AVG, Privacy, Discriminatie: niet op één hoop graag!

“Aantal privacyklachten blijft zorgwekkend hoog” luidt de titel van een artikel op NOS.nl, rechtstreeks overgenomen van een persbericht van de Autoriteit Persoonsgegevens. Het persbericht en de NOS reppen niet enkel van ruim 25.000 klachten in 2020 – overigens een vermindering met 8 procent – maar ook van discriminerende verwerking door de Belastingdienst. Hier gaat volgens mij iets fout: gegevensbeschermingsrecht zoals geregeld in de AVG, privacy èn discriminatie worden op één hoop gegooid. Moet de Autoriteit Persoonsgegevens ons behoeden voor discriminatie? Is discriminatie een inbreuk op het recht op privacy van degene die het betreft? Ik probeer het uit elkaar te rafelen.

Gegevensbeschermingsrecht en privacy

Het gegevensbeschermingsrecht regelt het recht van natuurlijke personen op bescherming van hun persoonsgegevens (art. 1 lid 1 AVG, art. 8 EU-Handvest). Dat is niet helemaal hetzelfde als informationele privacy zoals omschreven door Westin: het recht om zelf te mogen bepalen wie wat over jou weet – maar het gaat wel een eindje die kant op. Persoonsgegevens moeten rechtmatig, behoorlijk, transparant, gebonden aan een doel, minimaal, en juist worden verwerkt, en opslag van persoonsgegevens moet in tijd beperkt en goed beveiligd zijn (art. 5 lid 1 AVG). Er moet een grondslag zijn om persoonsgegevens te verwerken (art. 6 AVG) en betrokkenen hebben rechten zoals inzage, rectificatie, verwijdering – en het recht om niet zonder menselijke tussenkomst aan geautomatiseerde besluitvorming te worden onderworpen (resp. art. 15, 16, 17 en 22 AVG). Nergens spreekt de AVG over privacy.

Privacy (art. 10 Grondwet, art. 8 EVRM, art. 7 EU-Handvest) is wat lastiger te omschrijven (understatement), het is een notoir glibberig begrip. Ik zie het zo. Het recht op privacy geeft je het recht om je eigen ruimte (privésfeer), letterlijk en figuurlijk, te beschermen. In die eigen ruimte is ieder mens eigen baas, en mag zelf bepalen wie, onder welke voorwaarden, daarin toegelaten wordt, al is dat natuurlijk nooit onbeperkt.

Die eigen ruimte kan gevisualiseerd worden als concentrische cirkels, of, als je wilt, een ui.

Binnenin: de kern, gedachten en gevoelens, hoofd en hart: je dromen, fantasieën, onzekerheden, verborgen agenda’s en existentiële twijfels – dingen die je misschien bespreekt met mensen die het dichtst bij je staan, misschien ook niet, dat mag je zelf weten (art. 6 en 7 Grondwet).

Dan: je lijf. Jij bepaalt wie toegang heeft tot je lijf: fysieke intimiteit (art. 242 Sr.), in een medische context van een behandeling (art. 7:450 BW), en bij opsporing tegen je wil alleen met bepaalde waarborgen: bloedproef (art. 151e lid 2 Sv.) en visitatie (art. 56 lid 2 Sv.).

De derde ring: je huis. Je mag zelf weten of je de deur opendoet of niet, en of je ‘m weer dichtgooit als je ziet wie er voor je deur staat. En of die persoon binnen wilt laten of niet (art. 12 Grondwet, art. 155 Sv.).

Tenslotte: de openbare ruimte. Zelfs in de openbare ruimte heb je een beetje recht op je eigen ruimte: ongestoord picknicken in het park (maar nu even niet, zie art. 58f en 58g Wet publieke gezondheid).

Al die uienrokken kennen behalve een fysiek aspect (kern, lijf, woonruimte, en park) een informationeel aspect: uit mijn surfgedrag is het nodige af te leiden over mijn dromen, wensen, vooroordelen en associaties; medische gegevens en ook beelden hebben betrekking op mijn lijf; camera’s (online proctoring, heimelijke opnames) brengen woonruimte in beeld, en op allerlei manieren (cameratoezicht, wifi-tracking, telecomdata) wordt de openbare ruimte in de gaten gehouden. Voor zover het hierbij gaat om persoonsgegevens in de zin van de AVG wordt de verwerking gereguleerd. In zoverre is er een overlap tussen het recht op privacy en het gegevensbeschermingsrecht.

Maar ze overlappen niet helemaal: er zijn zaken die wel door het recht op privacy maar niet door gegevensbeschermingsrecht beschermd worden (zoals het huisrecht in art. 12 Grondwet, binnentreden art. 155 Sv.), en het gegevensbeschermingsrecht regelt zaken die op zichzelf niets met privacy van doen hebben (zoals dataportabiliteit art. 20 AVG).

Discriminatie

Het College voor de rechten van de mens omschrijft discriminatie als “mensen anders behandelen, achterstellen of uitsluiten op basis van (persoonlijke) kenmerken.” Ik denk dat het verbod op discriminatie in de kern ziet op het recht om op je eigen merites beoordeeld te worden, en niet op basis van vooroordelen - en dan met name niet de vooroordelen die met de gevoelige kenmerken opgesomd in artikel 1 Grondwet samenhangen: godsdienst, levensovertuiging, politieke gezindheid, ras en geslacht.

Dit is conceptueel lastig, en ook in de praktijk. Het snel beslissen op basis van onvolledige informatie doen we voortdurend. Gechargeerd zou je kunnen zeggen dat we de vaardigheid om dat te doen nog danken aan onze jager-verzamelaar instincten: als iets lijkt op een gevaarlijk roofdier: niet de tijd nemen om goed te kijken, maar wegwezen. Als fietser discrimineer ik volop: op automerk, geslacht, vluchtig geschatte leeftijd, om zonder ongelukken op mijn bestemming te komen. Vooroordelen fungeren als shortcuts om snelle beslissingen te kunnen nemen.

Een ander probleem is dat wij mensen het heel lastig vinden om het verschil tussen correlatie en causaliteit echt te accepteren en naar dat inzicht te handelen. Als twee gegevens statistisch met elkaar samenhangen, hoe kan het dan dat de één echt niets over de ander zegt? Tylervigen.com geeft een aantal hilarische voorbeelden.

In de combinatie van correlerende gegevens met het recht van ieder mens om op z’n eigen merites beoordeeld te worden zit de kern van het probleem, zowel juridisch als moreel. Zelfs als het zo zou zijn dat alle fraudeurs een bepaald kenmerk hebben, bijvoorbeeld een dubbele nationaliteit, dan nog mag je niet mensen met een dubbele nationaliteit als potentiële fraudeur aan een nader onderzoek onderwerpen. Zelfs niet in de discretionaire ruimte die aan uitvoeringsinstanties is toegekend. Want dat is discriminatie en je creëert bovendien self-fulfilling prophecies: als je beter gaat kijken vind je ook meer. Een bekend risico van predictive policing.

En: om te discrimineren hoef je niet per se de verboden discriminatiegronden als gegevens op te slaan. We kennen het verschijnsel van emerging properties: op basis van onschuldige gegevens (proxies genaamd, bijvoorbeeld postcode, koopgedrag) zijn “bijzondere persoonsgegevens” (bijvoorbeeld geslacht, geloof, etnische afkomst) gemakkelijk af te leiden.

Gegevensbeschermingsrecht en discriminatie

In de term bijzondere persoonsgegevens zien we al de link met het gegevensbeschermingsrecht: de AVG kent extra bescherming voor bijzondere persoonsgegevens, omdat die inderdaad voor potentieel gevaarlijke inzichten gebruikt kunnen worden. Het gaat om: “persoonsgegevens waaruit ras of etnische afkomst, politieke opvattingen, religieuze of levensbeschouwelijke overtuigingen, of het lidmaatschap van een vakbond blijken, en (...) genetische gegevens, biometrische gegevens met het oog op de unieke identificatie van een persoon, of gegevens over gezondheid, of gegevens met betrekking tot iemands seksueel gedrag of seksuele gerichtheid”, art. 9 AVG. Alleen heb je voor die potentieel gevaarlijke inzichten, zoals gezegd, niet noodzakelijkerwijs die bijzondere persoonsgegevens nodig. Dus art. 9 AVG is naar mijn mening overbodig.

Een goede reden om persoonsgegevens te beschermen is inderdaad om te voorkomen dat ze tegen je gebruikt worden. De meest bekende manier: op basis van je persoonsgegevens kom je terecht in een profiel. Zo’n profiel bestaat uit een groep mensen met dezelfde kenmerken als jij waar veronderstellingen aan worden gekoppeld; bepaalde overtuigingen hebben, ergens mee te verleiden zijn. Dat soort veronderstellingen kan gebruikt worden om je te manipuleren; het meest duidelijk met gerichte advertenties, en ook op subtielere manieren zoals nudging.

Zo’n profiel kan een risicoprofiel zijn, waardoor je kansen worden onthouden of je aan nader onderzoek wordt onderworpen. Als dat gebeurt op basis van gegevens die verband houden met de discriminatiegronden uit artikel 1 Grondwet is dat statistisch gezien wellicht verdedigbaar, maar juridisch en moreel gezien niet. Je wordt op basis van vooroordelen behandeld, en niet op je eigen merites. We moeten efficiency opofferen voor individuele rechtvaardigheid.

Maar los van mogelijke nadelige gevolgen heb je recht op bescherming van je persoonsgegevens: als jouw persoonsgegevens gevraagd worden dan kun je antwoorden: dat gaat je niks aan, none of your business, waarom zou je dat willen weten. Volgens mij is de kern van het gegevensbeschermingsrecht om betrokkenen zeggenschap te geven over wat er met de hen betreffende persoonsgegevens gebeurt: wie verwerkt ze, voor welk doel, op welke grondslag, worden ze daarna verwijderd. Het gaat er niet om of je iets te verbergen hebt, het gaat erom wat je wilt dat anderen over jou weten.

Het gegevensbeschermingsrecht is niet in het leven geroepen om betrokkenen te beschermen tegen discriminatie. Daarvoor is het non-discriminatierecht in de vorm van onder meer art. 1 Grondwet, de algemene wet gelijke behandeling, de algemene beginselen van behoorlijk bestuur en de onrechtmatige daad.

Het gegevensbeschermingsrecht kàn ons niet eens tegen discriminatie beschermen. Als ik ergens solliciteer en ik word niet uitgenodigd voor een gesprek, dan kan ik toch niet zeggen dat mijn persoonsgegevens onrechtmatig verwerkt zijn? Zelfs niet als ik vermoed dat het aan mijn achternaam ligt. Een profiel kan opgebouwd zijn met behulp van anonieme, geaggregeerde gegevens, en dat kan zonder de AVG te schenden op iemand worden toegepast zodat het leidt tot discriminatie: ongerechtvaardigd onderscheid op een verboden grond. Het gegevensbeschermingsrecht kan ons niet beschermen tegen wat O’Neil Weapons of Math Destruction heeft genoemd.

Slot

We doen er goed aan om begrippen zuiver te hanteren, en niet te spreken over de “privacywaakhond” die klachten onderzoekt over het op een discriminerende manier verwerken van persoonsgegevens. De missie van de AP: “De Autoriteit Persoonsgegevens is de onafhankelijke toezichthouder in Nederland die de bescherming van persoonsgegevens bevordert en bewaakt.”

Privacy gaat over je recht op een eigen ruimte, zowel fysiek als informationeel. Informationele privacy wordt slechts ten dele beschermd door de AVG. De AVG gaat over bescherming van persoonsgegevens. Discriminatie tenslotte gaat over het direct of indirect maken van onderscheid op een niet-relevante grond. Discriminatie kan mogelijk gemaakt worden door gebruik van persoonsgegevens – maar het gegevensbeschermingsrecht kan mensen daar vaak niet tegen beschermen en het is daar niet voor bedoeld.

We hebben wetgeving tegen discriminatie, en ook laagdrempelige manieren om vermeende discriminatie door een overheidsinstantie aan de kaak te stellen via het College voor de Rechten van de Mens of de Ombudsman. De AP is niet de instantie om discriminatie aan te pakken en om een volgende Toeslagenaffaire te voorkomen

Dus noem de AVG alsjeblieft niet de privacywet, en noem de Autoriteit Persoonsgegevens niet de privacywaakhond. En roep niet dat je privacy geschonden is als je gediscrimineerd bent.