Hoe de overheid zijn eigen wetten overtreedt door gebrek aan ict-kennis

Te weinig besef van ict kan de bestuurbaarheid van Nederland in gevaar brengen. Een hardnekkig gebrek aan ict-kennis zorgt ervoor dat de Nederlandse overheid al jaren grote problemen heeft met de uitvoering van wetten. AG Connect zet in een serie de uitdagingen op een rij. Deze keer: wetten die - al dan niet bewust - door de overheid zelf worden overtreden.

Kees Verhoeven, meervoudig ict-politicus van het jaar en nu eigenaar van Bureau Digitale Zaken ziet al jaren dat Tweede Kamer soms nog te veel laat passeren als het gaat om wetgevende taak. De overheid overtreedt meer dan eens bestaande wetten en werkt ook aan nieuwe wetten die rechtstatelijke risico’s met zich meebrengen, vindt hij. 'We hebben eerder gezien hoe het misging met Systeem Risico Indicatie (SyRI) waarmee fraude moest worden bestreden. En recenter ging het mis bij de toeslagenaffaire, waarbij de Belastingdienst met algoritmen risicomodellen maakte en burgers onterecht als fraudeur filterde.' Dat laatste ziet Verhoeven als voorbeeld: de Kamer nam eerst unaniem een slechte wet aan, waarna het in de uitvoering nog verder misging en uiteindelijk erg slecht uitpakte voor veel mensen.  

Verhoeven ziet dat, mede vanwege een gebrek aan ict-kennis, risico’s rondom wetten worden onderschat of over het hoofd gezien. Het meest actuele voorbeeld is de Wet Gegevensverwerking Samenwerkingsverbanden (WGS), die nu als voorstel bij de Eerste Kamer ligt. 'Ook de nieuwe NCTV-wet waarbij de Nationaal Coördinator Terrorismebestrijding en Veiligheid (NCTV) ruimere bevoegdheden krijgt om informatie over burgers te verzamelen is zo’n voorbeeld. Je kunt je afvragen of deze wetten binnen de kaders van de grondwet passen.' De drijfveren en de opgestelde beleidsdoelen voor de overheid zijn begrijpelijk, stelt Verhoeven. 'Maar te veel ambitie leidt ertoe dat de overheid zijn eigen wetten overtreedt, zoals de AVG.'

Hoe wordt de AVG overtreden? Dat vergt enige uitleg. Met de wet Gegevensverwerking Samenwerkingsverbanden wordt mogelijk gemaakt dat honderden instanties, zoals ministeries, lokale overheden, De Belastingdienst, de politie, FIOD, DNB, NVWA, ACM, en zorg- en veiligheidshuizen data met elkaar kunnen uitwisselen, om deze vervolgens als één geheel te gaan verwerken. 'Er worden een heleboel datasets die nu op verschillende plekken staan, bij elkaar gebracht en gecombineerd. Dat leidt tot allerlei nieuwe ‘uitkomsten’ over burgers. In mijn ogen is die werkwijze niet in lijn met de AVG, die doelbinding en dataminimalisatie predikt. Bovendien kan het een manier van werken worden die mensen onnodig verdacht maakt, op basis van algoritmes. Ook hier geldt dat de overheid een beleidsdoel heeft, namelijk fraude en criminaliteit voorkomen, maar het leidt tot het beschadigen van rechten van sommige burgers.'

Apenkooien

De kritiek op het wetsvoorstel is niet mals. De Autoriteit Persoonsgegevens maakte er in een advies aan de Eerste Kamer gehakt van. De privacy-waakhond noemt het voorstel een voorbeeld van hoe de overheid met wetsvoorstellen een vrijbrief probeert te regelen om bijna ongelimiteerd persoonsgegevens te verzamelen, waarvan niet duidelijk genoeg is waarom de overheid bepaalde gegevens van burgers nodig heeft. “Het voorstel geeft overheidsorganisaties én private partijen zeer ruime bevoegdheden om persoonsgegevens met elkaar te delen. Dit kan grote gevolgen hebben voor mensen die ‘op het verkeerde lijstje’ terechtkomen”, aldus AP-voorzitter Aleid Wolfsen.

Tijmen Wisman, voorzitter van het Platform Burgerrechten, stelt zelfs dat het voorstel in strijd is met de Grondwet, zo gaf hij aan bij Binnenlands Bestuur. 'Artikel 10 van de Grondwet vereist dat de formele wetgever betrokken is bij het maken van wetgeving die ingrijpt in de persoonlijke levenssfeer,' zegt Wisman. 'Maar in de WGS staat dat er nieuwe samenwerkingsverbanden kunnen worden opgezet onder een Algemene Maatregel van Bestuur (AMvB).' Anders dan bij een reguliere wet kan een AMvB worden aangenomen door een minister. De Tweede en Eerste Kamer hebben daar geen inspraak over. Ook dat baart Wisman zorgen. “De minister kan met één pennenstreek toestaan dat bijvoorbeeld de Belastingdienst, het OM, de politie, de grote banken, accountantskantoren en zelfs de AIVD samen gaan apenkooien met onze gegevens.”

Opvolger van SyRI

Adviseur Ylja Remmits, lid van KPMG Trusted Analytics team, houdt zich bezig met de beheersing van data-analyse en algoritmes. Hoewel zij de zorgen over de wetsvoorstellen goed begrijpt, stelt ze ook dat er goede redenen kunnen zijn om de voorstellen in te dienen.

Remmits heeft als adviseur expertise op gebied van data delen en analyseren. Ze ziet op dit vlak de nodige risico’s. 'Vanuit onze kennis er ervaring zien we dat gegevens delen op zo’n grote schaal in de praktijk moeilijk gaat. En dan doel ik met name op het vanuit brondata gaan analyseren en daarmee tot het einde een besluitvormingsproces onderbouwen. Hoe meer verschillende data je bij elkaar brengt van verschillende partijen, hoe lastiger het is om te vermelden welke data je precies gebruikt hebt, welke betrouwbaarheid je daaraan hecht en hoe het proces samenkomt tot één besluit.'

Er wordt in de politiek vaak te licht gedacht over het samenbrengen van verschillende data, vindt Remmits. 'Niet alleen met de transparantie, maar vooral ook in de dossiervorming. Het is technisch erg lastig om besluiten te motiveren en te onderbouwen op basis van samengebrachte data. Het wordt dan moeilijk af te meten op basis van welk stukje informatie een besluit is genomen.' In de Algemene Verordening Gegevensbescherming (AVG) staat dat burgers altijd geïnformeerd moeten worden wanneer persoonlijke data van ze wordt gedeeld, zo vertelt Remmits. In de Wet Gegevensverwerking Samenwerkingsverbanden wordt een beroep gedaan op een uitzondering, iets wat de AP niet zit zitten. 'Maar of je nu transparant bent of niet, als overheid wil je altijd zorgvuldig dossier opbouwen en de hele keten aan beslissingen met analyses en conclusies die op basis van data worden getrokken, kunnen uitleggen.'

Data koppelen niet eenvoudig

Wanneer data uit bronnen wordt gecombineerd, is koppelen een aandachtspunt. 'Op basis van welk datapunt koppel je data aan elkaar? Dat kan een naam zijn, BSN, of een andere variabele. Die moet worden gekozen, want een computer weet niet welke data bij wie hoort. De kans is groot dat er overlap komt. Adressen en geboortedata staan meestal in meerdere datasets. Dat is prima zolang deze gelijk zijn, maar als dit niet het geval is, moet je weten waar de fout zit.' Bij afwijkende informatie in datasets moet het antwoord in de BRP zitten. 'Maar in het domein van fraude en ondermijning bestrijden, waar deze wet voor bedoeld is, kun je je voorstellen dat adressen in de BRP nog wel eens afwijken van de waarheid. Je moet als overheid dus goed nadenken wat je met zulke verschillen gaat doen. En duiden de data op fraude, of op gewoon een foutje? In sommige gevallen zal zelfs data van grote e-commercie organisaties die pakketjes afleveren, betrouwbaarder zijn dan de BRP.'

Datakwaliteit is een enorm belangrijke voorwaarde om succesvol met enorme hoeveelheden data uit meerdere bronnen te werken. 'Een valkuil: databronnen zijn altijd één weergave van een werkelijkheid, legt Remmits uit. 'Alle organisaties hebben elk een eigen weergave van één persoon. Die wil je nu over elkaar heen leggen. Het kan betekenen dat je niet meer het echte plaatje van één persoon hebt en dat je ook aannames maakt die niet kloppen.' Hoe meer datasets er gebruikt worden, hoe groter de kans op fouten. Het maakt dat het combineren van data heel ingewikkeld kan worden. 'Dat is niet erg, maar je moet dan wel heel goed noteren welke aannames je maakt en waarom die geldig zijn om te dienen als materiaal voor data-analyse waarmee de uitkomsten iets zeggen over een burger. Wanneer je data aanneemt als waarheid, terwijl deze niet de waarheid weergeven, kunnen ze ervoor zorgen dat burgers in enorme problemen raken.'

Te ambitieus met IT

De ict-ambitie van de overheid met het wetsvoorstel is misschien wel te groot.  'De problemen zitten meer in de omvang van het project, dan in een gebrek aan kennis erover. De politieke overweging is dat er meer inzicht moet worden verkregen om meer zicht te krijgen op criminaliteit. De risico’s van de toepassing van data hierbij worden niet altijd overzien.' Het is een afweging tussen voordelen en eventuele nadelen. 'Het is logisch dat organisaties graag data willen delen, omdat het binnen hun taakstelling iets kan opleveren. Maar een maatschappelijk voordeel behaal je alleen als je alles goed inricht en risico’s voorkomt.'

SETUP, een platform voor een technologie-kritische samenleving, volgt de ontwikkelingen rondom de Wet Gegevensverwerking Samenwerkingsverbanden op de voet. De organisatie is bevreesd voor beslissingen op basis van data waarbij in sommige gevallen onmogelijk wordt te achterhalen welke rekenstappen een algoritme heeft doorlopen, zo schrijft Siri Beerends in een column op Oneworld.

'Naarmate computersystemen complexer worden en meer verknoopt raken met menselijke beslisprocessen, wordt het alleen maar moeilijker om te bepalen wie welke verantwoordelijkheid heeft en waar de eigen invloed begint en eindigt.' Door een overdaad aan informatie lukt het mensen minder goed om belangrijke fouten aan te wijzen. Daarnaast bleken versimpelde visualisaties tot verkeerde aannames over de datasets en gebruikte modellen te leiden.

Menselijke maat

Beerends pleit voor een menselijke maat. 'Nu we erachter komen dat computersystemen een verlengstuk zijn van onze eigen vooroordelen, gaan we hopelijk inzien dat onze menselijke subjectiviteit geen probleem is dat met technologie moet worden opgelost. Net als de menselijke maat, is ook de computermaat subjectief, met het belangrijke verschil dat we mensen moreel verantwoordelijkheid kunnen houden voor hun beslissingen en computers niet.'

Als het gaat om fraudemodellen is ook Remmits bezorgd. 'Technici zijn notoir slecht in documenteren. Ze doen hun best, maar in de loop van de tijd verdwijnt documentatie vaak of krijgt data een andere betekenis. Een model dat op zoek is naar fraudeurs herkent vaak alleen foutjes in een dossier. Het wordt dan doorgestuurd naar mensen die deze fouten moeten controleren. En die sturen het na een check ook weer door. Vervolgens wordt er een ‘fraude risico score’ toegekend. Het is dan maar de vraag of de context, waarin alleen fouten werden gezocht, nog bestaat. Begrip van data, zoals de uitleg en de context, verdwijnen snel wanneer je gegevens gaat delen met andere partijen. Zeker wanneer er gegevens worden gedeeld in zo’n gevoel domein, is dat een heel serieus risico.'

Wet aangenomen in Tweede Kamer

Of het zover komt nu de Autoriteit Persoonsgegevens het voorstel in de pan heeft gehakt, is nog maar de vraag. De Tweede Kamer heeft de wet eind 2020, vlak voor het toeslagenschandaal, aangenomen. D66, GroenLinks, SP, PvdD, Denk en Van Kooten-Arissen stemden destijds tegen. Kees Verhoeven, toen nog actief bij D66, was destijds tegenstander en noemde het ‘zorgelijk’ hoe de wet ‘publieke datazucht en uitvoeringsvalkuilen op een risicovolle manier combineert’.

De kans dat de wet er wél gaat komen lijkt aanzienlijk, ondanks alle zorgen. 'De samenwerkingsverbanden waar deze wet voor geldt, bestaan al. De wens vanuit de maatschappij is er.' Ook Remmits verwacht daarom dat de wet er komt, maar wellicht in een andere vorm dan hij nu is geformuleerd. “Mijn zorg is dat vele haken en ogen, de zorgen van privacywaakhonden en de complexiteit eromheen over het hoofd gezien wordt.”

Wanneer er meer duidelijkheid ontstaat over de definitieve versie van de wet, hangt af van de minister die nog moet reageren op de opmerkingen van de Eerste Kamer. Het is onduidelijk wanneer dit gebeurt. 'Er staat normaal gesproken vier weken voor, maar vanwege de complexe materie gaat het waarschijnlijk langer duren', aldus een woordvoerder van de Eerste Kamer aan AG Connect.

Dit artikel komt van AG Connect.