Gepubliceerd op 8 november 2025 · Laatst bijgewerkt op 13 september 2026
Profilering door verzekeraars is toegestaan, maar alleen binnen de grenzen van de Algemene verordening gegevensbescherming. De verzekeraar heeft een grondslag uit artikel 6 AVG nodig, moet transparant zijn over de logica achter het profiel en mag een verzekerde op grond van artikel 22 AVG in beginsel niet onderwerpen aan een besluit dat uitsluitend op geautomatiseerde verwerking berust. Sinds de AI-verordening komen daar eisen bij.
Inhoudsopgave
Wat is profilering door verzekeraars volgens de AVG?
Profilering is in artikel 4 AVG omschreven als elke vorm van geautomatiseerde verwerking van persoonsgegevens waarbij persoonlijke aspecten van een natuurlijke persoon worden geevalueerd, in het bijzonder om zijn gedrag, gezondheid, economische situatie of betrouwbaarheid te analyseren of te voorspellen. Voor verzekeraars is dat geen randverschijnsel maar de kern van het bedrijf: risico inschatten is per definitie voorspellen.
In de praktijk komen drie toepassingen voor. De eerste is acceptatie en premiestelling, waarbij het model bepaalt of iemand een polis krijgt en tegen welk tarief. De tweede is fraudedetectie, waarbij claims en klantgegevens worden gescoord op verdachte patronen. De derde is commerciele segmentatie, waarbij klanten worden ingedeeld om gerichte aanbiedingen te doen. Elk van die drie kent een eigen juridische beoordeling; het is een misvatting dat een verzekeraar met een enkele grondslag alles kan afdekken.
De gebruikte gegevens lopen uiteen van basisgegevens zoals leeftijd, postcode en beroep tot gedragsgegevens uit telematicakastjes, apps en draagbare meetapparatuur. Hoe fijnmaziger de gegevens, hoe zwaarder de rechtvaardiging moet zijn. Het beginsel van minimale gegevensverwerking uit artikel 5 AVG betekent dat een verzekeraar niet mag verzamelen wat interessant is, maar alleen wat noodzakelijk is voor het omschreven doel. Datzelfde artikel bindt hem aan doelbinding: gegevens die voor acceptatie zijn verzameld, mogen niet zonder meer voor marketing worden hergebruikt.
Welke grondslag heeft een verzekeraar nodig?
Artikel 6 AVG kent zes grondslagen. Voor verzekeraars zijn er in de praktijk drie relevant: de noodzaak voor de uitvoering van de overeenkomst, een wettelijke verplichting, en het gerechtvaardigd belang. Toestemming speelt een kleinere rol dan vaak wordt gedacht, omdat toestemming vrij, specifiek, geinformeerd en ondubbelzinnig moet zijn en op elk moment even eenvoudig moet kunnen worden ingetrokken als zij is gegeven. Een toestemming die feitelijk voorwaarde is voor het krijgen van een polis, is niet vrij gegeven.
De grondslag uitvoering van de overeenkomst is smaller dan zij lijkt. Zij dekt verwerkingen die objectief noodzakelijk zijn om de polis te sluiten en uit te voeren, zoals identificatie, premie-inning en schadeafhandeling. Een uitgebreid gedragsprofiel om de premie te verfijnen valt daar niet vanzelf onder, omdat de overeenkomst ook zonder dat profiel kan worden uitgevoerd.
Het gerechtvaardigd belang is de grondslag waarop fraudeonderzoek en risicobeheersing meestal rusten. Die grondslag vraagt om een gedocumenteerde afweging in drie stappen: is het belang legitiem, is de verwerking noodzakelijk voor dat belang, en wegen de belangen en grondrechten van de betrokkene niet zwaarder. Die afweging moet vooraf zijn vastgelegd en op verzoek kunnen worden getoond. De betrokkene kan bezwaar maken tegen verwerking op deze grondslag; de verzekeraar moet dan staken, tenzij hij dwingende gerechtvaardigde gronden aanvoert die zwaarder wegen. Voor direct marketing geldt bovendien een absoluut bezwaarrecht: maakt de klant bezwaar, dan stopt de profilering voor dat doel zonder afweging. Hoe grondslagen zich tot elkaar verhouden, staat uitgewerkt in het artikel over de Nederlandse privacywetgeving.
Wanneer mag een besluit volledig geautomatiseerd worden genomen?
Artikel 22 AVG geeft de betrokkene het recht niet te worden onderworpen aan een uitsluitend op geautomatiseerde verwerking gebaseerd besluit waaraan voor hem rechtsgevolgen zijn verbonden of dat hem anderszins in aanmerkelijke mate treft. Bij verzekeraars gaat het dan om de weigering van een polis, een fors afwijkende premie, een beperking van de dekking of de afwijzing van een claim.
Er zijn drie uitzonderingen: het besluit is noodzakelijk voor de totstandkoming of uitvoering van een overeenkomst, het is toegestaan bij Unierechtelijke of nationale wetgeving met passende waarborgen, of het berust op uitdrukkelijke toestemming van de betrokkene. Beroept de verzekeraar zich op de eerste of de derde uitzondering, dan moet hij passende maatregelen treffen: het recht op menselijke tussenkomst, het recht van de betrokkene om zijn standpunt kenbaar te maken en het recht om het besluit aan te vechten.
Die menselijke tussenkomst moet betekenisvol zijn. Een medewerker die de uitkomst van het model afvinkt zonder de bevoegdheid en de informatie om er werkelijk van af te wijken, maakt van het besluit geen menselijk besluit. Wie beoordeelt, moet de gegevens en de score kunnen inzien, aanvullende informatie van de betrokkene kunnen meewegen en de uitkomst kunnen wijzigen.
Rust het besluit mede op bijzondere categorieen van persoonsgegevens, zoals gezondheidsgegevens, dan verscherpt artikel 22 AVG de eisen nog verder: die route staat alleen open bij uitdrukkelijke toestemming of bij een zwaarwegend algemeen belang, telkens met passende waarborgen. De grens tussen legitieme risicodifferentiatie en verboden onderscheid is uitgewerkt in het artikel over profilering en discriminatie door algoritmes.
Wat betekent het SCHUFA-arrest voor risicoscores?
Een veelgehoord verweer luidt dat een score op zichzelf geen besluit is en dat artikel 22 AVG dus niet van toepassing zou zijn, omdat een mens uiteindelijk de knoop doorhakt. Het Hof van Justitie van de Europese Unie heeft dat verweer in het SCHUFA-arrest van 7 december 2023 (zaak C-634/21) verworpen.
Het Hof oordeelde dat de geautomatiseerde vaststelling van een waarschijnlijkheidswaarde over de kredietwaardigheid van een persoon zelf al een besluit in de zin van artikel 22 AVG oplevert, wanneer een derde in doorslaggevende mate op die waarde afgaat bij zijn beslissing over de contractuele relatie. Daarmee sloot het Hof de ontsnappingsroute waarbij de partij die scoort zich verschuilt achter de partij die beslist, en omgekeerd. U kunt de tekst van het SCHUFA-arrest zelf nalezen.
Voor de verzekeringspraktijk is dat rechtstreeks van belang. Wanneer een acceptatiemodel een score afgeeft en de acceptant die score in de overgrote meerderheid van de gevallen volgt, is de score in feite het besluit. De verzekeraar moet dan een grondslag hebben die artikel 22 toestaat en de waarborgen inrichten. Ook een score die door een externe partij wordt geleverd en die de verzekeraar overneemt, valt daaronder; het uitbesteden van het model betekent niet het uitbesteden van de verantwoordelijkheid.
Welke gegevens mag een verzekeraar niet zonder meer gebruiken?
Gezondheidsgegevens, gegevens over ras of etnische afkomst, politieke opvattingen, religie, vakbondslidmaatschap, genetische en biometrische gegevens en gegevens over seksuele gerichtheid zijn bijzondere categorieen. Verwerking daarvan is op grond van artikel 9 AVG verboden, tenzij een uitzondering geldt. Voor verzekeraars biedt artikel 30 van de Uitvoeringswet AVG een specifieke opening voor gezondheidsgegevens, voor zover dat noodzakelijk is voor de beoordeling van het te verzekeren risico of de uitvoering van de overeenkomst. Die opening is doelgebonden en rechtvaardigt geen bredere gezondheidsprofilering.
Daarnaast beperkt de Wet op de medische keuringen wat een verzekeraar bij een levensverzekering of arbeidsongeschiktheidsverzekering mag vragen en onderzoeken. Onder de zogeheten vragengrens gelden strengere beperkingen, en naar onbehandelbare erfelijke aandoeningen mag in beginsel niet worden gevraagd. Een profileringsmodel dat langs een omweg toch zulke informatie afleidt, bijvoorbeeld uit aankoopgedrag of zoekgedrag, ondergraaft die bescherming en is daarmee kwetsbaar.
Voor geslacht ligt de grens hard. In het arrest Test-Aankoop van 1 maart 2011 (zaak C-236/09) verklaarde het Hof van Justitie de uitzonderingsbepaling in richtlijn 2004/113/EG met ingang van 21 december 2012 ongeldig. Sindsdien moeten verzekeraars sekseneutrale premies en uitkeringen hanteren; het geslacht mag geen factor zijn die tot verschillen leidt. Zie daarvoor het arrest Test-Aankoop. Let ook op indirecte proxies: een kenmerk dat sterk samenhangt met een beschermd kenmerk, zoals postcode als benadering van etnische samenstelling, kan tot verboden indirect onderscheid leiden, ook zonder dat het beschermde kenmerk zelf in het model zit.
Wat verandert de AI-verordening voor verzekeraars?
Verordening (EU) 2024/1689, de AI-verordening, legt een tweede laag over de AVG heen. In bijlage III zijn AI-systemen die worden gebruikt voor risicobeoordeling en prijsstelling ten aanzien van natuurlijke personen bij levens- en ziektekostenverzekeringen aangemerkt als hoogrisicosystemen. Dat raakt precies de kern van de acceptatie- en tariefpraktijk van deze verzekeraars.
Aan hoogrisicosystemen worden eisen gesteld die verder gaan dan de AVG: een risicobeheersysteem gedurende de hele levenscyclus, eisen aan de kwaliteit en representativiteit van de trainingsdata, technische documentatie en logging, betekenisvol menselijk toezicht, en eisen aan nauwkeurigheid en robuustheid. De verplichtingen rusten primair op de aanbieder van het systeem, maar de verzekeraar die het systeem gebruikt heeft eigen verplichtingen als gebruiksverantwoordelijke.
De invoering verloopt gefaseerd. De verboden praktijken, de bepalingen over AI-modellen voor algemene doeleinden en de transparantieplicht van artikel 50 gelden al. Het regime voor de hoogrisicosystemen van bijlage III is uitgesteld tot 2 december 2027; voor de categorieen van bijlage I geldt 2 augustus 2028. Dat uitstel is geen vrijbrief: de AVG geldt onverkort, en de documentatie- en datagovernance-eisen kosten tijd om in te richten. De volledige tekst staat in verordening (EU) 2024/1689, en de opbouw van de risicoklassen is toegelicht in het artikel over de AI-verordening.
Welke rechten heeft u als verzekerde?
Het inzagerecht van artikel 15 AVG gaat verder dan een kopie van uw gegevens. Vindt geautomatiseerde besluitvorming plaats, dan hebt u recht op nuttige informatie over de onderliggende logica, het belang van de verwerking en de verwachte gevolgen daarvan voor u. De verzekeraar hoeft de broncode van zijn model niet prijs te geven, maar moet wel begrijpelijk maken welke categorieen gegevens zwaar wegen en in welke richting.
Daarnaast bestaan het recht op rectificatie van onjuiste gegevens, het recht op beperking van de verwerking zolang een geschil loopt, het recht op gegevensoverdraagbaarheid voor gegevens die op toestemming of op de overeenkomst berusten, en het recht op bezwaar. Een verzoek moet in beginsel binnen een maand worden afgehandeld; die termijn kan met twee maanden worden verlengd als het verzoek complex is, mits de verzekeraar u daarover binnen de eerste maand informeert.
Komt u er met de verzekeraar niet uit, dan kunt u klagen bij de Autoriteit Persoonsgegevens, een klacht indienen bij het Klachteninstituut Financiele Dienstverlening of naar de civiele rechter stappen. Artikel 82 AVG geeft recht op vergoeding van materiele en immateriele schade, al stelt de rechtspraak wel de eis dat werkelijke schade wordt gesteld en onderbouwd; een enkele overtreding levert op zichzelf geen vergoeding op. Een overzicht van de verzoeken die u kunt doen, staat in het artikel over de rechten van betrokkenen onder de AVG.
Welke verplichtingen gelden vooraf voor de verzekeraar?
Systematische en uitgebreide profilering met rechtsgevolgen is een van de gevallen waarin artikel 35 AVG een gegevensbeschermingseffectbeoordeling verplicht stelt. Die beoordeling brengt de verwerkingen, de noodzaak, de risico’s voor betrokkenen en de te nemen maatregelen in kaart en moet worden geactualiseerd wanneer het model verandert. Niet elke profilering vergt zo’n beoordeling; het criterium is het hoge risico, niet de enkele aanwezigheid van een algoritme.
Verder houdt de verzekeraar op grond van artikel 30 AVG een verwerkingsregister bij, en is een functionaris voor gegevensbescherming verplicht wanneer de kernactiviteiten bestaan uit grootschalige regelmatige en stelselmatige observatie van betrokkenen of uit grootschalige verwerking van bijzondere gegevens. Bij verzekeraars is aan ten minste een van die criteria vrijwel altijd voldaan. De praktische invulling van register en effectbeoordeling staat in het artikel over verwerkingsregister, DPIA en datalek.
De informatieplichten uit de artikelen 13 en 14 AVG vragen dat de privacyverklaring vermeldt dat profilering plaatsvindt, met welk doel, op welke grondslag en met welke gevolgen. Een verwijzing naar geavanceerde analysetechnieken zonder verdere uitleg voldoet niet. Werkt de verzekeraar met externe leveranciers van modellen of data, dan is een verwerkersovereenkomst vereist en blijft de verzekeraar als verwerkingsverantwoordelijke aanspreekbaar.
Wie houdt toezicht en wat riskeert een verzekeraar?
De Autoriteit Persoonsgegevens houdt toezicht op de naleving van de AVG. De Nederlandsche Bank oefent prudentieel toezicht uit op de soliditeit van verzekeraars, en de Autoriteit Financiele Markten ziet vanuit de Wet op het financieel toezicht toe op zorgvuldige behandeling van klanten. De onderwerpen raken elkaar: een acceptatiemodel dat onjuist discrimineert, is tegelijk een privacyprobleem en een gedragsprobleem.
De Autoriteit Persoonsgegevens kan waarschuwen, berispen, een verwerkingsverbod opleggen en beboeten. Voor overtredingen van de beginselen, de grondslagen en de rechten van betrokkenen geldt op grond van artikel 83 AVG de hoogste boetecategorie: tot twintig miljoen euro of vier procent van de wereldwijde jaaromzet, waarbij het hoogste bedrag geldt. Daarnaast kunnen betrokkenen zich verenigen in een collectieve actie, wat het financiele risico van een structureel gebrekkig model vergroot.
Naast wetgeving werkt de sector met zelfregulering, waaronder de gedragscode van het Verbond van Verzekeraars over de verwerking van persoonsgegevens. Zo’n code bindt de aangesloten verzekeraars en kan houvast bieden bij de invulling van open normen, maar zij vervangt de wettelijke eisen niet en biedt geen bescherming tegen handhaving.
Veelgestelde vragen
Mag een verzekeraar mijn premie bepalen met een algoritme?
Ja, mits er een grondslag is en de verzekeraar transparant is over de profilering. Wordt de premie of de acceptatie uitsluitend geautomatiseerd bepaald en treft dat u in aanmerkelijke mate, dan geldt artikel 22 AVG: er moet een van de drie uitzonderingen van toepassing zijn en u hebt recht op menselijke tussenkomst, op het kenbaar maken van uw standpunt en op het aanvechten van het besluit.
Kan ik opvragen waarom mijn aanvraag is afgewezen?
U kunt op grond van artikel 15 AVG inzage vragen en, bij geautomatiseerde besluitvorming, nuttige informatie over de onderliggende logica en de verwachte gevolgen. De verzekeraar hoeft geen bedrijfsgeheimen prijs te geven, maar moet wel uitleggen welke gegevenscategorieen doorslaggevend waren, zodat u onjuistheden kunt aanwijzen.
Mag een verzekeraar gezondheidsgegevens gebruiken voor profilering?
Alleen binnen een uitzondering op het verwerkingsverbod van artikel 9 AVG. Artikel 30 van de Uitvoeringswet AVG staat verwerking toe voor zover noodzakelijk voor de beoordeling van het risico of de uitvoering van de overeenkomst. Daarbuiten is uitdrukkelijke toestemming nodig, en de Wet op de medische keuringen begrenst wat bij levens- en arbeidsongeschiktheidsverzekeringen mag worden gevraagd.
Mag de premie verschillen per geslacht?
Nee. Sinds 21 december 2012, na het arrest Test-Aankoop, moeten verzekeraars sekseneutrale premies en uitkeringen hanteren. Kenmerken die als benadering van geslacht functioneren, kunnen tot verboden indirect onderscheid leiden.
Wat kan ik doen als ik het niet eens ben met de profilering?
Maak schriftelijk bezwaar bij de verzekeraar en vraag om menselijke beoordeling en om inzage in de gebruikte gegevens. Levert dat niets op, dan kunt u klagen bij de Autoriteit Persoonsgegevens, de zaak voorleggen aan het Klachteninstituut Financiele Dienstverlening of een vordering instellen bij de civiele rechter.
Juridisch advies over profilering en gegevensbescherming
Voor verzekeraars draait naleving zelden om de vraag of profilering mag, en bijna altijd om de vraag of de dossiervorming klopt: is de grondslag vastgelegd, is de belangenafweging gedocumenteerd, is de effectbeoordeling actueel en is de menselijke tussenkomst meer dan een handtekening. Voor verzekerden draait het om de vraag welk verzoek het meeste oplevert en op welk moment. Law & More adviseert beide zijden over grondslagen, geautomatiseerde besluitvorming en de aansluiting op de AI-verordening, en staat u bij in procedures. Meer over de samenhang tussen algoritmes en persoonsgegevens leest u in het artikel over AVG en AI. Neem voor een beoordeling van uw situatie contact op via +31 40 369 06 80.
