Gebruik van persoonsgegevens bij algoritmen en AI

Automatisering, algoritmen en kunstmatige intelligentie nemen de wereld over. Niet letterlijk (gelukkig), maar wel figuurlijk. Steeds meer sectoren, waaronder de zorg, zetten datagedreven technologieën in om processen te verbeteren en keuzes te onderbouwen. Dat is zeker geen slechte zaak, want het komt de productiviteit en de besluitvorming ten goede. Een probleem ontstaat wanneer men persoonsgegevens gaat gebruiken om algoritmes te ontwikkelen of AI-systemen te trainen. Dit brengt namelijk privacyrisico’s met zich mee. Een recente uitspraak van de Rechtbank Midden-Nederland (ECLI:NL:RBMNE:2025:1760) bewijst dan weer dat het een en ander wel degelijk mogelijk is, bijvoorbeeld indien de gegevens geanonimiseerd zijn.

De zaak over HoNOS+-gegevens

De genoemde zaak heeft betrekking op de Nederlandse Zorgautoriteit (NZa) en de geestelijke gezondheidszorg (GGZ). De NZa ontwikkelde een algoritme voor het nieuwe zorgprestatiemodel, waarvoor behandelaren verplicht anonieme vragenlijsten over cliënten moesten aanleveren. De rechtbank Midden-Nederland oordeelde dat de verwerking rechtmatig was: de gegevens waren niet herleidbaar tot individuen en dus viel het gebruik ervan buiten het toepassingsgebied van de Algemene Verordening Gegevensbescherming (AVG).

Hoewel de rechtbank concludeerde dat de privacy van de betrokkenen niet direct werd geschaad, bleef er maatschappelijke onrust bestaan. Het zonder expliciete toestemming delen van informatie over mensen hun mentale gesteldheid, voelde voor veel cliënten als een inbreuk op hun persoonlijke levenssfeer aan. Het toont dus aan dat het belangrijk is om de betrokkenen nog altijd goed te informeren, zowel over welke gegevens worden gedeeld als over de mogelijke voordelen hiervan.

Anonimiseren is nog geen garantie

Zelfs wanneer datasets geanonimiseerd zijn, blijft er evenwel een risico bestaan. In de praktijk bestaat altijd de kans dat anonieme gegevens kunnen worden gekoppeld aan andere databronnen, waardoor individuen alsnog geïdentificeerd kunnen worden. In de NZa-zaak werd zwaar meegewogen dat de anonieme gegevens fysiek en organisatorisch gescheiden werden van andere data. Hierdoor is het zo goed als onmogelijk om gegevens tot personen te herleiden. Dit lijkt dan ook een goede aanpak te zijn.

In de zorgsector speelt daarnaast een extra factor: het medisch beroepsgeheim. In de besproken zaak mochten behandelaren hun geheimhoudingsplicht doorbreken, omdat zij wettelijk verplicht waren om gegevens aan te leveren. Dit is natuurlijk niet altijd het geval. Ook buiten de zorg geldt dat medewerkers of klanten erop moeten kunnen vertrouwen dat hun gegevens niet zonder noodzaak of duidelijke toestemming worden gebruikt voor geavanceerde technologieën.

Verantwoord omgaan met persoonsgegevens: aandachtspunten

Het gebruik van geanonimiseerde persoonsgegevens voor algoritmische toepassingen vraagt met andere woorden om uiterste terughoudendheid. Beoordeel altijd of gegevens daadwerkelijk volledig anoniem zijn en blijven. Voorkom een eventuele koppeling van datasets die herleidbaarheid mogelijk maken. Wees daarnaast transparant over de doeleinden en de verwerkingswijze. Zorg ook voor strikte toegangsbeperkingen en beveiliging. Bij vragen over het juridisch correct gebruik van persoonsgegevens voor het ontwikkelen van algoritmen kunt u steeds terecht bij MKBjuristen.nl.