Geldt artikel 22 AVG als een medewerker de uitkomst van een algoritme alleen aftekent?

Stel: u bent functionaris gegevensbescherming (FG) bij een gemeente. De afdeling Werk en Inkomen gebruikt een model van een leverancier dat elk bijstandsdossier een risicoscore geeft. Dossiers boven de drempel gaan naar een heronderzoek, soms met een huisbezoek. Een medewerker krijgt elke ochtend de lijst, opent de dossiers zelden en klikt op akkoord. Volgens het team is er geen probleem: "Er zit altijd een mens tussen, dus artikel 22 AVG geldt niet."

Dat is de vraag die wij het vaakst horen over geautomatiseerde besluiten. Het korte antwoord: het gaat niet om de vraag of er een mens in het proces zit, maar om wat die mens werkelijk doet.

Les 1: artikel 22 heeft drie voorwaarden

Het Hof van Justitie zette ze in het SCHUFA-arrest op een rij (C-634/21, punt 43). Er moet sprake zijn van een besluit, dat besluit moet uitsluitend op geautomatiseerde verwerking berusten, waaronder profilering, en het moet rechtsgevolgen hebben of de betrokkene anderszins in aanmerkelijke mate treffen. Het Hof noemt artikel 22 lid 1 een fundamenteel verbod, waarvan de schending niet door de betrokkene zelf hoeft te worden aangevoerd (punt 52). Het is dus geen recht dat pas speelt als een inwoner bezwaar maakt.

Een risicomodel in de bijstand is profilering: het beoordeelt persoonlijke aspecten om gedrag of de economische situatie te voorspellen (artikel 4 punt 4 AVG). De vraag is dan vooral of er nog een eigen menselijk besluit is.

Les 2: aftekenen is geen menselijke tussenkomst

De richtsnoeren over geautomatiseerde besluitvorming en profilering (WP251rev.01, door de Europese toezichthouders, verenigd in de EDPB, overgenomen) zijn hier duidelijk (blz. 20 en 21). Een verwerkingsverantwoordelijke kan artikel 22 niet ontlopen door menselijke betrokkenheid te verzinnen. Wie automatisch gemaakte profielen routinematig op mensen toepast, zonder werkelijke invloed op het resultaat, neemt nog steeds een besluit dat uitsluitend geautomatiseerd is.

Echte tussenkomst vraagt volgens de richtsnoeren drie dingen:

1. Het toezicht is betekenisvol en geen symbolisch gebaar.
2. Het wordt uitgeoefend door iemand die de bevoegdheid en de deskundigheid heeft om het besluit te veranderen.
3. Die persoon betrekt alle relevante gegevens bij zijn oordeel, niet alleen de score.

De richtsnoeren vragen ook om in de DPIA vast te leggen hoeveel menselijke betrokkenheid er is en in welke fase. Voor zo'n model is een DPIA verplicht (artikel 35 lid 3 onder a AVG). In ons voorbeeld schiet de gemeente in elk geval tekort op betekenis en gegevens: de medewerker opent de dossiers zelden en klikt op akkoord.

Les 3: de score zelf kan het besluit zijn

In SCHUFA ging het om een kredietbureau dat een score berekende, waarna een bank besliste over een lening. Een beperkte lezing zou de score als voorbereidende handeling zien en alleen de beslissing van de bank als besluit. Het Hof wees die lezing af: dan dreigt artikel 22 te worden omzeild en ontstaat een leemte in de rechtsbescherming (punten 61 en 62). Als een derde zijn handelwijze hoofdzakelijk laat bepalen door de score, is het vaststellen van die score zelf een besluit in de zin van artikel 22 (punten 46 tot en met 50 en het dictum).

SCHUFA gaat over drie partijen. Bij een gemeente zijn het model en het besluit meestal in één hand, en dan is de vraag of het besluit uitsluitend geautomatiseerd is. Die vraag beantwoorden de richtsnoeren: tekent de medewerker af zonder werkelijke invloed op het resultaat, dan is het besluit uitsluitend geautomatiseerd. Naar onze lezing kan de gedachte van SCHUFA daarbij meewegen: als het vervolg hoofdzakelijk van de score afhangt, kan het vaststellen van de score zelf als besluit gelden. Wat telt is de feitelijke rol van de score, niet het organogram. Een goede toets: hoe vaak wijkt de medewerker af van het model, en kan hij uitleggen waarom hij dat in een concreet dossier niet deed?

Les 4: ook een heronderzoek kan iemand aanmerkelijk treffen

Dat het intrekken of terugvorderen van een uitkering rechtsgevolgen heeft, is duidelijk. De richtsnoeren noemen het recht op een wettelijke uitkering zelfs als voorbeeld van een rechtsgevolg (blz. 21). Lastiger is de selectie voor een heronderzoek. Die is op zichzelf vaak nog geen besluit dat de uitkering verandert. Maar artikel 22 geldt ook voor besluiten die iemand anderszins in aanmerkelijke mate treffen. Volgens de richtsnoeren is dat zo als het besluit de omstandigheden, het gedrag of de keuzes van iemand aanmerkelijk kan raken, een langdurig effect heeft of in het uiterste geval leidt tot uitsluiting of discriminatie. De lat ligt hoog: het effect moet vergelijkbaar zijn met dat van een rechtsgevolg (blz. 21).

Naar onze lezing kan een heronderzoek met een huisbezoek, het opvragen van bankafschriften of het opschorten van de betaling een bijstandsgerechtigde aanmerkelijk treffen. Daar is nog geen uitspraak van het Hof over. Behandel de selectie daarom als een moment waarop echte menselijke beoordeling nodig is, en niet alleen het eindbesluit.

Les 5: artikel 40 UAVG redt een risicomodel niet

Artikel 22 lid 2 kent drie uitzonderingen: een overeenkomst, uitdrukkelijke toestemming, of een Unierechtelijke of lidstaatrechtelijke bepaling die het besluit toestaat en passende maatregelen bevat. Toestemming en een overeenkomst passen zelden bij een gemeente die over een uitkering beslist. Nederland heeft voor de derde route artikel 40 UAVG. Volgens lid 1 geldt het verbod van artikel 22 lid 1 niet als de geautomatiseerde besluitvorming, anders dan op basis van profilering, noodzakelijk is voor een wettelijke verplichting of voor een taak van algemeen belang. Ook dan moet de gemeente passende maatregelen nemen om de rechten van de inwoner te beschermen (lid 2). De minimumlijst van lid 3 (menselijke tussenkomst, een eigen standpunt en het besluit kunnen aanvechten) geldt alleen voor wie geen bestuursorgaan is. Een gemeente moet dus zelf onderbouwen dat haar waarborgen, waaronder bezwaar en beroep, passend zijn.

De woorden "anders dan op basis van profilering" zijn de kern. Een eenvoudige rekenregel, zoals het automatisch berekenen van een toeslag uit een vastgesteld inkomen, kan onder artikel 40 vallen. Een risicomodel dat inwoners een score geeft, is profilering en valt er niet onder. Wie zich dan toch op artikel 22 lid 2 onder b wil beroepen, moet een andere wettelijke bepaling kunnen aanwijzen die zulke besluiten toestaat en waarborgen bevat. Is die er niet, dan blijft maar één route over: zorg dat er een echt menselijk besluit is.

Les 6: maak de tussenkomst echt, en kunnen uitleggen

Echte menselijke tussenkomst is vooral organisatie:

• Bevoegdheid. De medewerker mag afwijken van de score, zonder extra verantwoording naar boven als hij dat doet.
• Informatie. Hij ziet het dossier en de gegevens waarop de score berust, niet alleen het getal.
• Tijd. Het aantal dossiers per dag laat een inhoudelijke beoordeling toe.
• Meten. Houd bij hoe vaak medewerkers afwijken. Wijkt niemand ooit af, dan is dat een signaal dat er in feite wordt afgetekend.
• Motiveren. De zorgvuldigheidseis van artikel 3:2 Awb (de nodige kennis van de feiten en de belangen) geldt ook voor de selectie, ook als die geen besluit is (artikel 3:1 lid 2). Het besluit om in te trekken of terug te vorderen moet daarnaast deugdelijk gemotiveerd zijn (artikel 3:46 Awb). "Het model gaf een hoge score" is geen motivering.

Valt het besluit onder artikel 22 en geldt geen uitzondering, dan is het verboden (SCHUFA, punt 64). Geldt wel een uitzondering, dan informeert u inwoners vooraf over het bestaan van de geautomatiseerde besluitvorming (artikel 13 lid 2 onder f en artikel 14 lid 2 onder g AVG), geeft u op verzoek nuttige informatie over de onderliggende logica (artikel 15 lid 1 onder h) en mag het besluit alleen onder strikte voorwaarden op bijzondere persoonsgegevens berusten, zoals gezondheidsgegevens in een bijstandsdossier (artikel 22 lid 4). Het Hof oordeelde in Dun & Bradstreet Austria (C-203/22, 27 februari 2025) dat u aan de hand van relevante informatie en in beknopte, transparante, begrijpelijke en gemakkelijk toegankelijke vorm moet uitleggen welke procedure en beginselen concreet zijn toegepast om tot de uitkomst te komen. Het Hof noemt als mogelijkheid: uitleggen in welke mate de uitkomst anders was geweest met andere gegevens (punt 62). Een beroep op bedrijfsgeheimen van de leverancier is geen eindpunt: dan legt u de informatie voor aan de toezichthouder of de rechter, die de belangen afweegt. Maak dus vooraf met de leverancier afspraken over welke uitleg u kunt geven.

Wat de AI-verordening eraan toevoegt

Is het model een hoog-risicosysteem uit bijlage III, dan komt de AI-verordening erbij. Bijlage III punt 5 onder a noemt systemen die door of namens overheidsinstanties worden gebruikt om te beoordelen of iemand in aanmerking komt voor een uitkering, of om die te beperken, in te trekken of terug te vorderen. Naar onze lezing valt een selectiemodel voor heronderzoek daaronder. Omdat het profileert, kan de gemeente zich niet beroepen op de uitzondering van artikel 6 lid 3: een systeem uit bijlage III dat profileert, is altijd hoog risico (artikel 6 lid 3, laatste alinea). De aanbieder moet het systeem zo ontwerpen dat de medewerker, waar passend en evenredig, de werking begrijpt, zich bewust blijft van de neiging om te veel op de uitkomst te vertrouwen ("automation bias") en de uitkomst kan negeren of terugdraaien (artikel 14 lid 4). De gemeente draagt het toezicht op aan mensen met de nodige bekwaamheid, opleiding en autoriteit, die de nodige ondersteuning krijgen (artikel 26 lid 2), en informeert inwoners dat een hoog-risicosysteem dat beslissingen over hen neemt of helpt nemen, op hen wordt toegepast (artikel 26 lid 11).

Die plichten gelden vanaf 2 december 2027. Is het systeem vóór die datum al in gebruik, dan gelden ze pas na een aanzienlijke wijziging in het ontwerp, en voor systemen die bedoeld zijn voor gebruik door overheidsinstanties uiterlijk vanaf 2 augustus 2030 (artikel 111 lid 2). Het recht op uitleg van artikel 86 is formeel van toepassing sinds 2 augustus 2026, maar kan in de praktijk pas worden ingeroepen bij een besluit op basis van een hoog-risicosysteem uit bijlage III. Artikel 86 geldt alleen voor zover het Unierecht niet al in zo'n recht voorziet (lid 3). De AVG doet dat via artikel 15 lid 1 onder h, maar alleen bij besluiten die onder artikel 22 vallen. Organiseert de gemeente echte menselijke tussenkomst, dan valt het besluit buiten artikel 22, maar houdt de inwoner bij een systeem uit bijlage III het recht op uitleg van artikel 86. De AVG geldt nu al. U hoeft dus niet op 2027 te wachten.

In ons artikel over AI voor fraudesignalen in de bijstand staat welke DPIA- en FRIA-plichten bij zo'n model horen.

Ook voor banken, werkgevers en scholen

Voor een bank ligt SCHUFA het dichtst bij: als de kredietbeslissing hoofdzakelijk van een score afhangt, is die score het besluit. Het automatisch weigeren van een online kredietaanvraag is het voorbeeld uit overweging 71 AVG. Voor een werkgever noemt dezelfde overweging het verwerken van sollicitaties via internet zonder menselijke tussenkomst. Een recruiter die de door een systeem afgewezen kandidaten nooit bekijkt, tekent in feite af. Voor een hogeschool die toelating met een model voorselecteert, noemen de richtsnoeren de toegang tot onderwijs als voorbeeld van een besluit dat iemand aanmerkelijk kan treffen.

Wat u nu doet

1. Maak per algoritme een korte beschrijving van wat de medewerker met de uitkomst doet: welke gegevens ziet hij, hoeveel tijd heeft hij, mag hij afwijken?
2. Meet hoe vaak medewerkers afwijken van de uitkomst. Is dat (bijna) nooit, behandel het besluit dan als geautomatiseerd.
3. Stel vast of het model profileert. Zo ja, dan helpt artikel 40 UAVG niet.
4. Doe de DPIA (verplicht bij zo'n model) en leg daarin vast in welke fase en hoe de menselijke beoordeling plaatsvindt, zoals de richtsnoeren vragen.
5. Spreek met de leverancier af welke uitleg u inwoners over de logica kunt geven.
6. Wilt u snel zien welke plichten bij uw toepassing horen? Doe de casus-check.