AVG en acquisitie van particuliere archieven. Auteur: Rolf Hage, Erfgoed 's-Hertogenbosch

Inleiding

Het stadsarchief ’s-Hertogenbosch is de aangewezen archiefbewaarplaats voor archieven van de gemeente ’s-Hertogenbosch, van enkele gemeenschappelijke regelingen en van enige verbonden partijen. Daarnaast melden ongeveer 150 keer per jaar particulieren zich met archiefbescheiden die mogelijk interessant zijn voor het Stadsarchief ’s-Hertogenbosch.[1] Over deze groep bestanden, te scharen onder het begrip acquisitie ter onderscheiding van de term overbrenging, handelt dit werkstuk.
Acquisitie is zo belangrijk, omdat het om archieven gaat van instellingen of personen die om cultuurhistorische redenen een bepaalde bijdrage aan de ontwikkeling van de samenleving hebben geleverd. Dit in lichte afwijking van overheidsarchieven, die niet zozeer om historische overwegingen naar een archiefbewaarplaats worden overgebracht, maar doorgaans om rechten en plichten te kunnen bewijzen. Veel van deze bronnen worden vanwege het verstrijken van de tijd interessanter voor historisch onderzoek.

Onder deze particulieren zijn soms personen die een oude foto of een vergeeld document aanbieden, soms zijn het grotere instellingen die vele meters archief offreren. Vaak wordt dan de vraag gesteld of de AVG en privacy spelen en hoe we daar dan mee omgaan.[2] Het lijkt erop dat de aanbieders zelf, net als wij, niet veel weten van de AVG en de toepasbaarheid op archieven. Vandaar de behoefte om te inventariseren waar we bij acquisitie staan met de AVG.

De kernvraag die ik ga proberen te beantwoorden, luidt:
Wat stelt de AVG over acquisitie van archieven en op welke wijze zijn die inzichten handzaam toepasbaar te maken?
Dit werkstuk start met een korte theoretisch-juridische inventarisatie. Daarna volgt een lijst van nuttige adviezen te hanteren bij acquisities. Ik gebruik Engelse begrippen en afkortingen wanneer dat mij in de tekst logisch voorkomt.

Theoretisch en juridisch kader

Acquisitie en Archiefwet- en regelgeving

In de Archiefwet 1995 is in artikel 1, onderdeel c, sub 3 omschreven dat een overheidsorgaan archiefbescheiden van niet-overheidsorganen kan opnemen in de archiefbewaarplaats wanneer dat gebeurt als gevolg van ‘overeenkomsten met of beschikkingen van instellingen of personen dan wel uit anderen hoofde’. In de praktijk komt dat neer op overeenkomsten van schenking, van in bewaargeving, van legaten of testamentaire beschikkingen. Soms heeft een instelling in de statuten laten vastleggen dat het archief na opheffing naar een archiefbewaarplaats gaat. Vanaf het moment dat de overeenkomst is getekend, de legataris is overleden of de rechtspersoon is opgeheven, is de betrokken zorgdrager eigenaar en gelden de bepalingen van de Archiefwet. De bestanden hoeven dan nog niet in het bezit van de zorgdrager te zijn of in de archiefbewaarplaats te liggen. Van belang is voorts dat de Archiefwet geen regels stelt omtrent de wijze van informatiebeheer bij particuliere organisaties en dat er ook geen overbrengingsverplichting voor dezen bestaat. Wel zijn er andere wetten die bepalingen bevatten voor de bewaartermijn van bepaalde bescheiden bij particulieren en particuliere instellingen, denk bijvoorbeeld aan fiscale regels.

Over de openbaarheid van de bestanden die op grond van artikel 1, lid 2, sub 3 zijn opgenomen in de archiefbewaarplaats is in artikel 16 van de Archiefwet opgenomen dat die kan worden beperkt in de genoemde overeenkomsten of beschikkingen. Dat betekent dat van de strengere eisen die voor overheidsarchieven gelden kan worden afgeweken.[3] Overigens verplicht de zorgdrager zich na opname in de archiefbewaarplaats tot het in goede, geordende en toegankelijke staat brengen en bewaren van deze bestanden, maar ook tot de passieve en actieve beschikbaarstelling ervan.

In het geval van de gemeente ’s-Hertogenbosch heeft de zorgdrager expliciet de mogelijkheid van het opnemen van archieven van niet-overheidsorganen in de archiefbewaarplaats erkend. In artikel 29 van het Besluit Informatiebeheer Gemeente ’s-Hertogenbosch 2014 is dat zo verwoord: ‘De archivaris is bevoegd om in de archiefbewaarplaats archiefbescheiden en documentatie op te nemen afkomstig van particuliere organisaties of personen indien dit door hem voor de kennis van de lokale of regionale geschiedenis van belang wordt geacht.’ De gemeentearchivaris is tevens conform het Mandaatbesluit ’s-Hertogenbosch 2016, volgnr. 5.5.17, gemandateerd voor ‘Het aanvaarden van schenkingen door particulieren voor het Stadsarchief, voor zover behorend tot het dagelijks bestuur’. In de praktijk wordt bij het selecteren en waarderen van particulier materiaal een lijst van opnamecriteria gehanteerd in combinatie met kennis van de stedelijke historie. Meerdere collega’s adviseren de gemeentearchivaris hierover.

Acquisitie en de AVG

Wat zeggen de EAG (European Archives Group) en de AVG over acquisitie? Laten we beginnen met de uitleg van een groep Europese archivarissen, verenigd in de EAG. Die bekijkt de relatie AVG en de permanent te bewaren archieven in een archiefbewaarplaats door een archive service, een archiefdienst. Hun interessegebied is dus beperkter dan die van de AVG, die zich richt op iedereen die persoonsgegevens verwerkt. De EAG stelt dat de GDPR (General Data Protection Regulation) bestemd is voor instellingen that hold archives, i.e. records that have been selected for permanent preservation. Het gaat volgens de EAG dus over bestanden die tenminste fysiek aanwezig zijn, als we hold als ‘houden’ mogen kwalificeren. Of ze juridisch eigendom zijn lijkt niet relevant. Maar op blz. 10 staat bij de uitwerking welke instellingen onder het begrip archiefdienst vallen en dus doen aan archiving purposes in the public interest. Dat dit geldt wanneer een instelling een statutory mission heeft tot acquiring, preserving and providing access to archives in the general public interest. Dus de combinatie van het onder zich hebben conform een statutaire missie legt de verantwoordelijkheid voor de verwerking van de persoonsgegevens bij de ontvangende archiefdienst. Dat stemt naar mijn mening overeen met wat Overweging 158 van de AVG stelt. In dat Recital 158 van de GDPR staat als omschrijving van de uitzondering archiving purposes in the public interest dat een archiefdienst een instelling is die hold records of public interest en een legal obligation to acquire, […] records of enduring value for the general public interest. Die wettelijke verplichtingen mogen overigens ook voortkomen uit lokale regelgeving zoals hierboven genoemd. De ontvangende, dus acquirerende kant, is in dit geval het Stadsarchief ’s-Hertogenbosch die de archiefbewaarplaats is voor de gemeente ’s-Hertogenbosch en enkele Gemeenschappelijke Regelingen.

Er zijn twee sets van persoonsgegevens van belang: die van de aanbieder en die van de personen genoemd in het aangeboden bestand, beiden verwerkt in een structureel databestand conform artikel 2 lid en 4 aanhef en sub 6 van de AVG.
In het eerste geval moet in het verwerkingsregister van de archiefdienst komen te staan op welke wijze persoonsgegevens worden beschermd en voldoen aan de belangrijkste beginselen als rechtmatigheid, transparantie, doelbinding, opslagbeperking, juistheid ervan etc. bij het registreren van gegevens rondom een acquisitie. Zodra er een contact ontstaat moet de aanbieder geïnformeerd worden over wat we met zijn of haar persoonsgegevens doen. In ons geval nemen we ze op in ‘het memoriaal’, een bestand van alle relevante en minder relevante digitale en digitaal doorzoekbare gegevens over de contacten, dus onder andere NAW-gegevens, en het archiefmateriaal. Dat is dus een verwerking van persoonsgegevens conform de AVG. We zullen als archiefdienst moeten publiceren waarom we die gegevens bijhouden, hoe lang, etc.

Dat onderscheidt zich het tweede geval: het verwerken van de gegevens die zich in het te acquireren bestand bevinden. Interessant wordt dan de vraag wanneer die gegevens vallen onder archiving purposes in the public interest. Is dat wanneer de archiefdienst het materiaal fysiek onder zich - in bezit - heeft, dan wel de bestanden op de eigen computer heeft staan, dan wel de cd’s en dvd’s in huis heeft? Of wanneer de bestanden juridisch in eigendom zijn gekomen van de archiefdienst, bijvoorbeeld na ondertekening van de overeenkomst, na overlijden van de legataris, na formele opheffing van een rechtspersoon, bijvoorbeeld na het verlopen van een termijn of na een rechterlijke beschikking? Deze vraag is van belang bij het bepalen wie tot wanneer de zorg heeft voor de bescherming van persoonsgegevens: de aanbieder of de ontvangende archiefdienst. In het verwerkingsregister van de archiefdienst moet dan komen te staan dat verwerking van persoonsgegevens onze verantwoordelijkheid is wanneer wij die gegevens feitelijk en daadwerkelijk in ons bezit hebben. Van belang hierbij is vast te stellen dat de nog levende personen wier gegevens naar de archiefdienst overgaan daarvoor hun toestemming hebben gegeven.

Een bijzondere situatie treedt op wanneer een archief in bewaring wordt gegeven. Het bezit van de persoonsgegevens gaat wel over naar de ontvangende partij, maar de juridische eigendom blijft bij de aanbieder. De teksten hierboven scheppen niet veel duidelijkheid. ‘In bewaring geven’ lijkt voor de AVG niet te bestaan. Ik houd het erop dat de verantwoordelijkheid voor de persoonsgegevens bij de aanbieder blijft berusten en dat die in zijn verwerkingsregister duidelijk moet maken dat dit het geval is. Alleen de beschikbaarstelling gaat dan over naar de archiefdienst. Dan zou de archiefdienst toch als verwerkingsverantwoordelijke optreden. Wellicht zal jurisprudentie uitwijzen dat het zinvoller is wanneer in de overeenkomst van in bewaargeving een artikel wordt opgenomen dat het beheer en de verwerking van persoonsgegevens in gestructureerde gegevensbestanden overgaat naar de ontvangende archiefdienst. Zo niet, dan rest het opstellen en ondertekenen van een verwerkingsovereenkomst.

Mocht er bij de aanbieder sprake zijn van bijzondere persoonsgegevens of een bijzondere verwerking, dan kan het raadzaam zijn - en indien daarvoor aanleiding is - een Data Protection Impact Assessment (DPIA, ook wel PIA) te houden op het aan te bieden materiaal. Normaliter is een PIA noodzakelijk indien er sprake is van een hoog privacy-risico en er veel meer gedaan wordt met persoonsgegevens dan het bijvoorbeeld het bijhouden van een NAW-register. Indien dat gaat plaatsvinden dan moet het advies van de Functionaris Gegevensbescherming worden ingewonnen. Een PIA wordt interessant wanneer er bijzondere persoonsgegevens aanwezig zijn, denk aan patiëntenregisters.

Conclusies

Ik stelde me tot doel om deze vraag te beantwoorden:
Wat stelt de AVG over acquisitie van archieven en op welke wijze zijn die inzichten handzaam toepasbaar te maken?

Uit het besprokene volgen deze adviezen en stappen, beseffende dat nog veel duidelijk moet gaan worden door jurisprudentie en ervaringen:

• Neem in het verwerkingsregister van de archiefdienst op dat persoonsgegevens van aanbieders worden verwerkt in een gestructureerd databestand.

• Stel als archiefdienst een missie op waarin de rol, noodzaak en functie van het opnemen van particuliere archieven in de archiefbewaarplaats worden geformuleerd en publiceer de missie.

• Informeer bij het eerste contact met een aanbieder wat er met diens persoonsgegevens wordt gedaan. Neem dat op in eventuele folders of stukken als verklaring van afgifte wanneer de aanbieder het archiefstuk of de foto komt afgeven.

• Laat de aanbieder regelen dat de personen wier gegevens overgaan naar de archiefdienst daarvoor hun toestemming hebben gegeven.

• Ga na of die gegevens rechtmatig zijn verzameld door de aanbieder. Zo niet, dan zullen die gegevens toch vernietigd moeten worden en kunnen ze niet worden opgenomen door de archiefdienst.

• Gezien het soms langdurige contact tussen archiefdienst en particuliere organisatie of personen is het raadzaam de aanbieder erop te wijzen om, op grond van artikel 44 van UAVG, in haar verwerkingsregister op te nemen dat persoonsgegevens langer worden bewaard vanwege de op handen zijnde schenking aan de archiefdienst. Overleg daartoe met de Functionaris Gegevensbescherming die werkzaam is bij de aanbieder.

• Laat in geval van bijzondere persoonsgegevens een PIA uitvoeren en verwerk de conclusies in de overeenkomst van schenking.

• Let op de speciale omstandigheden bij het in bewaring geven van archieven.

Noten

[1] Ik spreek in dit stuk van particuliere archieven, niet van allerlei tussenvormen als particulieren die een publieke taak uitvoeren en in die zin zorgdrager zijn.
[2] Privacy behandel ik hier verder niet, omdat ik mij op de AVG richt; wel is duidelijk dat in het algemeen bij de acquisitie van recente archieven met de aanbieder gesproken moet worden over het beschermen van de persoonlijke levenssfeer van de in het archief genoemde personen en dat daarover in de overeenkomst van schenking afspraken thuishoren.
[3] De Archiefwet 1995 in 100 trefwoorden, 106