Nieuws over het overleg met de Autoriteit Persoonsgegevens
Op 21 juni is weer het halfjaarlijkse overleg van het archiefwezen met de Autoriteit Persoonsgegevens...
Gezinskaarten kunnen onder vijf voorwaarden online
- jun 2019
- Marianne Loef
- ·
- Aangepast 28 jun
- 1
- 8
- 318
Uit de risicoanalyse, die de werkgroep AVG in opdracht van KVANBRAIN heeft uitgevoerd op de gezinskaarten 1920-1939, blijkt dat deze kaarten onder voorwaarden online gezet kunnen worden. Het gaat om een combinatie van vijf maatregelen, die elk afzonderlijk niet voldoende zijn, maar gezamenlijk wel, om de risico's voor de privacy in dit geval voldoende te verminderen.Vanochtend is tijdens het overleg met de Autoriteit Persoonsgegevens gebleken, dat de toezichthouder dit een goed model risico-analyse vindt. Elke verantwoordelijke gemeente en/of archiefdienst is en blijft wel zelf verantwoordelijk en aansprakelijk voor de maatregelen die men in de eigen gemeente(n) neemt. Hopelijk vergemakkelijkt dit hulpmiddel de besluitvorming. Het advies van de AP is ook om altijd de eigen FG te betrekken.
Wij zijn heel benieuwd, wat jullie gebruikservaringen zijn en worden met dit model. Niet alleen kan het model voor de gezinskaarten, maar ook voor andere bestanden worden gebruikt. Deel dit alles alsjeblieft op deze plek!
| titel | toegevoegd | door | opties | |
|---|---|---|---|---|
| 1561125122model-risicoanalyse-gezinskaarten-definitief.pdf | apr 2023 |  |
||
Verken
Inspiratie Essaywedstrijd: Actieve openbaarheid: hoog tijd voor een brede aanpak
Door: mr. dr. Guido Enthoven, oprichter van het Instituut voor Maatschappelijke Innovatie. Actieve o...
Berichten via WhatsApp en SMS zijn wel degelijk te Wobben
Onlangs werd door de rechtbank Midden-Nederland uitspraak gedaan in een zaak waarbij de centrale vraag...
Reacties
Beste Marianne en werkgroepleden,
Hulde voor dit bereikte resultaat!
Zouden jullie nog iets meer toelichting kunnen geven op welke van de vijf maatregelen in ieder geval gebruikt moeten worden? Alle vijf lijkt een beetje veel van het goede, of lijkt dat maar zo? En kunnen jullie iets zeggen over de inspanning die dat zou kosten versus het enkel offline, op de studiezaal, beschikbaar stellen?
Groet,
Jeroen.
Dag Jeroen,
Het is echt de bedoeling dat alle vijf de maatregelen in combinatie met elkaar genomen worden. Elk op zich is niet voldoende om de privacy te beschermen, zoals ook in de afwegingen (voor- en nadelen) bij elke maatregel in par. 17 is beschreven.
Omdat elke situatie weer anders is, zullen de maatregelen in elke gemeente of regio er in de praktijk wel wat anders uitzien. Voorbeeld: In sommige gemeenten is de toegang op de persoonskaarten alleen op hoofdbewoner, in andere gemeenten zijn extra digitale toegangen gemaakt op de kinderen. Dit heeft consequenties voor de vindbaarheid van nog levende personen en dus ook voor de mate van bescherming die nodig is. De inspanning en kosten bij online plaatsen zitten hem volgens onze inschatting vooral in het gedeeltelijk afdekken (van de kolom religie). Enkele archiefdiensten zijn daar al mee bezig, we hebben in de bijlage ook een inschatting van de kosten en uren gemaakt. Hopelijk worden op deze plek ervaringen gedeeld, daar worden we allemaal wijzer van.
Bij offline raadpleging is er een groot nadeel voor bezoekers, die nu naar de studiezaal moeten komen. Aan de andere kant zijn er geen kosten voor afdekken van de kolom religie, als je de bezoekers registreert en een verklaring laat tekenen zoals wij aanbevelen. De individuele afweging is voor elk gemeentebestuur en/of bestuur van een archief. Deelt allen uw ervaringen met ons!
Erg fijn dat er over dit onderwerp nu wat meer duidelijkheid is gekomen en dat de AP positief/ bevestigend op dit model heeft gereageerd! Wij gaan binnenkort kijken of het toepassen van alle maatregelen bij ons (op korte termijn) haalbaar is en welke andere maatregelen we eventueel kunnen nemen om de gezinskaarten weer online te kunnen plaatsen. Wij zijn ook heel benieuwd hoe anderen hier op dit moment mee omgaan. Hebben jullie de gezinskaarten inmiddels weer online staan en welke maatregelen hebben jullie hierbij genomen?
Er zijn al enkele reacties gekomen, maar als lid van de werkgroep wil ik vooral benadrukken dat situaties inderdaad verschillend zijn en dat dit de aanpak mede zal bepalen. Belangrijkste is nu dat we ervaringen delen! Benieuwd ben ik vooral hoe dit ontvangen wordt in relatie tot het eerste bericht van KVAN/BRAIN (off-line halen). Zou 'gezinskaarten kunnen onder 5 voorwaarden online' betekenen, dat KVAN/BRAIN (VNG) een andere mening krijgt. Laat eens weten voor de discussie!
KVANBRAIN staan achter dit model en zullen zich inzetten voor een zo eenduidig mogelijke praktijk in het veld.
Een rapport met een knik
Nadat het bestuur van KVAN/BRAIN in 2018 kwam met een advies om de gezinskaarten offline te halen, werd al snel duidelijk dat hier in de sector vragen en reserves bij leefden. De grote stadsarchieven zetten een andere lijn uit, en het nieuwe bestuur van KVAN/BRAIN stelde een werkgroep AVG in om de kwestie nog eens door te lichten. ‘Model Data Protection Impact Assessment op de gezinskaarten van het bevolkingsregister 1920-1939’ is hier de uitkomst van. Het is een helder verhaal geworden. Daarvoor mijn waardering. Toch ben ik niet gelukkig met de ‘uitkomsten’, oftewel de maatregelen die getroffen zouden ‘moeten’ worden.
Puntsgewijs maak ik tien kanttekeningen:
1. ‘Model Data Protection Impact Assessment op de gezinskaarten van het bevolkingsregister 1920-1939’ heet een model, en zo was het ook aangekondigd. In de praktijk is het meer dan dat: een ingevuld model, met een duidelijke strekking. In die zin is het eerder een adviesrapport, en het woord advies komt er dan ook meermalen in voor. Eerlijk gezegd voelt het ook als méér dan een advies, alleen al door het werkwoord ‘moeten’ dat de auteurs gebruiken. Dit rapport is langverwacht, is het ook het verwachte rapport? En zijn wij hiermee geholpen?
2. Wat ik mis in dit rapport is een onderbouwing dat de komst van de AVG als zodanig een nieuwe omstandigheid is in de zin van art. 15 lid 2 AW. Is dit juridisch zo vanzelfsprekend dat het geen onderbouwing behoeft, of moet dit nog maar blijken? Waarom adviseert dit rapport hier collectief op vooruit te grijpen? Laat hier eerst eens jurisprudentie over komen. Er zou ook een proefproces georganiseerd kunnen worden.
3. De gezinskaarten behoren tot de bestanden die bij tal van gemeentearchieven zijn gedropt zonder dat er ooit iets over is vastgelegd. Of dit gebeurd is onder het regime van de Wbp of hiervoor, is niet overal te reconstrueren. In die gevallen is het überhaupt moeilijk te onderbouwen dat de komst van de AVG een nieuwe omstandigheid is.
4. De jurisprudentie met betrekking tot het ‘inzetten’ van art. 15 lid 2 AW om, na overbrenging, verlenging van de termijn van openbaarheidsbeperking te realiseren, komt op mij over als een kwestie waarover het laatste woord nog niet is gezegd. In diverse zaken, bijvoorbeeld https://uitspraken.rechtspraak.nl/inziendocument?id=ECLI:NL:RBMNE:2016:637, heeft de rechter uitgesproken dat deze verlenging niet door de beugel kon, omdat het wetsartikel strikt geïnterpreteerd moet worden. Misverstanden en vergissingen bij de overbrenging kunnen met dit artikel niet worden hersteld. Vervolgens heeft het Nationaal Archief een andere processtrategie gekozen. Die heeft de Raad van State geaccordeerd door uit te spreken dat de appellanten geen belanghebbenden mogen heten, en hun zaak dus niet ontvankelijk is. De RvS heeft tegelijk uitgesproken niet aan een inhoudelijke beoordeling van het bezwaar tegen de verlenging van de openbaarheidsbeperking toe te komen. Maar wat als iemand wel overtuigend aantoont belanghebbende te zijn? De crux zit m.i. uiteindelijk toch bij de inhoud: hoe (strikt) moet artikel 15 lid 2 worden geïnterpreteerd? Ik denk dat hoe ruimer wij het artikel interpreteren, des te meer kans maakt een appellant. Het is in ons eigen belang ons te beperken tot wat echt noodzakelijk is. Behoren gezinskaarten nu echt tot de categorie noodzakelijk, of is het hiervoor vragen om een verlengde openbaarheidsbeperking vragen om een zaak die niet erg sterk staat?
5. Het rapport noemt buitengewoon lage percentages mogelijk nog levende personen en relativeert terecht de kans op negatieve gevolgen. Vervolgens maakt de tekst plotseling de sprong naar ‘de aard van de gegevens’ en stelt dat de zeer beperkte risico’s moeten worden gereduceerd, en wel door middel van een pakket van vijf samenhangende maatregelen (blz. 17vv). Mag dit nu een belangenafweging in de zin van de AVG heten? Het is mij na al die relativerende opmerkingen vooraf een raadsel waarom ‘de aard van de gegevens’ van zodanige aard is dat deze dít pakket maatregelen vereisen. De redenering uit ‘de aard van de gegevens’ is een rigide interpretatie van de Archiefwet. De wet verplicht ons de persoonlijke levenssfeer te beschermen (art. 15 lid 1a AW) en via art. 2a is er het verbod om bijzondere persoonsgegevens zonder meer beschikbaar te stellen. Zo summier is de wet. Maken wij voldoende gebruik van interpretatieruimte? Van het onderscheid tussen de letter en de geest van de wet? Verplicht de wet ons elk document waarop een mogelijk bijzonder persoonsgegeven staat dicht te gooien? Zit daartussen niet de belangenafweging en de risicoanalyse? Daarin speelt de aard van de gegevens een rol, maar altijd in samenhang met juridische begrippen als proportionaliteit, en dan wegen ook de historische periode, maatschappelijke omstandigheden, aantallen, de toegankelijkheid, de aard van de mogelijke risico’s et cetera mee. Hoe ‘bijzonder’ is ‘bijzonder’? Stellen we die vraag wel genoeg? Het rapport maakt door alle relativerende opmerkingen duidelijk genoeg dat ‘bijzonder’ een gelaagd begrip is, en daarmee ook ‘de aard van de gegevens’, maar het doet er te weinig mee. ‘De aard van de gegevens’ vormt vanaf blz. 17 een zelfstandige grootheid met onevenredig veel gewicht.
6. ‘De aard van de gegevens’ is zo’n leidend principe in dit rapport dat zelfs in het geval van offline raadpleging gesteld wordt dat de gezinskaarten ‘in elk geval beperkt openbaar gesteld moeten worden op grond van de Archiefwet’ (blz. 19). Het is mij volkomen onduidelijk wat de winst hiervan zou zijn. Je kunt overal wel een procedure voor inrichten. Maar op grond waarvan zou ik op de studiezaal inzage kunnen en willen weigeren? En als dat toch niet gebeurt, waarom dan formeel beperken in openbaarheid? Wie help ik daar mee?
7. Het samenhangende pakket van vijf maatregelen is in mijn ogen onevenredig zwaar. Volgens mij kan het wel een paar tandjes minder. Waarom moeten we bijvoorbeeld per se (eerst) de gezinskaarten beperkt openbaar laten verklaren door gedeputeerde staten om een mogelijk privacygevoelig veld op de website af te schermen? Het tweede is heel goed mogelijk zonder het eerste.
8. In 1995 is de maximale termijn van openbaarheidsbeperking verkort van 100 naar 75 jaar, in samenhang met de verkorting overbrengingstermijn van 50 naar 20 jaar. Daar zaten principes achter van openheid en toegankelijkheid. Met de komst van de Wbp is de archiefsector daarvoor blijven staan. Nu de AVG in werking is getreden, lijkt er een omslag gaande. Er zijn geluiden dat de termijn in de AW maar omhoog moet naar 100 jaar. Kiezen we zo niet te makkelijk voor de zeer beperkte privacybelangen van een minimale categorie?
9. Art. 15 lid 4 AW geeft de ruimte om de minister dan wel de gedeputeerde staten te laten afwijken van de maximale termijn van 75 jaar openbaarheidsbeperking. Een principiële vraag is: moet het initiatief daarvoor uit onze sector komen? Als dit door een bezorgde zorgdrager aan de orde wordt gesteld bij een overbrenging, wil ik daar vanzelf in meedenken. Als mogelijke belanghebbenden zich aandienen, dan ook. Ik kan me ook wel voorstellen dat in het geval van overgebrachte archieven in incidentele gevallen de archivaris deze stap zet. Maar ik vind het erg ver gaan als dit adviesrapport archivarissen oproept zelf een procedure bij gedeputeerde staten in gang te zetten voor de hele bevolkingsadministratie uit de jaren 1920-1939. Elke keer als ik een verbleekte, handgeschreven of deels getypte gezinskaart met verkreukelde hoeken en summiere notities zie, denk ik: waar gaat deze discussie toch over?
10. Tot slot een ondeugende vraag, maar wel serieus gemeend: toen er in een vorige ronde een advies namens het KVAN/BRAIN-bestuur kwam om de gezinskaarten offline te halen, was wel duidelijk dat niet ieder bestuurslid van plan was dit zelf te gaan doen. Wat is nu de status van dit adviesrapport? Wie draagt dit echt?
Niels van Driel
Beste Niels,
Op de valreep van mijn vakantie een korte reactie.
Het model PIA is inderdaad een model, een hulpmiddel, en kan ook niet anders zijn dan dat. KVAN en BRAIN hebben hiermee het veld willen helpen en tegelijkertijd streven naar zoveel mogelijk eenduidigheid in de uitvoering. Het bestuur van KVANBRAIN heeft zich er dan uiteraard ook aan gecommitteerd. Maar natuurlijk is elk gemeentebestuur en/of bestuur van de archiefdienst verwerkingsverantwoordelijk op grond van de AVG, dwz maakt uiteindelijk zijn eigen risico-inschatting en bepaalt welke maatregelen men daarvoor wil nemen. Het staat jouw bestuur geheel vrij om af te wijken van het model. Als het werkwoord 'moeten' af en toe in het model staat, moet je dat dus niet te letterlijk nemen.
Het staat je ook vrij om een proefproces te beginnen of te wachten op jurisprudentie. KVANBRAIN hebben echter gemeend hierop niet te wachten en het veld nú een praktische handreiking te geven, daar was grote behoefte aan. Er staat overigens niet voor niets in, dat er over een aantal jaar opnieuw naar gekeken moet worden. De technische ontwikkelingen gaan snel, er kan nieuwe jurisprudentie komen en er kunnen maatschappelijke ontwikkelingen zijn die allemaal bijstelling van je beleid vragen. Dat geldt trouwens voor alle huidige maatregelen als het gaat om online informatie.
Wat betreft de 'aard van de gegevens': het gaat hier om een bijzonder persoonsgegeven in de zin van de AVG, en het kan schadelijk zijn voor betrokkenen als dat bekend wordt. Of dat veel of weinig betrokkenen zijn, doet niet ter zake.
In al mijn tijd bij de provincie heb ik nooit gemerkt, dat er een rechtsgang nodig was om de 75-jarige termijn van beperkte openbaarheid op grond van AW 15.2 te verlengen. Dat gebeurde af en toe en is een eenvoudige procedure. Maar ook hierbij staat het je uiteraard vrij naar de rechter te stappen.
Wat je ook doet, betrek in elk geval jullie eigen FG erbij!
Tenslotte een advies. Het lijkt me in het algemeen voor ons vakgebied veel beter om ernaar te streven zowel de AVG als de Archiefwet in harmonie met elkaar in de praktijk te brengen, en dat blijkt ook in de praktijk te kunnen. Daarmee komen we veel verder dan ons te blijven verzetten tegen democratisch tot stand gekomen Europese regelgeving, waaraan we al sinds 2001 (de WBP) hadden moeten voldoen.
Een heel mooie zomer gewenst!
Beste Marianne,
Dank voor je reactie. Enkele verhelderingen van mijn kanttekeningen n.a.v. je reactie. De kernvraag is of wij als sector c.q. afzonderlijke archiefdiensten zelf het initiatief moeten gaan nemen om gezinskaarten, die al minstens dertig jaar zijn ingezien zonder enige belemmering, gekopieerd, geprint en gefotografeerd, nu zelfs voor offline raadpleging alsnog in openbaarheid te laten beperken door middel van een verzoek aan gedeputeerde staten. Dit vind ik een nogal brave toepassing van de wetgeving op onszelf. Wij anticiperen dan, inclusief een stel andere maatregelen, actief op iets waarvan ik betwijfel of dit in jurisprudentie ons echt verplicht zal gaan worden.
Ik ben niet van plan zelf enige rechtszaak te starten. Wanneer het tot een rechtszaak zou komen, dan kan het om twee typen gaan: 1. er zou een zaak tegen ons aangespannen kunnen worden door een belanghebbende die er moeite mee heeft dat wij gezinskaarten ter beschikking stellen. 2. er kan ook door belanghebbenden een zaak tegen ons worden aangespannen omdat zij zich beperkt voelen in hun onderzoeksvrijheid door een te gemakkelijke toepassing van art. 15.2 AW, een artikel dat volgens jurisprudentie een strikt toepassingsbereik heeft. De commissie had ervoor kunnen kiezen een risicoweging te maken en het verder kunnen aanzien hoe deze kwestie zich (juridisch en praktisch) zou ontwikkelen. Zij heeft gekozen voor een paar stappen naar voren met een strikt advies en alvast een ‘sanctionering’ van deze procedure door de AP. Ja, ik snap dat we zelf lokaal/regionaal verantwoordelijk blijven. Maar een ‘afwijkende’ invulling van die verantwoordelijkheid wordt zo natuurlijk wel ingewikkelder. Van deze aanpak gaat, alle relativering ten spijt, een sterk sturende werking uit.
Geniet intussen van een goede vakantie!