AVG en de archiefwet


(c) Unsplash. 

In het kort:

    • De archiefwet en de AVG staan niet op gespannen voet, maar het is geen eenvoudige afweging wat wel/niet gearchiveerd mag worden aan persoonsgegevens.

Is er een tegenstrijdigheid?

Ondertussen zal iedereen wel weten dat in het kader van de AVG je als verwerkingsverantwoordelijke persoonsgegevens moet vernietigen nadat er geen reden meer is om deze te bewaren (Art. 17, AVG). Hieronder valt ook je verantwoordelijkheid om je verwerkers opdracht te geven deze persoonsgegevens te vernietigen en de naleving hiervan te controleren.

Voor overheidsorganen geldt echter ook de archiefwet uit 1995. Deze wet regelt het verzamelen van gegevens voor, toegang tot en het beheer van overheidsarchieven. Als deze gegevens (in de wet ‘archiefbescheiden’) persoonsgegevens bevatten, is de vraag of het bewaren van persoonsgegevens in de overheidsarchieven opweegt tegen het recht op vergetelheid zoals geregeld in Art. 17 van de AVG.

Maar ook als bedrijf zult u te maken kunnen krijgen met archivering.

Wat staat er in de AVG over de archiefwet?

Niet zo veel zou je op het eerste gezicht kunnen denken, want de archiefwet is een specifiek Nederlandse wet. Maar dit is te snel geredeneerd. Wat er wel in de AVG staat over archiveren is het volgende. In Art. 17 derde lid staat dat het recht op vergetelheid niet opgaat indien de verwerking van persoonsgegevens nodig is voor o.a. de punten:

  • b) “voor het nakomen van een in een het Unierecht of het lidstatelijke recht neergelegde wettelijke verwerkingsverplichting die op de verwerkingsverantwoordelijke rust, of voor het vervullen van een taak van algemeen belang of het uitoefenen van het openbaar gezag dat aan de verwerkingsverantwoordelijke is verleend;”
  • d) “met het oog op archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of statistische doeleinden overeenkomstig artikel 89, lid 1, voor zover het in lid 1 bedoelde recht de verwezenlijking van de doeleinden van die verwerking onmogelijk dreigt te maken of ernstig in het gedrang dreigt te brengen;”
  • e) “voor de instelling, uitoefening of onderbouwing van een rechtsvordering.”

De Nederlandse archiefwet past onder de beschrijving van punt b). Met deze uitzondering op het recht op vergetelheid kan de overheid haar gegevens archiveren. En dat is waar overheidsorganen mee te maken hebben. Overigens past de fiscale wetgeving, die het langer bewaren van financiële (persoons)gegevens dan de AVG suggereert, ook onder dit punt.

Mocht u als bedrijf gegevens willen archiveren, dan kan dat ook, namelijk met de uitzondering zoals beschreven onder punt d). Uw bedrijfsdoel zal dan ‘wetenschappelijk of historisch onderzoek of statistische doeleinden’ moeten zijn. Want ‘in het algemeen belang’ is als bedrijf moeilijk aan te tonen. Maar als u als bedrijf de opdracht krijgt van de overheid om ‘in het algemeen belang’ te archiveren, dan is het een ander verhaal. Echter, u zult dan de gegevens moeten overdragen en eigen kopieën moeten vernietigen.

Merk verder op dat het archiveren zoals bedoeld in Art. 89 AVG beschouwd wordt als een verenigbare rechtmatige verwerking met het de aanvankelijke verwerkingsdoelen. En daarmee hoef je als organisatie niet expliciet toestemming te vragen om te gaan archiveren.

Wat staat er in de archiefwet over de AVG?

Niet alles wat overheidsorganen produceren moet ook bewaard worden. Volgens de archiefwet moet een overheidsorgaan een selectielijst hebben waarin tenminste wordt aangegeven welke archiefbescheiden voor vernietiging in aanmerking komen. Dit wordt verder in detail uitgewerkt in het archiefbesluit van 1995.

Op het moment dat persoonsgegeven in overheidsarchieven zijn opgeslagen, kan er door de rijksarchivaris een beperking worden opgelegd aan het openbaar maken van deze archieven (zie Art. 15 Archiefwet, lid 1). Deze beperkingen aan de openbaarheid kan slecht voor een bepaalde termijn en met het oog op:

  • a) de eerbiediging van de persoonlijke levenssfeer;
  • b) het belang van de Staat of zijn bondgenoten;
  • c) het anderszins voorkomen van onevenredige bevoordeling of benadeling van betrokken natuurlijke personen of rechtspersonen danwel van derden.

Punten a) en c) zijn duidelijk herkenbare beperkingen uit de AVG.

De balans

De vraag is nu wat nu in detail wel en niet mag worden bewaard aan persoonsgegevens in het kader van archivering vanuit de AVG en wat bepaald is in de archiefwet. Dit is een balans waarbij met name gekeken wordt naar de noodzaak om te archiveren versus de bescherming van de betrokkene of van de rechten en vrijheden van anderen. Als Europese verordening heeft de AVG in ieder geval voorrang op de Archiefwet.

De balans staat mooi beschreven in Art. 86 AVG (en bijbehorende grond 154). De AVG biedt de mogelijkheid in beginsel recht van toegang te geven van het publiek tot officiële documenten. Want de toegang van het publiek tot officiële documenten kan als een algemeen belang worden beschouwd. De lidstatelijke wetgeving die deze toegang regelt, moet de toegang van het publiek tot officiële documenten en het hergebruik van overheidsinformatie verzoenen met het recht op bescherming van persoonsgegevens, en mag derhalve voorzien in de noodzakelijke afstemming op het recht op de bescherming van persoonsgegevens krachtens deze verordening.

In ieder geval geldt dat er aan dataminimalisatie gedaan moet worden (waarbij de eerdergenoemde selectielijst al een eerste, grove filter vormt) en dat de persoonsgegevens in de archiefbescheiden zoveel als mogelijk moeten worden geanonimiseerd dan wel gepseudonimiseerd (zie Art. 89, lid 1, AVG). Dit betekent dat als het gaat om persoonsgegevens die het archief in gaan, deze zo minimaal in omvang moeten zijn om nog tot een zinvol archief te komen, en dat de persoonsgegevens het best anoniem (want dan is het geen persoonsgegeven meer) of via een pseudoniem opgeslagen kunnen worden. AdValor kan u helpen met hoe dataminimalisatie, pseudonimisering en anonimisering in de praktijk werkt.

Indien er toch persoonsgegevens in de archiefbescheiden zitten, dan biedt de archiefwet de mogelijkheid om deze archiefbescheiden voor langere tijd niet te ontsluiten indien dit schade kan berokkenen aan personen (of de Staat en zijn bondgenoten). Maar deze regel geldt weer niet als de in de archieven benoemde personen bijvoorbeeld een dreiging vormen voor de rechtstaat.

Zowel de AVG als de Uitvoeringswet AVG (Art.24.d UAVG) stelt dat bij de uitvoering van archivering is voorzien in zodanige waarborgen dat de persoonlijke levenssfeer van de betrokkene niet onevenredig wordt geschaad. Meer in detail, dat de verwerking in het kader van archivering van voorwaarden en waarborgen is voorzien in combinatie met technische en organisatorische maatregelen om, in het licht van de evenredigheids- en noodzaakbeginselen, het verwerken van persoonsgegevens tot een minimum te beperken. AdValor kan u helpen met de implementatie van technische en organisatorische maatregelen.

Uiteraard heeft de betrokkene het recht om inzage te verkrijgen in de archiefbescheiden, tenzij verzoeken om inzage zodanig ongericht zijn dat deze in redelijkheid niet kunnen worden ingewilligd (zie Art. 45. UAVG). En de betrokkene heeft ook het recht om, in geval van onjuiste persoonsgegevens, zijn eigen lezing aan de desbetreffende archiefbescheiden toe te voegen. Dit is dus niet het aanpassen van gegevens die al in het archief opgeslagen zitten. Anders zou het geen archief meer zijn.

Het is dus van groot belang te weten waar in de archieven de persoonsgegevens zitten van een persoon!

Wij van AdValor Privacy Solutions kunnen u uiteraard helpen bij vragen over de AVG in relatie tot archiveren. Overigens zijn er naast de archiefwet ook andere wet- en regelgevingen die een uitzondering zijn op het recht op vergetelheid zoals fiscale regelgeving.

Linkjes

Voor meer detail verwijzen we u naar de volgende officiele wetten:

Wij van AdValor Privacy Solutions kunnen u uiteraard helpen bij al uw vragen over privacy.