Ons systeem geeft een score en een medewerker klikt op akkoord. Valt dat onder artikel 22?

Artikel 22 lid 1 gaat over besluiten die uitsluitend op geautomatiseerde verwerking berusten. Het artikel zegt niet hoe groot de menselijke rol moet zijn, maar lid 3 noemt het recht op menselijke tussenkomst juist als waarborg tegen een volledig geautomatiseerd besluit. Beoordeel daarom eerlijk of de medewerker het besluit inhoudelijk beoordeelt en ervan kan afwijken, en leg dat vast.

Mogen we een online aanvraag volledig automatisch afwijzen?

Alleen als een uitzondering van lid 2 geldt: het besluit is noodzakelijk voor het sluiten of uitvoeren van een overeenkomst, het is toegestaan bij een wettelijke bepaling met passende waarborgen, of het berust op uitdrukkelijke toestemming. Overweging 71 noemt de automatische weigering van een online kredietaanvraag als voorbeeld van een besluit dat iemand aanmerkelijk raakt. Bij de uitzonderingen onder a en c moet u de waarborgen van lid 3 bieden.

Welke waarborgen moeten we minimaal bieden bij een geautomatiseerd besluit?

Lid 3 noemt ten minste drie rechten: menselijke tussenkomst van de verwerkingsverantwoordelijke, de mogelijkheid voor de betrokkene om zijn standpunt kenbaar te maken, en de mogelijkheid om het besluit aan te vechten. Overweging 71 voegt daar specifieke informatie aan de betrokkene en uitleg over het genomen besluit aan toe. Daarnaast mag het besluit niet op bijzondere categorieën van persoonsgegevens steunen, tenzij artikel 9 lid 2 onder a of g geldt (lid 4).

Artikel 22: Geautomatiseerde individuele besluitvorming, waaronder profileringAI-relevant

Praxikon houdt artikel 22 (Geautomatiseerde individuele besluitvorming, waaronder profilering) uit de AVG, naast de EU AI Act bij, met per uitspraak de vindplaats erbij.

Hoofdstuk IIIVan kracht sinds 25-05-2018

Artikel 22 beschermt u tegen besluiten die volledig automatisch worden genomen, zonder dat een mens ernaar kijkt, en die rechtsgevolgen hebben of u op een andere manier aanmerkelijk raken (lid 1). Denk aan een automatische afwijzing van een online kredietaanvraag of een sollicitatie die zonder menselijke tussenkomst wordt afgewezen, bijvoorbeeld door een AI-systeem (overweging 71). Zulke besluiten mogen alleen als ze nodig zijn voor een overeenkomst, wettelijk zijn toegestaan of berusten op uw uitdrukkelijke toestemming (lid 2). Steunt het besluit op een overeenkomst of op uw toestemming, dan moet de verwerkingsverantwoordelijke waarborgen bieden: ten minste het recht op menselijke tussenkomst, het recht om uw standpunt te geven en het recht om het besluit aan te vechten (lid 3). Het artikel bestaat omdat een geautomatiseerde beoordeling van persoonlijke aspecten, ook wel profilering, fouten en discriminatie kan veroorzaken zonder dat iemand dat opmerkt (overweging 71).

Kernbegrip: Uitsluitend geautomatiseerd besluit: een beslissing die volledig door een computer wordt genomen, zonder menselijke tussenkomst, en die rechtsgevolgen heeft of iemand aanmerkelijk raakt

Raakt direct:verwerkingsverantwoordelijkebetrokkene

Duiding door Praxikon op basis van de tekst en de overwegingen; de officiële tekst hieronder gaat voor.

Raakvlak met de AI Act

Geautomatiseerde besluitvorming is kernraakvlak met de AI Act: verboden praktijken (Art. 5), menselijk toezicht (Art. 14), en deployer-verplichtingen (Art. 26).

AI Act Art. 5 →AI Act Art. 14 →AI Act Art. 26 →

Officiële tekst

De betrokkene heeft het recht niet te worden onderworpen aan een uitsluitend op geautomatiseerde verwerking, waaronder profilering, gebaseerd besluit waaraan voor hem rechtsgevolgen zijn verbonden of dat hem anderszins in aanmerkelijke mate treft.

Lid 1 geldt niet indien het besluit: a) noodzakelijk is voor de totstandkoming of de uitvoering van een overeenkomst tussen de betrokkene en een verwerkingsverantwoordelijke; b) is toegestaan bij een Unierechtelijke of lidstaatrechtelijke bepaling die op de verwerkingsverantwoordelijke van toepassing is en die ook voorziet in passende maatregelen ter bescherming van de rechten en vrijheden en gerechtvaardigde belangen van de betrokkene; of c) berust op de uitdrukkelijke toestemming van de betrokkene.

In de in lid 2, punten a) en c), bedoelde gevallen treft de verwerkingsverantwoordelijke passende maatregelen ter bescherming van de rechten en vrijheden en gerechtvaardigde belangen van de betrokkene, waaronder ten minste het recht op menselijke tussenkomst van de verwerkingsverantwoordelijke, het recht om zijn standpunt kenbaar te maken en het recht om het besluit aan te vechten.

De in lid 2 bedoelde besluiten worden niet gebaseerd op de in artikel 9, lid 1, bedoelde bijzondere categorieën van persoonsgegevens, tenzij artikel 9, lid 2, punt a) of g), van toepassing is en er passende maatregelen ter bescherming van de gerechtvaardigde belangen van de betrokkene zijn getroffen. Afdeling 5 Beperkingen

Bron: EUR-Lex, Verordening (EU) 2016/679. Officiële tekst, ongewijzigd overgenomen.

Wat betekent dit voor u?

Verwerkingsverantwoordelijke

Breng in kaart welke besluiten in uw organisatie volledig automatisch worden genomen en of ze rechtsgevolgen hebben of iemand aanmerkelijk raken (lid 1). Is dat zo, dan controleert u of een uitzondering van lid 2 van toepassing is en regelt u bij de uitzonderingen onder a en c ten minste menselijke tussenkomst, de mogelijkheid om een standpunt te geven en de mogelijkheid om het besluit aan te vechten (lid 3). Gebruik voor zulke besluiten geen bijzondere categorieën van persoonsgegevens, tenzij artikel 9 lid 2 onder a of g dat toestaat en u passende maatregelen heeft getroffen (lid 4).

Betrokkene

U hoeft niet te accepteren dat alleen een computer een besluit over u neemt dat rechtsgevolgen heeft of u aanmerkelijk raakt (lid 1). Is zo'n besluit toegestaan omdat het nodig is voor een overeenkomst of omdat u uitdrukkelijk toestemming gaf, dan kunt u vragen dat een mens ernaar kijkt, uw kant van het verhaal geven en het besluit aanvechten (lid 3).

Compliance checklist

Er is een overzicht van alle besluiten die uitsluitend geautomatiseerd worden genomen, inclusief profilering, en per besluit is beoordeeld of het rechtsgevolgen heeft of de betrokkene aanmerkelijk raakt (lid 1).Voor elk besluit dat onder lid 1 valt is vastgelegd op welke uitzondering het steunt: noodzakelijk voor een overeenkomst, toegestaan bij wet, of uitdrukkelijke toestemming (lid 2).Bij een besluit op grond van een overeenkomst of toestemming kan de betrokkene menselijke tussenkomst van de verwerkingsverantwoordelijke krijgen (lid 3).De betrokkene kan zijn standpunt kenbaar maken en het besluit aanvechten, en er is een werkwijze die dit afhandelt (lid 3).Geautomatiseerde besluiten steunen niet op bijzondere categorieën van persoonsgegevens, tenzij artikel 9 lid 2 onder a of g geldt en passende maatregelen zijn getroffen (lid 4).Voor de profilering zelf is een grondslag uit artikel 6 vastgelegd, omdat profilering onder alle gewone regels van de AVG valt (overweging 72).Bij profilering worden passende wiskundige of statistische procedures gebruikt en worden fouten in persoonsgegevens gecorrigeerd om onjuiste of discriminerende uitkomsten te voorkomen (overweging 71).Uitsluitend geautomatiseerde besluiten met rechtsgevolgen worden niet genomen over kinderen (overweging 71).

Gerelateerde overwegingen

(71)

De betrokkene dient het recht te hebben niet te worden onderworpen aan een louter op geautomatiseerde verwerking gebaseerd besluit, dat een maatregel kan behelzen — over persoonlijke hem betreffende a...

(72)

Voor profilering gelden de regels van deze verordening betreffende de verwerking van persoonsgegevens, bijvoorbeeld de rechtsgronden voor verwerking of beginselen van gegevensbescherming. Het Europees...

Kruisverwijzingen

Art. 9: Verwerking van bijzondere categorieën van persoonsgegevens

Veelgestelde vragen

← Art. 21: Recht van bezwaar Art. 23: Beperkingen →

Samenhang

Thema’s waarin dit terugkomt

De tegenhanger in de andere wet

Rechtspraak

Dun & Bradstreet: recht op begrijpelijke uitleg van een geautomatiseerd besluit, bedrijfsgeheim is geen absolute weigeringsgrond
2025-02-27 · definitief, Hof van Justitie van de EU (Eerste kamer), CK tegen Magistrat der Stadt Wien, met Dun & Bradstreet Austria GmbH als andere partij
SCHUFA: kredietscore die derden zwaar laten meewegen is een geautomatiseerd besluit
2023-12-07 · definitief, Hof van Justitie van de EU (Eerste kamer), OQ tegen Land Hessen, met SCHUFA Holding AG als interveniënt

Richtsnoeren

Richtsnoeren inzake geautomatiseerde individuele besluitvorming en profilering
2018-05-25 · definitief, Article 29 Working Party, bekrachtigd door de European Data Protection Board (EDPB)
EDPB en EDPS nemen Joint Opinion 2/2026 over de Digital Omnibus aan
2026-02-10 · definitief, European Data Protection Board en European Data Protection Supervisor