Archivering

Beste Zaalberg,

Wat te doen na overdracht analoog archief naar een archiefbewaarplaats met de digitale records in het DMS.
Omdat het papier leidend is (er is geen substitutie) zijn de digitale records slechts kopieën. Is het verplicht om de digitale records die achterblijven in het DMS van een archiefvormer te verwijderen, bijvoorbeeld uit oogpunt van dataminimalisatie in de zin van AVG? Of mogen deze kopieën, uit oogpunt van bedrijfsvoering, aanwezig blijven, voorzover het dossiers betreft waarvan de bewaartermijn niet is verstreken. De digitale dossiers zijn namelijk beter ontsloten (op documentniveau) dan de overgebrachte papieren dossiers (op dossiernieau ontsloten).

Antwoord:

Uw vraag wijst op een issue waar nog weinig over wordt nagedacht: wat doen we moet ‘hulpadministraties’ waar persoonsgegevens in zitten, als de organisatie daar niet meer verantwoordelijk voor is?
U heeft het beheer en tevens de dienstverlening van uw papieren archief overgedragen aan de archiefinstelling. Daarmee is de archiefinstelling verantwoordelijk geworden voor een goede ontsluiting van dat archief. De universiteit heeft daarmee geen belang meer bij het bewaren van digitale records in het DMS en dus ook zeker niet voor het bewaren van de persoonsgegevens die in het DMS zijn verzameld. Vanuit de bedrijfsvoering is er ook geen grondslag: het papieren archief maakt namelijk geen onderdeel meer van uw bedrijfsvoering.
Het feit dat het DMS een betere ontsluiting geeft van uw papieren archief betekent dat of de ontsluiting van uw papieren archief moet worden verbeterd of dat u tevens het digitale archief overdraagt aan de archiefinstellingen.
Dan nog dient u te kijken naar welke persoonsgegevens u overdraagt. Uw DMS bevat waarschijnlijk ook een groot aantal scans van ingescande post. Deze scans bevatten waarschijnlijk ook een grote hoeveelheid (bijzondere) persoonsgegevens. Deze persoonsgegevens zijn niet nodig voor de ontsluiting van uw papieren archief en daarmee is er ook geen reden om die over te dragen aan de archiefinstelling en ook niet om die zelf te bewaren. Op zijn minst dient u er dus voor te zorgen dat de scans worden vernietigd.
U kunt de scans en de registraties in het DMS alleen bewaren als deze nodig zijn voor de bedrijfsvoering. Er zijn overheidsinstellingen die archieven overdragen en dan zelf nog een schaduwarchief bewaren omdat deze informatie nodig is voor het uitvoeren van een taak. Een goed voorbeeld daarvan is het bewaren van scans van bouwvergunningen. Bouwvergunningen dienen ook te worden overgedragen aan een archiefinstelling terwijl de gemeente nog wel verantwoordelijk is voor het controle op de gebouwen in de gemeente en daarvoor zijn bepaalde gegevens van die bouwvergunningen nodig. Maar ook hier spelen de persoonsgegevens een rol: voor de controle van die gebouwen zijn de persoonsgegevens die in de bouwvergunningen staan niet nodig. Strikt genomen dienen gemeenten die persoonsgegevens vanuit de dataminimalisatie ook te vernietigen omdat ze er geen grondslag voor hebben als de archieven zijn overgedragen. Dit is lastig te realiseren omdat de persoonsgegevens meestal maar een klein onderdeel zijn van een scan, maar er moet wel degelijk rekening mee worden gehouden.
Organisaties zijn geneigd om op het moment van overdracht van digitale archieven een kopie van dat archief te maken en dat als digitaal schaduwarchief achter te houden. Daarnaast wordt vaak niet gerealiseerd dat ook deze schaduwarchieven moeten worden beheerd en dat persoonsgegevens in die schaduwarchieven moeten worden vernietigd als de bewaartermijn en/of de grondslag is vervallen. Daarmee lopen ze dus grote risico’s als er gekeken wordt naar het te lang bewaren van persoonsgegevens. Vaak is er geen grondslag voor deze vorm van opslag.

U heeft als universiteit echter niet geen controlerende taak waarvoor u informatie nodig heeft uit de archieven die u heeft overgedragen. U heeft dus ook geen reden meer om de persoonsgegevens te bewaren. U kunt namelijk ook niet aangeven hoelang u het digitale schaduwarchief nog gaat bewaren. Als u het DMS ziet als ontsluiting ziet van het papieren archief, dient u ook het DMS (zonder scans) permanent te bewaren en over te dragen aan de archiefinstelling.
Dat geldt natuurlijk niet voor te vernietigen archieven. Die draagt u niet over en daar bent u zelf wel verantwoordelijk voor. Ik ga er van uit dat ook dit archief is opgenomen in het DMS en dat het DMS in dit geval wel dient als ingang voor het vernietigbare archief. Dan heeft u wel een grondslag om het DMS nog even te bewaren, al geldt dan wel de regel dat als u een dossier/zaak vernietigd ook de registratie in het DMS wordt vernietigd.
Technisch gesproken kunt u dus gegevens van het digitale vernietigbare deel van uw archief wel bewaren en gegevens over het overgedragen archief niet. Dat is lastig te realiseren en ingewikkeld. U zal op zijn minst het gedeelte over het overgedragen archief geheel moeten afschermen van de organisatie. U voldoet dan echter nog steeds niet aan de AVG.

U kunt het DMS wel aanmerken als een hulpadministratie. Een hulpadministratie kunt u nog een tijdje bewaren. In de Selectielijst voor universiteiten en UMC’s 2020 is echter geen specifieke bewaartermijn opgenomen voor ‘hulpadministraties’. Ik adviseer u te verwijzen naar de bewaartermijn voor de financiële administratie: 7 jaar. Daarmee kunt u het DMS nog een tijdje bewaren. U dient de administratie namelijk wel een keer te vernietigen, u kunt het DMS niet permanent bewaren.