BREED - over de grenzen van informatie

NETWERK VOOR DE INNOVATIEVE INFORMATIEWERKER

AVG en Archiefwet: in principe onverenigbaar?

In juni 2017 schreef ik op dit forum dat er nog veel onduidelijkheden zijn met betrekking tot de AVG in relatie tot de Archiefwet. Weliswaar zijn in de AVG voor de archivering zelf op grond van de Archiefwet wat bepalingen opgenomen:

Bij de verwerking van persoonsgegevens die deel uitmaken van archiefbescheiden als bedoeld in artikel 1, onderdeel c, van de Archiefwet 1995, die berusten in een archiefbewaarplaats als bedoeld in artikel 1, onderdeel f, van die wet, zijn de artikelen 15, 16, 18, eerste lid, onderdeel a, en 20 van de verordening niet van toepassing.

Echter kijken we naar de uitvoeringsregels die Nederland op grond van de AVG heeft vastgesteld lijken we wat openbaarheid te worden geconfronteerd met een heel andere werkelijkheid. De uitspraak van de Raad van State van afgelopen maart 2017 lijkt daar een voorbode van te zijn: De Archiefwet is geen excuus voor privacy schending. Ook voor de WOB heeft de Autoriteit Persoonsgegevens al een richtlijn aan de VNG afgegeven:

Het belang van openbaarheid vereist niet dat bekend wordt wie de brief heeft geschreven, waar die persoon woont en hoe zijn/haar handtekening eruit ziet.

Een dergelijke instructie voor de Archiefwet is niet bekend. Wat al wel bekend is, zijn de uitvoeringsregels die als gevolg van de AVG in werking treden op 25 mei 2018. Deze regels zijn als bijlage tot deze discussie opgenomen.

De weging ten behoeve van de uitzondering op het verbod van verwerking van bijzondere persoonsgegevens voor archivering in het algemeen belang, zoals voorgeschreven in artikel 9, tweede lid, onder j, van de verordening, zal worden geconcretiseerd in een bepaling in de Archiefwet 1995. Voor een aantal specifieke archiefwettelijke verwerkingen zal het verbod buiten toepassing worden gesteld. Daarnaast is het wenselijk om ook in het kader van de verwerking van strafrechtelijke gegevens ruimte voor archiefwettelijke handelingen te behouden. Vanuit beleidsneutraal perspectief is het wenselijk om voor strafrechtelijke gegevens bij verwerking voor specifieke archiefwettelijke verwerkingen hetzelfde regime te gebruiken als voor de bijzondere persoonsgegevens. Een en ander betekent dat het huidige artikel 2a van de Archiefwet 1995 zal worden geactualiseerd. Dit zal in de aanpassingswet worden meegenomen.

Er komt dus een aanpassing van de Archiefwet aan. De vraag is of de uitzonderingsgrond beperkt blijft tot de verwerking van de (bijzondere) persoonsgegevens of mag actief openbaar maken ook nog? De Archiefwet wordt ook wel een openbaarheidswet genoemd, na opname in de archiefbewaarplaats zijn archiefbescheiden in principe openbaar. Daar lijkt nu wel een einde aan een tijdperk te komen of schat ik een en ander te zwaar in ?

Hoewel het archiefwezen er volledig op ingericht is om aan dergelijke verzoeken tot kennisneming te voldoen, geldt ook hier dat die dienstverlening niet onbegrensd is. Dat geldt zowel voor verzoeken die op de Archiefwet 1995 zijn gebaseerd als voor verzoeken die hun basis vinden in artikel 35 van het onderhavige wetsvoorstel.

Vind ik leuk

5 leden vinden dit leuk

Bijlagen:

Wet en mvt uitvoering verordening consultatie def.pdf, 341 kB

▶ Hierop reageren

Berichten in deze discussie

Permalink Antwoord van Leon van Oosterom op 24 November 2017 op 13.24

Ruud toch even een reactie op het verschil anonimiseren en pseudonimiseren.

Het is mijns inziens helemaal niet zo dat bij pseudonimiseren de encryptiesleutels persé bewaard moeten blijven, dat is een keuze.

Het kan voor statistisch onderzoek heel nuttig zijn om met gepseudonimiseerde data te werken zonder dat de gepseudonimiseerde gegevens te herleiden zijn tot personen of persoonsgegevens.

Ruud Vonk (AllBidigit Group BV) zei:

Yvonne, let op dat je de termen pseudonimiseren en anonimiseren niet verwisselt. Pseudonimiseren is namelijk niet voldoende in het kader van de AVG. De encyptiesleutels zijn dan beschikbaar en je/iemand kunt/kan nog steeds persoonsgegevens achterhalen. Bij anonimiseren worden de persoonsgegevens definitief onleesbaar gemaakt.

In het kader hiervan hebben wij inmiddels een stuk software gemaakt wat anonimiseren van gedigitaliseerde documenten mogelijk maakt.

▶ Beantwoorden

Permalink Antwoord van Ruud Vonk (Oasis Group) op 24 November 2017 op 13.45

Leon, je hebt gelijk in het feit dat de encyptiesleutels niet bewaard moeten blijven persé, maar commerciële bedrijven / software kunnen via de algoritmes die gebruikt zijn bij het encrypten de situatie weer ongedaan maken.

Zie ook onderstaande tekst. Na anonimiseren is het proces niet meer omkeerbaar. Je zal het pseudonimiseren die wel conform de AVG goed in kaart moeten brengen en moeten borgen. Wat ik eigenlijk wilde aangeven is dat er bij pseudonimiseren altijd een risico bestaat, hoe klein ook. Bij anonimiseren niet.

Is na pseudonimisering nog de AVG / GDPR van toepassing?

Jazeker. Het kenmerk van pseudonimisering is namelijk dat het proces omkeerbaar is. De data zijn dus met behulp van extra informatie weer omzetbaar de oorspronkelijke persoonsgegevens. Dat betekent dat er een risico voor de privacy blijft bestaan. De AVG / GDPR stelt onder andere dat organisaties voldoende technische en organisatorische maatregelen moeten nemen om de sleutel veilig te stellen. Ook moeten organisaties bijhouden wie allemaal in staat zijn om de versleuteling terug te draaien.

▶ Beantwoorden

Permalink Antwoord van Yvonne Welings op 26 November 2017 op 10.46

Zie ook ECLI:NL:RVS:2017:620, https://uitspraken.rechtspraak.nl/inziendocument?id=ECLI:NL:RVS:201...

Anders dan de Wob bevat de Archiefwet geen informatiestelsel maar een documentenstelsel. De openbaarheidsbeperkingen die ingevolge de Archiefwet mogelijk zijn, zijn dan ook niet aan de informatie in de documenten gekoppeld, maar aan het document in zijn geheel. Bij dit stelsel past niet dat de rijksarchivaris een document bewerkt - bijvoorbeeld door het te anonimiseren - alvorens daarin inzage te geven. Ten aanzien van beperkt openbare archiefstukken voert de rijksarchivaris het beleid dat daarvan geen kopieën worden verstrekt maar alleen inzage in die stukken kan worden gegeven. De rechtbank heeft terecht geen grond gezien voor het oordeel dat dit beleid onredelijk is.

Archiefwet een grotere mate van openbaarheid zou moeten geven dan de Wob verwezen naar Kamerstukken II 1986/87, 19 859, nr. 3, blz. 11-13. Daarin is het volgende vermeld: "De doelstelling van de openbaarheid in het kader van de archiefwetgeving is gelegen in de beschikbaarheid ten behoeve van historisch onderzoek. Dit noopt tot een mate van openbaarheid die zeker niet minder mag zijn dan die van de WOB. Integendeel, de Archiefwet dient een nog grotere mate van openbaarheid van overheidsdocumenten te verzekeren dan aanwezig is in de fase waarin de stukken nog betrekking hebben op het actuele doen en laten van de overheid." Dit is herhaald in de memorie van toelichting op de hier van toepassing zijnde en nu geldende Archiefwet (Kamerstukken II 1992/93, 22 866, nr. 3, blz. 7).