Als we kijken naar de top 10 van meest waardevolle bedrijven dan hebben ze één ding gemeen: ze maken optimaal gebruik van data om hun winst te maximaliseren. Langzaam beginnen ook publieke organisaties te geloven dat zij betere resultaten kunnen behalen door slim met data om te gaan. De trend van datagedreven werken zien we daarom ook terug bij gemeenten, overheidsinstanties en uitvoeringsorganisaties.
Steeds meer gemeenten willen datasets aan elkaar koppelen om slimme analyses te maken. Maar helaas zien wij dat datagedreven werken vaak als doel wordt gezien in plaats van als middel. En dan kan de AVG wel eens als een belemmerende factor worden ervaren. In mijn blog leg ik uit hoe je data kunt gebruiken om strategische doelstellingen te halen – waarbij de AVG niet tegenover, maar juist naast je staat.
De belofte van datagedreven werken
De belofte van datagedreven werken voor de publieke sector is simpel: u kunt lastige problemen oplossen door slim gebruik te maken van data. Volgens het Ministerie van Justitie en Veiligheid leidt datagedreven werken tot een veiligere en rechtvaardigere samenleving. Stadsbestuurders zien datasystemen vooral als de sleutel tot het aanpakken van maatschappelijke- en duurzaamheidsproblemen in de stad.
Toch lieten grote datagedreven initiatieven zoals het Systeem Risico Indicatie (SyRI), de Broedkamer van de Belastingdienst, de fraudebestrijding bij toeslagen en de analyseclub van de politie zien dat datagedreven werken niet altijd leidt tot een eerlijke of rechtvaardigere samenleving. Maar hoe creëren publieke organisaties dan wél meerwaarde uit de bakken van data die ze hebben? En hoe zorgen we ervoor dat het niet fout gaat?
Wat is het doel van de data?
Aan het begin van de AVG – overweging 4 – staat misschien wel de belangrijkste passage: de verwerking van persoonsgegevens moet ten dienste van de mens staan. Dat is een handig uitgangspunt om mee te beginnen, vooral in de publieke sector. Wat wil je precies bereiken en hoe gaat de data hierbij helpen? Nog mooier is om te onderbouwen hoe de mens er beter van wordt en welke rol de overheid daarin kan spelen.
Dat is niet alleen logisch vanuit ethisch oogpunt, het geeft ook invulling aan de noodzakelijkheidsvereiste van de AVG. Die stelt namelijk dat de gegevensverwerking effectief moet bijdragen aan het doel.
Nadat het doel duidelijk is en u in kaart heeft gebracht welke data u wilt gebruiken, komt het verzamelingsvraagstuk. Data zijn vaak voor een ander doel verzameld dan voor het nieuwe, datagedreven doel. Onze ervaring leert dat doelbinding vaak het grootste probleem is bij dit soort projecten. De AVG maakt het ingewikkeld om gegevens voor een ander doel te gebruiken dan waarvoor ze oorspronkelijk zijn verzameld.
De verenigbaarheidstoets
De AVG biedt een aantal uitzonderingen, waardoor u de gegevens soms toch voor een ander doel mag gebruiken. Bijvoorbeeld als u hiervoor toestemming vraagt of als er sprake is van een wettelijke verplichting. Ook zijn er uitzonderingen voor statistische- of wetenschappelijk onderzoeken, hoewel daar wel lastige voorwaarden aan verbonden zijn.
Toch bieden dit soort uitzonderingen vaak geen uitkomst. Voor de uitzondering voor wetenschappelijk onderzoek moet er sprake zijn van een wetenschappelijke opzet en publicatie in een vakblad. Aan toestemming zitten veel administratieve lasten verbonden en het wordt problematisch als betrokkenen hun toestemming intrekken.
Meer voor de hand ligt de verenigbaarheidstoets. De AVG biedt de mogelijkheid om gegevens voor andere doelen te gebruiken, mits ze verenigbaar zijn met het doel waarvoor ze zijn verzameld. Om dat te kunnen bepalen moet er rekening gehouden worden met vijf onderdelen:
- het verband tussen het oorspronkelijke en het nieuwe doel;
- het kader van de oorspronkelijke verzameling (met name de verhouding tussen de verwerkingsverantwoordelijke en de betrokkene);
- de aard van de persoonsgegevens (bijzondere categorieën of niet);
- de mogelijke gevolgen van de verwerking;
- het bestaan van passende waarborgen (waaronder versleuteling en pseudonimisering).
In mijn optiek zijn vooral de laatste twee onderdelen van belang. De AVG draait immers om het voorkomen van schade. Maar om antwoord te kunnen geven op deze vragen (met name op D en E), zult u echt een data protection impact assessment (DPIA) moeten uitvoeren.
Waarom een DPIA zo waardevol is
Bij de DPIA begint vaak al de eerste weerstand. Wéér zo’n risicoanalyse. Maar niet getreurd. Want wat u ook gaat doen met persoonsgegevens, het is altijd nuttig om een DPIA uit te voeren. In deze analyse komen namelijk alle basisprincipes van de AVG terug. Door eerst na te denken over het doel, de risico’s en de maatregelen ontstaat er altijd een betere projectopzet. De tijd en middelen die u kwijt bent aan de DPIA verdient u daardoor vrijwel zeker op een andere manier weer terug.
Helaas worden DPIA’s nu nog te vaak pas tijdens of aan het einde van het project uitgevoerd. Dan draait het niet meer om de nuttige inzichten van de DPIA, maar wordt het alleen maar uitgevoerd vanwege de wettelijke verplichting. En dat terwijl de DPIA hét instrument is om een helder doel te formuleren, waardevolle data te krijgen van ketenpartners en het belangrijkst: om schade te voorkomen bij betrokkenen.
Het is wel belangrijk om te benoemen dat een DPIA een levend document is. Vooral bij grote, datagedreven initiatieven zal een DPIA dus regelmatig bijgeschaafd moeten worden. Bij dit soort projecten valt het namelijk te verwachten dat de opzet, het doel en mogelijk zelfs de data die u hiervoor wilt gebruiken gaandeweg veranderen.
De conclusie
Publieke organisaties hebben op dit moment een niet al te best trackrecord opgebouwd met datagedreven innovaties. De misstanden omtrent SyRI, de Broedkamer van de Belastingdienst en de toeslagenaffaire zorgen voor een negatief discours omtrent het (grootschalig) combineren van data. Ook is er hierdoor – terecht – veel wantrouwen ontstaan van burgers richting een datagedreven overheid.
Om het tij te keren moet onze publieke sector flink investeren, om aan te tonen dat zij wél verantwoord met data kan omgaan. De eerste stap is een juiste en volledige toepassing van de AVG. De AVG biedt overheden voldoende mogelijkheden om grootschalige experimenten met data-analyses uit te voeren. Analyses die ons kunnen helpen om grote maatschappelijke problemen tegen te gaan, zoals sociale ongelijkheid en klimaatverandering.
Maatschappelijk verantwoord omgaan met data kost energie, tijd en geld. Maar uiteindelijk zult u zien: die investering is het waard. Ook in de datagedreven wereld geldt het gezegde ‘wat je zaait is wat je oogst’.