Het publiceren van digitale documenten uit overheidsarchieven waarin zich persoonsgegevens bevinden. Auteur: Vincent Sleebe, Nationaal Archief

Inleiding en probleemstelling

In het kader van de ontwikkeling van het digitaal depot (e-Depot) verwerft het Nationaal Archief (NA) steeds meer digital born archieven van o.a. de rijksoverheid. Omdat het om vervroegd overgebrachte archieven gaat, zijn deze betrekkelijk recent. Tot nu toe zijn vooral digitale archieven met een tamelijk algemene inhoud overgebracht, zoals gedigitaliseerde jaarverslagen van de Nederlandsche Bank en publicaties van het Deltaprogramma. Maar recentelijk is ook een archief overgebracht waarin zich persoonsgegevens, zoals namen, telefoonnummers en e-mails van ambtenaren en derden, bevinden. Dit archief bevat digitale documenten. Ze zijn gevormd in de periode 2008-2011. En gaan over de viering van 400 jaar vriendschappelijke betrekkingen tussen de Verenigde Staten en Nederland in 2009. Deze archieven zijn grotendeels openbaar, dat benaderbaar is via de website van het Nationaal Archief.[1] (Zie het voorbeeld hieronder.)

Het archief bestaat uit 34 dossiers. Hiervan zijn vijf dossiers beperkt openbaar met het oog op onevenredige bevoordeling of benadeling van betrokken natuurlijke personen of rechtspersonen dan wel van derden.[2] Deze dossiers worden in de openbare toegang op de website van het NA wel genoemd, maar zijn niet ontsloten op documentniveau. De overige dossiers hebben allemaal een ontsluiting op documentniveau waarbij steeds een digitaal bestand kan worden aangeklikt en geopend. Deze dossiers bevatten informatie over de organisatie van allerlei evenementen, de inhuur van bedrijven en ZZP’ers, contacten met de pers, de organisatie van reizen, e.d, maar ook over optredens van ministers, politici en leden van het Koninklijk Huis.

Dit archief kan worden beschouwd als een voorbeeld van archieven die in de komende jaren naar het NA komen. Dit mede als gevolg van de verkorting van de overbrengingstermijn van overheidsarchieven van 20 naar 10 jaar in de nieuwe Archiefwet, zoals door de minister van OCW is aangekondigd in zijn Kamerbrief van 13 juni 2018.[3] De vraag is nu in hoeverre het volgens de Algemene verordening gegevensbescherming (AVG) toegestaan en wenselijk is om dit soort archiefstukken waarin zich persoonsgegevens bevinden, beschikbaar te stellen op de website van het NA. Dit wordt ook wel ‘actieve openbaarheid’ genoemd. Het gaat daarbij dus niet om de inhoud van de stukken (die mag als openbaar worden beschouwd) maar om de persoonsgegevens die in de documenten voorkomen en gemakkelijk tot personen herleidbaar zijn.

In deze paper wil ik een aantal vragen beantwoorden om tot een afweging te komen over het publiceren van deze documenten. Achtereenvolgens behandel ik de volgende punten:

1. Bevatten de digitale documenten persoonsgegevens in de zin van de AVG?

2. Bevatten de digitale documenten bijzondere persoonsgegevens?

3. Vallen de digitale documenten dus onder de AVG?

4. Betreft het archiveren en overbrengen van digitale documenten een verwerking volgens de AVG?

5. Is deze verwerking rechtmatig?

6. Is er toestemming van betrokkenen voor de verwerking nodig?

7. Hebben betrokkenen het recht om hun gegevens te laten verwijderen?

8. Mogen de digitale documenten met persoonsgegevens worden gepubliceerd?

1. Bevatten de digitale documenten persoonsgegevens in de zin van de AVG?

Onder de documenten bevinden zich veel e-mails, zoals in bovenstaande afbeelding is te zien, met daarin namen, telefoonnummers en soms e-mailadressen. Dit valt binnen de definitie van artikel 4.1 van de AVG: ‘Alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon (‘de betrokkene’)’. In de meeste gevallen gaat het om de zakelijke gegevens van de betreffende personen, maar dat sluit niet uit dat er privégegevens worden gegeven, bijvoorbeeld van betrokken ZZP’ers die hun persoonlijke telefoon en e-mail ook gebruiken voor zakelijke doeleinden. Het maakt volgens de AVG niet uit wat voor soort persoonsgegevens (zakelijk of privé) worden verwerkt, maar het valt te verdedigen dat het tonen van zakelijke of werkgerelateerde contactgegevens minder ingrijpend is dan die van privégegevens.

2. Bevatten de digitale documenten bijzondere persoonsgegevens?

Voor zover te overzien bevatten de digitale documenten geen informatie betreffende ras of etnische afkomst, religieuze of levensbeschouwelijke overtuigingen, het lidmaatschap van een vakbond, genetische gegevens, biometrische gegevens, gegevens over gezondheid, of gegevens met betrekking tot iemands seksueel gedrag of seksuele gerichtheid (AVG, art. 9.1). Een uitzondering geldt misschien voor politieke voorkeur, aangezien in het archief een aantal bewindslieden en politici voorkomen die hun mening uiten in speeches, e.d. Dit betekent dat het verwerkingsverbod voor bijzondere categorieën van persoonsgegevens (zgn. ‘bijzondere gegevens’) van toepassing kan zijn. In hun geval kan er mogelijk van worden uitgegaan dat zij dit gegeven zelf openbaar hebben gemaakt uit hoofde van hun publieke functie, zodat er gebruik kan worden gemaakt van een van de uitzonderingen op het verwerkingsverbod (AVG, art. 9.2 onder e).

3. Vallen de digitale documenten dus onder de AVG?

De AVG is van toepassing op alle digitaal vastgelegde persoonsgegevens (AVG, art. 2.1). Papieren archieven kunnen dezelfde soort gegevens bevatten als het hierboven beschreven archief. Maar als deze gegevens niet gestructureerd worden aangeboden, vallen ze niet onder de AVG. In digitale archieven met persoonsgegevens maakt het niet uit of deze wel of niet gestructureerd worden opgeslagen: het feit dat ze digitaal zijn betekent automatisch dat ze onder de AVG vallen.

4. Is er sprake van verwerking van persoonsgegevens volgens de AVG?

Doordat het archief rond de organisatie van de viering van 400 jaar vriendschappelijke betrekkingen tussen de Verenigde Staten en Nederland in 2009 als blijvend te bewaren is gekwalificeerd, wordt dit archief overgebracht naar het Nationaal Archief.[4] Het overbrengen van een archief van de archiefvormer naar een archiefbewaarplaats kan worden gezien als een verwerking volgens AVG art. 4.2. Het overbrengen van een archief omvat meerdere in de AVG genoemde handelingen: persoonsgegevens worden immers minimaal (opnieuw) verzameld en opgeslagen. Doordat het archief openbaar is kunnen de gegevens worden opgevraagd, geraadpleegd, doorgezonden of anderszins ter beschikking worden gesteld. Er is dus sprake van een verwerking van persoonsgegevens, waarop de AVG van toepassing is.

5. Is de verwerking rechtmatig?

De initiële verwerking van de gegevens in het mailsysteem van het ministerie was rechtmatig op grond van AVG art. 6.1 onder e): de verwerking is noodzakelijk voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen. Bij de creatie van de gegevens waren ze bedoeld om het interne werkproces van het ministerie te ondersteunen: het is immers onmogelijk om e-mails te ontvangen of te versturen zonder gegevens over de ontvanger en afzender vast te leggen.
Bij overbrenging is dan ook de doelbinding in het geding. Het doel van de nieuwe verwerking wordt dan ‘archivering in het algemeen belang’. Dit is volgens AVG art. 5.1 onder b toegestaan. Artikel 89.1 verplicht de verwerking tot een minimum te beperken, bijvoorbeeld door pseudonimisering, maar het is technisch (nog) onmogelijk alle persoonsgegevens in de digitale bestanden onleesbaar te maken. Bovendien, en meer van belang, is dit volgens de Archiefwet ook niet toegestaan. Anders dan de Wet openbaarheid van bestuur gaat de Archiefwet niet uit van het ter beschikking stellen van informatie, maar van het inzage geven in documenten: die zijn beperkt of geheel openbaar en worden in hun geheel aan rechthebbenden ter beschikking gesteld.[5]

6. Is toestemming of het informeren van betrokkenen nodig voor de overbrenging?

De verwerking van persoonsgegevens voor andere doeleinden dan die waarvoor de persoonsgegevens aanvankelijk zijn verzameld, mag enkel worden toegestaan indien de verwerking verenigbaar is met de doeleinden waarvoor de persoonsgegevens aanvankelijk zijn verzameld (AVG art. 6.4). In dit geval lijkt een verband tussen oorspronkelijke verwerking (opslaan en archivering van e-mails) en nieuwe verwerking (overbrenging) te bestaan. Hierdoor wordt voldaan aan AVG art. 6.4. onder a.

Bij de overbrenging vindt verwerking plaats op grond van AVG art. 6.4 onder c: de verwerking is noodzakelijk om te voldoen aan een wettelijke verplichting die op de verwerkingsverantwoordelijke, in dit geval het ministerie van Buitenlandse Zaken, rust. Het ministerie is immers verplicht blijvend te bewaren archieven over te brengen naar het Nationaal Archief.[6]

Ook het informeren van de betrokkenen is niet nodig. Volgens AVG 14.4 moet de verwerkingsverantwoordelijke die voornemens is de persoonsgegevens verder te verwerken voor een ander doel dan dat waarvoor de persoonsgegevens zijn verkregen, de betrokkenen informatie over dat andere doel verschaffen. Dit is niet van toepassing als het verstrekken van die informatie onmogelijk blijkt of onevenredig veel inspanning zou vergen. In het bijzonder bij verwerking met het oog op archivering in het algemeen belang (AVG art. 14.5 onder b). Het is duidelijk dat niet alle betrokkenen die voorkomen in de duizenden e-mails van dit archief benaderd kunnen worden. Wel zou in het vervolg, bijvoorbeeld in de disclaimer, aan ambtenaren en derden aangegeven kunnen worden dat hun mailwisselingen gearchiveerd kunnen worden.

7. Hebben betrokkenen het recht om hun gegevens te laten verwijderen?

Bij overgebrachte archieven zou het recht om persoonsgegevens te laten verwijderen neerkomen op het verwijderen van de betreffende documenten uit het archief. Betrokkenen hebben het recht dit te eisen op grond van AVG art. 17.1. Tenzij verwerking nodig is met het oog op archivering in het algemeen belang en dit recht de verwezenlijking van de doeleinden van die verwerking onmogelijk dreigt te maken (AVG art. 17.3 onder d). Dat is hier het geval: het verwijderen van documenten uit een dossier brengt de integriteit en authenticiteit van het archief in gevaar.
Een alternatief kan zijn dat een betrokkene de zorgdrager (na overbrenging is dat de minister van OCW) verzoekt een bepaald deel van het archief alsnog beperkt openbaar te maken. De digitale documenten worden dan niet verwijderd, maar niet meer gepubliceerd. En zijn alleen door belangstellenden die toestemming tot inzage hebben, te raadplegen.[7]

8. Mogen de digitale documenten met persoonsgegevens worden gepubliceerd?

Het publiceren van overgebrachte digitale documenten met persoonsgegevens vormt op zich een derde verwerking in de zin van de AVG. Bij het beschikbaar stellen van digitale archieven wordt de inhoud van het archief direct aan de toegang gekoppeld en gepubliceerd. Daardoor worden dus ook de persoonsgegevens gepubliceerd. Omdat de publicatie daarvan volgt op het overbrengen van het archief, gelden de vragen 1 t/m 7 die hiervoor zijn behandeld ook voor publicatie op een website.
Maar daar houdt het niet bij op. Ook al mogen persoonsgegevens in een digitaal overheidsarchief worden overgebracht en aan het publiek ter beschikking worden gesteld, wil dat nog niet per se zeggen dat ze ook actief mogen worden gepubliceerd door ze digitaal op een website te tonen. AVG art. 86 zegt hierover: ‘Persoonsgegevens in officiële documenten die voor de uitvoering van een taak van algemeen belang in het bezit zijn van een overheidsinstantie, een overheidsorgaan of een particulier orgaan, mogen door de instantie of het orgaan in kwestie worden bekendgemaakt (…), teneinde het recht van toegang van het publiek tot officiële documenten in overeenstemming te brengen met het recht op bescherming van persoonsgegevens (…).’ Er moet dus een afweging plaatsvinden tussen het recht op informatie en dat op bescherming van persoonsgegevens.

De vraag is allereerst wat onder officiële documenten wordt verstaan? Zijn dit alleen publicaties van de overheid of worden hiermee alle documenten met een formeel karakter bedoeld? Het ministerie van Justitie en Veiligheid noemt ‘bijvoorbeeld documenten die voor de uitvoering van een taak van algemeen belang in het bezit zijn van de betreffende organisatie’. Burgers kunnen het recht hebben om toegang te hebben tot deze officiële documenten, bijvoorbeeld op basis van de Wet openbaarheid van bestuur’.[8] Deze definitie lijkt op die van ‘archiefbescheiden’ in de zin van de Archiefwet: dit zijn documenten die door een organisatie worden opgemaakt en ontvangen, ongeacht de vorm.[9] Daar vallen dus ook e-mails onder. Die kunnen dus kennelijk worden gepubliceerd, als het aan het ministerie ligt.
Omdat het bij dit archief grotendeels om overgebrachte dossiers gaat waarvan de openbaarheid niet is beperkt, lijkt er dus geen bezwaar te zijn tegen het publiceren van de inhoud ervan. De Nederlandse wetgever heeft hierover in de Uitvoeringswet geen aanvullende bepalingen opgesteld en de Archiefwet biedt mogelijkheden om de toegang tot (delen van) archieven tijdelijk te beperken met het oog op de eerbiediging van de persoonlijke levenssfeer.[10] Daarmee lijkt de wetgever te accepteren dat overgebrachte digitale overheidsarchieven actief openbaar gemaakt worden, d.w.z. gepubliceerd worden.

Conclusie

In dit paper ben ik nagegaan of een overgebracht digitaal archief, dat (algemene) persoonsgegevens bevat en niet beperkt openbaar is verklaard, onder de AVG valt. En wat dat betekent voor de toegang via de website van het Nationaal Archief. De overbrenging van een digitaal archief met persoonsgegevens als namen, telefoonnummers en e-mailadressen maakt dat hier sprake is van een verwerking in de zin van de AVG. De archivering en overbrenging is gebeurd zonder expliciete toestemming of kennis van de betrokkenen (ambtenaren van het ministerie, maar ook externen). Dit wordt ondervangen door het feit dat het gaat om archivering in het algemeen belang. Wel kunnen ambtenaren en derden erop gewezen worden dat hun mailwisseling gearchiveerd wordt. Het ‘actief openbaar maken’, dus dat digitale documenten mét persoonsgegevens worden gepubliceerd op de website van het NA, wordt niet verhinderd door de AVG, de Nederlandse Uitvoeringswet of de Archiefwet 1995. En kan worden ondersteund met een beroep op het recht van het publiek op inzage in overheidsdocumenten.

Niettemin blijft het de vraag of dit wenselijk is. Om het recht op informatie te verenigen met de bescherming van de persoonsgegevens van individuele personen kunnen verschillende wegen worden bewandeld:

• Digitale archieven waarin zich documenten met dit soort gegevens bevinden, alsnog beperkt openbaar maken. Dat zou wel betekenen dat het gros van beleidsarchieven van de overheid beperkt openbaar wordt, wat weer botst met het principe van een transparante overheid. Bovendien schiet dit het doel van een verkorte overbrengingstermijn, zoals in de nieuwe Archiefwet verwacht wordt, voorbij.

• Een methode ontwikkelen om persoonsgegevens in digitale documenten af te dekken (‘zwarten’). Afgezien van de praktische toepasbaarheid van zo’n methode, moet hiervoor ook de Archiefwet aangepast te worden, zodat het mogelijk wordt informatie af te schermen.

• Een strategie ontwikkelen waarbij openbare digitale archieven met persoonsgegevens niet `actief openbaar’ worden gemaakt, maar alleen zijn in te zien nadat een raadpleger een aantal stappen heeft gezet om zich te identificeren. Zoals moeten inloggen op de betreffende website, of alleen kunnen raadplegen op de studiezaal van het Nationaal Archief.

Noten

[1] Zie https://e-depot.nationaalarchief.nl/Render/render/external?entity=TypeFile&entityRef=4e42f86f-93c0-41bd-a367-37f87ccf1db7&token=3264f87c-6c9e-4638-936c-bbfc554656fa.
[2] Archiefwet 1995 (AW), artikel 15, eerste lid, onder c.
[3] Zie https://zoek.officielebekendmakingen.nl/kst-29362-272.html.
[4] ‘Selectielijst van het ministerie van Buitenlandse Zaken voor de archieven gevormd vanaf de overgang naar digitale archivering in de periode (2009) 2012-2014’, Staatscourant 5623 (3 maart 2015) 1. Het betreft ’13.8 Herdenking Mijlpalen’.
[5] Archiefwet 1995, artikel 15.1 en 15.3.
[6] Archiefwet 1995, artikel 12.1.
[7] Archiefwet 1995, art. 15.1 onder a) en 15.3.
[8] Ministerie van Justitie en Veiligheid, Handleiding Algemene verordening gegevensbescherming en Uitvoeringswet Algemene verordening gegevensbescherming(2018) 47, https://autoriteitpersoonsgegevens.nl/sites/default/files/atoms/files/handleidingalgemeneverordeninggegevensbescherming.pdf.
[9] Archiefwet 1995, art. 1c.
[10] Archiefwet 1995, art. 15.1 onder a) en 15.3.