4. Kaders
4.1. Wet openbaarheid van bestuur (Wob) / Wet open overheid (Woo)8 De Wob wordt met ingang van 1-5-2022 door de Woo (Wet open overheid) vervangen.
De Wob/Woo regelt kort gezegd de toegang tot overheidsinformatie, voor zover deze is vastgelegd in documenten en een bestuurlijke aangelegenheid betreft. Iedereen kan het provinciebestuur vragen om die informatie openbaar te maken. De Wob/Woo heeft als uitgangspunt 'openbaar, tenzij...'. Ook elektronische berichten vallen in beginsel onder het bereik van de Wob.
De Wob/Woo kent geen bewaarplicht voor documenten maar de provincie moet documenten (waaronder ook elektronische berichten) die op dat moment feitelijk en juridisch bij het orgaan berusten beschikbaar kunnen stellen en hiervoor de benodigde technische en organisatorische maatregelen voor deugdelijke bewaring treffen. Hierop is de Archiefwet van toepassing.
4.2. Algemene Verordening Gegevensbescherming (AVG)
De AVG bevat spelregels over de verwerking van persoonsgegevens en is ook van toepassing op persoonsgegevens in elektronische berichten.
4.3. Archiefwet
Op grond van de Archiefwet zijn gedeputeerde staten van Fryslân ervoor verantwoordelijk dat de archiefbescheiden die zij onder zich hebben, in goede, geordende en toegankelijke staat worden gebracht en bewaard en dragen zorg voor de vernietiging hiervan, in overeenstemming met de wet. Ook elektronische berichten zijn in de regel archiefbescheiden en vallen onder de Archiefwet.
9In de nieuwe Archiefwet wordt het begrip “archiefbescheiden” vervangen door “document” en komt daarmee in overeenstemming met de Wob en straks de Woo.
4.4. Baseline Informatiebeveiliging Overheid (BIO)
Het in 2020 vastgestelde Informatieveiligheidsbeleid 2019-2023 geeft richtlijnen voor het bestuur en de medewerkers om veilig met informatie om te gaan.
10DocBasenummer 01782666.
Dit geldt ook voor het delen van informatie via de berichtendiensten. Voor het toetsen van de beveiliging door het nemen van de juiste technische en organisatorische maatregelen is de BIO het belangrijkste kader.
11Staatscourant 2019 nr. 26526.
Zo vraagt de BIO om beleid voor het gebruik van telefoons of berichten.
12Zie BIO 6.2.1: Beleid voor mobiele apparatuur: Beleid en ondersteunende beveiligingsmaatregelen behoren te worden vastgesteld om de risico’s die het gebruik van mobiele apparatuur met zich meebrengt te beheren.
5. Spelregels voor het elektronisch berichtenverkeer
5.1. Inleiding
Bij het verzenden of ontvangen van elektronische berichten moet het gaan om informatie-uitwisseling waarbij de elektronische berichten alleen aanvullend zijn. Daarom zijn spelregels nodig voor een verantwoord gebruik.
5.2. Spelregels voor het gebruik
De algemene spelregels duiden de principes en randvoorwaarden aan waaraan iedere gebruiker van elektronisch berichtenverkeer zich moet houden.
1App met beleid: niet over beleid.
Beperk het gebruik van elektronische berichten voor formeel zakelijke communicatie zoveel mogelijk. Voor bestuurlijke aangelegenheden wordt het gebruik ontraden. Verstuur een informeel bericht bij voorkeur via Teams .
2Gebruik de elektronische weg vooral voor het versturen van of ontvangen van snelle en korte berichten oftewel “huis-, tuin- en keukeninformatie”.
Gebruik het middel alleen voor berichten waarvan de inhoud van gering belang is en die leidt of zal leiden tot een besluit, die geen afspraken of rechtsgevolgen bevatten of financiële consequenties hebben.
3Bewaar berichten die betrekking hebben op “bestuurlijke besluitvorming”.
Deze berichten mogen niet zomaar worden verwijderd.
13Recentelijk heeft een wethouder gezegd ‘regelmatig eventjes de geschiedenis te wissen' op zijn telefoon. Zo dacht hij de dans te ontspringen, mocht er een Wob-verzoek komen. Er doken echter beelden op waarin hij dat zei. (Bron: nieuwssite Omroep Gelderland)
Deze berichten kennen altijd een bewaartermijn op grond van de geldende provinciale selectielijsten.
4Ga integer en vertrouwelijk met persoonsgegevens om.
Het is over het algemeen niet toegestaan om persoonsgegevens of vertrouwelijke informatie te delen via elektronische berichten, behalve in specifieke in de AVG benoemde situaties.
5Berichten met informatie die in een ander document is vastgelegd en opgeslagen, hoeven het niet te worden bewaard.
Als informatie in berichten zoals in een nota of een e-mail is vastgelegd en opgeslagen, hoeven de berichten niet te worden bewaard.
6Gebruik alleen door de provincie toegestane middelen om informatie te delen.
Wanneer je informatie wilt delen, gebruik dan alleen de middelen die door de provincie zijn beschikbaar gesteld en daarmee toegestaan, zoals Teams.
14Medewerkers worden er dan ook gewezen voorzichtig te zijn met het gebruik van gratis applicaties op het Internet. Ze zijn vaak niet voor niets gratis (bron: 10 gedragsregels informatiebeveiliging).
Gegevensdragers, zoals WhatsApp en SMS, zijn niet geschikt om berichten met provinciale informatie te delen. Wanneer het nodig is om een bericht over een bestuurlijke aangelegenheid te versturen of te ontvangen, gebruik dan alleen de zakelijke telefoon van de provincie Fryslân.
7Wees ervan bewust zijn dat berichten of uitingen op sociale media uit hoofde van een functie toegerekend kunnen worden aan de provincie.
Uitingen via deze communicatiekanalen mogen niet vooruitlopen op formele besluitvormingsbeslissingen en formele informatie kan niet via deze communicatiekanalen worden gedeeld.
15Het gaat hier om toezeggingen of uitlatingen die de burger als een toezegging mag opvatten (uitspraak RvS op 29 mei 2019).
8Wees ervan bewust dat berichten over bestuurlijke aangelegenheden op een privé telefoon ook onder de Wob of Woo kunnen vallen.
Het kan gebeuren dat berichten over bestuurlijke aangelegenheden op een privé telefoon in het kader van een verzoek op grond van de Wob of Woo moet worden aangeleverd.
5.3. Spelregels voor het opslaan en bewaren
Het al dan niet opslaan van een bericht wordt bepaald door de relevantie ervan. Niet alle documenten of elke snipper informatie, dus ook niet alle berichten spelen een wezenlijke rol in een werkproces. Berichten die voor de reconstructie van bestuurlijke besluitvorming van belang kunnen zijn, komen voor langdurige bewaring in aanmerking, tenzij de inhoud van het bericht al op een andere manier is vastgelegd.
Het is belangrijk om dit goed te regelen, omdat het kan helpen bij een soepele afhandeling van bijvoorbeeld Wob- of Woo-verzoeken. In bijlage 2 staan richtlijnen die kunnen helpen om te bepalen of een bericht relevant genoeg is voor langdurige bewaring.
De functionaliteiten vanuit elektronische gegevensdragers zoals berichtenapps voor het bewaren van berichten zijn vaak zeer beperkt. Toch zijn er voor het bewaren van elektronische berichten verschillende mogelijkheden. De afdeling Informatie en Facilitaire Zaken (IFZ) is belast met de technische ondersteuning, wanneer berichten langdurig moeten worden opgeslagen. In bijlage 3 staan in het kort enkele voorgestelde methodes voor het opslaan van elektronische berichten.
Voor een correcte en duurzame toegankelijkheid gelden in ieder geval de volgende spelregels voor het opslaan en bewaren van berichten:
1Een ieder in de rol van ontvanger of verzender is verantwoordelijk voor het correct laten opslaan van de elektronische berichten.
Bijvoorbeeld in verband met de behandeling van een Wob- of Woo-verzoek.
2Elektronische berichten vallen onder de Archiefwet, als ze onderdeel uitmaken van een zaak of werkproces.
16Archiveren is het nemen of uitvoeren van technische en organisatorische maatregelen om de authenticiteit en integriteit van documenten te behouden, het voortbestaan van die documenten te garanderen en het gecontroleerd vernietigen van documenten mogelijk te maken (Bron: website https://labyrinth.rienkjonker.nl).
Elektronische berichten worden in dat geval als onderdeel van de betreffende zaak of dossier bewaard. Voor het bewaren van dossiers zijn DocBase online of DielPlak de aangewezen archiefomgevingen. Elektronische berichten die deel uitmaken van een zaak of werkproces, krijgen op die manier dezelfde bewaartermijn als de betreffende zaak of het dossier op basis van de geldende provinciale selectielijsten.
3Elektronische berichten worden afdoende beveiligd en duurzaam bewaard zodat er geen onrechtmatige toegang en vernietiging kan plaatsvinden.
Wanneer elektronische berichten deel uitmaken van een blijvend te bewaren zaak of dossier wordt zo snel mogelijk na opslag bepaald welke maatregelen nodig zijn om de berichten veilig en duurzaam te bewaren. Voor de opslag en bewaring van de elektronische berichten worden zodanige technische en organisatorische maatregelen genomen dat ze afdoende beveiligd en duurzaam worden bewaard en dat er geen onrechtmatige toegang en vernietiging kan plaatsvinden. Elektronische berichten moeten zolang deze worden bewaard, vindbaar, beschikbaar, leesbaar, interpreteerbaar en betrouwbaar zijn en blijven.
4Bij het bewaren van de elektronische berichten wordt rekening gehouden met eisen vanuit de AVG en de BIO.
Voor het opslaan en bewaren van berichten worden afdoende technische en organisatorische maatregelen genomen om te voldoen aan de eisen vanuit AVG en BIO.
5.4. Spelregels voor het verwijderen
Het verwijderen van elektronische berichten gebeurt op basis van de volgende spelregels:
1Elektronische berichten worden altijd op basis van de geldende provinciale selectielijsten verwijderd.
De afdeling IFZ is belast met het zorgdragen voor de tijdelijke bewaring van de elektronische berichten van sleutelspelers tot het moment van vernietiging of overbrenging van de berichten. De afdeling IFZ voert de daadwerkelijke vernietiging uit na toestemming van de algemeen directeur.
17De waarde van de informatie wordt uiteindelijk bepaald op grond van artikel 1.3 van de nieuwe Archiefwet. Op basis daarvan wordt de informatie alsnog vernietigd of overgebracht na instemming van de provinciearchivaris. Met deze werkwijze wordt voor een belangrijk deel op het beleid van het Rijk aangesloten.
2Elektronische berichten die nog een rol spelen in de afhandeling van een Wob verzoek mogen niet worden verwijderd.
Uiteindelijk wordt op grond van de geldende provinciale selectielijsten hoelang de informatie moet worden bewaard.
3Elektronische berichten op een werktelefoon van een sleutelspeler
18Zie voor overzicht van de sleutelspelers bijlage 4.
worden na inlevering voor voorlopige bewaring veiliggesteld.
19Zie voor een overzicht van de sleutelspelers bijlage 6.
Het gaat hierbij om berichten zoals in WhatsApp of SMS. De werktelefoon wordt ingeleverd bijvoorbeeld wegens uitdiensttreden of een defect aan de telefoon.
4Werktelefoons van sleutelspelers worden na inlevering fysiek vernietigd door een erkend bedrijf.
20Op grond van BIO 8.3.1.1. Zie ook DocBasenummer 01483417: Procedure GS- en PS-stukken [22 december 2017, versie 0.8 (definitief)], behandeld in OGR van 10 januari 2018.
De afdeling IFZ laat de werktelefoons van sleutelspelers na inlevering fysiek vernietigen door een erkend bedrijf.
5Elektronische berichten op een werktelefoon van andere medewerkers die wordt ingeleverd, worden zo snel mogelijk vernietigd na toestemming van de betreffende leidinggevende.
De afdeling IFZ zorgt voor de vernietiging.
6Elektronische berichten en opnamen van vergaderingen in Teams worden verwijderd op basis van procedures.
De procedures voor vernietiging zijn vastgelegd in het Protocol Selectie, waardering en vernietiging.
21Door de OGR op 2 september 2020 vastgesteld, zie DocBasenummer 01803845.
7Vernietiging van de elektronische berichten op de ingeleverde werktelefoons wordt vastgelegd in een jaarlijkse rapportage.
De afdeling IFZ legt de procedure van vernietiging van de berichten op de ingeleverde werktelefoons vast in een jaarlijkse rapportage die als bijlage bij de jaarlijkse vernietigingslijst wordt opgenomen, zodat kan worden aangetoond dat de berichten niet meer aanwezig zijn.
22Op die manier kan bij mogelijke Wob verzoeken worden aangetoond of berichten al dan niet aanwezig zijn.
Bijlage 1: Uitspraken Raad van State
De afdeling Bestuursrechtspraak van de Raad van State (RvS) heeft enkele uitspraken gedaan die van belang zijn in het gebruik van elektronisch berichtenverkeer.
1In de uitspraak van 20 maart 2019 (link uitspraak) heeft de RvS geoordeeld dat berichten van bestuurders en ambtenaren over bestuurlijke aangelegenheden via o.a. WhatsApp en SMS op zakelijke en privételefoons onder het regiem van de Wet openbaarheid van bestuur (Wob) vallen. De uitspraak hield daarmee ook in dat niet de techniek (oftewel het communicatiemiddel of de locatie waar de berichten worden opgeslagen) maar de context van het bericht (functie, onderwerp, thema, proces, project etc.) de waarde daarvan bepaalt.
2In de uitspraak van 22 mei 2019 (link uitspraak) heeft de RvS geoordeeld dat documenten die deel uitmaken van een lopend Wob-verzoek (incl. bezwaar en beroep), ondanks het verstrijken van de wettelijke bewaartermijnen conform de geldende selectielijsten niet mogen worden vernietigd.
3De uitspraak van 21 oktober 2020 (link uitspraak) had betrekking op de berichten die op telefoons met een abonnement op naam van het orgaan staan en vallen onder de term "berusten onder het orgaan”, terwijl soortgelijke berichten die op privételefoons van bestuurders en ambtenaren staan, niet vallen onder de term "berusten onder het orgaan”. Deze uitspraak leidde tot onduidelijkheid over de uitspraak, omdat WhatsApp berichten niet bewaard zouden hoeven te worden volgens de Archiefwet. Pas op het moment dat een Wob-procedure is gestart, dienen de berichten, omdat ze onderdeel kunnen worden van een procedure, bewaard te worden.
De laatste uitspraak van de RvS riep wel veel onduidelijkheid en vragen op. Inmiddels is meer bekend over deze laatste uitspraak. Het ging hier om een specifieke casus, waarvoor de Archiefwet niet gold. Daarom blijven tekstberichten documenten als bedoeld in de Wob en archiefbescheiden als bedoeld in de Archiefwet, wanneer ze worden gewisseld in het kader van de uitvoering van overheidstaken. De bewaartermijn van de berichten is afhankelijk van de waardering die aan de werkprocessen waar de archiefbescheiden onder vallen wordt toegekend in de selectielijsten. Berichten die als documenten worden opgevraagd in het kader van de Wob moeten worden bewaard tot de hele Wob-procedure is doorlopen.
27Zie website Breed – over de grenzen van informatie (www.breednetwerk.nl).
De uitspraken van de RvS hebben betrekking op alle vormen van elektronische berichtendragers, zoals e-mail, WhatsApp, Signal, SMS, Facebook Messenger.
Bijlage 2: Richtlijn voor het opslaan van berichten
Niet alle documenten of elke snipper informatie, dus ook niet alle elektronische berichten spelen een wezenlijke rol in een werkproces. Het gaat uiteindelijk om de relevantie van een bericht.
Berichten die voor de reconstructie van bestuurlijke besluitvorming van belang kunnen zijn, komen voor langdurige bewaring in aanmerking, tenzij de inhoud van het bericht al op een andere manier is vastgelegd. Het is belangrijk om dit goed te regelen, mede omdat het kan helpen bij een soepele afhandeling van Wob- of Woo-verzoeken.
Bij het bewaren van een bericht, moet de focus liggen op het gebruiksgemak en gebruikersvriendelijkheid. De gebruiker moet dan ook zo optimaal mogelijk worden ondersteund bij het opslaan van:
•Het bericht zelf.
•De ontvanger en verzender van het bericht of een overzicht van deelnemers bij een groepsapp.
•Het tijdstip waarop het bericht is verzonden of ontvangen.
•Een ontvangstbevestiging van het bericht op het device of een leesbevestiging van het bericht.
De volgende vragen kunnen helpen bij het beoordelen van de relevantie van de informatie:
•Zou de informatie in het bericht behalve bij mijzelf ook bij anderen binnen de organisatie, de opgave, het project of de afdeling bekend moeten zijn?
•Kunnen ontvangende partijen rechten ontlenen aan dit bericht? Bijvoorbeeld een subsidie of een vergunning?
•Heeft het bericht betrekking op een provinciale taak, zoals beleid- of planvorming, handhaving of toezicht?
•Zou de informatie in het bericht op termijn een rol kunnen spelen bij publieke verantwoording (Provinciale Staten of de Wob/Woo) of in rechtszaken?
•Is deze informatie ook op een andere manier vastgelegd in een document zoals een brief of notitie? Als het antwoord ontkennend is, moet het bericht zeker worden bewaard.
28Handreiking Archivering tekstberichten, zoals SMS- en WhatsAppberichten [Vereniging van Nederlandse Gemeenten, Den Haag, september 2020].
Bijlage 3: Methoden voor het bewaren van berichten op mobiele telefoons29Informatieblad archiveren chatberichten van het Nationaal Archief. Zie ook de handleiding van de VNG voor praktische werkwijzen voor het opslaan van berichten.
Er zijn verschillende manieren om chatberichten op te slaan. Hieronder worden enkele opties genoemd. De afdeling IFZ is belast met het nemen van technische en organisatorische maatregelen om de berichten veilig te kunnen bewaren.
* Webversie
Veel chat apps hebben een webversie. Op die manier is mogelijk om berichten naar andere systemen zoals DocBase of DielPlak te migreren en vast te leggen.
* Screenshot
Het is mogelijk om met de standaard functionaliteit op de telefoon een screenshot te maken van één of meerdere bericht(en) en de data vervolgens op te slaan in het betreffende dossier in DocBase of DielPlak. Wanneer het bericht in DocBase moet worden opgeslagen, gebruik je het portal Sels Regelje. Als het bericht onderdeel van een dossier op DielPlak is, kun je dit zelf aldaar opslaan.
Er kan alleen een screenshot van (meerdere) individuele chatberichten worden gemaakt. Een hele conversatie binnen een berichtenapp vastleggen vergt een groot aantal screenshots.
* Handmatige export
Voor WhatsApp en Signal (alleen bij Android) bestaat de mogelijkheid berichten inclusief eventuele bijlagen te exporteren. Het op te slaan bericht is een TXT-bestand, dat naar PDF kan worden geconverteerd. Daarmee is de integriteit van de inhoud geborgd en worden de bijlagen veiliggesteld. Het bestand kan vervolgens worden opgeslagen DocBase door aan te bieden via Sels Regelje of eigenhandig op DielPlak.
Het is alleen mogelijk om een export uit WhatsApp van een geheel chatgesprek per gesprekspartner of groepsapp te maken. Je kunt niet een selectie van een deel van een chatgesprek maken.
* Geautomatiseerde export
Het is ook mogelijk om alle chatberichten of een deel daarvan fysiek uit te lezen van de telefoon waarna de data wordt geëxporteerd. Ze worden vervolgens veiliggesteld door opslag in DocBase of op DielPlak.
* Versleutelde berichten
Wanneer berichten zijn versleuteld met encryptie, zal technisch uitgezocht moeten worden of het mogelijk is om op afstand informatie van gebruikers benaderd kan worden en is op te slaan. Is dat technisch niet mogelijk is de gebruiker die de informatie verstuurt of ontvangt zelf verantwoordelijk dat de berichten ter archivering worden aangeboden.
30Zie ook BIO 10.1.1: Beleid inzake het gebruik van cryptografische beheersmaatregelen: Ter bescherming van informatie behoort een beleid voor het gebruik van cryptografische beheersmaatregelen te worden ontwikkeld en geïmplementeerd.
Bijlage 4: Berichten van sleutelspelers of sleutelprocessen
Binnen de provincie zijn er diverse functionarissen die op grond van (bijzondere) wetgeving zijn aangesteld of die vanwege hun positie een grote invloed op het provinciale beleid hebben.
Het gaat in ieder geval om de volgende functionarissen:
•leden college van gedeputeerde staten
•commissaris van de koning
•provinciesecretaris/algemeen directeur
•griffier der staten
•chef kabinet commissaris van de koning
•leden van de directie of Opgavenraad
•FG (functionaris gegevensbescherming)
•Provinciearchivaris
•CISO (chief information security officer)
•concern controller
•leidinggevenden, projectleiders of medewerkers die nauw betrokken zijn bij de organisatie van evenementen of bijzondere gebeurtenissen (Hotspots).
31Hierbij is gebruik gemaakt van de zogeheten Capstone methodiek. Zie voor een toelichting het protocol Selectie en vernietiging.
Een aantal van deze functionarissen zullen bij uitstek berichten over bestuurlijke aangelegenheden via de elektronische weg zoals WhatsApp, SMS uitwisselen. Zij moeten er met name op bedacht zijn dat de uitgewisselde berichten onder de AVG, Archiefwet of Wob/Woo kunnen vallen. Zo kunnen op grond van hun positie de accounts van deze functionarissen als sleutelspelers na vertrek voorlopig worden veiliggesteld tot het moment van vernietiging of overbrenging.
32Zie ook het besluit van de OGR “Bewaring e-mailberichten en e-mailboxen” onder DocBasenummer 01713285.
Voor een aantal sleutelprocessen kan ook gelden dat de elektronische berichten voorlopig veilig moeten worden gesteld. Het gaat hierbij om berichten via Teams die tijdens vergaderingen op bestuurlijk en directieniveau worden verstuurd of ontvangen.
33Vergaderingen van Provinciale Staten, Gedeputeerde Staten of Opgavenraad.
Bijlage 5: Software en apps op elektronische gegevensdragers
De organisatie verstrekt elektronische gegevensdragers zoals telefoons met daarop geïnstalleerde software en apps voor zakelijk en privé gebruik. Daarbij wordt rekening gehouden met de volgende zaken:
1Via Sels Regelje op de BinnenSpegel kan een ieder nieuwe functionaliteiten aanvragen, als een functionaliteit voor zijn of haar elektronische gegevensdrager wordt gemist. Het team Informatiemanagement (afdeling IFZ) gaat met de betreffende persoon over zijn of haar wensen in gesprek, zodat het proces correct wordt gevolgd.
2De afdeling IFZ weegt periodiek alternatieven af en bij geschiktheid wordt de software of app aan de elektronische gegevensdrager toegevoegd.
3Het gebruik van andere online vergadertools dan de door de provincie goedgekeurde (Teams, Webex en Jitsi) is niet toegestaan. Teams heeft altijd de voorkeur. Webex en Jitsi kunnen worden gebruikt voor overleggen, waarbij de webversie van Teams niet werkt.
Bijlage 6: Bronnen
Voor het protocol zijn de volgende bronnen gebruikt:
-Baseline informatiebeveiliging Overheid (BIO) versie 1.04 (Link);
-Besluit elektronisch berichtenverkeer provincie Fryslân 2019 (PB 2019, nr. 4386;
-Handreiking van de rijksoverheid. Bewaren van chatberichten [2020, versie 1.0];
-Handreiking Archivering tekstberichten, zoals SMS- en WhatsAppberichten [Vereniging van Nederlandse Gemeenten, Den Haag, september 2020];
-Informatieblad archivering chatberichten [Nationaal Archief];
-Informatieveiligheidsbeleid provincie Fryslân 2019-2023 [versie 1.0, 18 juni 2020].
-Memo AVG Adviesgroep: voorstel opstellen protocol voor een correct gebruik van berichtendiensten (WhatsApp en chatberichten) [11 januari 2020];
-Protocol Selectie, waardering en vernietiging [augustus 2020];
-Q&A Chatberichten (uitspraak RvS 21 oktober 2020);
-Webinar Impact van de WhatsApp-uitspraken van de Raad van State (16-11-2020)
-Website Rijksprogramma voor Duurzaam Digitale Informatiehuishouding (link).