Algoritmes Dienst Toeslagen en Belastingdienst voldoen niet aan AVG
Algoritmes van de Dienst Toeslagen en de Belastingdienst voldoen niet aan de AVG. Dat heeft de Algemene Rekenkamer vastgesteld. De Rekenkamer bekeek drie algoritmes. Alleen het UWV heeft het gebruikte algoritme grotendeels op orde. Volgens de onderzoekers laat dit zien dat de Rijksoverheid ook eisen moet stellen als het om complexe algoritmes en AI gaat, en daarin ook de bescherming van privacy moet worden meegenomen.
Het algoritme van de Dienst Toeslagen wordt gebruikt om persoonlijke begeleiding aan te bieden aan ouders die door terugbetalingen van de kinderopvangtoeslag in problemen dreigen te komen. Op negentien punten werd het algoritme beoordeeld. Bij negen punten stelde de Rekenkamer vast dat er een hoog resterend risico is. Zo is er onvoldoende garantie dat persoonsgegevens zorgvuldig worden verwerkt. Ook zijn er onvoldoende it-beheersmaatregelen genomen om te zorgen dat het algoritme juist en veilig wordt uitgevoerd.
Verder heeft de Dienst Toeslagen voor het algoritme geen actuele data protection impact assessment (DPIA) uitgevoerd, terwijl de AVG dat verplicht. Met een DPIA worden vooraf de privacyrisico's die bij het verwerken van gegevens komen kijken in kaart gebracht. Vervolgens kunnen er maatregelen worden getroffen om de risico's te verkleinen. "Gevoelige gegevens van een kwetsbare groep ouders zijn daarmee niet goed beschermd", luidt het oordeel. Ook maakt de Rekenkamer zich zorgen dat informatie uit het begeleidingstraject door Dienst Toeslagen ook kan worden gebruikt voor andere trajecten, zoals voor toezicht of fraudebestrijding.
De Belastingdienst gebruikt een algoritme voor het opsporen van carrouselfraude. Ook voor dit algoritme is geen DPIA uitgevoerd. "Zonder DPIA bestaat het risico dat de Belastingdienst onvoldoende zicht heeft op de privacyrisico’s en daardoor persoonsgegevens onvoldoende beschermt", aldus de Rekenkamer. Die vindt dat ook de transparantie beter moet. Het algoritme staat wel in de publieke privacyverklaring van de Belastingdienst, maar de fiscus informeert burgers en bedrijven nog niet actief over de verwerking van hun gegevens.
Volgens de Rekenkamer is het belangrijk dat de overheid eisen stelt als het gaat om complexe algoritmes en AI, en daarbij ook rekening houdt met de bescherming van privacy, adequaat it-beheer en het voorkomen van discriminatie.
Dank aan de Rekenkamer voor het vullen van deze gaten, maar hoe heeft deze situatie kunnen ontstaan?
Dank aan de Rekenkamer voor het vullen van deze gaten, maar hoe heeft deze situatie kunnen ontstaan?
Het is erg goed dat alle digitale datastromen gewoon eenduidig, inzichtelijk en veilig zijn. En een analyse hoort daar bij.
Overigens is afgl februari de nieuwe AI wet deels al gestart waar sowieso kritische AI als zodanig tegen het licht moet worden gehouden, wat vast ook niet zo zal zijn.
Wordt wat.
Dank aan de Rekenkamer voor het vullen van deze gaten, maar hoe heeft deze situatie kunnen ontstaan?
Dat zijn allemaal dingen die ook een inhoudelijk oordeel vergen over wat de bedoeling is dat er gebeurt en over hoe het gedaan wordt; de Algemene Rekenkamer kijkt naar veel meer dan alleen maar de vraag of de getalletjes op de balans goed zijn opgeteld. Het zou zijn werk helemaal niet kunnen doen als ze niet inhoudelijk zouden kijken naar dingen waar ook AP en andere instanties naar kijken.
Bedenk ook dat de Algemene Rekenkamer actief periodieke audits uitvoert, terwijl AP voor een belangrijk deel reageert op signalen dat er ergens iets mis is. De audits van de Algemene Rekenkamer zijn een van de bronnen van de signalen waar AP op kan reageren. Zo bezien is het geen dubbel werk maar een taakverdeling.
Dank aan de Rekenkamer voor het vullen van deze gaten, maar hoe heeft deze situatie kunnen ontstaan?
Wellicht komt het doordat niet de AP, maar de rekenkamer over dit onderwerp gaat.
Dank aan de Rekenkamer voor het vullen van deze gaten, maar hoe heeft deze situatie kunnen ontstaan?
Het uitvoeren van een DPIA is (onder omstandigheden) een verplichting van de AVG (art. 35).
Maar de AP is niet de enige die naleving van de AVG controleert. Ook de verwerkingsverantwoordelijke zelf, de FG en zelfs betrokkenen mogen (of moeten) controleren of verwerkingen rechtmatig verlopen.
En de rekenkamer ziet (volgens mij terecht) dat naleving van de AVG onderdeel kan zijn van de controletaak op de totstandkoming van de niet-financiële verantwoordingsinformatie in de jaarverslagen. En afhankelijk van de context kan een zorgvuldige/rechtmatige verwerking van persoonsgegevens zelfs onderdeel zijn van een degelijke financiële huishouding.
Dat is een omslachtige manier om te zeggen: als de AVG niet wordt nageleefd kan dat voor allerlei probelemen zorgen en zo kunnen ook allerlei partijen er iets van vinden.
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
Functionaris Gegevensbescherming
Sigra zoekt een Functionaris Gegevens-bescherming (28-36 uur) die privacytoezicht houdt, adviseert en bijdraagt aan regionale samenwerking in zorg en welzijn. Je werkt deels gedetacheerd, krijgt opleidings-mogelijkheden (o.a. CAICO), en maakt deel uit van een deskundig team. Sterke com-municatie, juridische kennis en ervaring in de zorg zijn essentieel. Interesse? Lees dan snel verder.
Cybersecurity Trainer / Full Stack Developer
bij Certified Secure
Ben je toe aan een nieuwe job waarmee je het verschil maakt? Wil jij je security kennis graag delen en hands-on laten zien hoe cybersecurity in de praktijk echt werkt? Werk je net als wij graag samen met enthousiaste en gedreven collega's? Bij ons geen bureaucratie maar open communicatie en een werkomgeving gericht op samenwerking.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?