Privacywaakhond eist uitleg van Hoekstra over visumsoftware

Om welke software gaat het?

Om te bepalen wie wel of geen visum krijgt, gebruiken rijksambtenaren een computerprogramma, genaamd Informatie Ondersteund Beslissen (IOB). Dat programma adviseert op basis van onder andere nationaliteit, geslacht, leeftijd en plaats van de aanvraag of ambtenaren de aanvraag ‘kort’ dan wel ‘intensief’ moeten controleren.

Bij de intensievere procedure kijken ambtenaren ook naar extra documenten of doen ze extra interviews; de software bepaalt dus of dit nodig is. Aanvragen die in de fast track terechtkomen, worden vaker toegekend dan die in de intensive track.

Hoe is de aanvraagprocedure nu geregeld?

Decennialang verliep de visumverstrekking via de Nederlandse ambassades in het buitenland. Inmiddels is het eerste deel van de procedure uitbesteed aan het bedrijf VFS Global, een multinational uit Dubai. Medewerkers van dat bedrijf administreren en digitaliseren vrijwel overal ter wereld aanvragen voor Nederland – behalve in China, daar doet het Franse bedrijf TLS het.

Vervolgens worden de aanvragen behandeld door 118 beslisambtenaren in Den Haag. Deze worden ondersteund door het visumalgoritme van IOB. Zonder het systeem zouden er enkele tientallen mensen extra op het Haagse kantoor nodig zijn, zei het ministerie eerder tegen NRC.

Wat zijn de zorgen van de Autoriteit Persoonsgegevens (AP)?

De toezichthouder vreest dat de software discriminatie in de hand werkt, omdat automatische selectie op basis van nationaliteit en afkomst invloed zou hebben op de uitkomst van de procedure. De AP baseert haar zorgen op inzage van talloze documenten en gesprekken met de voormalige ‘functionaris gegevens­bescherming’ van het departement.

Die trok al eerder aan de bel. Na de invoering van de Algemene verordening gegevensbescherming (AVG) in 2019 werd hij aangesteld om te controleren of het ministerie van buitenlandse zaken zich aan de privacywetgeving houdt. In 2021 trok hij twee conclusies. Het inhuren van private buitenlandse partijen voor de gegevensverwerking van visumaanvragers zou privacy in gevaar brengen. En het visumalgoritme IOB heeft mogelijk een discriminerend karakter.

Voor de slechte beveiliging van gevoelige persoonsgegevens gaf de AP vorig jaar al een boete van 565.000 euro en een dwangsom van 50.000 euro aan Buitenlandse Zaken. Die beveiligingslekken zijn intussen gedicht. Nu uit de AP dus haar zorgen op het tweede pijnpunt: de mogelijk discriminerende software.

Wat moet de minister nu doen?

In eerste instantie wil de AP nu vooral de ‘verwerkingsverantwoordelijke’ spreken – in dit geval Wopke Hoekstra. De wet verplicht hem om tekst en uitleg te geven. “Wij willen weten hoe het met de visumverwerking zit en hoe het ministerie is omgegaan met de kritiek van de interne toezichthouder”, aldus een woordvoerder van de AP.

Volgens de wet heeft de verwerkingsverantwoordelijke een omgekeerde bewijslast. Dit betekent dat deze persoon vooraf moet controleren dat de wet juist wordt uitgevoerd en voldoet aan allerlei randvoorwaarden. De AP-woordvoerder vindt het dan ook ‘volstrekt logisch’ dat de minister voor uitleg wordt uitgenodigd. “Het is zo’n ernstige, grote zaak waarbij mensen mogelijk gedupeerd zijn.”

Lees ook:

Kunstmatige intelligentie is een spiegel van de maatschappij. ‘Je krijgt terug wat je erin stopt’

Wie brengt een systeem met kunstmatige intelligentie normen en waarden bij. De Verenigde Staten, China, of Europa?