Advies vernietigingsprocedure
Beste Zaalberg,
Wij hebben onze vernietigingsprocedure herzien en ter informatie naar onze archivaris verstuurd. De archivaris heeft op een onderdeel gereageerd en wil dit graag anders zien. De afgelopen jaren hebben wij echter precies zoals omschreven gewerkt. Dat ging in overleg met onze privay officer en de archiefdienst.
Waar het om gaat:
Als bijlagen van het proces-verbaal van vernietiging komen de vernietigingslijsten in aanmerking voor eeuwige bewaring. De staten van vernietiging dienen derhalve te worden geanonimiseerd, zodat deze geen persoonsgegevens bevatten. Dit kan bijvoorbeeld ook worden bewerkstelligd door het seriematig beschrijven van dossiers wanneer dit mogelijk is.( -> Toelichting: dit gebeurt alleen in hele specifieke gevallen.)
Uiteraard worden de vernietigingslijsten pas door Informatiebeheer geanonimiseerd nadat deze intern gecontroleerd zijn, zodat zaken die mogelijk door omstandigheden tijdelijk langer bewaard moeten worden ook herkend kunnen worden door de betreffende afdeling. Daarna worden de vernietigingslijsten geanonimiseerd en ter goedkeuring naar de archiefdienst verstuurd.
Het anonimiseren van de vernietigingslijsten wil onze archivaris niet meer. Kan me echter niet voorstellen dat we namen, adressen en BSN op de lijsten laten staan kijkend naar bijvoorbeeld zaken van clienten (WMO/Jeugd/Werk en inkomen of andere gevoelige zaken.
Uiteraard speelt de AVG hierbij een grote rol net als b.v. ook het recht om vergeten te worden. Dat alles strook volgens ons niet met de wens van onze archivaris.
De reactie van onze archivaris:
– Het opstellen van de staten van vernietiging is een verwerking van persoonsgegevens volgens de AGV.
– De verwerkingsgrond hiervoor is de Archiefwet en de wettelijke verplichting die daaruit voortvloeit om de staten van vernietiging op te stellen.
– In dat kader mogen (bijzondere) persoonsgegevens worden bewaard (AVG Artikel 89.1 / UAVG Artikel 45).
– Het feit dat informatie eeuwig bewaard wordt is geen reden om informatie te anonimiseren.
– De archiefwet biedt de mogelijkheid om een beperking te maken op de openbaarheid vanwege de eerbiediging van de persoonlijke levenssfeer (Aw Artikel 15a)
– Derhalve is de juiste werkwijze dat de staten van vernietiging niet geanonimiseerd worden maar dat er bij overbrenging een beperking op de openbaarheid wordt gemaakt.
Hij heeft nog toegelicht:
Waar het dus om gaat is dat er op de vernietigingslijsten persoonsgegevens kunnen worden verwerkt, zodat je kan herleiden dat zaken zijn vernietigd. Bijvoorbeeld een inwoner doet een verzoek tot vernietiging. Dit verzoek is rechtvaardig, waardoor we overgaan tot vernietiging. Op de vernietigingslijst zetten we het zaaknummer van het dossier dat vernietigd wordt met een algemene beschrijving van de zaak. Stel dat de verzoeker later terugkomt om te zien of het daadwerkelijk is vernietigd kunnen we aan de hand van de vernietigingslijst en het bijbehorende zaaknummer dat is vernietigd aantonen dat we ook hebben vernietigd. De archivaris beargumenteerde dat het niet op te maken is/te verantwoorden is dat het document dan bij bijbehorende persoon hoort, maar dat je dat wel kan aantonen door in de beschrijving van je vernietigingslijst aan te geven met de persoonsgegevens van de persoon.
Graag zouden wij in deze dan ook advies vragen aan Zaalberg.
Antwoord:
Deze vraag komt vaker naar voren. Het probleem ontstaat doordat persoonsgegevens worden gebruikt om dossiers/zaken/documenten te ontsluiten.
In een aantal gevallen is dat noodzakelijk. In het verleden werd ook het BSN-nummer voor de ontsluiting gebruikt. Dat betekende dat het BSN-nummer terecht kwam op een vernietigingslijst, een lijst die voor permanente bewaring in aanmerking komt. Dit laatste moet zoveel mogelijk worden voorkomen.
Er zijn dus twee vragen: welke persoonsgegevens mogen worden gebruikt om dossiers/zaken/documenten te ontsluiten?
En: hoe richt ik een vernietigingslijst in zodat daar zo weinig mogelijk tot geen persoonsgegevens op voorkomen?
De eerste vraag is vrij simpel te beantwoorden: er mogen zo weinig mogelijk persoonsgegevens worden gebruikt. Zelfs een geboortedatum zal in veel gevallen al niet meer noodzakelijk zijn.
De tweede vraag vraagt meer uitleg. Een archivaris zal in het merendeel van de dossiers geen noodzaak hebben om de persoonsgegevens te zien om te bepalen of een dossier bewaard moet blijven. Daarmee is er ook geen noodzaak om persoonsgegevens te delen met de archivaris en kan/moet de vernietigingslijst geanonimiseerd zijn. In hele specifieke gevallen kan het wel nodig zijn, bijvoorbeeld om te beoordelen of dossiers/zaken van ‘bijzondere’ mensen (burgemeester, topsporters, e.d.) bewaard moeten worden, maar dat is de uitzondering op de regel.
Aan de andere kant moet een organisatie kunnen bewijzen dat een bepaald dossier/zaak is vernietigd. Indien bijvoorbeeld een client uit het sociaal domein de vraag stelt of zijn/haar dossier is vernietigd, kan niet worden volstaan met ‘WMO-dossiers afgesloten in 2010’ zijn vernietigd want wie zegt dat het dossier van deze specifieke client daaronder valt.
Dat betekent dat een vernietigingslijst aan de ene kant wel persoonsgegevens moet bevatten en aan de andere kant niet. Dat kan worden opgelost door van de vernietigingslijst zowel een geanonimiseerd als niet-geanonimiseerde versie te hebben. De eerste kan worden gedeeld met de archivaris, de tweede versie is alleen voor het archief bestemd.
Advies is wel om bij overbrenging van vernietigingslijsten een beperking van de openbaarheid op deze zaken te leggen.