Management

Juridische zaken
debat Tweede Kamer algoritmen 2019

Hoe de overheid door gebrek aan IT-kennis zijn eigen wetten overtreedt

Grote ambities zorgen voor grote risico's.

Debat in de Tweede Kamer over algoritmen © CC BY 2.0 - Flickr.com Sebastiaan ter Burg
25 mei 2022

Grote ambities zorgen voor grote risico's.

Te weinig besef van IT kan de bestuurbaarheid van Nederland in gevaar brengen. Een hardnekkig gebrek aan IT-kennis zorgt ervoor dat de Nederlandse overheid al jaren grote problemen heeft met de uitvoering van wetten. AG Connect zet in een serie de uitdagingen op een rij. Deze keer: wetten die - al dan niet bewust - door de overheid zelf worden overtreden.

Kees Verhoeven, meervoudig IT-politicus van het jaar en nu eigenaar van Bureau Digitale Zaken ziet al jaren dat Tweede Kamer soms nog te veel laat passeren als het gaat om wetgevende taak. De overheid overtreedt meer dan eens bestaande wetten en werkt ook aan nieuwe wetten die rechtstatelijke risico’s met zich meebrengen, vindt hij. “We hebben eerder gezien hoe het misging met Systeem Risico Indicatie (SyRI) waarmee fraude moest worden bestreden. En recenter ging het mis bij de toeslagenaffaire, waarbij de Belastingdienst met algoritmen risicomodellen maakte en burgers onterecht als fraudeur filterde.” Dat laatste ziet Verhoeven als voorbeeld: de Kamer nam eerst unaniem een slechte wet aan, waarna het in de uitvoering nog verder misging en uiteindelijk erg slecht uitpakte voor veel mensen.  

Verhoeven ziet dat, mede vanwege een gebrek aan IT-kennis, risico’s rondom wetten worden onderschat of over het hoofd gezien. Het meest actuele voorbeeld is de Wet Gegevensverwerking Samenwerkingsverbanden (WGS), die nu als voorstel bij de Eerste Kamer ligt. “Ook de nieuwe NCTV-wet waarbij de Nationaal Coördinator Terrorismebestrijding en Veiligheid (NCTV) ruimere bevoegdheden krijgt om informatie over burgers te verzamelen is zo’n voorbeeld. Je kunt je afvragen of deze wetten binnen de kaders van de grondwet passen.” De drijfveren en de opgestelde beleidsdoelen voor de overheid zijn begrijpelijk, stelt Verhoeven. “Maar te veel ambitie leidt ertoe dat de overheid zijn eigen wetten overtreedt, zoals de AVG.”

Hoe wordt de AVG overtreden? Dat vergt enige uitleg. Met de wet Gegevensverwerking Samenwerkingsverbanden wordt mogelijk gemaakt dat honderden instanties, zoals ministeries, lokale overheden, De Belastingdienst, de politie, FIOD, DNB, NVWA, ACM, en zorg- en veiligheidshuizen data met elkaar kunnen uitwisselen, om deze vervolgens als één geheel te gaan verwerken. “Er worden een heleboel datasets die nu op verschillende plekken staan, bij elkaar gebracht en gecombineerd. Dat leidt tot allerlei nieuwe ‘uitkomsten’ over burgers. In mijn ogen is die werkwijze niet in lijn met de AVG, die doelbinding en data-minimalisatie predikt. Bovendien kan het een manier van werken worden die mensen onnodig verdacht maakt, op basis van algoritmes. Ook hier geldt dat de overheid een beleidsdoel heeft, namelijk fraude en criminaliteit voorkomen, maar het leidt tot het beschadigen van rechten van sommige burgers.”

Apenkooien

De kritiek op het wetsvoorstel is niet mals. De Autoriteit Persoonsgegevens maakte er in een advies aan de Eerste Kamer gehakt van. De privacy-waakhond noemt het voorstel een voorbeeld van hoe de overheid met wetsvoorstellen een vrijbrief probeert te regelen om bijna ongelimiteerd persoonsgegevens te verzamelen, waarvan niet duidelijk genoeg is waarom de overheid bepaalde gegevens van burgers nodig heeft. “Het voorstel geeft overheidsorganisaties én private partijen zeer ruime bevoegdheden om persoonsgegevens met elkaar te delen. Dit kan grote gevolgen hebben voor mensen die ‘op het verkeerde lijstje’ terechtkomen”, aldus AP-voorzitter Aleid Wolfsen.

Tijmen Wisman, voorzitter van het Platform Burgerrechten, stelt zelfs dat het voorstel in strijd is met de Grondwet, zo gaf hij aan bij Binnenlands Bestuur. 'Artikel 10 van de Grondwet vereist dat de formele wetgever betrokken is bij het maken van wetgeving die ingrijpt in de persoonlijke levenssfeer,' zegt Wisman. 'Maar in de WGS staat dat er nieuwe samenwerkingsverbanden kunnen worden opgezet onder een Algemene Maatregel van Bestuur (AMvB).' Anders dan bij een reguliere wet kan een AMvB worden aangenomen door een minister. De Tweede en Eerste Kamer hebben daar geen inspraak over. Ook dat baart Wisman zorgen. “De minister kan met één pennenstreek toestaan dat bijvoorbeeld de Belastingdienst, het OM, de politie, de grote banken, accountantskantoren en zelfs de AIVD samen gaan apenkooien met onze gegevens.”

Opvolger van SyRI

Adviseur Ylja Remmits, lid van KPMG Trusted Analytics team, houdt zich bezig met de beheersing van data-analyse en algoritmes. Hoewel zij de zorgen over de wetsvoorstellen goed begrijpt, stelt ze ook dat er goede redenen kunnen zijn om de voorstellen in te dienen. 

Remmits heeft als adviseur expertise op gebied van data delen en analyseren. Ze ziet op dit vlak de nodige risico’s. “Vanuit onze kennis er ervaring zien we dat gegevens delen op zo’n grote schaal in de praktijk moeilijk gaat. En dan doel ik met name op het vanuit brondata gaan analyseren en daarmee tot het einde een besluitvormingsproces onderbouwen. Hoe meer verschillende data je bij elkaar brengt van verschillende partijen, hoe lastiger het is om te vermelden welke data je precies gebruikt hebt, welke betrouwbaarheid je daaraan hecht en hoe het proces samenkomt tot één besluit.”

Er wordt in de politiek vaak te licht gedacht over het samenbrengen van verschillende data, vindt Remmits. “Niet alleen met de transparantie, maar vooral ook in de dossiervorming. Het is technisch erg lastig om besluiten te motiveren en te onderbouwen op basis van samengebrachte data. Het wordt dan moeilijk af te meten op basis van welk stukje informatie een besluit is genomen.” In de Algemene Verordening Gegevensbescherming (AVG) staat dat burgers altijd geïnformeerd moeten worden wanneer persoonlijke data van ze wordt gedeeld, zo vertelt Remmits. In de Wet Gegevensverwerking Samenwerkingsverbanden wordt een beroep gedaan op een uitzondering, iets wat de AP niet zit zitten. “Maar of je nu transparant bent of niet, als overheid wil je altijd zorgvuldig dossier opbouwen en de hele keten aan beslissingen met analyses en conclusies die op basis van data worden getrokken, kunnen uitleggen.”

Data koppelen niet eenvoudig

Wanneer data uit bronnen wordt gecombineerd, is koppelen een aandachtspunt. “Op basis van welk datapunt koppel je data aan elkaar? Dat kan een naam zijn, BSN, of een andere variabele. Die moet worden gekozen, want een computer weet niet welke data bij wie hoort. De kans is groot dat er overlap komt. Adressen en geboortedata staan meestal in meerdere datasets. Dat is prima zolang deze gelijk zijn, maar als dit niet het geval is, moet je weten waar de fout zit.” Bij afwijkende informatie in datasets moet het antwoord in de BRP zitten. “Maar in het domein van fraude en ondermijning bestrijden, waar deze wet voor bedoeld is, kun je je voorstellen dat adressen in de BRP nog wel eens afwijken van de waarheid. Je moet als overheid dus goed nadenken wat je met zulke verschillen gaat doen. En duiden de data op fraude, of op gewoon een foutje? In sommige gevallen zal zelfs data van grote e-commercie organisaties die pakketjes afleveren, betrouwbaarder zijn dan de BRP.”

Datakwaliteit is een enorm belangrijke voorwaarde om succesvol met enorme hoeveelheden data uit meerdere bronnen te werken. “Een valkuil: databronnen zijn altijd één weergave van een werkelijkheid, legt Remmits uit. “Alle organisaties hebben elk een eigen weergave van één persoon. Die wil je nu over elkaar heen leggen. Het kan betekenen dat je niet meer het echte plaatje van één persoon hebt en dat je ook aannames maakt die niet kloppen.” Hoe meer datasets er gebruikt worden, hoe groter de kans op fouten. Het maakt dat het combineren van data heel ingewikkeld kan worden. “Dat is niet erg, maar je moet dan wel heel goed noteren welke aannames je maakt en waarom die geldig zijn om te dienen als materiaal voor data-analyse waarmee de uitkomsten iets zeggen over een burger. Wanneer je data aanneemt als waarheid, terwijl deze niet de waarheid weergeven, kunnen ze ervoor zorgen dat burgers in enorme problemen raken.”

Te ambitieus met IT

De IT-ambitie van de overheid met het wetsvoorstel is misschien wel te groot.  “De problemen zitten meer in de omvang van het project, dan in een gebrek aan kennis erover. De politieke overweging is dat er meer inzicht moet worden verkregen om meer zicht te krijgen op criminaliteit. De risico’s van de toepassing van data hierbij worden niet altijd overzien.” Het is een afweging tussen voordelen en eventuele nadelen. “Het is logisch dat organisaties graag data willen delen, omdat het binnen hun taakstelling iets kan opleveren. Maar een maatschappelijk voordeel behaal je alleen als je alles goed inricht en risico’s voorkomt.”

SETUP, een platform voor een technologie-kritische samenleving, volgt de ontwikkelingen rondom de Wet Gegevensverwerking Samenwerkingsverbanden op de voet. De organisatie is bevreesd voor beslissingen op basis van data waarbij in sommige gevallen onmogelijk wordt te achterhalen welke rekenstappen een algoritme heeft doorlopen, zo schrijft Siri Beerends in een column op Oneworld.

“Naarmate computersystemen complexer worden en meer verknoopt raken met menselijke beslisprocessen, wordt het alleen maar moeilijker om te bepalen wie welke verantwoordelijkheid heeft en waar de eigen invloed begint en eindigt.” Door een overdaad aan informatie lukt het mensen minder goed om belangrijke fouten aan te wijzen. Daarnaast bleken versimpelde visualisaties tot verkeerde aannames over de datasets en gebruikte modellen te leiden.

Menselijke maat

Beerends pleit voor een menselijke maat. “Nu we erachter komen dat computersystemen een verlengstuk zijn van onze eigen vooroordelen, gaan we hopelijk inzien dat onze menselijke subjectiviteit geen probleem is dat met technologie moet worden opgelost. Net als de menselijke maat, is ook de computermaat subjectief, met het belangrijke verschil dat we mensen moreel verantwoordelijkheid kunnen houden voor hun beslissingen en computers niet.”

Als het gaat om fraudemodellen is ook Remmits bezorgd. “Technici zijn notoir slecht in documenteren. Ze doen hun best, maar in de loop van de tijd verdwijnt documentatie vaak of krijgt data een andere betekenis. Een model dat op zoek is naar fraudeurs herkent vaak alleen foutjes in een dossier. Het wordt dan doorgestuurd naar mensen die deze fouten moeten controleren. En die sturen het na een check ook weer door. Vervolgens wordt er een ‘fraude risico score’ toegekend. Het is dan maar de vraag of de context, waarin alleen fouten werden gezocht, nog bestaat. Begrip van data, zoals de uitleg en de context, verdwijnen snel wanneer je gegevens gaat delen met andere partijen. Zeker wanneer er gegevens worden gedeeld in zo’n gevoel domein, is dat een heel serieus risico.”

Wet aangenomen in Tweede Kamer

Of het zover komt nu de Autoriteit Persoonsgegevens het voorstel in de pan heeft gehakt, is nog maar de vraag. De Tweede Kamer heeft de wet eind 2020, vlak voor het toeslagenschandaal, aangenomen. D66, GroenLinks, SP, PvdD, Denk en Van Kooten-Arissen stemden destijds tegen. Kees Verhoeven, toen nog actief bij D66, was destijds tegenstander en noemde het ‘zorgelijk’ hoe de wet ‘publieke datazucht en uitvoeringsvalkuilen op een risicovolle manier combineert’.

De kans dat de wet er wél gaat komen lijkt aanzienlijk, ondanks alle zorgen. “De samenwerkingsverbanden waar deze wet voor geldt, bestaan al. De wens vanuit de maatschappij is er." Ook Remmits verwacht daarom dat de wet er komt, maar wellicht in een andere vorm dan hij nu is geformuleerd. “Mijn zorg is dat vele haken en ogen, de zorgen van privacywaakhonden en de complexiteit eromheen over het hoofd gezien wordt.”

Wanneer er meer duidelijkheid ontstaat over de definitieve versie van de wet, hangt af van de minister die nog moet reageren op de opmerkingen van de Eerste Kamer. Het is onduidelijk wanneer dit gebeurt. “Er staat normaal gesproken vier weken voor, maar vanwege de complexe materie gaat het waarschijnlijk langer duren”, aldus een woordvoerder van de Eerste Kamer aan AG Connect.

5
Reacties
Jochem Kentgens 02 juni 2022 22:10

Het gebrek aan kennis sijpelt ook door naar lokaal niveau en zorgt ervoor dat de uitvoerbaarheid van wetten in de knel komt. Iedere paar jaar wordt een monsterproject bij gemeenten neergelegd, die door legacy. in de problemen komen. Die legacy is tweeledig: enerzijds de opstapeling van verouderde wet- en regelgeving die het geheel complex maken; anderzijds de genoemde ondersteunende IT-systemen die de nieuwe taken niet of nauwelijks aankunnen. De gevolgen zijn in de praktijk als eerste te zien aan de stijging van de administratieve druk, maar juist daar is relatief eenvoudig winst te behalen.

Als eerste is het belangrijk dat alle betrokkenen vooraf samenkomen om ervoor te zorgen dat problemen niet pas bij de uitvoering aan het licht komen. Vervolgens moet slimme robotisering ervoor zorgen dat er minder IT-kennis nodig is en administratieve processen uit handen worden genomen. Hierdoor ontstaat meer tijd voor de juiste implementatie en uitvoering van nieuwe wetten en blijven dit soort projecten voor gemeenten behapbaarder.

P.J. Westerhof LL.M MIM 30 mei 2022 15:49

@WdR : Dat probleem is een non-probleem. De 'gebruiker' bestaat niet, het is een 'verwerkingsverantwoordelijke' of een 'verwerker'. Als men teveel wordt 'belast' dan komt dat omdat men geld probeert te verdienen aan andermans persoonsgegevens. Een personeelsregistratie is appeltje-eitje.
Flowcharts, checklists, richtlijnen en handleidingen zijn er in overvloed. En men is in beginsel verplicht een Functionaris Gegevensbescherming te hebben die het allemaal uitzoekt.
'Vertraging van het werkproces' is de standaardsmoes om regels te ontduiken.

Hans Donkhorst 27 mei 2022 13:01

Weinig politici zijn in staat om vanuit de bestaande wetgeving in combinatie met de nieuwe een beeld te vormen van hoe de praktijk vorm gaat krijgen. Hoe worden gegevens verkregen, gecombineerd, gecontroleerd en verwerkt tot te motiveren besluiten (Bestuursrechtelijke bedrijfsfuncties) ?. En wat is de invloed op belanghebbenden (zo noemen juristen de burgers, ondernemers en ondernemingen).
In een uitvoeringstoets wordt de haalbaarheid onderzocht en weergegeven maar dat zegt weinig over de inrichting van organisatie, informatie, het te gebruiken proces en de daarvoor noodzakelijke ICT / procesondersteuning. Onduidelijkheid over het HOE wordt gecompenseerd met aandacht voor het WAT, zoals de opdracht tot intensivering van de fraude-aanpak.
De affaires maken ook duidelijk dat voor een verfijning in het hoe, meer informatie beschikbaar moet zijn over bijvoorbeeld de context waarin belanghebbende verkeert. Dat dan juist samenwerkingen worden voorgesteld tussen organen die al over informatie beschikken en de juiste inschatting van de andere / bredere context kunnen maken is niet vreemd maar logisch. Waar politici dan inzicht in moeten eisen is de inrichting van het geheel en de werking daarvan, vooraf aan de instemming / goedkeuring. Dat voorkomt ook dat politici ongeloofwaardig worden door eerst pontificaal aan te dringen op daadkracht en later de uitvoering tot in detail te betichten van onrechtmatigheden.
Voor die zorgvuldige betrokkenheid vanuit de politiek is moed nodig, naast kennis en een intrinsieke overtuiging dat de rechtsstaat het waard is. Dat kan uiteindelijk ook leiden tot een betere voorbereiding van wetgeving door een dialoog, dan duurt het maar wat langer ...

P.J. Westerhof LL.M MIM 27 mei 2022 12:55

Mooi overzichtsartikel.
Wel wil ik graag benadrukken dat hier een fundamenteler punt speelt dat sec niets van doen heeft met IT.
Nl. dat de afgelopen jaren de kwaliteit van het wetgevingsproces hard onderuit is gegaan.
En dat is dus een directe kwestie van gebrek aan 'Goed Ambtenaarschap'.

Bij elk wetsvoorstel - óók voor AMVB's en besluiten - geldt dat een uitvoeringsparagraaf, een IT-paragraaf, een beveiligingsparagraaf, een privacy-pargraaf, en (meestal) een PIA dient te worden opgesteld.
In de praktijk gebeurt dat meer niet dan wel.

Wim de Raadt 25 mei 2022 14:19

Probleem is :De gebruiker wordt teveel belast en moet te veel tijd besteden om dit te doorgronden. Mijn advies maak een simpele flowchart workflow met uitleg om gelijk hiermee aan de slag te kunnen. Wie wil mag zich verdiepen anders vertragen deze wetten het werkproces en creëert irritatie.

Reactie toevoegen
De inhoud van dit veld is privé en zal niet openbaar worden gemaakt.