Positief advies van de archivaris

In de model beheerregeling wordt een systeem omschreven als iets waarmee en/of waarin informatie beheerd en/of bewaard wordt. Systemen zijn niet alleen zaak- en document managementsystemen, maar kunnen ook taakspecifieke applicaties zijn. NoVA heeft hierover een handreiking opgesteld onder de naam Archiving by design. Echter in de VNG-handreiking Archiveren by design gaat de omschrijving van het begrip archiving by design een stap verder: naast systemen worden hier ook organisatie, omgeving en beleid en regels genoemd. Relevante wijzigingen op het gebied van systemen, die gevolgen kunnen hebben op het

• duurzame toegankelijkheid van informatie-objecten zijn, volgens de VNG-handreiking:
• technische en functionele wijzigingen in het applicatielandschap;
• migraties en conversies;
• nieuwe hulpmiddelen;
• nieuwe technologieën.

Wat onder deze laatste vier begrippen wordt verstaan wordt niet uitgewerkt in de VNG-handreiking. Over migratie en conversie is in de model Beheerregeling bepaald dat hiervan mededeling moet worden gedaan aan de archivaris (artikel 7, lid c). Hulpmiddelen en technologieën kunnen worden omschreven als wijzigingen in systeemapplicaties, zoals een firewall, virusscanners en back-up voorzieningen. Het eerste punt, technische en functionele wijzigingen in het applicatielandschap, heeft betrekking op zaaksystemen, document managementsystemen, recordmanagement applicaties en taakspecifieke applicaties.

De laatste groep applicaties is ruim vertegenwoordigd in het gemeentelijk applicatielandschap en in elke applicatie wordt informatie beheerd en/of bewaard. Vanuit de model Beheerregeling wordt gesteld dat voor elk ontwerp, vervanging, aanschaf of invoering van een dergelijke applicatie een positief advies van de archivaris nodig is. Een positief advies is niet nodig als er wijzigingen in dergelijke applicaties worden doorgevoerd, zoals updates en upgrades.

Ondanks deze inperking van de reikwijdte van dit artikel uit de model Beheerregeling, zullen er nog vele nieuwe applicaties worden ingevoerd dan wel bestaande worden vervangen door andere. Voor elk daarvan moet door NoVA een positief advies worden afgegeven. Maar de impact ervan op het archiefbeheer verschilt per applicatie. De mate van beoordeling van een applicatie wordt daarom afhankelijk gesteld van het risico voor het archiefbeheer. De risico’s betreffen een aantal aspecten zoals bewaartermijn en aanwezigheid van persoonsgegevens. De hoogte van het risico bepaalt op welke manier een applicatie wordt beoordeeld voor een positief advies.

Voor het beoordelen van de risico’s moeten er informatiebeheerregimes worden ingericht waarbij informatie wordt geclassificeerd in risicoklassen. In dit verband wordt de classificatie gebaseerd op twee elementen:

1. De bewaartermijn: archiefbescheiden die permanent zijn te bewaren stellen andere (hogere) eisen aan digitale duurzaamheid dan archiefbescheiden die al na een korte periode voor vernietiging in aanmerking komen. De bewaartermijnen, zoals die zijn vastgelegd in de selectielijsten, zijn onder andere gebaseerd op een risicoanalyse: hoe lang is de informatie voor de organisatie nodig om het werk te kunnen uitvoeren of om zich te kunnen verantwoorden.
2. De mate van vastlegging van (bijzondere) persoonsgegevens: hoe meer (bijzondere) persoonsgegevens er worden vastgelegd, hoe meer aandacht er besteed moet worden aan de beveiliging van de gegevens en de tijdige vernietiging ervan.

Door de bewaartermijnen af te zetten tegen de mate van vastlegging van (bijzondere) persoonsgegevens kan een risicomatrix worden opgesteld. De hoogte van het risico bepaalt vervolgens welke informatie de gemeente moet aanleveren en hoe diepgaand het onderzoek moet zijn, om in aanmerking te komen voor een positief advies.

NoVA heeft hiervoor een matrix ontworpen, met daarin de risicoklassen en de uitwerking daarvan en is te vinden in de bijlage. Als een gemeente zelf informatiebeheerregimes in haar bewaarstrategie heeft vastgesteld kunnen die worden gebruikt voor de beoordeling.

Hiervoor is een handreiking en een controlelijst ontworpen. Handboeken vervanging worden hieraan getoetst. Daarnaast vinden er audits van het vervangingsproces plaats. De gemeenten sturen het concept handboek vervanging naar NovA om deze te laten beoordelen.

Dit aspect komt zo weinig aan de orde dat hiervoor geen handreiking of toetsingskader voor ontworpen is. Op het moment dat dit zich aandient zal worden bekeken hoe dit wordt vormgegeven. De gemeenten stellen NoVA ruim voordat de voorgenomen vervreemding plaatsvindt NoVA hiervan op de hoogte.

Archiefruimten moet hier breed worden geïnterpreteerd: hier vallen zowel archiefbewaarplaatsen, overige archiefruimten en serverruimten onder. Voor al deze ruimten zijn controlelijsten aanwezig. Als een gemeente voornemens is om een ruimte als archiefruimte of serverruimte te gaan gebruiken, wordt NoVA hierover geïnformeerd. Deze beoordeelt de ruimte aan de hand van de controlelijst.

Het gaat hierbij om overdracht van informatie van het ene organisatieonderdeel of organisatie naar een ander. Dit is gebaseerd op artikel 4 van de Archiefwet 1995. Lid 1 van dit artikel luidt: “Een regeling, waarbij overheidsorganen worden opgeheven, samengevoegd of gesplitst, dan wel waarbij een of meer taken van een overheidsorgaan worden overgedragen aan een ander overheidsorgaan, houdt een voorziening in omtrent hun archiefbescheiden.”

Deze situatie komt niet vaak voor, maar speelt wel in het geval van vooral gemeenschappelijke regelingen. Er worden nieuwe regelingen ingesteld, bestaande opgeheven en er vinden fusies plaats. De handreiking informatiebeheer bij samenwerkingsverbanden biedt houvast bij het vormen van nieuwe gemeenschappelijke regelingen of toetsen van bestaande samenwerkingsvormen.

Toetsing vindt plaats op een aantal aspecten:

• Is NoVA ruim voordat een gemeenschappelijke regeling is gevormd, gewijzigd of opgeheven hierover geïnformeerd; in ieder geval ruim voldoende om invloed te kunnen uitoefenen op de regeling en de consequenties ervan voor het archiefbeheer.
• Is de informatie die NoVA heeft verkregen voldoende om een eenduidig advies af te geven omtrent de gevolgen voor het archiefbeheer.
• Is het archiefbeheer voldoende geregeld in het ontwerp van de gemeenschappelijke regeling. Dit betreffen de bepalingen die als bijlagen bij de Handreiking informatiebeheer bij samenwerkingsverbanden zijn opgenomen.

Op basis van alle verkregen informatie adviseert NoVA de gemeenten omtrent het archiefbeheer. Dit gebeurt bij voorkeur voordat de ontwerp gemeenschappelijke regeling aan de colleges wordt aangeboden. Dat advies is primair gericht aan de gemeenten die ook deelnemen aan de gemeenschappelijke regeling van het NoVA. De andere gemeenten die bij de nieuwe, gewijzigde of op te heffen gemeenschappelijke regeling betrokken zijn, worden door middel van een afschrift van dit advies op de hoogte gesteld. Ook de te wijzigen of op te heffen gemeenschappelijke regeling(en) worden door middel van een afschrift van dit advies op de hoogte gesteld.

Hieronder worden (nogmaals) de acties genoemd die NoVA van de gemeenten verwacht voor een verzoek om een positief advies van de archivaris.

Systemen

• Beoordeel de applicatie aan hand van de risicomatrix.
• Stuur informatie over de aspecten van het archiefbeheer van de applicatie naar NoVA (zie bijlage).
• NoVA beoordeelt het archiefbeheer van de applicatie.

Vervanging

• Stuur het concept handboek vervanging naar NoVA.
• NoVA beoordeelt het handboek aan de hand van een controlelijst.

Vervreemding

• Informeer NoVA ruim voor de voorgenomen vervreemding.
• NoVA beoordeelt de voorgenomen vervreemding.

Archiefruimte

• Informeer NoVA de voorgenomen ingebruikname van een archiefruimte.
• NoVA beoordeelt de ruimte aan de hand van een controlelijst.

Overdracht van informatie

• Informeer NoVA ruim voordat een gemeenschappelijke regeling is gevormd, gewijzigd of opgeheven.
• NoVA beoordeelt de ontvangen informatie aan de hand van de Handreiking informatiebeheer bij samenwerkingsverbanden.

In onderstaande risicomatrix zijn de verschillende bewaartermijnen en de mate van vastlegging van (bijzondere) persoonsgegevens vertaald naar een risicoprofiel. Daaronder zijn de verschillende risicoprofielen beschreven en welke acties er moeten worden ondernomen.

Bewaartermijnen
De bewaartermijnen in de selectielijsten vanaf 2017 zijn voor een belangrijk deel bepaald door een uitgevoerde risicoanalyse. Daarbij zijn vijf risicoklassen gedefinieerd met een bewaartermijn van respectievelijk 1, 5, 10, 20 en 50 jaar. Andere in de selectielijst genoemde termijnen zijn gebaseerd op specifieke wet- en regelgeving. Voor onderstaande risicomatrix zijn de risicoklassen 3 tot en met 5 samengevoegd. Er ontstaan hierdoor drie groepen van bewaartermijnen:

• Tot 5 jaar: deze archiefbescheiden zijn na afhandeling ervan van weinig waarde voor de organisatie.
• Van 5 tot en met 10 jaar: dit betreft het grootste deel van de archiefbescheiden van een gemeentelijke organisatie. De waarde wordt voor een belangrijk deel bepaald voor het afleggen van (financiële) verantwoording. Gedurende die periode moeten deze archiefbescheiden in originele staat beschikbaar zijn.
• Meer dan 10 jaar: dit betreffen zowel archiefbescheiden die na 10 jaar of meer voor vernietiging in aanmerking komen als permanent te bewaren archiefbescheiden. De digitale duurzaamheid van deze archiefbescheiden dient gedurende de gehele termijn geborgd te zijn.

Persoonsgegevens
Voor de vastlegging van persoonsgegevens in de systemen wordt het volgende onderverdeling gemaakt:

• Geen persoonsgegevens: in het systeem worden geen persoonsgegevens vastgelegd.
• Gewone persoonsgegevens: het gaat hierbij om het vastleggen van naam, adres, woonplaats, geboortedatum, telefoonnummer en/of e-mail adres. Uiteraard alleen voor zover dit is toegestaan.
• Bijzondere persoonsgegevens: in een beperkt aantal gevallen kunnen bijzondere persoonsgegevens worden vastgelegd, zoals medische gegevens of gegevens die informatie geven over iemands religie of politieke voorkeur. Ook kan het voorkomen dat deze weliswaar niet worden vastgelegd, maar kunnen worden afgeleid. In al deze gevallen moet zeer zorgvuldig met de informatie worden omgegaan en dienen deze te worden vernietigd als deze niet meer nodig zijn.

Risicomatrix

Het is aan de gemeente om een applicatie in te delen in één van de drie risicoprofielen. Dit kan eenvoudig door vast te leggen welke zaaktypes en welke persoonsgegevens in het systeem worden vastgelegd. Vanuit de zaaktypecatalogus kunnen dan de bewaartermijnen van de zaaktypes worden afgeleid. Bij het voorleggen van een systeem aan NoVA moet deze analyse worden meegegeven.

Risicoprofielen
In bovenstaande matrix worden drie risicoprofielen genoemd. Deze hebben de volgende betekenis en hoe hiermee omgegaan moet worden ingeval van een positief advies.

• Laag: de bewaartermijn is maximaal 10 jaar en/of er worden geen of alleen gewone persoonsgegevens vastgelegd. De zorgdrager moet de gemeente informeren over ontwerp, vervanging, aanschaf of invoering van een dergelijk systeem. Ook moet de gemeente kunnen aantonen dat periodieke vernietiging zal plaatsvinden.
• Middel: de bewaartermijn is middellang met vastlegging van gewone persoonsgegevens of kort met vastlegging van bijzondere persoonsgegevens. In dit geval moet de vernietiging van gegevens ook tijdig gebeuren. Ook de authenticiteit van de archiefbescheiden moet aantoonbaar worden geborgd gedurende de levensduur ervan.
• Hoog: het gaat hier om lang of permanent te bewaren archiefbescheiden of om middellang te bewaren archiefbescheiden waarbij ook bijzondere persoonsgegevens worden vastgelegd. Bij deze systemen moet, naast bovenstaande eisen, de export van de documenten en metagegevens zijn geregeld.