke controle moet echt inhoudelijk zijn. Een medewerker die alleen een computerbesluit bevestigt zonder het echt te beoordelen, telt niet mee als menselijke tussenkomst in de zin van de AVG.

Wanneer geldt het verbod?

Er gelden twee cumulatieve voorwaarden voor het verbod:

  • Het besluit is uitsluitend geautomatiseerd, zonder betekenisvolle menselijke beoordeling.
  • Het besluit heeft rechtsgevolgen voor de betrokkene, of treft hem of haar op vergelijkbare wijze in aanmerkelijke mate.

Rechtsgevolgen zijn duidelijk: denk aan een afwijzing voor een uitkering, een huuropzegging of een ontslag. “Vergelijkbare aanmerkelijke gevolgen” is een ruimere categorie. De Europese toezichthouders rekenen daartoe ook besluiten die iemands financiële situatie, toegang tot diensten of dagelijks leven sterk beïnvloeden. Een automatisch gegenereerd kredietscorerapport dat bepaalt of je überhaupt een hypotheek kunt aanvragen, valt hier dus onder.

Drie uitzonderingen op artikel 22 AVG

Het verbod is niet absoluut. Artikel 22 lid 2 noemt drie situaties waarin geautomatiseerde besluitvorming toch is toegestaan:

  • Het besluit is noodzakelijk voor de uitvoering van een overeenkomst tussen de betrokkene en de verwerkingsverantwoordelijke.
  • Het besluit is toegestaan op grond van wetgeving van de EU of een lidstaat, mits die wetgeving passende maatregelen biedt ter bescherming van de rechten van de betrokkene.
  • De betrokkene heeft uitdrukkelijk toestemming gegeven.

Zelfs in die uitzonderingsgevallen gelden aanvullende verplichtingen. De verwerkingsverantwoordelijke moet in ieder geval passende maatregelen treffen om de rechten en vrijheden van de betrokkene te beschermen. Concreet betekent dat: de betrokkene moet het recht krijgen om menselijke tussenkomst te vragen, zijn standpunt kenbaar te maken en het besluit aan te vechten.

Bijzondere categorieën persoonsgegevens

Bij gevoelige gegevens, zoals gezondheidsdata, biometrische gegevens of gegevens over ras of politieke opvattingen, geldt een strenger regime. Artikel 22 lid 4 bepaalt dat geautomatiseerde besluiten op basis van die bijzondere categorieën in principe verboden zijn, tenzij er uitdrukkelijke toestemming is of een zwaarwegend algemeen belang op grond van EU- of nationale wetgeving. Dit maakt geautomatiseerde medische diagnosetools of op biometrie gebaseerde toegangssystemen die rechtsgevolgen hebben extra kwetsbaar voor handhaving.

Rechten van de betrokkene onder artikel 22 AVG

Als een organisatie geautomatiseerde besluitvorming toepast die onder artikel 22 valt, heb je als betrokkene een aantal concrete rechten:

  • Het recht op menselijke tussenkomst: je kunt vragen dat een echte persoon het besluit nog eens beoordeelt.
  • Het recht om je standpunt kenbaar te maken voordat of nadat een besluit wordt genomen.
  • Het recht om het besluit te betwisten, bijvoorbeeld bij de organisatie zelf of bij de Autoriteit Persoonsgegevens.

Bovendien heb je op grond van artikel 13 en 14 AVG recht op informatie: als een organisatie geautomatiseerde besluitvorming toepast, moet ze je vooraf uitleggen dát dat gebeurt, welke logica daarin zit, en welke gevolgen dat voor je kan hebben. “Logica” hoeft daarbij geen volledige technische uitleg te zijn, maar moet je genoeg inzicht geven om het besluit te begrijpen en eventueel aan te vechten.

Praktijkvoorbeelden

Een bank die een kredietaanvraag automatisch afwijst op basis van een algoritme zonder dat een medewerker meekijkt, overtreedt artikel 22 AVG tenzij een van de drie uitzonderingen van toepassing is. Een webshop die producten aanbeveelt op basis van je klikgedrag valt er juist niet onder: dat is profilering, maar levert geen besluit op met rechtsgevolgen.

Een ander voorbeeld: een sollicitatietool die cv’s automatisch scoort en een deel van de kandidaten nooit aan een recruiter toont, kan onder artikel 22 vallen als de uitsluiting vergelijkbare gevolgen heeft als een formele afwijzing. Organisaties die zulke systemen gebruiken, zijn verplicht dit te vermelden en op verzoek een menselijke herbeoordeling aan te bieden.

Handhaving en boetes

De Autoriteit Persoonsgegevens (AP) ziet in Nederland toe op de naleving van artikel 22 AVG. Overtredingen kunnen leiden tot boetes die oplopen tot 20 miljoen euro of 4 procent van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. In de praktijk zijn de meeste zaken rond geautomatiseerde besluitvorming tot nu toe vooral via corrigerende maatregelen opgelost, maar de AP heeft aangegeven dit thema als prioriteit te zien.

Artikel 22 AVG is geen bureaucratische drempel, maar een concreet recht. Als jij vermoedt dat een besluit dat jou raakt volledig door een algoritme is genomen, kun je de organisatie direct vragen om menselijke tussenkomst. Reageert die niet of onvoldoende, dan kun je een klacht indienen bij de Autoriteit Persoonsgegevens via autoriteitpersoonsgegevens.nl.