Afgelopen november publiceerde de Europese Commissie de Digitale Omnibussen. Een stapel voorstellen die door allerlei belangrijke digitale rechten een streep dreigen te halen. In dit artikel gaan we dieper in wat de voorgestelde wetswijzigingen inhouden.

Onbeschermde versleutelde gegevens

De Europese Commissie stelt voor om gepseudonimiseerde gegevens niet meer als persoonsgegevens aan te merken. Hierdoor zou de Algemene verordening gegevensbescherming (AVG) niet meer van toepassing zijn. Bij geanonimiseerde persoonsgegevens is dat nu al zo, maar het verschil is dat er bij geanonimiseerde gegevens geen sleutel is waarmee gegevens terug te herleiden zijn tot de persoon. Bij gepseudonimiseerde persoonsgegevens is die sleutel er wel. Iedereen die deze sleutel heeft kan bij gepseudonimiseerde versleutelde persoonsgegevens achterhalen wie de persoon in kwestie is. Dat maakt gegevensbescherming belangrijk.

De afgelopen jaren is het door grootschalige dataverzameling en de ontwikkeling van technologie steeds makkelijker geworden om gegevens te koppelen. Door verschillende databronnen te combineren, bestaat de mogelijkheid dat je ook geanonimiseerde gegevens kunt herleiden tot een persoon. Denk bijvoorbeeld aan reisgegevens. Iemand die steeds dezelfde route neemt van huis naar werk, kan vrij eenvoudig achterhaald worden. Er worden daarom hoge eisen gesteld aan anonimisering, waarbij rekening gehouden moet worden aan de mogelijkheid dat iemand tóch herleidbaar is. Nu gaat de Europese Commissie hier volledig aan voorbij door pseudonimisering uit te willen zonderen van de AVG. En dat heeft grote gevolgen voor burgers, want versleutelde gegevens worden op grote schaal verwerkt. Nu moeten er echter waarborgen worden genomen om de gegevens te beschermen, waarbij ook rekening moet worden gehouden met de mogelijkheid dat gegevens toch weer herleidbaar zijn tot een persoon. Met dit voorstel verdwijnen alle waarborgen.

Bijzondere persoonsgegevens mogen worden verwerkt als het extra risicovol is

Op dit moment verbiedt de AVG de verwerking van bijzondere persoonsgegevens. Dat zijn bijvoorbeeld gegevens over iemands gezondheid, etniciteit, religie, seksualiteit en iemands biometrische gegevens. Dat verbod bestaat omdat die gegevens naar hun aard risicovol zijn voor de mensen over wie ze gaan. Zo zijn iemand vingerafdruk of identificatiepunten in iemands gezicht unieke gegevens over een persoon. Misbruik ervan kan ernstige gevolgen hebben voor de persoon zelf en/of voor anderen in de samenleving. Bijvoorbeeld als door AI-toepassingen deepfakes gemaakt worden, die degene iets laten doen, zeggen of ergens laten zijn, wat niet in werkelijkheid is gebeurd. Gegevens over iemands etniciteit, religie of seksuele geaardheid kunnen misbruikt worden om iemand te discrimineren. En gegevens over iemands gezondheid kunnen veel vertellen over iemands persoonlijke leven. Het is dan ook logisch dat er een verwerkingsverbod ligt op deze gegevens. Maar als het aan de Europese Commissie ligt wordt dat verbod opgeheven bij de ontwikkeling en het gebruik van kunstmatige intelligentie. Dat is volkomen onbegrijpelijk, want juist bij AI-toepassingen zien we risico’s voor mensenrechten, waaronder het recht op gelijke behandeling, godsdienstvrijheid en vrijheid van meningsuiting. Het staat haaks op de bedoeling van de AVG om het verbod op de verwerking van persoonsgegevens op te heffen bij het gebruik van technologie waarbij de risico’s juist aantoonbaar groter zijn.

Van de AI-verordening wordt nu al een papieren tijger gemaakt

De AI-verordening is in 2024 aangenomen na jarenlang onderhandeling en het volgen van een democratisch proces. Nog voordat de AI-verordening volledig in werking is getreden, probeert de Europese Commissie belangrijke rechten al af te breken. Zo wordt er voorgesteld om de registratieplicht voor hoog-risico systemen af te schaffen als de aanbieder zelf geen ‘belangrijk’ risico ziet voor de gezondheid, veiligheid of grondrechten. Dus als een AI-toepassing die op grond van de wet als hoog-risico wordt gezien, mag de aanbieder zelf zeggen dat het wel meevalt met die risico’s en er vervolgens voor kiezen het niet op te nemen in het register. Daardoor kunnen mensen, belangenorganisaties en toezichthouders niet meer controleren welke hoog risico AI-toepassingen er worden ingezet.

Ook wil de Europese Commissie uitstellen dat toezichthouders boetes kunnen opleggen aan verkopers van gevaarlijke AI-toepassingen. Daarmee wordt van de AI-verordening al een papieren tijger gemaakt, nog voordat de wet volledig is werking is getreden.

Het doel van de Europese Commissie is naar eigen zeggen het bevorderen van innovatie en de economie. Ze belooft daar ook bij dat fundamentele rechten beschermd zullen worden. Maar niets is minder waar. De voorstellen die gedaan worden door de Europese Commissie hebben weinig te maken met versimpeling en vermindering van administratieve lasten. En als deze voorstellen het halen, worden de belangrijkste fundamentele rechten in deze wetten onherstelbaar geschonden. Dat heeft niet een enorme impact op de manier waarop we naar deze wetten kijken en deze wetten toepassen. Het zal onze maatschappij en persoonlijke levens ingrijpend veranderen. Want als je meest gevoelige, intieme en persoonlijke gegevens gebruikt mogen worden voor AI, en je gegevens op grote schaal versleuteld verwerkt mogen worden zonder dat iemand om hoeft te kijken naar de verplichtingen uit de AVG, wat voor bescherming blijft er dan nog over?

Buitenlandse Zaken deelt onze zorgen

Ook het Ministerie voor Buitenlandse Zaken waarschuwt in haar ficheLees de positie van het ministerie hier voor dat de voorstellen van de Europese Commissie een te groot risico vormen voor fundamentele rechten. Bovendien ziet ook het Ministerie dat de voorstellen niet helemaal overeenkomen met de gestelde doelen van de Europese Commissie. Nederland wil daar daarom opheldering over vragen. Wij denken dat dat dit nog geen deuk in een pakje boter zal slaan. Om te voorkomen dat onze rechten worden afgenomen, is wel meer nodig dan een vriendelijk gesprek. Nederland en andere Europese lidstaten moeten deze slechte voorstellen terug sturen naar de Commissie. Het afzwakken en ondergraven van wetten die via een democratisch proces tot stand zijn gekomen, past de Europese Unie niet. En het via een sluiproute en met valse voorwendselen ondermijnen van de rechten van Europese burgers en bedrijven evenmin.