AVG en de Archiefwet

Verhouding Archiefwet en AVG

De Archiefwet regelt het informatiebeheer van overheidsorganen (waaronder publiekrechtelijke en privaatrechtelijke zbo’s). Archiefbescheiden bevatten vaak persoonsgegevens. De AVG bevat bepalingen over de voorwaarden waaronder je persoonsgegevens mag verwerken. Voorbeelden van verwerking zijn het verzamelen, wijzigen en raadplegen maar ook het vernietigen van persoonsgegevens. Overheidsorganen hebben dus bij het beheer van deze gegevens doorgaans zowel met de AVG als met de Archiefwet te maken. Beide wetten moeten dan ook in onderlinge samenhang bekeken worden.

Als Europese verordening heeft de AVG voorrang op de Archiefwet. Dit betekent dat persoonsgegevens alleen op grond van de Archiefwet mogen worden bewaard, als deze in overeenstemming met de AVG zijn verzameld.

De raakvlakken tussen beide wetten hebben vooral betrekking op deze thema’s:

• Bewaren van overheidsinformatie
• Vernietigen van overheidsinformatie
• Vaststellen van bewaartermijnen
• Aanpak: het beheer van persoonsgegevens

Bewaren van overheidsinformatie

Met name bij het bewaren en vernietigen van persoonsgegevens is er sprake van samenhang tussen de Archiefwet en de AVG. De AVG stelt dat persoonsgegevens slechts bewaard mogen worden voor zolang dat noodzakelijk is. Dit kan echter ook betekenen dat ze voor langere tijd bewaard worden. Het belang van archivering wordt in de AVG en de Uitvoeringswet AVG niet uit het oog verloren.

Het verzamelen van persoonsgegevens
Overheidsorganisaties hebben een grondslag nodig om persoonsgegevens te kunnen verzamelen en beheren. Vaak, maar niet altijd, zal een wettelijke taak die grondslag zijn. Denk aan een sociale dienst die bij het verlenen van uitkeringen persoonsgegevens verzamelt.

Wanneer een overheidsorganisatie persoonsgegevens nodig heeft in het kader van de uitvoering van haar taken, kan de informatie niet zonder meer worden vernietigd. Organisaties moeten dus zorgvuldig bepalen hoe lang ze informatie nodig hebben voor de uitvoering van hun taken (zie ook Vaststellen van bewaartermijnen). Gedurende die tijd beheren ze de informatie volgens de Archiefwet. Soms kan het ook nodig zijn om informatie langer te bewaren, namelijk wanneer sprake is van archivering in het algemeen belang.

Archivering in het algemeen belang: blijvend bewaren van informatie  
De waarde van persoonsgegevens in de toekomst kan ook blijvende bewaring van archiefbescheiden met persoonsgegevens noodzakelijk maken. In termen van de AVG is er bij het blijvend bewaren van informatie sprake van ‘archivering in het algemeen belang’. Het blijft dus mogelijk om persoonsgegevens aan te wijzen als blijvend te bewaren. Dit geldt eveneens voor bijzondere persoonsgegevens.

Naast archivering in het algemeen belang noemt de AVG ook wetenschappelijk, historisch en statistisch onderzoek als een reden om informatie voor langere tijd te kunnen bewaren (AVG art.5). In de praktijk overlappen deze redenen voor een groot deel: archief dat in archiefbewaarplaatsen wordt bewaard in het algemeen belang, wordt vaak geraadpleegd in het kader van historisch onderzoek. 

Uitzonderingen voor archivering in het algemeen belang
De AVG noemt ten behoeve van ‘archivering in het algemeen belang’ een aantal concrete uitzonderingen op de bescherming die de wet betrokkenen biedt, bij verwerking van hun persoonsgegevens. Het betreft met name het volgende:

• het recht op vergetelheid geldt niet zonder meer (AVG art. 17, lid 3);
• bijzondere persoonsgegevens kunnen worden verwerkt (AVG art. 9) (met uitzondering van de beperkingen uit Archiefwet art. 2a onder d);
• voor de informatieplicht gelden uitzonderingen (AVG art. 14).

Als informatie blijvend te bewaren is gelden de bepalingen in de AVG ten behoeve van archivering in het algemeen belang óók gedurende de periode waarin de informatie nog in beheer is bij de archiefvormer, voordat informatie wordt overgebracht naar een archiefinstelling. In de Uitvoeringswet AVG zijn een aantal uitzonderingen toegevoegd die specifiek gelden voor de verwerking van persoonsgegevens in archiefbewaarplaatsen (art. 45).

In het kort:

1. Informatie die persoonsgegevens bevat hoeft niet altijd te worden vernietigd op het moment dat de informatie niet meer nodig is voor de bedrijfsvoering van een organisatie. Er bestaat een reden om informatie langer te bewaren: archivering in het algemeen belang.
2. De AVG kent uitzonderingen voor archivering in het algemeen belang. Bepaalde rechten, zoals het recht op vergetelheid, kunnen niet zonder meer worden toegepast.
3. Deze uitzonderingen gelden voor informatie die is aangewezen als blijvend te bewaren. 

Passende waarborgen bij archivering in het algemeen belang

Als een organisatie persoonsgegevens verwerkt in het algemeen belang geldt een voorwaarde: er moeten ‘passende waarborgen’ zijn getroffen, technische en organisatorische maatregelen om de gegevensverwerking tot een minimum te beperken (AVG art. 89).

Het beginsel van minimale verwerking van persoonsgegevens leidt er toe dat in eerste instantie anonimisering als passende waarborg moet worden toegepast, indien het doel waarvoor de verwerking plaatsvindt met toepassing van anonimisering kan worden bereikt. Zo niet, dan kan pseudonimisering uitkomst bieden en/of andere organisatorische en technische maatregelen, zoals beperking van de toegang tot informatie.

Bij het treffen van deze waarborgen is het van belang om geen maatregelen te nemen die afdoen aan de waarde van informatie op langere termijn, zoals de maatschappelijke waarde van archieven voor bewijsvoering en geschiedschrijving. Voorkomen moet worden dat persoonsgegevens verloren gaan door onherstelbare maatregelen zoals anonimisering. De AVG houdt rekening met dit aspect in art. 89. Dit betekent in de praktijk bijvoorbeeld dat anonimisering niet wordt toegepast op het authentieke, te bewaren document, maar op een kopie die ter inzage wordt gegeven. 

In het kort: 

• Bij het verwerken van informatie in het algemeen belang horen organisatorische en technische maatregelen voor gegevensbescherming.
• Deze maatregelen moeten echter niet leiden tot onomkeerbaar verlies van informatie met historische waarde. 

Vernietigen van overheidsinformatie

De tegenhanger van archivering in het algemeen belang is het vernietigen van informatie. Voor die archieven, die niet worden aangemerkt als blijvend te bewaren, geldt een verplichting tot vernietiging. Wanneer men vernietiging gaat toepassen in het kader van de AVG, is het belangrijk om te beseffen dat dit een verwerking is waaraan de Archiefwet eisen stelt. Vernietiging vindt plaats na verstrijken van de vastgestelde bewaartermijn. Zolang die termijn nog niet is verstreken, kan er slechts sprake zijn van tijdelijke verwijdering of anonimisering van kopieën. 

Vaststellen van bewaartermijnen

Net zoals de AVG bevat de Archiefwet zelf geen concrete bewaartermijnen. De Archiefwet bevat wel de verplichting om bewaartermijnen voor archiefbescheiden vast te leggen in zogeheten selectielijsten (besluiten in de zin van de Algemene wet bestuursrecht). In de selectielijst wordt (gemotiveerd) vastgelegd welke informatie permanent bewaard wordt en welke informatie op termijn wordt vernietigd. Daarbij moet ook rekening worden gehouden met persoonsgegevens die voorkomen in archiefbescheiden. De AVG maakt dan ook onderdeel uit van de afweging die plaatsvindt bij vaststelling van bewaartermijnen in een selectielijst. Voor meer informatie over het opstellen en actualiseren van selectielijsten: zie de website van het Nationaal Archief.

Reeds bestaande selectielijsten en bewaartermijnen
De afgelopen jaren, toen de Wet Bescherming Persoonsgegevens gold, zijn voor de meeste overheidsorganisaties bewaartermijnen vastgelegd in selectielijsten. In principe gelden voor persoonsgegevens dus (als onderdeel van archiefbescheiden) al bewaartermijnen, waarbij rekening is gehouden met privacywetgeving. Deze bewaartermijnen moeten ook bij uitvoering van de AVG worden gerespecteerd.

Als desondanks blijkt dat met deze bewaartermijnen niet voldaan is aan de uitgangspunten van de AVG, kan worden besloten tot aanpassing van bewaartermijnen. Deze geactualiseerde bewaartermijnen moeten worden vastgesteld in de desbetreffende selectielijst. Weeg bij actualisatie goed af of aanpassing van bewaartermijnen daadwerkelijk nodig is.

Verwerkingsregister en selectielijst
Uitgangspunt is dat bewaartermijnen in selectielijsten overeenkomen met termijnen die voorkomen in het verwerkingsregister op basis van de AVG. Het is immers van belang dat in een organisatie niet twee overzichten ontstaan met verschillende bewaartermijnen voor dezelfde informatie. Dan zou niet meer duidelijk zijn hoe lang informatie aanwezig is en wanneer deze moet zijn vernietigd.

In het kort:

• Er bestaan bewaartermijnen voor overheidsinformatie – en daarmee: voor persoonsgegevens – in selectielijsten, vastgesteld op basis van de Archiefwet.
• Bij toepassing van de AVG moet rekening worden gehouden met deze selectielijsten.
• Persoonsgegevens – ook bijzondere persoonsgegevens – kunnen in selectielijsten als blijvend te bewaren zijn aangemerkt.
• Voldoen de bewaartermijnen in bestaande selectielijsten niet aan de AVG, pas dan de bewaartermijn in de selectielijst aan.

Aanpak: het beheer van persoonsgegevens

Gezien de raakvlakken tussen beide wetten bevelen we aan om de functionaris gegevensbescherming en specialisten informatiebeheer samen te laten werken aan het beheer van persoonsgegevens. Archivering én privacy in samenhang inrichten versterkt de werking van beide wetten.

De AVG bevat een aantal bepalingen die ruimte bieden aan het belang van archivering. Gevolg geven aan deze bepalingen is óók onderdeel van de uitvoering van de AVG.