IND registreerde afkomst voor risicoprofilering

De handelswijze blijkt uit documenten over het zogeheten Risicomodel Erkend Referenten die zijn verkregen met de Wet openbaarheid van bestuur (Wob). Niet alleen de registratie van afkomst, maar ook het bestaan van het risicomodel van de IND was tot nu toe onbekend. Argos en het internationale onderzoekscollectief Lighthouse Reports werken samen om met Wob-verzoeken meer zicht te krijgen op data en algoritmen die overheidsorganisaties gebruiken om burgers te controleren.

Met het risicomodel beoordeelde de IND of aanvragen van verblijfsvergunningen voor kennismigranten door bedrijven voor strengere controle in aanmerking kwamen, of dat een bedrijfsbezoek nodig was. De IND schatte zo in bij welke bedrijven met de status van ‘erkend referent’ de kans het grootst was dat zij zich niet hielden aan voorwaarden om kennismigranten naar Nederland te mogen halen. De belangrijkste eis is dat het loon van een kennismigranten minimaal 55 duizend euro moet bedragen. Een erkend referent is een bedrijf dat na een toelatingsprocedure door de IND wordt gezien als betrouwbaar en daarna gebruik mag maken van een versnelde procedure voor de aanvraag van verblijfsvergunningen voor kennismigranten. 

Het risicomodel bestond uit een algoritme en een aantal ‘overige’ indicatoren. Het algoritme berekende automatisch een risicoscore op basis van bedrijfskenmerken, zoals de aan- of afwezigheid van een eigen website en de branche waarin de onderneming actief was. Maar de IND legde ook andere informatie vast, zoals de afkomst van het bedrijfsbestuur: Nederlands, westers, niet-westers of een combinatie hiervan. Dit gebeurde door in het handelsregister op zoek te gaan naar de geboorteplaatsen van de verschillende bestuurders. De afkomst van het bedrijfsbestuur telde niet meer voor de automatische gegenereerde score, maar was volgens de IND wel een ‘risicofactor’. Er was volgens de IND geen werkinstructie voor de ambtenaren om deze mee te laten wegen in de beoordeling, waardoor afkomst in de praktijk geen invloed zou hebben gehad. Ook kon de automatische risicoscore ‘vanwege afkomst van bestuurders worden verhoogd’, maar volgens de IND ‘is dat in de praktijk vrijwel niet gebeurd’. 

De hypothese achter de registratie van afkomst blijkt uit de documenten: ‘In bepaalde regio’s van de wereld heeft men een andere manier om met wettelijke bepalingen om te gaan. Hierdoor zullen bestuurders uit een bepaald geboorteland eerder overgaan tot het overtreden van regels.’ 

De afdeling Juridische Zaken van de IND concludeerde hoe dan ook  al in juni 2017 in een nota dat het risicomodel ‘feitelijk etnisch profileren behelst, althans leidt tot discriminatoire bejegening van mensen, louter vanwege afkomst, terwijl daarvoor een deugdelijke onderbouwing ontbreekt’. De juristen maakten daarbij de vergelijking met wat rapper Typhoon in 2016 overkwam: ‘Een man met een donkere huidskleur in een dure auto, dat zou wel eens met drugsgeld van doen kunnen hebben. In wezen vindt bij toepassing van het model hetzelfde plaats.’ Het advies was daarom om het ‘model te staken en gestaakt te houden’ en de registraties op basis van het risicomodel uit de ICT-systemen te verwijderen. Deze adviezen werden niet opgevolgd. 

Privacyjurist Tijmen Wisman keek op verzoek van Argos naar de documenten. Volgens hem is het ‘evident dat het hier om discriminatie gaat’. Wisman is docent aan de VU en voorzitter van het Platform Burgerrechten, de organisatie die een rechtszaak begon tegen het inmiddels verboden risicoprofileringssysteem SyRI. Wisman zegt dat het bij afkomst van de bestuurders gaat om persoonsgegevens en dat de verwerking ervan op deze manier verboden is. Dat afkomst volgens de IND nauwelijks een rol heeft gespeeld, maakt het niet minder erg. ‘Je kunt dat wel zeggen, maar waar het om gaat is dat dit een verboden middel is’, aldus Wisman. ‘Als je dit middel in je gereedschapskist hebt, dan is dat al verkeerd’. 

Het risicomodel van de IND was volgens de vrijgegeven documenten niet alleen ‘discriminatoir’, maar ook statistisch slecht onderbouwd en met een beperkte voorspellende kracht. Al in 2011, toen het systeem werd ontwikkeld, was duidelijk dat er in de basis grote problemen mee waren. Een belangrijke complicatie was dat het model gebaseerd was op een veel te klein aantal frauderende bedrijven, namelijk enkele tientallen. Onder de fraudeurs die werden geselecteerd waren bovendien relatief veel Chinese bedrijven en tandartsen, omdat daar destijds toevallig recent onderzoek naar was geweest. Voor een voldoende statistische onderbouwing zouden volgens dataspecialisten van de IND gegevens over minimaal vele honderden frauderende en niet-frauderende bedrijven nodig zijn geweest.  ‘De indicatoren en de risicoscore zijn nooit gevalideerd of geëvalueerd’, blijkt uit de documenten. 

Opvallend is dat de afdeling handhaving van de IND vorig jaar nog ‘in het belang van de bedrijfsvoering’ wilde doorgaan met het risicomodel. Zelfs nadat het gebruik van het risicomodel vorig jaar vanwege de problemen al tijdelijk was stopgezet. Uiteindelijk is in januari van dit jaar alsnog besloten om definitief te stoppen, mede omdat ‘ontwikkelingen zoals de toeslagenaffaire ertoe hebben bijgedragen dat we kritischer zijn gaan kijken naar onze processen’. Uit documenten en mailwisselingen blijkt dat er ook zorgen waren over de uitlegbaarheid van het risicomodel, mocht de rechter zich er ooit over buigen. Er bestond bovendien vrees voor imagoschade als het bestaan van het model en het registreren van afkomst bekend zouden worden. ‘IND zal hierover transparant moeten zijn en een goed verhaal moeten hebben. Ik denk niet dat wij een goed verhaal hebben’, aldus een privacyfunctionaris van de IND.

Uiteindelijk is er meer dan tienduizend keer een risicoprofiel opgesteld waarin de afkomst van het bestuur was opgenomen. Inmiddels zijn de risicoscores in deze profielen niet meer toegankelijk, maar ze zijn wel bewaard en door bedrijven op te vragen in afwachting van een beslissing welke informatie er volgens de Archiefwet bewaard moet worden.