Rijksarchief in België

Ons collectief geheugen !

FR | NL | DE | EN
Menu

Persoonsgegevens in archief

Kleine letters  Normale letters  Grote letters

De Algemene Verordening Gegegevensbescherming verbiedt organisaties om gegevens langer dan nodig te bewaren, terwijl de Archiefwet overheden verplicht om bepaalde informatie langer te bewaren dan administratief nuttig is. Hoe zijn deze twee wettelijke kaders te rijmen?

Basisbegrippen

  • AVG of GDPR: Europese verordening van 27 april 2016 (in werking sinds 24 mei 2016 en van toepassing sinds 25 mei 2018) die regels oplegt aan alle ondernemingen en organisaties (wereldwijd) die persoonsgegevens verwerken van natuurlijke personen in de Europese Unie. De verordening vervangt de Databeschermingsrichtlijn van 1995 en is vertaald naar Belgische wetgeving in de kaderwet van 30 juli 2018 (onder herziening) betreffende de bescherming van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens.
  • Persoonsgegevens: alle informatie betreffende een persoon die rechtstreeks of onrechtstreeks geïdentificeerd kan worden, o.a.: persoonlijke gegevens, online gegevens, financiële gegevens, juridische informatie, medische gegevens, etnische gegevens en gegevens m.b.t. winkelgedrag.
  • Verwerking: elke manuele of automatische bewerking van gegevens, o.a. het verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiden of op andere wijze ter beschikking stellen, aligneren of combineren, afschermen, wissen of vernietigen van gegevens.

Wat met het principe van opslagbeperking?

Persoonsgegevens mogen volgens de AVG niet langer worden bewaard dan strikt noodzakelijk voor de doeleinden waarvoor ze verzameld zijn.

De verordening maakt echter een uitzondering voor archiveringsdoeleinden.

Artikel 5 1e zegt:

“Persoonsgegevens mogen voor langere perioden worden opgeslagen voor zover de persoonsgegevens louter met het oog op archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of statistische doeleinden worden verwerkt overeenkomstig artikel 89 lid 1 [zie lager] mits de bij deze verordening vereiste passende technische en organisatorische maatregelen worden getroffen om de rechten en vrijheden van de betrokkene te beschermen.”

Wat met het principe van doelbinding?

Persoonsgegevens moeten volgens de AVG voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden worden verzameld en mogen vervolgens niet verder verwerkt worden op een manier die onverenigbaar is met die doeleinden.

De verordening beschouwt verwerking met het oog op archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of statistische doeleinden echter “niet als onverenigbaar met de oorspronkelijke doeleinden”. (artikel 5 1b)

Wat met het verbod op de verwerking van gevoelige gegevens?

In de regel geldt een verbod op de verwerking van genetische gegevens, biometrische gegevens (met het oog op de unieke identificatie van een persoon), gegevens over gezondheid, met betrekking tot iemands seksueel gedrag of seksuele gerichtheid of gegevens waaruit ras of etnische afkomst, politieke opvattingen, religieuze of levensbeschouwelijke overtuigingen of het lidmaatschap van een vakbond blijken (artikel 9).

Ook hier geldt archivering in het algemeen belang echter als één van de uitzonderingsgronden, op voorwaarde dat:

  • de verwerking noodzakelijk is voor dit doel
  • de verwerking gebeurt overeenkomstig artikel 89 lid 1 (zie lager) en de regeling van de lidstaat, die:
    • evenredigheid met het nagestreefde doel moet waarborgen
    • de wezenlijke inhoud van het recht op bescherming van persoonsgegevens moet eerbiedigen
    • passende en specifieke maatregelen moet opleggen ter bescherming van de grondrechten en de belangen van de betrokkene

Wat met het recht op vergetelheid (en de andere rechten van betrokkenen)?

Personen hebben volgens de AVG het recht om hun persoonsgegevens zonder onredelijke vertraging te laten wissen wanneer de verwerkende instantie ze niet langer nodig heeft voor de doeleinden waarvoor ze zijn verzameld.

Als de verwerking nodig is voor archivering in het algemeen belang, geldt dit recht echter niet “voor zover het in lid 1 bedoelde recht de verwezenlijking van de doeleinden van die verwerking onmogelijk dreigt te maken of ernstig in het gedrang dreigt te brengen” (artikel 17 3d).

Personen kunnen dus niet vragen om gegevens, die door het Rijksarchief als historisch waardevol zijn ingeschat, te laten vernietigen.

Ook van de andere rechten, gespecifieerd in artikels 15-16 en 18-21 van de AVG, kan worden afgeweken voor zover die rechten het verwezenlijken van de specifieke doeleinden onmogelijk zouden maken of ernstig zouden belemmeren. Dit wordt niet geregeld door de AVG, maar in titel 4 van de Belgische kaderwet van 2018:

  • Het is namelijk onhaalbaar voor archiefinstellingen, die een massa persoonsgegevens verzamelen, om te achterhalen welke gegevens over wie worden bewaard. Vandaar een uitzondering op het recht van inzage van de betrokkene (artikel 15).
  • Het recht op rectificatie (artikel 16) is niet houdbaar voor archiefinstellingen, die juist de integriteit en authenticiteit van informatie moeten bewaken. Bijgevolg vervalt ook de kennisgevingsplicht inzake rectificatie of wissing van persoonsgegevens of verwerkingsbeperking (artikel 19).
  • Het is ook onmogelijk voor archiefinstellingen om het recht op beperking van de verwerking (artikel 18) in acht te nemen, aangezien dit hen zou verhinderen om essentiële (en wettelijk opgelegde) taken uit te voeren, zoals het opslaan, inventariseren en digitaliseren van archief. Hetzelfde geldt voor het recht van bezwaar (artikel 21).
  • Tot slot is er eveneens een uitzondering voorzien op het recht op overdraagbaarheid van gegevens (artikel 20), i.e. om gegevens die men aan een verwerkingsverantwoordelijke verstrekt heeft te verkrijgen in een gestructureerde, gangbare en machineleesbare vorm, al is dit recht hoe dan ook zelden van toepassing, aangezien de meeste archieven niet via de betrokkene zelf in de archiefinstelling terechtkomen.
     

Geen overeenkomst voor verdere verwerking nodig bij overbrenging.

Een instantie die gegevens wil verwerken die ze niet zelf heeft verzameld, moet hiervoor in de regel een overeenkomst afsluiten met de oorspronkelijke verzamelaar (artikel 194 van de kaderwet).

Voor een overbrenging naar het Rijksarchief is dit niet nodig, omdat het Rijksarchief een mandaat heeft voor de verwerking van deze archieven in het algemeen belang.

Wat met de informatieplicht?

Personen hebben volgens de AVG het recht om geïnformeerd te worden over de verwerking van hun gegevens (wat, hoe en waarom) en welke rechten zij op dit gebied hebben.

Wanneer de verwerking echter gebeurt in het kader van archivering in het algemeen belang, en de informatieplicht dit doel zou belemmeren of onmogelijk zou maken (omdat het onbegonnen werk is om alle betrokkenen individueel te contacteren), mag hiervan worden afgeweken op voorwaarde dat de informatie openbaar gemaakt wordt. (artikel 14 5b)

Het Rijksarchief doet dit laatste in zijn data protection statement op zijn website.

Wat zijn de voorwaarden gespecifieerd in artikel 89?

Archivering in het algemeen belang en wetenschappelijk, historisch of statistisch onderzoek zijn geen vrijgeleiden. Wanneer er afwijkingen van toepassing zijn, moet de verwerkende instantie nog steeds de nodige technische en organisatorische maatregelen treffen om de geest van de wet en met name het principe van de minimale gegevensverwerking te eerbiedigen, m.a.w. om enkel de gegevens te verwerken die nodig zijn, in de mate en voor de duur dat het nodig is, en slechts toegang te verschaffen in de mate dat het nodig is voor dit doel. Concrete manieren om dit te doen zijn bijvoorbeeld:

  • pseudonimisering
  • selectie (enkel bewaren wat historisch waardevol is)
  • termijnen instellen die moeten verstrijken voor documenten met persoonsgegevens raadpleegbaar worden
  • een onderzoeksverklaring laten ondertekenen bij raadpleging

Het artikel bepaalt ook dat lidstaten verdere afwijkingen van artikels 15-16 en 18-21 kunnen voorzien. Zoals gezegd, doet titel 4 van de kaderwet dit voor België (zie hoger).

Conclusie

  • De Archiefwet blijft volledig van toepassing. Overheden mogen dus geen documenten of gegevens vernietigen zonder de toestemming van het Rijksarchief.
  • Overheden verwijzen in hun register van de verwerkingsactiviteiten (artikel 30 AVG) naar de selectielijst waarin de bewaartermij­nen en definitieve bestemming van documenten (nl. vernietiging of overbrenging naar het Rijksarchief voor permanente bewaring) opgenomen zijn.
  • Overheden maken hun statisch archief, dat geen administratief nut meer voor hen heeft en dat bestemd is voor permanente bewaring, over aan hun archiefdienst of het Rijksarchief, die een mandaat hebben om het verder te bewaren in het algemeen belang. De toegang tot de gegevens moet in elke fase van de levenscyclus beperkt zijn tot wie de gegevens nodig heeft voor de uitoefening van zijn taken.
  • Gegevens die niet bestemd zijn voor permanente bewaring, worden zo snel mogelijk na het verstrijken van de bewaartermijn vernietigd, nadat hiervoor een aanvraag tot vernietigen is ingediend bij het Rijksarchief en goedkeuring is verkregen. Vernietigingen moeten uitgevoerd worden op een manier dat ongeautoriseerde derden op geen enkel moment toegang hebben tot de gegevens, de dragers waarop ze zich bevinden of de restanten van deze dragers na vernietiging. Meer info hierover vind je op de pagina Informatie vernietigen.
  • Overheidsdiensten moeten de omkeerbaarheid van elk type van versleuteling kunnen garanderen.
  • De overbrenging van gegevens naar het Rijksarchief betekent niet dat ze onmiddellijk en onbeperkt openbaar gemaakt worden:
    • specifieke raadplegingsvoorwaarden zijn van toepassing per type archiefvormer
    • persoonsgegevens van levende personen worden nooit online verspreid (tenzij met toestemming van de betrokkene of als het gaat om openbare figuren of gegevens die nauw samenhangen met historische feiten – zie artikel 205 van de kaderwet)
    • persoonsgegevens kunnen meegedeeld worden in het kader van historisch en wetenschappelijk onderzoek, mits passende waarborgen worden geboden, waaronder het ondertekenen van een onderzoeks­verkla­ring.
  • Voor zijn dagelijkse werking en bedrijfsvoering (in de omgang met lezers, leveranciers, personeel…) is het Rijksarchief aan dezelfde beperkingen en verplichtingen onderworpen als elke andere organisatie. In het kader van het transparantieprincipe, vind je op deze pagina een overzicht van onze verwerkingsactiviteiten.

Vraag of opmerking?

Contacteer ons.

www.belspo.be www.belgium.be e-Procurement