AVG & Archiefwet. Wanneer archivering ‘persoonlijk’ wordt. Auteur: Stefan de Bildt, De Connectie

Privacy- en archiefwetgeving

Een casusbeschrijving over de verwerking van persoonsgegevens o.g.v. de AVG in relatie tot selecteren (en vernietigen) en waarderen o.g.v. de Archiefwet

Inleiding

De Connectie is een bedrijfsvoeringsorganisatie (BVO) die namens de gemeenten Rheden, Renkum en Arnhem taken op het gebied van bedrijfsvoering uitvoert, waaronder het informatie- en archiefbeheer. In de afgelopen periode is binnen het privacyteam AVG van De Connectie toegewerkt naar een eerste concept van het verwerkingsregister voor de AVG. Alle afdelingen van De Connectie hebben hun processen in beeld gebracht en het verwerkingsregister gevuld.

Ook de afdeling DIV heeft bijgedragen aan de opstelling van het verwerkingsregister, zowel in de rol van verwerkingsverantwoordelijke (de eigen bedrijfsvoering) als in de rol van verwerker (voor de gemeenten en overige klanten). Omdat in het kader van het informatie- en archiefbeheer het hebben van een ordeningsplan (artikel 18, archiefregeling) verplicht is gesteld zien we een overlap met de AVG. Op grond van de AVG is het verplicht alle processen in beeld te brengen, waarbinnen persoonsgegevens worden verwerkt. Ik pleit er dan ook voor dit vraagstuk integraal te benaderen vanuit de AVG en de Archiefwet. Immers alle informatie moet vanuit de Archiefwet gewaardeerd worden. En vanuit de AVG is het verplicht gesteld om persoonsgegevens niet langer te bewaren dan noodzakelijk. Voor beide ‘opdrachten’ moet de informatiehuishouding in beeld zijn. Zodoende kunnen we aan de slag om te voldoen aan beide wetten.

In de handreikingen van de AVG zien we ten aanzien van het vernietigingsbeleid een duidelijke relatie met de huidige VNG gemeentelijke selectielijst, waar geadviseerd wordt mee te werken. In de afgelopen periode is gebleken dat er een zgn. ‘vernietigingsdrift’ is ontstaan van persoonsgegevens.[1] Hierbij wordt in veel gevallen weinig tot geen rekening gehouden met het archiveringsbelang (waarvoor binnen de (U)AVG een uitzondering is opgenomen). Omdat informatie zich in alle geledingen van de organisatie bevindt en in ontzettend veel applicaties is opgenomen, vindt niet altijd centrale sturing plaats. Dergelijke informatievraagstukken moeten daarom in samenhang benaderd worden.

Afdeling DIV kent bewaartermijnen toe aan informatie- en archiefbestanden conform de gemeentelijke selectielijst. Hiermee wordt in belangrijke mate voldaan aan de eisen die de AVG hierin stelt. In de praktijk blijkt dat de gemeentelijke selectielijst op onderdelen onvoldoende aansluit op de uitgangspunten zoals beschreven in de AVG. Deze notitie gaat specifiek in op effecten van de AVG op selectie en vernietiging en de toepassing van de gemeentelijke selectielijst. Deze casus moet dan ook antwoord geven op de volgende probleemstelling: Welke effecten heeft de AVG op het verwerken van (bijzondere) persoonsgegevens i.r.t. tot het toepassen van de gemeentelijke selectielijst binnen het sociale domein?

AVG en Archiefwet 1995

Sinds 25 mei 2018 is de Algemene Verordening Gegevensbescherming (AVG) in werking getreden. De ‘A’ staat voor algemeen en betekent dat de AVG van toepassing is op alle sectoren, behalve op de politie (politiewet), justitie (Wet justitiële en strafvorderlijke gegevens), Wet BRP en de Kieswet. Voor deze sectoren geldt specifieke regelgeving. De AVG is een technologiearme wet i.v.m. de technische ontwikkelingen, hierdoor kent de AVG een grote reikwijdte. Omdat de AVG niet is geschreven voor de archiefsector, zullen we moeten zoeken naar raakvlakken. De AVG gaat in de basis alleen over de verwerking van persoonsgegevens die digitaal zijn vastgelegd en niet-digitale data die zijn opgeslagen in een ‘bestand’. De term bestand betekent hier ‘gestructureerd en volgens bepaalde criteria en systemantiek toegankelijk’. De AVG is dus ook van toepassing op fysieke archiefbestanden.

Archivering in het algemeen belang is een doelbinding op zich en is daarmee een rechtvaardige verwerkingsgrondslag op grond van de AVG. Archivering is in het geval van de drie gemeenten en De Connectie een wettelijke verplichting en daarmee een taak van algemeen belang. Archivering kan dus worden gezien als een verenigbaar doel.

De AVG is een Europese verordening en gaat vóór op nationale wetgeving zoals de Archiefwet. In de praktijk blijkt dat in veel gevallen meerdere wetten moeten worden geraadpleegd. Dit betekent dat de beide wetten in samenhang moeten worden benaderd. De Archiefwet ligt eigenlijk in het verlengde van de AVG, omdat deze wet (in de vorm van de gemeentelijke selectielijst) antwoord geeft over bewaartermijnen van informatieobjecten/archiefbescheiden.

De Uitvoeringswet Algemene Verordening Gegevensbescherming (UAVG) regelt de nationale regelgeving rondom de AVG die Europees niet in te regelen is. In de UAVG is een uitzondering opgenomen voor de verwerking van persoonsgegevens in informatieobjecten/archiefbescheiden die voor blijvende bewaring in aanmerking komen.

Deze notitie beschrijft het spanningsveld tussen de uitgangspunten van beide wetten en specifieke wetgeving op het gebied van het sociaal domein. Binnen de AVG is dataminimalisatie een belangrijk uitgangspunt om niet meer persoonsgegevens te bewaren dan noodzakelijk. Een belangrijk uitgangspunt van de Archiefwet is daarentegen om het verantwoordingsbelang, het informatiebelang en de cultuurhistorische waarde zo goed als mogelijk (in zijn complete) context vast te leggen. De casusbeschrijving gaat dan ook over de ‘gegevensverwerking, selecteren (en vernietigen), waarderen en overbrengen van informatieobjecten/ archiefbescheiden’, specifiek gericht op een actuele casus binnen het sociale domein.

Vernietiging en verwijdering van persoonsgegevens

Binnen de gemeentelijke organisaties worden selectielijsten gebruikt t.b.v. van het waarderen, het overbrengen (bewaren) en het daadwerkelijk vernietigen van informatieobjecten/archiefbescheiden. In deze selectielijsten is in veel gevallen rekening gehouden met bewaartermijnen die in specifieke wet- en regelgeving zijn benoemd. In enkele gevallen leveren bewaartermijnen in de selectielijsten discussie op omdat deze onvoldoende zouden aansluiten bij de principes vanuit de AVG.

Toepassing van gemeentelijke selectielijst

Op grond van de gemeentelijke selectielijst kennen wij wettelijke bewaartermijnen. In de AVG staat evenwel dat je persoonsgegevens niet langer mag bewaren dan, voor het doel waarvoor je ze gebruikt, noodzakelijk is (dit is ook één van de toewijzingsgronden van een verwijderingsverzoek). Dit strookt niet altijd met elkaar. Een voorbeeld: in de jeugdwet staat een bewaartermijn van 15 jaar en dit is in de selectielijst overgenomen. Maar deze bewaartermijn uit de Jeugdwet geldt alleen voor jeugdhulpverleners en de gemeente is dat normaliter niet. Aangezien art. 17 lid 3 AVG aangeeft dat het recht op vergetelheid niet van toepassing is bij een wettelijke verplichting om de gegevens te bewaren, laat de privacy officer dat dus prevaleren. Maar zij vindt wel dat de selectielijst dus niet altijd aansluit bij de vereisten van de AVG.

In sommige gevallen zal je ook alleen per casus een goede bewaartermijn moeten bepalen en niet voor een werkproces in het algemeen. De vraag is dan ook of de selectielijst niet aangepast zou moeten worden omdat deze niet (altijd) strookt met de AVG. Als je nu een selectielijst zou maken zou je namelijk ook verplicht zijn om de AVG daarin mee te nemen. Omdat de Autoriteit Persoonsgegevens (AP) organisaties zelf verantwoordelijk houdt voor hun bewaartermijnen, zou de overweging ook gemaakt kunnen worden om een eigen selectielijst te maken. De privacy officer is benieuwd wat de AP zou zeggen als je je bij een verzoek tot vergetelheid beroept op bewaartermijnen uit de selectielijst die niet stroken met de AVG. Wanneer een betrokkene hiermee naar de AP stapt gokt zij namelijk dat je dan als organisatie goed nat gaat. Als de selectielijst niet wordt gevolgd ga je echter nat op grond van de Archiefwet. Het aanpassen van de selectielijst lijkt haar dus onvermijdelijk.

Wat zegt de wetgeving hierover:

• Artikel 7.3.8, lid 1 van de Jeugdwet, overgenomen in de gemeentelijke selectielijst 2017De jeugdhulpverlener richt een dossier in met betrekking tot de verlening van jeugdhulp. Hij houdt in het dossier aantekening omtrent de geconstateerde opgroei- en opvoedingsproblemen, psychische problemen en stoornissen en de uitgevoerde verrichtingen. Hij neemt andere stukken in het dossier op voor zover dit voor een goede hulpverlening aan betrokkene noodzakelijk is.

• Artikel 6 van de AVG (rechtmatigheid van de verwerking)In de AVG wordt als uitgangspunt gehanteerd dat persoonsgegevens pas verwerkt mogen worden als deze verwerking rechtmatig is. Een rechtmatige verwerking heeft een doel, een grondslag en voldoet aan de beginselen van proportionaliteit en subsidiariteit.[2]

‘De gemeente moet mijns inziens worden gezien als onderdeel van de jeugdhulpverlening. Het is immers de taak van de gemeente om dergelijke voorzieningen te verstrekken en al dan niet te besluiten op een aanvraag en de bijbehorende bewijsstukken. Dit betekent vervolgens dat de gemeentelijke selectielijst moet worden gevolgd. Vooraf zal duidelijk moeten zijn welke gegevens noodzakelijk zijn bij de uitvoering van de wettelijke taak.

Gemeenten hebben de VNG het mandaat verleend om de gemeentelijke selectielijst op te stellen. Er vindt op dit moment een actualisatie plaats. Ontwikkelingen die spelen op het gebied van de AVG worden meegenomen. Voor zover nu bekend is er in het concept van de te actualiseren selectielijst geen kolom opgenomen die per werkproces, of cluster werkprocessen, in kaart brengt welke persoonsgegevens benodigd zijn voor de uitvoering en verwerking van wettelijke taken. Als dit wel het geval zou zijn is er minder verwarring welke persoonsgegevens eigenlijk niet verwerkt mogen worden. Zolang het wetgevend kader hier ruimte laat, blijft het risico van blijvende vernietigingsdrift van persoonsgegevens bestaan. Ieder organisatieonderdeel vult de wet vervolgens zelf in en deze is multi-interpretabel. Er is kans op het verlies van context als persoonsgegevens te vroeg worden verwijderd.’[3]

Na de leergang is er contact geweest met Joost van Koutrik (Adviescommissie Archieven van de VNG). Hij heeft meer aanknopingspunten aangedragen die besproken zijn met de privacy officer van de gemeente:
‘De bewaartermijn m.b.t. jeugdhulp is nu 15 jaar en in de voorgestelde actualisatie 20 jaar. Dit als gevolg van een wijziging van de Jeugdwet (zie dit dossier bij de Eerste Kamer). Kort gezegd stelt de privacy officer dat het onjuist is om in de selectielijst 2017 artikel 7.3.8 eerste lid Jeugdwet als grondslag te nemen. De selectielijst is wat wettelijke grondslag van bewaartermijnen betreft, volgend aan de specifieke wetgeving waaruit de betreffende termijn is overgenomen. Ik geef een inhoudelijke toelichting op de gestelde termijnen en een aanknopingspunt dat wordt gegeven in de Handreiking die door de VNG bij de selectielijst is uitgebracht.

Eerst de inhoudelijke toelichting. De jeugdhulpaanbieder waar jeugdhulpverleners werken, verleent jeugdhulp onder verantwoordelijkheid van het college van B&W. Zo staat het in de definitie van ‘jeugdhulpaanbieder’ onder artikel 1.1 Jeugdwet. B&W zijn zorgdrager onder de Archiefwet. Artikel 7.4.0 Jeugdwet vermeldt het nodige omtrent gegevensverwerking door B&W, maar noemt geen termijn. De termijn die volgt uit artikel 7.3.8 voor jeugdhulpverleners wordt door de Adviescommissie Archieven overeenkomstig toegepast op B&W. Dit vanwege hun bestuurlijke verantwoordelijkheid voor het stelsel en voor jeugdhulpaanbieders. Vandaar dus de procesbrede toepassing van de bewaartermijn in de selectielijst. Bepalingen omtrent het beheer van dossiers dienen ook opgenomen te zijn in de overeenkomst van B&W met een jeugdhulpaanbieder.
Een nadere onderbouwing is opgenomen in de handreiking bij de Selectielijst. Hier wordt tevens verwezen naar een verzoek om vernietiging onder art. 7.3.9 van de Jeugdwet.’

Conclusie en aanbevelingen

In beginsel is het duidelijk dat in deze casus de gemeentelijke selectielijst moet worden gevolgd. Omdat meerdere wetgevende kaders geraadpleegd moeten worden is het aan te bevelen om de systematiek zoals genoemd in de inhoudelijke toelichting (zie hierboven) op te nemen in de handreiking bij de Selectielijst. De wettelijke grondslag en de doelbinding zijn hierbij het sleutelwoord. Bij het verzamelen van persoonsgegevens moet het principe van archivering in het algemeen belang al worden toegepast.[4]

Enerzijds worden archiefbescheiden ontvangen in het kader van een wettelijke taak en anderzijds moet op grond van de selectielijst de zaak in zijn complete context gedurende de bewaartermijn worden gearchiveerd. De AVG en de Archiefwet, naast specifieke wetgeving, zijn daartegenover op verschillende manieren te interpreteren. Hierin gaat het dus om de onderbouwing waarom verwerking van archiefbescheiden/ informatieobjecten en bijbehorende persoonsgegevens nodig zijn. Wat betreft de toepassing van de gemeentelijke selectielijst moeten we vooraf (integraal) per werkproces of cluster werkprocessen inregelen welke gegevens noodzakelijk zijn (need to have).

Waar het gaat om evt. herziening van een werkproces zullen we rekening moeten houden met het ontvangen en verwerken van persoonsgegevens. Ook zullen we onszelf de vraag moeten stellen welke persoonsgegevens nodig zijn voor de uitvoering van onze taken. Daarbij moet de context in het kader van het archiefwettelijk belang niet uit het oog verloren worden (privacy by design en archivering by design). Wederom moet per werkproces of cluster werkprocessen bekeken worden wat het doel is van het bewaren van persoonsgegevens en hoe zich dit verhoudt tot het archiefwettelijk belang. Het uitvoeren van een gegevenseffectbeoordeling (DPIA) kan hierbij helpen. In het informatie- en archiefproces moet bij de archiefvormer (informatiebeheerder, proceseigenaar, FG/PO en informatiemanagement), de toezichthouder (op het archiefbeheer) en de archiefbewaarplaats hier integraal aandacht voor zijn, zodat goed informatiebeheer voor nu en in de toekomst mogelijk blijft en in juiste verhouding is tot privacywetgeving en belangen vanuit de AVG.

Noten

[1] Jeurgens, C. vernietigingsreflex archiefvormers door AVG. Bron: https://www.kvanbrain.nl/nieuws/jeurgens-vernietigingsreflex-archiefvormers-door-avg. Geraadpleegd op 15 juni 2019.
[2] VNG Realisatie. Nieuwsbrief AVG, 6 juni 2018. Bron: https://www.vngrealisatie.nl/sites/default/files/2018-08/Nieuwsbrief%206%20juni%202018%20%20-%20Ook%20na%2025%20mei%20blijft%20VNG%20Realisatie%20gemeenten%20onderste....pdf Paragraaf ‘In de praktijk...’. Geraadpleegd op 15 juni 2019.
[3] Jeurgens, C. Met het oog op archivering in het algemeen belang. Bron: https://www.privacy-web.nl/artikelen/met-het-oog-op-archivering-in-het-algemeen-belang Zie paragraaf ‘Meer integraliteit en design in informatiebeheer’, geraadpleegd 15 juni 2019.
[4] Informatiefolder Algemene Verordening Gegevensbescherming, Nationaal Archief.