MinBZK · BartdeVisser · Jul 4, 2024 · Mar 25, 2024 · Apr 4, 2024 · Apr 11, 2024
diff --git a/docs/vereisten/verantwoordingsplicht_rechtmatigheid.md b/docs/vereisten/verantwoordingsplicht_rechtmatigheid.md
@@ -0,0 +1,66 @@
+---
+title: Verantwoordingsplicht voor de rechtmatigheid van de verwerking
+toelichting: Bij het verwerken van persoonsgegevens voor algoritmes en AI-systemen moeten de verantwoordelijken kunnen aantonen dat de verwerking rechtmatig is.
+status_vereiste: 
+ - Geldend
+levenscyclus: 
+- ontwerp
+- dataverkenning-en-datapreparatie
+- ontwikkelen
+- verificatie-en-validatie
+- monitoring-en-beheer
+- archiveren
+bouwblok: 
+- governance
+- privacy-en-gegevensbescherming
+---
+
+<!-- tags -->
+## Vereiste
+
+De verantwoordelijken moeten bij de verwerking van persoonsgegevens door algoritmes en AI-systemen kunnen aantonen dat de verwerkingen rechtmatig plaatsvinden.
+- Dit betekent concreet dat de volgende punten aangetoond kunnen worden:
+ - Rechtmatigheid, behoorlijkheid en transparantie.
+ - Doelbinding.
+ - Minimale gegevensverwerking.
+ - Juistheid.
+ - Opslagbeperking.
+ - Integriteit en vertrouwelijkheid
+Een aandachtpunt daarbij is dat de rechtmatigheid van de verwerking ten opzichte van andere gerelateerde wetgeving zoals de AI Act en de Algemene wet gelijke behandeling ook moeten kunnen worden aangetoond voor zover de rechtmatigheid van de verwerking onder de AVG daarvan afhankelijk is.
+
+## Toelichting 
+
+Bij het verwerken van persoonsgegevens voor algoritmes en AI-systemen moeten de verantwoordelijkheden duidelijk beschreven en toegewezen zijn.
+De verwerkingsverantwoordelijke is degene die ervoor zorgt dat deze verantwoordelijkheden worden nageleefd en kan dit aantonen, wat bekend staat als de verantwoordingsplicht.
-De verwerkingsverantwoordelijke is degene die ervoor zorgt dat deze verantwoordelijkheden worden nageleefd en kan dit aantonen, wat bekend staat als de verantwoordingsplicht.
+de verwerkingsverantwoordelijke moet ervoor zorgen dat deze verantwoordelijkheden worden nageleefd en dit aantoonbaar is (aantoonbaarheidsvereiste). Dit staat bekend als de verantwoordingsplicht. 
-De verwerkingsverantwoordelijke is degene die ervoor zorgt dat deze verantwoordelijkheden worden nageleefd en kan dit aantonen, wat bekend staat als de verantwoordingsplicht.
+de verwerkingsverantwoordelijke moet ervoor zorgen dat deze verantwoordelijkheden worden nageleefd en dit aantoonbaar is (aantoonbaarheidsvereiste). Dit staat bekend als de verantwoordingsplicht. 
+Deze maatregelen zijn essentieel om de naleving van regelgeving met betrekking tot gegevensbescherming te waarborgen en het vertrouwen van gebruikers in de verwerking van hun gegevens te vergroten.
+
+## Bronnen 
+
+| Bron                        |
+|-------------|
+|Artikel 5 AVG|
+| [Verantwoordingsplicht](https://www.autoriteitpersoonsgegevens.nl/themas/basis-avg/avg-algemeen/verantwoordingsplicht)]
+
+## Wanneer van toepassing? 
+Deze vereiste is van toepassing op alle algoritmen die persoonsgegevens verwerken.
+
+
+## Risico 
+
+Het aantoonbaarheidsvereiste heeft niet direct gevolgen voor specifieke risico's voor betrokkenen. Het niet naleven van deze norm moet worden gekwalificeerd als een onrechtmatigheid, niet als een risico voor de rechten en vrijheden van betrokkenen onder de AVG. Het moeten voldoen aan het aantoonbaarheidsvereiste kan wel risico's hebben voor de organisatie die een algortime inzet. Enkele risico's zijn:
-Het aantoonbaarheidsvereiste heeft niet direct gevolgen voor specifieke risico's voor betrokkenen. Het niet naleven van deze norm moet worden gekwalificeerd als een onrechtmatigheid, niet als een risico voor de rechten en vrijheden van betrokkenen onder de AVG. Het moeten voldoen aan het aantoonbaarheidsvereiste kan wel risico's hebben voor de organisatie die een algortime inzet. Enkele risico's zijn:
+Het aantoonbaarheidsvereiste heeft niet direct gevolgen voor specifieke risico's voor betrokkenen. Het niet naleven van deze vereiste moet worden gekwalificeerd als een onrechtmatigheid, niet als een risico voor de rechten en vrijheden van betrokkenen onder de AVG. Het moeten voldoen aan het aantoonbaarheidsvereiste kan wel risico's hebben voor de organisatie die een algortime inzet. Enkele risico's zijn:
-Het aantoonbaarheidsvereiste heeft niet direct gevolgen voor specifieke risico's voor betrokkenen. Het niet naleven van deze norm moet worden gekwalificeerd als een onrechtmatigheid, niet als een risico voor de rechten en vrijheden van betrokkenen onder de AVG. Het moeten voldoen aan het aantoonbaarheidsvereiste kan wel risico's hebben voor de organisatie die een algortime inzet. Enkele risico's zijn:
+Het aantoonbaarheidsvereiste heeft niet direct gevolgen voor specifieke risico's voor betrokkenen. Het niet naleven van deze vereiste moet worden gekwalificeerd als een onrechtmatigheid, niet als een risico voor de rechten en vrijheden van betrokkenen onder de AVG. Het moeten voldoen aan het aantoonbaarheidsvereiste kan wel risico's hebben voor de organisatie die een algortime inzet. Enkele risico's zijn:
+- Aantoonbaarheidsvereisten vragen in de praktijk veel documentatie. Deze documentatie kan via de Woo opgevraagd worden. Het ontbreken van documentatie kan door externen vaak relatief makkelijk in verband worden gebracht met een overtreding van deze vereisten.
+- Algoritmen die van nature slecht inzichtelijk en uitlegbaar zijn (zoals deep-learning) hebben een zeer hoge drempel om aan deze vereiste te voldoen. Aantonen van rechtmatigheid is voor een belangrijk deel afhankelijk van inzicht in de werking van het algoritme. De inzet van een algortime kan dus mogelijk tegengehouden worden door deze vereisten.
- Algoritmen die van nature slecht inzichtelijk en uitlegbaar zijn (zoals deep-learning) hebben een zeer hoge drempel om aan deze vereiste te voldoen. Aantonen van rechtmatigheid is voor een belangrijk deel afhankelijk van inzicht in de werking van het algoritme. De inzet van een algortime kan dus mogelijk tegengehouden worden door deze vereisten.
+- Voor algoritmes en AI-systemen die van nature beperkt inzichtelijk en uitlegbaar zijn (zoals deep-learning) zullen meer maatregelen moeten worden getroffen om aan deze vereiste te voldoen. Aantonen van rechtmatigheid is voor een belangrijk deel afhankelijk van inzicht in de werking van het algoritme of AI-systeem en de verwerking van de persoonsgegevens (bv. ten behoeve van inputvariabelen). Als de verwerkingsverantwoordelijke deze rechtmatigheid niet kan aantonen, is er sprake van een onrechtmatige verwerking van persoonsgegevens. 
- Algoritmen die van nature slecht inzichtelijk en uitlegbaar zijn (zoals deep-learning) hebben een zeer hoge drempel om aan deze vereiste te voldoen. Aantonen van rechtmatigheid is voor een belangrijk deel afhankelijk van inzicht in de werking van het algoritme. De inzet van een algortime kan dus mogelijk tegengehouden worden door deze vereisten.
+- Voor algoritmes en AI-systemen die van nature beperkt inzichtelijk en uitlegbaar zijn (zoals deep-learning) zullen meer maatregelen moeten worden getroffen om aan deze vereiste te voldoen. Aantonen van rechtmatigheid is voor een belangrijk deel afhankelijk van inzicht in de werking van het algoritme of AI-systeem en de verwerking van de persoonsgegevens (bv. ten behoeve van inputvariabelen). Als de verwerkingsverantwoordelijke deze rechtmatigheid niet kan aantonen, is er sprake van een onrechtmatige verwerking van persoonsgegevens. 
+- Bij leveranciers die niet of gedeeltelijke transparant zijn over hun product of dienstverlening ontstaat een vergelijkbaar risico. Waar de Woo uitzonderingen heeft voor bedrijfsgeheimen heeft de AVG daar maar beperkte ruimte voor. Het is dus mogelijk dat leveranciers terughoudend zullen zijn met het delen van informatie die onder de AVG ook aan betrokkenen gecommuniceerd moeten worden.
+- Samenwerkingsverbanden en externe leveranciers kunnen niet als argumenten worden gebruikt om de aantoonbaarheidsvereisten op af te schuiven. Onafhankelijk van de onderlinge afspraken daarover hebben alle verwerkingsverantwoordelijken de verplichting om aan deze vereisten te kunnen voldoen. 
+
+
+
+## Maatregelen 
+
+- Uitgangspunt is dat de rechtmatigheid van de verwerking van persoonsgegevensmoet kunnen worden aangetoond. Dit betekent concreet dat de volgende punten aangetoond kunnen worden:
+ - Rechtmatigheid, behoorlijkheid en transparantie.
+ - Doelbinding.
+ - Minimale gegevensverwerking.
+ - Juistheid.
+ - Opslagbeperking.
+ - Integriteit en vertrouwelijkheid