Artikel 78: vertrouwelijkheid van wat u aan een autoriteit overlegt

Lid 3 bepaalt dat, onverminderd de leden 1 en 2, op vertrouwelijke basis tussen de nationale bevoegde autoriteiten of tussen nationale bevoegde autoriteiten en de Commissie uitgewisselde informatie niet openbaar mag worden gemaakt zonder voorafgaande raadpleging van de nationale bevoegde autoriteit waarvan de informatie afkomstig is en de gebruiksverantwoordelijke, wanneer in punt 1, 6 of 7 van bijlage III vermelde AI-systemen met een hoog risico worden gebruikt door rechtshandhavingsinstanties en grenstoezichts-, immigratie- of asielautoriteiten, en wanneer die openbaarmaking openbare en nationale veiligheidsbelangen in gevaar zou brengen. Die informatie-uitwisseling behelst geen gevoelige operationele gegevens in verband met de activiteiten van rechtshandhavings-, grenstoezichts-, immigratie- of asielautoriteiten. De tweede alinea van lid 3 bepaalt dat, indien de rechtshandhavingsinstanties of immigratie- of asielautoriteiten aanbieders van in punt 1, 6 of 7 van bijlage III bedoelde AI-systemen met een hoog risico zijn, de in bijlage IV vermelde technische documentatie in de gebouwen van die autoriteiten blijft, dat die autoriteiten waarborgen dat de in artikel 74, leden 8 en 9, bedoelde markttoezichtautoriteiten zo nodig op verzoek onmiddellijk toegang tot de documentatie kunnen krijgen of een kopie ervan kunnen ontvangen, en dat alleen personeel van de markttoezichtautoriteit met een passende veiligheidsmachtiging die documentatie of kopieen ervan mag inzien.

Lid 4 bepaalt dat de leden 1, 2 en 3 de rechten en verplichtingen van de Commissie, de lidstaten en hun bevoegde autoriteiten, alsmede die van de aangemelde instanties, met betrekking tot de uitwisseling van informatie en de verspreiding van waarschuwingen, ook in het kader van grensoverschrijdende samenwerking, evenals de verplichtingen van de betrokken partijen om in het kader van het strafrecht van de lidstaten informatie te verstrekken, onverlet laten. Lid 5 bepaalt dat de Commissie en de lidstaten zo nodig en met inachtneming van de relevante bepalingen van internationale overeenkomsten en handelsakkoorden vertrouwelijke informatie kunnen uitwisselen met regelgevingsinstanties van derde landen waarmee zij bilaterale of multilaterale vertrouwelijkheidsovereenkomsten hebben gesloten die een passend niveau van vertrouwelijkheid waarborgen.

Lees dit artikel als het antwoord op de vraag die uw leverancier stelt en die u zelf stelt zodra u iets moet inleveren. De bescherming is echt en zij noemt de broncode bij name, wat in het Unierecht ongebruikelijk expliciet is. Maar zij is een plicht van de ontvanger en geen weigeringsrecht van de indiener. Artikel 21, lid 1, verplicht de aanbieder om op een met redenen omkleed verzoek alle informatie en documentatie te verstrekken die nodig is om de overeenstemming aan te tonen; artikel 78 zegt niet dat u iets mag achterhouden, maar wat de ontvanger daarna moet doen. Wie dat omdraait en op basis van vertrouwelijkheid weigert, staat juridisch met lege handen. Twee grenzen erbij, want zij worden in de praktijk gemist. De eerste is artikel 5 van Richtlijn (EU) 2016/943: die uitzondering staat woordelijk in punt a) en zij dekt onder meer het uitoefenen van het recht op vrijheid van meningsuiting en informatie en het onthullen van wangedrag in het algemeen belang. De tweede is lid 4: tussen autoriteiten onderling, en bij het verspreiden van waarschuwingen, werkt de vertrouwelijkheid niet als slot. Uw dossier kan dus bij een andere lidstaat terechtkomen zonder dat dit een schending is. Wat wel uw kant op werkt, is lid 2. Dat is een strikte noodzakelijkheidstoets op het verzoek zelf, met een bewaartermijn eraan vast: wissen zodra de gegevens niet langer nodig zijn voor het doel waarvoor zij zijn verkregen. Dat is een vraag die u aan een autoriteit kunt stellen en waarvan u het antwoord kunt vastleggen.

Er zit een asymmetrie in dit artikel die zelden wordt opgemerkt. Lid 3 geeft een van de partijen een zware extra bescherming: wordt een hoog-risicosysteem uit punt 1, 6 of 7 van bijlage III gebruikt door een rechtshandhavingsinstantie of een grenstoezichts-, immigratie- of asielautoriteit, dan mag op vertrouwelijke basis uitgewisselde informatie niet openbaar worden gemaakt zonder voorafgaande raadpleging van de bronautoriteit en van de gebruiksverantwoordelijke, en de technische documentatie blijft fysiek in de gebouwen van die autoriteit wanneer zij zelf aanbieder is. Voor een commerciele aanbieder in exact dezelfde bijlage III-gebieden geldt die regeling niet. De praktische gevolgtrekking is niet dat de een beter beschermd is dan de ander, maar dat u moet weten aan welke kant u staat: levert u aan zo een autoriteit, dan loopt uw documentatie een ander pad dan uw eigen archief, en dat pad legt u vast in het contract en niet achteraf. Merk daarnaast op wat dit artikel niet regelt. Het zegt niets over de openbaarheid van de EU-databank van artikel 71, waarvan het openbare deel juist bedoeld is om gevonden te worden, en het zegt niets over wat een gebruiksverantwoordelijke aan een geraakte persoon moet uitleggen op grond van artikel 86. Vertrouwelijkheid tegenover een toezichthouder en transparantie tegenover een burger zijn in deze verordening twee losse sporen, en het is een vergissing om het ene met het andere te willen dichtzetten.