Maandelijkse archieven: maart 2021

AVG: AI, algoritmes en automatische besluitvorming

Column onder redactie van Gerrit van Rooij
Functionaris Gegevensbescherming (FG) van HelloFlex group

“In mijn rol als Functionaris Gegevensbescherming krijg ik regelmatig vragen over de AVG (Algemene Verordening Gegevensbescherming). Meestal zijn deze vrij simpel te beantwoorden, maar ik krijg ook vragen waar ik wat langer over moet nadenken. De AVG geeft niet altijd eenduidige en evidente antwoorden. Soms is het handig met iemand te sparren over het juiste antwoord. Dit bracht mij op het idee om een rubriek te starten waarin experts periodiek een ingebrachte vraag of issue bespreken.

In dit blog nodig ik Jolanda Aalten*, advocaat arbeidsrecht en privacyrecht, en Theo Spijkerman**, Data Privacy Lead Adecco Group, uit hun visie te delen.”

Het veld van recruitment is sterk in ontwikkeling. Om kosten te besparen, maar met name om betere kandidaten uit de markt te halen, wordt in toenemende mate gebruik gemaakt van nieuwe technieken. Deze ontwikkeling is door corona zelfs versneld. Door de verplichting thuis te werken wordt er inmiddels veel meer gebruik gemaakt van tools om online gesprekken te voeren. In dit blog leggen we dit keer een aantal vragen bij onze privacy specialisten neer over deze ontwikkelingen en dan met name de vraag met welke regels van de AVG je te maken hebt.

1. Om te beginnen. Je hoort veel over de toepassing van AI en algoritmes. Wat betekenen die begrippen?

Theo Spijkerman:
Een algoritme is niet anders dan een aantal beslisregels. Denk maar aan de stappen van een recept om je favoriete gerecht te maken. Vaak gaat het bij algoritmes echter om technologie en data die verzameld is.

Stel, je hebt een groot aantal cv’s ontvangen in antwoord op een personeelsadvertentie. Hoe bepaal je nu welke cv’s het beste aan het wervingsprofiel beantwoorden? Om dat te bepalen zouden verschillende algoritmen kunnen worden ontwikkeld, variërend in type en omvang. Bijvoorbeeld een eenvoudig algoritme dat cv’s alleen screent op opleiding en/of diploma’s, of complexere algoritmen die ook rekening houden met taalgebruik of zinslengte, om zo tot een selectie te komen. Wanneer AI wordt toegepast binnen HRM zullen algoritmes bij voorkeur zelfs basisbegrippen moeten kennen als betrokkenheid, bevlogenheid en medewerkerswelzijn. Daarnaast zal intelligente software moeten leren omgaan met vaagheid en waarschijnlijkheden. Daarom is ook statistiek belangrijk binnen AI.

We kunnen stellen dat er sprake is van kunstmatige intelligentie (Artificial Intelligence, AI) als (computer)systemen onze eigen intelligentie nabootsen om taken uit te voeren en daarbij zichzelf kunnen verbeteren op basis van de vergaarde informatie.
Zie voor definities ook de Autoriteit Persoonsgegevens.

2. Als je deze technieken gebruikt, wat zijn dan de belangrijkste AVG-criteria om rekening mee te houden?

Jolanda Aalten:
Als er geautomatiseerd persoonsgegevens worden verwerkt, dan is de AVG van toepassing. Ik noem een paar belangrijke regels waar je rekening mee moet houden:

• Weet je wat de privacy risico’s zijn? Om deze helder te krijgen moet je een dataprotection impact assessment (DPIA) uitvoeren. Op basis hiervan moet je maatregelen vaststellen om deze risico’s te beperken. En een plan van aanpak opstellen om deze uit te voeren.
• Heb je een geldige grondslag om de gegevens te verwerken? Denk aan toestemming van betrokkene, of wellicht is het noodzakelijk voor de uitvoering van een overeenkomst.
• Heb je betrokkenen (bijvoorbeeld sollicitanten) voldoende geïnformeerd over de verwerking en weten ze wat er met hun persoonsgegevens gebeurt?
• Heb je voldoende maatregelen genomen om de gegevens te beveiligen (zie ook de DPIA).

Meer specifiek zijn de volgende aandachtspunten in de AVG van toepassing:

• Zijn de verwerkingen behoorlijk. In de Engelse tekst van de AVG gaat het om ‘fairness”, wat je kunt vertalen als eerlijk en niet in strijd met rechtsregels. Je moet er dus altijd voor zorgen dat verwerkingen niet in strijd zijn met andere wetten bijvoorbeeld, de Wet gelijke behandeling.
• Is er sprake van automatische besluitvorming en voldoe je aan de voorwaarden om deze te mogen toepassen? In de toelichting van de AVG wordt als voorbeeld voor automatische verwerking de verwerking van sollicitaties genoemd.

3. Hoe zit dat precies met die automatische besluitvorming?

Jolanda Aalten:
Het scheelt natuurlijk een hoop tijd als je de voorselectie van CV’s – inclusief de afwijzing naar kandidaten – geautomatiseerd kan laten plaatsvinden. Maar let op, automatische verwerking is niet toegestaan als de beslissingen een grote impact hebben op betrokkenen. En dat is het geval als een sollicitant wordt afgewezen.

Er is wel een uitzondering en dat is als dit gebeurt met de uitdrukkelijke toestemming van de sollicitant. Deze moet dan wel “vrijelijk” gegeven zijn en de vraag is of daar sprake van kan zijn tussen een sollicitant en een potentiële werkgever. De sollicitant wil immers graag die baan en heeft weinig in te brengen. Een andere uitzondering is als de verwerking op basis van een overeenkomst plaatsvindt. Je zou kunnen redeneren dat een sollicitatie een stap op weg is naar een arbeidsovereenkomst.

Ga je vervolgens met deze geautomatiseerde verwerking aan de slag, dan moet je altijd een menselijke factor inbouwen. Kandidaten moet de optie geboden worden om te horen waarom ze afgewezen zijn en om de afwijzing aan te kunnen vechten. Ook is het belangrijk dat je vooraf helder naar de sollicitanten communiceert over de procedure en de eventuele logica waarmee geautomatiseerde beslissingen genomen worden.

Maar ga niet over een nacht ijs als je dit gaat doen. Ga altijd na of zaken goed ingeregeld zijn. Ik las laatst een bericht van de toezichthouder uit Engeland en die geeft aan dat een geautomatiseerde verwerking bij sollicitanten “likely to be illegal” is. Sollicitanten kunnen volgens haar namelijk geen vrijelijke toestemming geven en het is niet ‘noodzakelijk’ voor de totstandkoming van een overeenkomst.

4. Hoe zit dat met algoritmes en discriminatie?

Theo Spijkerman:
Discriminatie is letterlijk “het maken van onderscheid”. We spreken van discriminatie bij het onrechtmatig onderscheid tussen mensen of groepen, bijvoorbeeld in situaties van ongelijke behandeling. Als mens maken we fouten! Sterker nog, het maken van fouten is leerzaam en hoognodig. Het maken van fouten is nagenoeg onvermijdelijk. Ook bij de selectie van cv’s kunnen mensen fouten maken, bijvoorbeeld doordat er bewust of onbewust gediscrimineerd wordt. Een optie hierbij zou kunnen zijn om dergelijke selectieprocessen te automatiseren aan de hand van een algoritme. AI maakt de selectie doorgaans eerlijker omdat een computer niet bevooroordeeld is terwijl de mens (bewust of onbewust) dat wel kan zijn.

Dergelijke selectie-algoritmes worden in de praktijk gevoed met operationele data. Is die input niet juist – bijvoorbeeld door ongelijke behandeling van mannen en vrouwen – dan is ook de output niet juist. Garbage in, garbage out! Algoritmes werken dan onredelijk of discriminerend. Een voorbeeld is Amazon. Ze gebruikten een algoritme om de betere cv’s te selecteren, maar uiteindelijk bleek dat dit algoritme vrouwen benadeelde. Het algoritme werd in feite gevoed met vooral cv’s van mannelijke kandidaten.

Zo wordt er ook vaker gebruik gemaakt van tools die voorspellingen doen op basis van gezichtstrekken of stemgebruik. De technieken worden natuurlijk steeds beter maar blijf altijd alert op de beperkingen van dit soort systemen. Deze kunnen tot onredelijke uitslagen leiden omdat ze bijvoorbeeld onvoldoende rekening houden met het feit dat hoe men zich gedraagt of uitdrukt vaak cultureel bepaald is. Een ander voorbeeld: Duitse onderzoekers hebben dit soort software ook getoetst. En wat bleek: sollicitanten die een bril opzetten of voor een boekenkast gingen zitten kwamen vaak beter uit de test dan die zonder boekenkast of bril.

Tenslotte: ook software die cv’s leest kun je blijkbaar makkelijk misleiden. Door bijvoorbeeld in witte onleesbare letters ‘Cambridge’ of ‘ Oxford’ op te nemen in je cv.

Meer weten over dit onderwerp: lees ook eens het rapport van het Rathenau instituut over de grenzen van de digitalisering in het HR-vlak.

Gerrit van Rooij, Functionaris Gegevensbescherming (FG) van HelloFlex group

Wil je ook een vraag inbrengen, laat het ons weten, via persoonsgegevens@helloflexgroup.com.

*Jolanda Aalten
Jolanda Aalten is advocaat privacyrecht en arbeidsrecht. Zo is zij als privacyrecht advocaat werkzaam geweest voor de ABU en werkt zij voor de Nationale Politie. Daarnaast is zij voor diverse organisaties, waaronder uitzendorganisaties werkzaam als Functionaris voor de Gegevensbescherming.

**Theo Spijkerman
Theo Spijkerman is al meer dan 25 jaar actief in de uitzend-, detacherings- en payrollbranche waarvan de laatste ruim 15 jaar bij The Adecco Group (AGN). Hier is hij gestart in een commerciële rol met verantwoordelijkheid voor Noord-Oost Nederland waarna hij een stap heeft gemaakt naar de landelijke functie van HR-manager flex. Sinds 2017 is Theo als Data Privacy Lead verantwoordelijk voor het privacy beleid binnen AGN.

Lees ook deze informatieve blogs:
AVG en gebruik van social media bij recruitment
AVG en het gebruik van BSN
AVG en het verstrekken van persoonsgegevens