Informatiebeheer incident

Hi René,

Ik denk dat het af zou hangen van het soort incident en de impact: is er een V5-zaak na 3 jaar vernietigd? Dan zou ik het misschien kort bespreken in het team en even aan het Regionaal Archief laten weten, maar ik denk niet dat ik er héél zwaar aan zou tillen. Ergens een notitie maken dat als er binnen de eigenlijke archieftermijn naar deze stukken wordt gevraagd, dat we aangeven dat er een fout is gemaakt. Verder zou ik vooral willen weten of dit vaker gebeurt. Vooral voor het vervolg zou ik hier langs het MT gaan, en als blijkt dát het vaker gebeurt gaat het ook weer bij het archief langs. Mocht het structureel gebeuren (geen idee hoe vaak dat moet zijn, maar dat is het probleem van hypothetisch werken) dan gaat het op een gegeven moment ook wel langs het college moeten, zodat zij op de hoogte zijn en evt de raad kunnen informeren.

Mocht het gaan om iets groters: Iets op de hotspotlijst is vernietigd, of een V40-dossier is na 5 jaar vernietigd of iets dergelijks, dan is het denk ik een kwestie van zowel het Regionaal Archief inlichten, impact opsporen (bijvoorbeeld voor een voormalig medewerker die met gevaarlijke stoffen heeft gewerkt) en kijken wat er nog wél van de informatie te achterhalen is. Ook dan de route via het archief, en speuren of dit eenmalig of structureel is.

Ik heb het vooral over te vroeg vernietigen, omdat ik denk dat niet-herstelbare fouten de meest serieuze zijn hierin. Wanneer het gaat om een verkeerde classificatie, niet aantoonbaar origineel document, of zelfs het onvolledig delen van informatie bij een Woo-verzoek, denk ik dat het een overheid siert wanneer zij hun fouten herstellen. In dat geval maak je zowel een incidentmelding als een herstelactie (in overleg met relevante collega's/management). Het is juist een goede manier om vertrouwen in de overheid op peil te houden denk ik. Eigenlijk geldt voor alle gevallen: meld wat er is gebeurd, check of het incidenteel of structureel is, of je het kan herstellen, of en wanneer bestuur ingelicht moet worden (dat kan in overleg met je archivaris/toezichthouder).

Mocht je hierover vragen hebben/iets in missen ben ik natuurlijk ook heel erg benieuwd

Aangepast op 11 augustus

Beste René,

Om meer meedenkers te vragen en gezien context van jouw vraag ben ik zo "brutaal" geweest om een verwijzing naar jouw vraag bij dit item te plaatsen: Praat na over meldplicht dat aan bod kwam in de Samen Slimmer sessie van 7 juli. - KIA community

Hartelijke groet,

Marjan

Aangepast op 12 augustus

Omdat de meldplicht in de nieuwe Archiefwet (helaas) alleen voor de Rijksoverheid geldt, zijn wij voornemens om een vergelijkbare meldplicht in onze lokale Archiefverordening op te nemen. We zijn dat op dit moment aan het uitwerken. We richten ons daarbij wel op de grotere incidenten waarop ook de wettelijke meldplicht toeziet en niet op kleine dingen die in de eerste lijn nog hersteld kunnen worden.

We weten uiteraard al lang dat deze nieuwe meldplicht in de pijplijn zit, dus we proberen vooruitlopend daarop al een tijdje in die geest te handelen. In de praktijk is het afgelopen jaren een aantal keer gebeurd dat een van onze vakspecialisten een incident eerst bij mij meldde. In die gevallen keken we samen naar wat de impact van het incident was en wat daarbij passende vervolgstappen waren, zoals het informeren van de toezichthouder. Ik vind dat eigenlijk wel een prettige werkwijze.
De meeste organisaties hebben (nog) geen Chief Record Officer, maar in die gevallen zou je dit wellicht kunnen bespreken met een vergelijkbare rol als CIO of CDO afhankelijk van hoe de stelselverantwoordelijkheid voor informatiebeheer is georganiseerd.
Waar ik vanuit mijn rol als CRO veel waarde aan hecht is dat we een incident gebruiken om als organisatie van te leren en niet voor naming en shaming.

Een voorbeeld: enige tijd terug zijn er door een menselijke vergissing dossiers van een verkeerd jaargang vernietigd. De bewaartermijn was nog niet verstreken. Dit was niet meer te herstellen. Er is toen vanuit de proceseigenaar een impactanalyse gemaakt waarin o.a. is bekeken wat de potentieel nadelige impact voor onze inwoners was. Die impact viel gelukkig mee. Daarnaast is gekeken hoe het proces verbeterd kon worden om het risico op herhaling te verkleinen. De toezichthouder (die zit in ons geval bij een regionale archiefdienst) is geïnformeerd over het incident en de impactanalyse is meegestuurd.

Hallo René,

bij ons als GGD is het zo dat 95% van de informatie die wij verwerken persoonsgegevens bevat (bij gemeentes zal dit percentage lager liggen, maar evengoed substantieel zijn). Indien zich met die informatie een "serieus" (bijvoorbeeld voortijdige vernietiging) informatiebeheer-incident voordoet dan geldt dat als een onrechtmatige verwerking in de zin van de AVG, en daarmee een datalek. Een datalek moet je te allen tijde melden. Hoe een datalekmelding vervolgens wordt opgepakt verschilt per organisatie, maar in bepaalde gevallen moet door worden gemeld naar de AP. Ik kan me voorstellen - zoals Willem hierboven ook aangeeft - dat je in bepaalde gevallen ook door wil melden naar jouw archieftoezichthouder en/of een incident groot genoeg is om op te nemen in het risicoregister.

Mijn tip zou daarom zijn: bespreek dit of brainstorm hierover met je Privacy Office(r). Misschien is het mogelijk om hierin samen op te trekken. Zij hebben vaak al ervaring met hoe je het meldproces in moet richten: wat kan intern afgehandeld worden, wat moet doorgemeld worden, wat moet opgenomen worden in het risicoregister, etc.

Aangepast op 17 augustus

Hoi René ,

Vanuit de kwaliteitsmanagement hoek, zou je een incidentenregister bijhouden. Dit register bespreek je met regelmaat met wat past in de organisatie. Hoe volwassener het kwaliteitsmanagement in de organisatie, hoe hoger in de organisatie dit op tafel kan komen.

Soms lijken dingen urgent. Alleen door een impact en effect vast te stellen, kun je een afweging maken of je direct aan de bel trekt of toch het standaardoverleg afwacht.

Door ook kleine incidenten te registreren, kun je op een gegeven moment patronen herkennen, maatregelen onderbouwen en daarmee dingen hoger op de agenda krijgen. De kleine incidenten bespreek je daarom op teamniveau.

In je incidentenregister kun je ook de opvolging noteren. Opvolging kun je borgen dmv een auditcyclus, waarin je o.a. uitgevoerde maatregelen en de incidentenregistratie kan bekijken. In een lerende organisatie zul je zeker incidenten delen om er samen van te leren.