Richtsnoer
Richtsnoeren inzake geautomatiseerde individuele besluitvorming en profilering
- Datum
- Status
- definitief
- Instantie
- Article 29 Working Party, bekrachtigd door de European Data Protection Board (EDPB)
- Kenmerk
- WP251 rev.01 (Endorsement 1/2018)
Waar het over gaat
Deze richtsnoeren leggen uit wat profilering is en wanneer het verbod van artikel 22 geldt. Dat verbod gaat over besluiten die volledig automatisch worden genomen en die rechtsgevolgen of een vergelijkbaar groot effect hebben. De richtsnoeren beschrijven de uitzonderingen, de waarborgen en de plicht om informatie te geven over de onderliggende logica. Ze zijn aangenomen op 3 oktober 2017 en voor het laatst herzien op 6 februari 2018. De EDPB heeft ze op 25 mei 2018 bekrachtigd (Endorsement 1/2018).
Wat dit betekent voor de praktijk
Gebruikt u een algoritme of AI om besluiten over mensen te nemen, dan moet u nagaan of er echte menselijke tussenkomst is. Zonder die tussenkomst geldt het verbod. Dat is anders als een uitzondering geldt en u waarborgen biedt, zoals het recht op beoordeling door een mens. U moet uitleggen welke logica achter het besluit zit en welke gevolgen het heeft.
De AVG-artikelen waar het om gaat
- Artikel 4: Definities
- Artikel 13: Te verstrekken informatie wanneer persoonsgegevens bij de betrokkene worden verzameld
- Artikel 14: Te verstrekken informatie wanneer de persoonsgegevens niet van de betrokkene zijn verkregen
- Artikel 15: Recht van inzage van de betrokkene
- Artikel 22: Geautomatiseerde individuele besluitvorming, waaronder profilering
- Artikel 35: Gegevensbeschermingseffectbeoordeling
Bron: EDPB, page for the endorsed WP29 guidelinegecontroleerd op 15 september 2026
Samenvatting en praktijkduiding door Praxikon. Geen juridisch advies; de bron gaat voor.
Samenhang
Wat samenhangt met deze ontwikkeling
Thema’s waarin dit terugkomt
De tegenhanger in de andere wet
- Artikel 3 AI Act: Definities
- Artikel 5 AI Act: Verboden AI-praktijken
- Artikel 6 AI Act: Classificatieregels voor AI-systemen met een hoog risico
- Artikel 9 AI Act: Systeem voor risicobeheer
- Artikel 14 AI Act: Menselijk toezicht
- Artikel 16 AI Act: Verplichtingen van aanbieders van AI-systemen met een hoog risico
- Artikel 25 AI Act: Verantwoordelijkheden in de AI-waardeketen
- Artikel 26 AI Act: Verplichtingen van gebruiksverantwoordelijken van AI-systemen met een hoog risico
- Artikel 27 AI Act: Beoordeling van de gevolgen voor de grondrechten van AI-systemen met een hoog risico
- Artikel 50 AI Act: Transparantieverplichtingen voor aanbieders en gebruiksverantwoordelijken van bepaalde AI-systemen
- Artikel 86 AI Act: Recht op uitleg bij individuele besluitvorming
Rechtspraak8 van 15
- SCHUFA: kredietscore die derden zwaar laten meewegen is een geautomatiseerd besluit
2023-12-07 · definitief, Hof van Justitie van de EU (Eerste kamer), OQ tegen Land Hessen, met SCHUFA Holding AG als interveniënt
- EDPS tegen SRB: gepseudonimiseerde gegevens zijn niet voor iedereen altijd persoonsgegevens, maar de informatieplicht geldt vanaf het verzamelen
2025-09-04 · definitief, Hof van Justitie van de EU (Eerste kamer), Europese Toezichthouder voor gegevensbescherming (EDPS) tegen Gemeenschappelijke Afwikkelingsraad (SRB)
- Dun & Bradstreet: recht op begrijpelijke uitleg van een geautomatiseerd besluit, bedrijfsgeheim is geen absolute weigeringsgrond
2025-02-27 · definitief, Hof van Justitie van de EU (Eerste kamer), CK tegen Magistrat der Stadt Wien, met Dun & Bradstreet Austria GmbH als andere partij
- Rechtbank Den Haag verlaagt AP-boete voor politie om mobiele camera-auto's zonder afgeronde GEB naar 30.000 euro
2024-10-08 · status niet vastgesteld, Rechtbank Den Haag
- IAB Europe: de TC String is een persoonsgegeven en de brancheorganisatie is gezamenlijk verantwoordelijke
2024-03-07 · definitief, Hof van Justitie van de EU (Vierde kamer), IAB Europe tegen Gegevensbeschermingsautoriteit (België)
- Raad van State: boete van 600.000 euro voor wifi-tracking Enschede blijft van tafel
2026-07-29 · definitief, Raad van State, Afdeling bestuursrechtspraak
- Brillen Rottler: een eerste inzageverzoek kan misbruik zijn als het alleen dient om schadevergoeding te claimen
2026-03-19 · definitief, Hof van Justitie van de EU (Vierde kamer), Brillen Rottler GmbH & Co. KG tegen TC
- Rechtbank Gelderland: curator is verwerkingsverantwoordelijke, AP-boete voor onbeveiligde harde schijf verlaagd naar 58.125 euro
2025-08-07 · status niet vastgesteld, Rechtbank Gelderland
Richtsnoeren8 van 16
- Richtsnoeren inzake transparantie overeenkomstig Verordening 2016/679
2018-05-25 · definitief, Article 29 Working Party, bekrachtigd door de European Data Protection Board (EDPB)
- Autoriteit Persoonsgegevens publiceert position paper over Omnibus Digitaal en Omnibus AI
2026-01-13 · definitief, Autoriteit Persoonsgegevens
- Richtsnoeren 03/2026 over webscraping in het kader van generatieve AI
2026-07-07 · in consultatie, European Data Protection Board (EDPB)
- Richtsnoeren 1/2024 over verwerking van persoonsgegevens op grond van artikel 6 lid 1 onder f AVG (gerechtvaardigd belang)
2024-10-08 · aangenomen, European Data Protection Board (EDPB)
- Consultatie conceptlijst van verwerkingen waarvoor geen DPIA verplicht is (AP)
2026-06-24 · in consultatie, Autoriteit Persoonsgegevens (AP)
- EDPB sjabloon voor een gegevensbeschermingseffectbeoordeling (DPIA template)
2026-04-14 · in consultatie, European Data Protection Board (EDPB)
- Richtsnoeren voor gegevensbeschermingseffectbeoordeling (DPIA) en bepaling of een verwerking waarschijnlijk een hoog risico inhoudt
2018-05-25 · definitief, Article 29 Working Party, bekrachtigd door de European Data Protection Board (EDPB)
- Richtsnoeren 02/2026 over anonimisering
2026-07-07 · in consultatie, European Data Protection Board (EDPB)
Handhaving en boetes
- AP legt Uber boete op van 824,99 miljoen euro voor geautomatiseerd blokkeren van chauffeurs
2026-08-21 · in beroep, Autoriteit Persoonsgegevens
- Netflix krijgt boete van 4,75 miljoen euro voor niet goed informeren van klanten
2024-11-26 · in beroep, Autoriteit Persoonsgegevens
- Boete van 150.000 euro voor ICS wegens ontbrekende DPIA bij digitale identificatie
2023-12-18 · definitief, Autoriteit Persoonsgegevens
- Boete van 10 miljoen euro voor Uber om onduidelijkheid over bewaartermijnen en doorgifte, bezwaar ongegrond
2023-12-11 · in beroep, Autoriteit Persoonsgegevens
- Experian Nederland krijgt boete van 2,7 miljoen euro voor kredietscores zonder grondslag en zonder informatie
2025-10-16 · definitief, Autoriteit Persoonsgegevens
- Coolblue krijgt in bezwaar boete van 40.000 euro voor cookies zonder toestemming
2024-12-23 · status niet vastgesteld, Autoriteit Persoonsgegevens
- Clearview AI: boete van 30,5 miljoen euro en dwangsommen voor illegale gezichtendatabase
2024-05-16 · definitief, Autoriteit Persoonsgegevens
- Formele waarschuwing aan minister van OCW om oorlogsarchief CABR niet online doorzoekbaar te maken
2024-11-26 · definitief, Autoriteit Persoonsgegevens
Wetgeving in beweging6 van 12
- Europees Parlement: gezamenlijk ontwerpverslag ITRE-LIBE, amendementen ingediend, nog geen commissiestemming
2026-06-22 · in onderhandeling, Europees Parlement, commissies ITRE en LIBE (gezamenlijke commissie)
- Voorstel: definitie wetenschappelijk onderzoek, doelbinding en informatieplicht bij onderzoek (artikel 4, punt 38, artikel 5, lid 1, onder b, en artikel 13, lid 5 AVG)
2025-11-19 · in onderhandeling, Europese Commissie
- Voorstel: geen informatieplicht bij niet data-intensieve relaties (artikel 13, lid 4 AVG)
2025-11-19 · voorstel, Europese Commissie
- Voorstel: herformulering van geautomatiseerde individuele besluitvorming (artikel 22 AVG)
2025-11-19 · voorstel, Europese Commissie
- Voorstel: relatieve definitie van persoonsgegevens (artikel 4, punt 1 AVG)
2025-11-19 · voorstel, Europese Commissie
- Voorstel: weigeren van verzoeken bij misbruik van het inzagerecht (artikel 12, lid 5 AVG)
2025-11-19 · voorstel, Europese Commissie
Analyses6 van 14
- Agentic AI onder de EU AI Act: zo regel je de governance van autonome agents
2026-07-07
- DPIA voor AI-systemen: wanneer verplicht en hoe uit te voeren (2026)
2026-03-23
- Agentic AI governance: verplichtingen, controls en aanpak onder de EU AI Act
2026-07-07
- Valt een AI-agent onder de EU AI Act?
2026-07-07
- Wie is verantwoordelijk als een AI-agent fouten maakt?
2026-07-07
- Artikel 26 EU AI Act: gids voor deployer verplichtingen
2026-03-21