Analoge en digitale vernietiging archiefbescheiden

1.1.1. Soorten archieven

Overheidsinformatie zit opgeslagen in een archief. We onderscheiden twee soorten archieven.

•Analoog (papieren) archief: De papieren worden doorgaans opgeslagen in dozen. Deze worden voorzien van de inhoud en vernietigingsjaar. Deze dozen worden in een logische volgorde opgeslagen, doorgaans in stalen, brandvrije of -vertragende archiefkasten of archiefkluizen.

•Digitaal archief: archief in applicaties. Digitale informatie is er in vele vormen zoals tekstdocumenten, presentaties, spreadsheets, video’s, foto’s, (chat) berichten, e-mails, gegevenssets in databases, etc.

1.1.2. Definities archiefbescheiden/archiefstuk en informatieobject

•Archiefstuk: een informatieobject, ongeacht zijn vorm, met bijbehorende metadata ontvangen of opgemaakt door een natuurlijke en/of rechtspersoon bij uitvoering van taken en bewaard om te voldoen aan wettelijke en/of administratieve eisen en/of maatschappelijke behoeften. Dit omvat in bepalingen van Nederlands archiefrecht ook synoniemen als archiefbescheiden, gegevens, informatie, documenten en (gegevens)bestanden.

•Archiefbescheiden: synoniem voor archiefstukken.

•Informatieobject: een geheel van gegevens met een eigen identiteit.

1.2.1. De Archiefwet

De Archiefwet is van toepassing op alle overheidsorganisaties. De wet stelt eisen aan het beheer en de toegang van overheidsinformatie. Het verplicht alle overheidsorganisaties om hun analoge en digitale overheidsinformatie, in de vorm van archiefbescheiden, waarvan de bewaartermijn is verstreken en die niet van vernietiging is uitgezonderd, te vernietigen. De Archiefwet gaat over het vernietigen van informatieobjecten en diens kopieën.

Voor blijvend te bewaren digitale overheidsinformatie geldt dat de Archiefwet impliceert dat bij overbrenging naar een archiefbewaarplaats ook de kopieën bij de archiefvormer worden vernietigd.

Het wettelijk kader wordt bepaald door de Selectielijst gemeenten en intergemeentelijke organen 2020. De VNG ontwerpt, gemachtigd door vrijwel alle gemeenten, een ontwerpselectielijst voor archiefbescheiden die door de minister van OCW wordt vastgesteld. In de selectielijst zijn de bewaartermijnen van archiefbescheiden van gemeentelijke en intergemeentelijke organen vastgelegd. De selectielijst bevat, op basis van artikel 5 lid 1 sub e Archiefbesluit 1995, ook een opsomming van criteria op basis waarvan archiefbescheiden, die voor vernietiging in aanmerking komen, van vernietiging kunnen worden uitgezonderd, voorbeeld Hotspots. Zie hiervoor het Beleid Hotspot-monitor.

1.2.2. Algemene verordening Gegevensbescherming (privacy)

De Algemene verordening gegevensbescherming (AVG) stelt verplichtingen aan (overheids)organisaties bij het verwerken van persoonsgegevens. Het vernietigen van informatie is één van de verplichtingen om te voorkomen dat persoonsgegevens onrechtmatig worden gebruikt. Het uitgangspunt daarbij is dat een organisatie persoonsgegevens vernietigt wanneer deze niet meer nodig zijn voor het doel waarvoor ze zijn verzameld of worden gebruikt. Het is mogelijk bepaalde persoonsgegevens uit te zonderen van vernietiging. Bijvoorbeeld voor historische, statistische of wetenschappelijke doeleinden. Het niet naleven van de AVG kan leiden tot een boete. De AVG gaat over het vernietigen van (persoons)gegevens die onderdeel zijn van informatieobjecten.

1.2.3. Wet openbaarheid van bestuur (Wob)

Op overheidsinformatie die niet is overgebracht naar de archiefbewaarplaats , is de Wet openbaarheid van bestuur (Wob) van toepassing. Informatie die op grond van een vastgestelde selectielijst is vernietigd, kan op grond van de Wob niet opgevraagd of actief openbaar worden gemaakt. Het tegenovergestelde geldt ook: informatie die op grond van de Archiefwet zou moeten zijn vernietigd of overgebracht, maar desondanks nog bij de overheidsorganisatie berust, moet bij een Wob-verzoek gewoon (al dan niet geanonimiseerd) openbaar worden gemaakt aan de indiener. Dat kan in sommige gevallen leiden tot financiële- en imagoschade. Wanneer de organisatie kan aantonen dat bepaalde informatie rechtmatig is vernietigd, dan valt dit niet onder de plicht tot openbaarmaking.

1.2.4. Baseline Informatiebeveiliging Overheid (informatiebeveiliging)

Sinds 1 januari 2019 is de Baseline Informatiebeveiliging Overheid (BIO) van kracht voor rijk, gemeenten, waterschappen en provincies. De BIO heeft onder andere tot doel om het onbevoegd openbaar maken, wijzigen, verwijderen of vernietigen van informatie die op media is opgeslagen te voorkomen.

Het tijdig en juist vernietigen van informatie die daarvoor in aanmerking komt, verkleint de risico’s ten aanzien van informatiebeveiliging, omdat het dan niet meer in de verkeerde handen kan vallen. Security incidenten, zoals datalekken, kunnen optreden doordat digitaal vernietigen van vertrouwelijke informatie niet (goed) is uitgevoerd.

1.2.5. Sectorale wetgeving

Dit is wet- en regelgeving dat van toepassing in een specifieke sector waarbij publieke belangen geborgd zijn. Denk hierbij aan het Burgerlijk Wetboek of Omgevingswet.

2.3.1. Onduidelijkheid over verantwoordelijkheden

Vernietigen van archiefbescheiden/informatieobjecten is niet alleen een taak van team DIV. Het is belangrijk dat medewerkers in zowel de business (zoals proceseigenaren), ICT (zoals applicatiebeheerders) als het informatiemanagement (zoals architecten) betrokken zijn bij vernietigen. En dat zij weten wat er van hen wordt verwacht, wat hun verantwoordelijkheden zijn en daarbij voldoende mandaat hebben. In de praktijk bestaan hierover vaak onduidelijkheden. Waardoor het vernietigen niet, nauwelijks, onvolledig of niet goed gebeurt.

Onder andere de volgende functionarissen kunnen een rol spelen (verantwoordelijkheid hebben) bij vernietigen: gemeentesecretaris, managers of proceseigenaren, CIO, FG, CISO, Archivaris, Directeur ICT, Adviseur of specialist informatiemanagement, recordmanager, (informatie)architect, projectleider, Beleidsmedewerker (DIV), functioneel beheerder, applicatiebeheerder, applicatieontwikkelaar, beheerder infrastructuur, etc.

2.3.2. Onduidelijkheid over middelen

Aan vernietigen zijn kosten verbonden. Deze zijn afhankelijk van hoe vernietigen wordt gerealiseerd. Naast de kosten voor de inzet van mensen, moet er bij digitaal vernietigen ook rekening gehouden worden met bijvoorbeeld aanschafkosten of ontwikkelkosten voor de vervanging of aanpassing van informatiesystemen. Ook de investering in de benodigde kennis bij zowel analoge als digitale vernietiging kan kosten met zich meebrengen.

2.3.3. Informatie-overleggen

Veel overheidsorganisaties hebben binnen de eigen organisatie een strategisch informatieoverleg ingericht. Sommige overheidsorganisaties hebben ook een tactisch informatieoverleg intern georganiseerd. In deze informatie-overleggen worden vraagstukken belegd over het functioneren en de kwaliteit van de informatiehuishouding. Ook op operationeel niveau vindt er overleg plaats, onder andere over de uitvoering van het vernietigen van archiefbescheiden/informatieobjecten.

In de informatie-overleggen vindt er een afweging plaats, waarbij alle relevante kennis en expertise bijeen wordt gebracht door besluitvormers. Dit zijn onder andere de CIO en archivaris en hun adviseurs in de business, ICT en het informatiemanagement. Zo kan het informatiebeheer, inclusief vernietigen, in samenhang worden georganiseerd. De informatie-overleggen van de organisatie vormen op die manier een plek waar vernietigen kan worden geagendeerd en besluitvorming kan plaatsvinden. Het mandaat voor de implementatie van vernietigen van archiefbescheiden/informatieobjecten wordt hier gelegd.

2.7.1. Administratief vernietigen

Geschikt voor informatieobjecten waar vernietiging weinig tot geen risico’s met zich meebrengt. Hierbij verwijder je de verwijzingen naar het te vernietigen informatieobject (uit de indexen) en wordt de ruimte die het informatieobject op de drager inneemt vrijgegeven voor hergebruik.

2.7.2. Eenmalig overschrijven

Indien er sprake is van een risico dat te overzien is, kan worden gekozen voor het eenmalig overschrijven van de informatieobjecten op de drager waarop deze zijn opgeslagen.

2.7.3. Meervoudig overschrijven

Indien er sprake is van grotere risico’s (bijvoorbeeld in het kader van de AVG of de BIO) kan worden gekozen voor het meervoudig overschrijven van informatieobjecten op de drager waarop deze zijn opgeslagen.

2.7.4. Fysiek vernietigen

In sommige gevallen (bij een zeer hoog risico, zoals vertrouwelijke en staatsgeheime informatieobjecten) kan worden gekozen om de drager van de informatieobjecten fysiek te vernietigen.

2.8.1. Verbreken van koppelingen

Door de verwijzingen naar informatieobjecten te verwijderen, verliezen deze hun toegankelijkheid, context en informatiewaarde. De losse informatieobjecten zelf blijven bestaan, maar zijn voor geen enkele toepassing meer vindbaar en beschikbaar. Het vernietigen van alle verwijzingen naar een informatieobject kan consequenties hebben voor de toegankelijkheid van dat informatieobject vanuit een andere context (dossier). Het kan zijn dat een ander dossier waarin hetzelfde informatieobject voorkomt, nog wel moet worden bewaard. Door bij het informatieobject alleen de link met het te vernietigen dossier te vernietigen, kan het langer te bewaren dossier intact blijven.

Vernietigingsperspectief

Mogelijke nadelen en risico’s

Voldoen aan wet- en regelgeving

•Omdat de informatieobjecten zelf niet – maar alleen de verwijzingen er naartoe – vernietigd worden, is er nog steeds een risico op een datalek.

•Door het verbreken van de koppeling maak je de informatieobjecten niet direct blijvend ontoegankelijk. De koppeling kan, theoretisch en technisch gezien, namelijk weer worden hersteld.

Beheersbaarheid van informatie

•Geen besparing op kosten voor licenties en onderhoud, omdat de opslagcapaciteit niet afneemt in het systeem waarin de informatie is opgeslagen.

•(Toekomstige) migratietrajecten zijn niet minder complex en niet minder kostbaar, en back-ups niet sneller; er is geen vermindering van ballast, omdat verbreken van koppelingen niet leidt tot kleinere volumes.

Kostenbesparing en milieu

Omdat de informatieobjecten zelf niet vernietigd worden, is er sprake van een toename aan kosten voor benodigde opslag en een grotere milieubelasting.

2.8.2. Beëindigen van het beheer

Dit betekent het bewust niet meer actief beheren van informatie in een of meer systemen die deel uitmaken van het applicatielandschap. Bijvoorbeeld omdat de risico’s laag en de kosten voor vernietigen hoog zijn. Het gaat hierbij niet om het applicatie- of technisch/systeembeheer, maar om informatiebeheer. Dit leidt ertoe dat de duurzame toegankelijkheid niet gegarandeerd kan worden en dat de informatie door de tijd heen steeds minder toegankelijk wordt.

Vernietigingsperspectief

Mogelijke nadelen en risico’s

Voldoen aan wet- en regelgeving

De bescherming van persoonsgegevens (die onderdeel zijn van de informatieobjecten) kan niet worden gegarandeerd wanneer deze niet meer worden beheerd.

Beheersbaarheid van informatie

•Het wel behouden, maar niet meer beheren van de informatie zorgt niet voor meer grip en een grotere beheersbaarheid van de informatiehuishouding;

•er is nog steeds sprake van ballast,

•niet (goed) beheerde informatie kan ertoe leiden dat de informatie verkeerd wordt geïnterpreteerd en gebruikt, en

•• de kwaliteit van de informatiehuishouding gaat erop achteruit.

Kostenbesparing en milieu

Het beëindigen van het beheer draagt bij aan een overload aan informatie, veroorzaakt grotere vraag naar servercapaciteit (en bijbehorende (onderhouds)kosten) en zorgt voor meer belasting van het milieu.

2.8.3. Pseudonimiseren of anonimiseren

In het geval van privacybelang wordt maskeren in de vorm van pseudonimiseren of anonimiseren toegepast bij de beschikbaarstelling van informatieobjecten. Bij pseudonimiseren worden persoonsgegevens gemaskeerd door codering. Alleen als je de juiste sleutel hebt, kun je de gemaskeerde persoonsgegevens achterhalen. Bij anonimiseren worden persoonsgegevens op zodanige wijze gemaskeerd dat ze op geen enkele manier te reconstrueren en met een persoon in verband te brengen zijn.

Vernietigingsperspectief

Mogelijke nadelen en risico’s

Voldoen aan wet- en regelgeving

•De Archiefwet is ingericht op het dossier of documenten als object van vernietiging. Bij pseudonimiseren of anonimiseren wordt een dossier of document niet integraal vernietigd.

•Pseudonimiseren is niet onomkeerbaar. Het voorkomen van een datalek is dan niet 100% waterdicht.

•Geen besparing op kosten voor licenties en onderhoud, omdat de opslagcapaciteit niet toeneemt in het systeem waarin de gemaskeerde informatieobjecten worden opgeslagen.

•(Toekomstige) migratietrajecten zijn niet minder complex en niet minder kostbaar, en back-ups niet sneller; er is geen vermindering van ballast, omdat de gemaskeerde informatieobjecten leiden tot grotere volumes.

Beheersbaarheid van informatie

Omdat bij het maskeren van persoonsgegevens in een informatieobject een nieuw informatieobject (archiefbescheid) ontstaat dat ook beheerd moet worden, neemt de beheersbaarheid af.

Kostenbesparing en milieu

Omdat er sprake is van nieuwe informatie objecten (met daarin de gemaskeerde gegevens) is er geen sprake van verminderde benodigde opslag en milieubelasting.

2.9.1. Uitvoeren van een risicoanalyse

Bij het uitvoeren van een risicoanalyse op de te vernietigen overheidsinformatie worden afwegingsfactoren meegenomen, zoals het:

•Bedrijfsbelang.

•Verantwoordingsbelang.

•Maatschappelijk belang.

Ook worden de kansen en risico’s bepaald voor:

•Voldoen aan wet- en regelgeving (o.a. informatiebeveiliging, privacy).

•De beheersbaarheid van informatie.

•Kostenbesparing en milieu.

Op basis van de uitkomsten van de uitgevoerde risicoanalyse worden weloverwogen keuzes gemaakt bij het bepalen van:

•De reikwijdte van vernietigen.

•Het object van vernietigen.

•De wijze waarop vernietigen plaatsvindt.

•Waar vernietigen plaatsvindt.

•Het moment van vernietigen.

•Verantwoording en vastlegging van vernietigen.

De uitkomsten van de risicoanalyse zijn belangrijke input om keuzes te kunnen maken bij de vervolgstappen. Op basis van de risicoanalyse kun je besluiten om bepaalde vervolgstappen wel of juist niet uit te voeren. Ook kan een risicoanalyse uitwijzen welke personen op welke momenten betrokken moeten zijn.

2.9.2. Bepalen van de reikwijdte van vernietigen

Archiefbescheiden/informatieobjecten bevinden zich op en in verschillende systemen binnen de organisatie, maar kunnen zich ook buiten de organisatie bevinden. Bijvoorbeeld wanneer deze extern worden opgeslagen of gehost. De informatieobjecten bevinden zich vaak als ‘origineel bronexemplaar’ in de ‘oorspronkelijke bronsystemen’, maar ook als kopieën op back-ups of in andere informatiesystemen. Bij vernietigen is het belangrijk dat bewust een keuze wordt gemaakt: óf de informatieobjecten in het bronsysteem (of archiefsysteem) en zoveel mogelijk eventuele digitale kopieën vernietigen óf alleen het originele bronexemplaar. Maak bij het bepalen van de reikwijdte gebruik van het ‘overzicht in informatieobjecten, processen en informatiesystemen’ uit de Enterprise Architectuur.

2.9.3. Bepalen waar vernietigen plaatsvindt

Bepaal waar de informatieobjecten vernietigd moeten worden. Dit is afhankelijk van de plek (archiefruimte of informatiesysteem) waarin de archiefbescheiden/informatieobjecten zich bevinden. Deze kunnen zijn opgeslagen in:

•Het bronsysteem waarin ze gemaakt zijn en/of beheerd worden.

•In het archief van de organisatie.

•Een centraal informatiesysteem waarin ze worden opgeslagen en beheerd.

Maak bij het bepalen waar vernietiging plaats vindt gebruik van het ‘overzicht in informatieobjecten, processen en informatiesystemen’ uit de Enterprise Architectuur.

Houd daarbij rekening dat in een service georiënteerde architectuur een informatieobject (‘het bronexemplaar’) niet per se in één, maar verspreid over meerdere informatiesystemen kan zijn opgeslagen.

2.9.4. Bepalen van het object van vernietigen

Bepaal wat het object van vernietigen is, bijvoorbeeld op het niveau van:

•Document: het informatieobject.

•Dossier: alle informatieobjecten die horen bij een proces of zaak.

•Hardware: de (fysieke en tastbare) drager van de informatieobjecten.

De selectielijst en de Enterprise Architectuur kunnen een startpunt zijn voor de keuze voor het object van digitaal vernietigen.

2.9.5. Bepalen van de wijze van vernietigen

Bepaal op welke wijze je de archiefbescheiden/informatieobjecten gaat vernietigen, bijvoorbeeld door:

•Leegruimen van archiefdozen met informatie die op de vernietigingslijst is opgenomen.

•Op maat gemaakte ‘scripts’ waarmee informatieobjecten vernietigd worden.

•Specifieke vernietigingsfuncties die worden of zijn ingebouwd in de informatiesystemen.

•Shredders waarmee in fysieke dragers van informatieobjecten vernietigd worden.

De wijze van vernietigen die gekozen wordt, is afhankelijk van analoog of digitaal vernietigen. Digitaal vernietigen is afhankelijk van de mogelijkheden die het informatiesysteem biedt. In sommige gevallen kan vernietiging in legacy-systemen of in systemen zonder vernietigingsfunctionaliteit worden gerealiseerd. In sommige gevallen, bij bestaande ‘moderne’ systemen of bij nieuw te ontwikkelen of aan te schaffen informatiesystemen, kunnen de principes van archiving by design, common ground of volledig geautomatiseerd vernietigen worden toegepast.

De Enterprise Architectuur (waarin ook vernietigingsfunctionaliteit per informatiesysteem in kaart is gebracht) kan een startpunt zijn om te bepalen op welke wijze vernietigd kan en zal worden.

Let op:

•Outsourcing van informatiesystemen.

•Informatiesystemen die extern (in de cloud) worden gehost en waarvoor ook een verwerkingsovereenkomst geldt. Overheidsorganisaties die hun eigen informatiesystemen niet beheren, moeten een overeenkomst sluiten waar digitaal vernietigen onderdeel van is met de beheerder van deze systemen.

2.9.6. Bepalen van het moment

Bepaal op welk moment je de archiefbescheiden/informatieobjecten moet vernietigen, bijvoorbeeld:

•Direct na het verstrijken van de bewaartermijn.

•Op vastgestelde momenten, na het verstrijken bewaartermijn.

•Op het moment dat de applicatie waarin de informatie zich bevindt ‘end of life’ is en wordt uitgefaseerd.

2.9.7. Bepalen van wijze van verantwoording

Er moet worden bepaald hoe de verantwoording en vastlegging van de te vernietigen archiefbescheiden/informatieobjecten zal plaatsvinden. Dit kan door vast te leggen:

•Welke verwijderingshandelingen er verricht zullen worden: door wie, op welk moment en hoe die worden gedocumenteerd.

•Welk type informatieobjecten vernietigd wordt; zijn dit gegevensets in databases, documenten of hele dossiers?

•De aantallen te vernietigen informatieobjecten.

•Welke metagegevens je bewust níét vernietigt, zodat je over de vernietiging verantwoording af kunt leggen en het niet lijkt alsof de informatieobjecten nooit hebben bestaan.

Metagegevens Het is verstandig c.q. noodzakelijk om bepaalde metagegevens te behouden die bewijzen dat het informatieobject er ooit was én dat dit op juiste wijze is vernietigd. Bijvoorbeeld door de status van het informatieobject vanaf het moment van vernietiging aan te passen in ‘vernietigd’ en deze status als metadata wel te bewaren na vernietiging van het informatieobject. Dat kan in het bronsysteem, maar bijvoorbeeld ook middels een gedetailleerde verklaring van vernietiging. Daarbij spelen ook de beveiligings‐ of toegangsbeperkingen voor het informatieobject een rol.

•Wat er niet wordt vastgelegd; denk bijvoorbeeld aan het geanonimiseerd opnemen van persoonsgebonden informatie uit de titel van een dossier in de (concept)vernietigingslijsten en de vernietigingsverklaringen.

Voor sommige informatieobjecten is het niet wenselijk dat op basis van de (concept)vernietigingslijst en vernietigingsverklaring zichtbaar is over wie of wat de informatie ging. Een alternatief hiervoor is dat je bij de te bewaren vernietigingsverklaring een geanonimiseerde of geaggregeerde versie opneemt.

•Wanneer vernietiging heeft plaatsgevonden, kan er een audit gehouden worden waarbij wordt getoetst of dit proces volgens de kwaliteitseisen is verlopen en gedocumenteerd. Bij eventuele onderzoeken van bijvoorbeeld de Auditdienst of de Rekenkamer en bij rechtszaken, kan dan eenvoudig worden aangetoond dat de juiste informatie op de juiste wijze is vernietigd.

2.9.8. Vernietigen conform protocol

Nadat de voorgaande stappen zijn doorlopen, worden de gemaakte keuzes en afspraken eenduidig vastgelegd in een vernietigingsprotocol. Nadat dit vernietigingsprotocol in het juiste gremium formeel is vastgesteld, kan de uitvoering van het protocol beginnen. Het is van belang dat ten minste de volgende activiteiten worden uitgevoerd:

•Vernietigingslijst opstellen met de te vernietigen informatieobjecten.

•Vernietigingslijst vaststellen in juiste gremium.

•Vernietiging uitvoeren conform vastgelegde afspraken.

•Verklaring van vernietiging opstellen en vaststellen.

•De duurzame toegankelijkheid van de verklaring van vernietiging borgen.