Als justitie gegevens uit uw systeem opvraagt

Opsporingsdiensten kunnen onder voorwaarden vorderen dat een organisatie gegevens verstrekt die zij in haar bezit heeft. Dat geldt niet alleen voor telecom- en internetbedrijven maar voor elke partij die relevante gegevens heeft: wie wanneer inlogde, welke bestelling naar welk adres ging, welke berichten er tussen twee gebruikers zijn gewisseld.

Voor de meeste organisaties gaat het niet over henzelf. U bent geen verdachte; uw systeem bevat toevallig informatie over iemand die dat wel is. Een klant, een leverancier, een medewerker of iemand die van uw platform gebruikmaakte. Dat maakt het een operationeel vraagstuk in plaats van een juridisch conflict.

Wat het lastig maakt, is dat er meestal haast bij zit en dat u zelf moet beoordelen wat u wel en niet verstrekt. Te veel geven is een privacyprobleem, te weinig geven kan een strafbaar feit opleveren. Wie dat op het moment zelf voor het eerst uitzoekt, doet het bijna gegarandeerd verkeerd.

Wat het is

Een vordering om gegevens te verstrekken die u in uw bezit heeft.

Wie het treft

Elke organisatie met gegevens die iets zeggen over een persoon, niet alleen telecombedrijven.

Waarom het lastig is

Te veel geven is een privacyprobleem, te weinig geven kan strafbaar zijn.

Wat u nodig heeft

Een systeem dat een afgebakende uitvraag aankan, en iemand die mag beslissen.

De kern is dat u precies moet kunnen leveren wat er wordt gevraagd, en niet meer. Dat klinkt eenvoudig en het is precies waar de meeste systemen op vastlopen.

De eerste vraag bepaalt alles. Een systeem dat alleen alles-of-niets kan exporteren, dwingt u tot overleveren.

Dat laatste is een reëel risico. Wie op een vordering reageert met een volledige database-export, verstrekt gegevens van honderden mensen die er niets mee te maken hebben. Dat is zelf een verwerking waar u verantwoordelijk voor bent, en er is geen vordering die dat rechtvaardigt.

Dit zijn ontwerpkeuzes die niets extra kosten als u ze vooraf maakt, en die achteraf toevoegen een project wordt.

1. Bouw een gerichte uitvraag

   Een functie waarmee u alle gegevens over één persoon of account over een afgebakende periode kunt ophalen. Die heeft u sowieso nodig voor inzageverzoeken onder de privacywetgeving, dus het is geen extra investering.

2. Zorg dat u weet wat u heeft

   Een overzicht van welke gegevens waar staan, inclusief back-ups en logbestanden. Zonder dat overzicht kunt u niet verklaren dat u iets niet meer heeft, en dat is bij een vordering een lastige positie.

3. Houd bewaartermijnen aan en voer ze uit

   Gegevens die u volgens uw eigen beleid al had moeten verwijderen maar nog heeft, moet u wel verstrekken. Een bewaartermijn die alleen op papier bestaat, werkt hier tegen u.

4. Leg vast wie erbij kan

   Bij een vordering wordt vaak gevraagd wie toegang had tot bepaalde gegevens. Dat kunt u alleen beantwoorden als u het bijhoudt; zie de meldketen bij een incident voor dezelfde behoefte.

5. Wijs een beslisser aan

   Eén persoon met een vervanger die zulke verzoeken beoordeelt, contact opneemt met een jurist en de reactie coördineert. Zonder die aanwijzing beslist degene die de brief openmaakt.

De eerste stap is de belangrijkste en levert dubbel op: dezelfde functie gebruikt u voor inzage- en verwijderverzoeken van gebruikers. Dat maakt het een van de weinige privacymaatregelen die zichzelf terugverdienen in gewoon gebruik.

Neem het verzoek serieus en handel niet meteen. Controleer eerst wat er precies wordt gevraagd, op welke grondslag en door wie. Een vordering hoort schriftelijk en gemotiveerd te zijn, en u mag vragen om verduidelijking als de omvang onduidelijk is. Dat is geen tegenwerking maar zorgvuldigheid, en het beperkt uw eigen risico.

Schakel een jurist in voordat u levert, ook als het verzoek redelijk lijkt. De beoordeling of u verplicht bent te verstrekken, of het verzoek proportioneel is en of er een geheimhoudingsplicht speelt, is juridisch werk. Dat kost een paar uur en het voorkomt dat u de verkeerde beslissing neemt onder tijdsdruk.

Verstrek daarna precies wat er is gevraagd, in een leesbaar formaat, en leg vast wat u heeft gegeven en waarom. Die vastlegging heeft u nodig als er later vragen komen, en het is bovendien wat uw eigen verwerkingsregister van u verwacht.

En houd er rekening mee dat u soms niet mag vertellen dat er een verzoek is geweest. Dat is een van de redenen om vooraf te bepalen wie hierover gaat, want een medewerker die het in goed vertrouwen doorvertelt, brengt uw organisatie in een lastige positie. Deze pagina is uitleg en geen juridisch advies; leg uw situatie voor aan een jurist.

• Wat is privacy by design
• De meldketen bij een incident
• Wat hoort in een verwerkersovereenkomst
• Waar staat uw data
• Wie is verantwoordelijk voor de software