Je hebt een tool ingesteld die automatisch bepaalt of een bezoeker een proefabonnement mag starten, op basis van IP-regio en bestelhistorie. De bezoeker ziet een afwijzing, zonder uitleg en zonder de mogelijkheid om er iets aan te doen. Dat voelt misschien als een intern technisch detail, maar het raakt direct aan artikel 22 van de AVG. Dit artikel bepaalt wanneer je iemand niet zomaar aan een geautomatiseerde beslissing mag overlaten, en wat je in dat geval verplicht moet regelen. Hieronder loop je stap voor stap door de regels, met concrete voorbeelden die je direct kunt toetsen aan jouw eigen situatie.

Wanneer ‘automatisch’ ook juridisch beladen wordt: de drempeltest

Niet elke automatische verwerking valt onder avg artikel 22. Er zijn twee cumulatieve criteria: de beslissing moet uitsluitend gebaseerd zijn op geautomatiseerde verwerking, en die beslissing moet aanzienlijke gevolgen hebben voor de betrokkene. Beide moeten tegelijkertijd gelden.

Uitsluitend geautomatiseerd betekent dat er geen wezenlijke menselijke beoordeling plaatsvindt voordat het besluit effect krijgt. Een medewerker die de uitkomst van een algoritme alleen rubber-stampt zonder inhoudelijke toets, telt niet als menselijke tussenkomst. Aanzienlijke gevolgen zijn gevolgen die de rechtspositie, financiële situatie of toegang tot diensten van iemand reëel beïnvloeden. Denk aan afwijzing van een lening, blokkering van een account of weigering om een dienst te mogen gebruiken. Een advertentie die iets anders toont, valt daar normaal gesproken niet onder.

Drie websitescenario’s die wél onder artikel 22 vallen

Het helpt om het abstract te maken met herkenbare voorbeelden. Stel je voor dat je een webshop hebt die terugkerende klanten automatisch een hogere prijs toont dan nieuwe bezoekers, zonder dat een mens dat per geval beslist. Dat is gepersonaliseerde prijsstelling op algoritmische basis, en dat raakt direct aan de financiële belangen van de bezoeker. Artikel 22 is dan van toepassing.

Een tweede scenario: je biedt een achteraf-betaaloptie aan via een geïntegreerde kredietbeoordelingstool. De tool kijkt naar betaalgeschiedenis, postcode en bestelpatroon en geeft automatisch groen of rood licht. Geen mens die meekijkt. Dit is een klassiek geval van geautomatiseerde krediet- of leningafwijzing. De gevolgen voor de betrokkene zijn evident en aanzienlijk.

Een derde, minder voor de hand liggend voorbeeld: een SaaS-platform dat via een algoritme bepaalt of een nieuw aangemeld account als ‘verdacht’ wordt gemarkeerd en automatisch de toegang blokkeert, voordat er ook maar één medewerker naar heeft gekeken. Algoritmische toegangsweigering, met directe gevolgen voor de gebruiker. Ook hier geldt artikel 22.

Drie scenario’s die er nét naast vallen, en waarom de grens dunner is dan je denkt

Aanbevelingswidgets, zoals ‘anderen kochten ook’, geven een gepersonaliseerde suggestie maar beslissen niets. De bezoeker kan het advies negeren en gewoon bestellen wat hij wil. Er zijn geen aanzienlijke gevolgen, dus artikel 22 is niet van toepassing. Toch: als dezelfde widget bepaalde producten consequent verbergt voor specifieke gebruikersgroepen op basis van profiling, begint de grens te schuiven.

A/B-testen waarbij je twee versies van een landingspagina test, valt ook buiten de reikwijdte. Je past de inhoud aan om te leren wat beter converteert. De bezoeker ondervindt geen nadeel dat zijn rechtspositie of toegang beïnvloedt.

Cookiepersonalisatie, waarbij je op basis van cookies content aanpast, valt normaal gesproken evenmin onder artikel 22. Maar let op: zodra diezelfde cookiedata wordt gebruikt om automatisch te bepalen of iemand wel of geen toegang krijgt tot een premium laag, of welke prijs iemand ziet, kun je wél in artikel 22-territorium belanden. De techniek is dezelfde; de toepassing maakt het verschil.

De drie wettelijke grondslagen om geautomatiseerde besluitvorming toe te staan

Artikel 22 verbiedt geautomatiseerde besluitvorming niet absoluut, maar stelt voorwaarden. Je hebt een van de drie grondslagen nodig: toestemming van de betrokkene, noodzaak voor de uitvoering van een overeenkomst, of een wettelijke verplichting of bevoegdheid op grond van EU- of lidstatelijk recht.

Voor de meeste webshops en SaaS-aanbieders is de grondslag ‘noodzaak voor de overeenkomst’ het meest realistisch. Als jouw dienst simpelweg niet werkt zonder geautomatiseerde beoordeling, omdat handmatige toetsing van duizenden aanvragen per dag onmogelijk is, kun je dit onderbouwen. Toestemming klinkt aantrekkelijk, maar heeft een groot nadeel: de bezoeker moet die toestemming vrij kunnen geven én intrekken, en je mag de dienst dan niet weigeren puur omdat iemand geen toestemming geeft. Dat maakt toestemming in de praktijk fragiel als grondslag. De derde grondslag, een wettelijke bepaling, is vooral relevant voor overheidsinstanties of gereguleerde sectoren zoals financiën.

Rechten die de bezoeker krijgt zodra artikel 22 van toepassing is

Als artikel 22 van toepassing is, heeft de betrokkene drie concrete rechten. Ten eerste het recht op menselijke tussenkomst: een echte medewerker moet het besluit opnieuw kunnen beoordelen op verzoek. Ten tweede het recht om het besluit aan te vechten, wat betekent dat je een klacht- of bezwaarprocedure moet hebben. Ten derde het recht op uitleg over de onderliggende logica.

Die laatste eis is waar het in de praktijk vaak misgaat. ‘Zinvolle informatie over de onderliggende logica’ betekent niet dat je je volledige broncode deelt, maar wel dat je in begrijpelijke taal uitlegt welke factoren een rol spelen, hoe die worden gewogen, en waarom dat in dit specifieke geval tot het besluit heeft geleid. Een webshop die automatisch achteraf-betalen weigert, moet dus kunnen uitleggen: ‘Jouw aanvraag is afgewezen op basis van het bestelpatroon en de opgegeven postcode, waarbij een drempelwaarde niet is gehaald.’ Vaag blijven is niet voldoende.

Wat je privacyverklaring verplicht moet vermelden

Zodra artikel 22 op jouw website van toepassing is, moet je privacyverklaring een aantal elementen bevatten. De Autoriteit Persoonsgegevens verwacht minimaal het volgende:

  • Dat er sprake is van geautomatiseerde besluitvorming en wat de gevolgen daarvan zijn voor de betrokkene.
  • De gehanteerde grondslag (toestemming, overeenkomst of wettelijke bepaling).
  • Welke categorieën persoonsgegevens worden gebruikt bij de beslissing.
  • Welke logica ten grondslag ligt aan de beslissing, beschreven in begrijpelijke taal.
  • Hoe de betrokkene menselijke tussenkomst kan aanvragen en hoe hij het besluit kan aanvechten.

Een voorbeeldformulering die je kunt aanpassen: ‘Wij gebruiken geautomatiseerde systemen om te bepalen of je in aanmerking komt voor [dienst/betaaloptie]. Dit besluit is gebaseerd op [factoren, bijvoorbeeld: bestelhistorie, opgegeven adresgegevens en betalingspatroon]. Je hebt het recht om dit besluit door een medewerker opnieuw te laten beoordelen. Neem daarvoor contact op via [e-mailadres], en je ontvangt binnen [termijn] een reactie.’

De technische en organisatorische kant: hoe je het menselijke tussenkomst-recht operationeel maakt

Het recht op menselijke tussenkomst moet meer zijn dan een vinkje in je privacyverklaring. Je hebt een werkend contactpunt nodig, een duidelijke reactietermijn en een escalatieroute als de eerste medewerker er niet uitkomt.

Praktisch gezien werkt dit het beste met een apart e-mailadres of formulier dat specifiek gelabeld is voor bezwaar tegen geautomatiseerde beslissingen, zodat het niet verdwijnt tussen algemene klantenservicemails. Stel een reactietermijn in van maximaal vijf werkdagen voor een eerste inhoudelijke reactie. Leg intern vast wie bevoegd is om een besluit te herzien en wie de hogere beroepsinstantie is als de eerste beoordeling betwist wordt. Dit hoeft niet ingewikkeld te zijn, maar het moet werken. Als de AP ooit een klacht onderzoekt, wil je kunnen aantonen dat de procedure echt is uitgevoerd en niet alleen op papier bestaat.

Veelgemaakte misser: opt-in voor personalisatie is geen toestemming voor geautomatiseerde besluitvorming

Veel website-eigenaren denken dat een cookiebanner met een opt-in voor ‘gepersonaliseerde inhoud’ hen ook dekt als diezelfde personalisatiedata gebruikt wordt voor geautomatiseerde beslissingen. Dat klopt niet. Toestemming voor personalisatie van content is een andere rechtshandeling dan toestemming voor geautomatiseerde besluitvorming met aanzienlijke gevolgen. De lat voor het tweede is hoger: de betrokkene moet expliciet geïnformeerd zijn over het feit dat er een bindende of zwaarwegende beslissing wordt genomen op basis van algoritmen, en toestemming daarvoor specifiek hebben gegeven.

Leg het onderscheid dan ook vast in twee aparte verwerkingsdoeleinden in je privacyverklaring en, als je met toestemming werkt, in twee aparte toestemmingsmomenten met duidelijke uitleg per doel. Combineer ze niet in één vinkje.

Stappenplan: bepaal binnen een middag of artikel 22 op jouw website van toepassing is

Met vier gerichte vragen kom je snel tot een antwoord.

Stap 1: Gebruikt jouw website of platform een systeem dat automatisch een beslissing neemt over individuele bezoekers of gebruikers, zonder dat een medewerker per geval meekijkt? Denk aan prijsmodules, toegangstools, scoringsalgoritmen of afwijzingssystemen. Zo ja, ga naar stap 2.

Stap 2: Heeft die beslissing aanzienlijke gevolgen voor de betrokkene? Wordt iemand geweigerd, krijgt iemand een hogere prijs, of wordt de toegang tot een dienst beperkt? Zo ja, dan is artikel 22 van toepassing en ga je naar stap 3.

Stap 3: Welke grondslag gebruik je? Controleer of je een van de drie geldige grondslagen hebt en of je die aantoonbaar kunt onderbouwen. Toestemming? Zorg dat die specifiek, vrij en gedocumenteerd is. Noodzaak voor de overeenkomst? Leg vast waarom handmatige beoordeling geen reëel alternatief is.

Stap 4: Staat alles correct in je privacyverklaring en werkt je bezwaarprocedure echt? Test het zelf: stuur een mail naar je eigen contactpunt en kijk wat er gebeurt. Controleer je privacyverklaring op de verplichte elementen uit de sectie hierboven. Als er iets ontbreekt, is dit het moment om het aan te passen.

Als een algoritme op jouw website beslissingen neemt die mensen echt raken, heb je verplichtingen: transparantie over de gebruikte logica, een reële mogelijkheid voor bezwaar, en een correcte vermelding in je privacyverklaring. De meeste problemen ontstaan niet door kwade wil, maar doordat de grens van artikel 22 makkelijk over het hoofd wordt gezien. Met het stappenplan uit dit artikel kun je dat voor je eigen website nagaan. Heeft je privacyverklaring aanpassing nodig, gebruik dan onze gratis AVG-conforme generator om de juiste formuleringen op te stellen.