Op 10 oktober 2016 vond in Brussel een internationale conferentie plaats over de impact van de nakende invoering van de General Data Protection Regulation (GDPR) op de archiefwereld. Op 25 mei 2018 werd deze richtlijn van kracht en werden lidstaten verplicht dit in hun wetgeving op te nemen. Deze Engelstalige bundel (de neerslag van de bijeenkomst uit 2016) verscheen echter pas eind 2018. Het boek bevat slechts teksten van zes van de negen sprekers uit 2016 (al werden er twee teksten aan toegevoegd). De lezer die geïnteresseerd is in de ontbrekende lezingen kan voor de presentaties terecht op de website van het Algemeen Rijksarchief. Het is op de keper beschouwd een wat ongelukkige constructie. Samenstellers van gepubliceerde conferentieverslagen weten echter maar al te goed hoe moeilijk het is geworden om sprekers te motiveren hun presentatie om te werken tot een tekst voor een naslagwerk. Het is dus lovenswaardig dat, dankzij volgehouden inspanning, het boek er gekomen is. De bijdragen zijn reflecties op diverse aspecten, geschreven door auteurs met diverse invalshoeken en afkomstig uit een aantal landen. Verwacht geen pasklare oplossingen: na het van kracht worden van de GDPR-richtlijn blijven er zeker in de archiefwereld nog heel wat vragen over hoe om te gaan met privacygevoelige informatie (voornamelijk recent archiefmateriaal).
Begin 2012 maakte de Europese Commissie voor het eerst plannen bekend om over te gaan tot de vervanging van een privacyrichtlijn uit 1995 die betrekking had op de verwerking van persoonlijke gegevens. De archiefwereld liet meteen een bezorgde stem horen. In de plannen van de commissie stond immers de invoering centraal van the right to be forgotten. In die fase omschreef Willem Debeuckelaere, voorzitter van de Privacycommissie in België, dit principe als een dreigend monster. Ieder individu zou immers de mogelijkheid krijgen om privacygevoelige informatie te vernietigen. Om alles nog erger te maken kwam er in de aanloopperiode naar de definitieve nieuwe richtlijn een verbazende juridische uitspraak. Op 13 mei 2014 kreeg Google van het Europees Hof van Justitie te horen dat het wel degelijk rekening moest houden met the right to be forgotten. Net zoals heel wat anderen reageerde de archiefwereld geschokt: bestond er immers ook niet zoiets als een recht (een plicht?) om het verleden te bewaren, een right to remember?
Het thema zorgde de daaropvolgende jaren voor verder denk- en lobbywerk. Er was ook duidelijk sprake van mogelijke uitzonderingen op de GDPR-regels. In eerste instantie voorzag men die enkel voor wetenschappelijk, historisch en statistisch onderzoek. Na aandringen van de sector werd ook archiveren in het algemeen belang als uitzondering opgenomen. Strikt gezien geldt de uitzondering overigens enkel voor de openbare archieven. De concrete regels blijven op dat vlak echter algemeen en vaag. Een van de aanbevelingen die herhaaldelijk in het boek weerklinken is daarom om alert en proactief te blijven. De archiefsector moet zelf op zoek gaan wat er wel en wat er niet compatibel is met de GDPR-regeling. Het initiatief van de European Archives Group (ook vermeld in het boek) om een leidraad op te stellen in de vorm van een Guidance on Data Protection for Archive Services is daar een voorbeeld van. De initiatiefnemers blijven verder schaven aan deze tekst en bieden houvast voor praktische vragen bij een complexe materie.
Om kort, bondig en begrijpelijk de problematiek te schetsen is de bijdrage van Thouvenin & Reutimann in deze publicatie interessant. Deze auteurs zien binnen de GDPR-regeling twee grote lijnen. Om te beginnen zijn er de algemene principes van de richtlijn: de purpose limitation (welomschreven, duidelijk en wettelijk), de data minimisation (gepast, relevant en beperkt) en de storage limitation (niet langer bewaren dan nodig). Kortom, wie informatie bewaart moet duidelijk aflijnen en niet meer en niet langer dan nodig bewaren. Bijkomende elementen in relatie tot het op een wettelijke wijze bewaren van privacygevoelige data zijn dan in tweede instantie o.a. de uitdrukkelijke toestemming, de overeenkomst met de wettelijke verplichtingen en de vraag of het in het publieke belang is. De meer juridische bijdragen in het boek (Joëlle Jouret & Willem Debeuckelaere; Patrick Van Eecke & Peter Craddock) focussen meer op deze aspecten en onderstrepen vanuit hun visie andermaal dat de materie vatbaar is voor interpretatie.
Doorheen de teksten passeren enkele belangrijke begrippen in relatie tot de problematiek. Pseudonymisatie is een begrip dat voortvloeit uit artikel 4 van de GDPR-richtlijn. In geval van wetenschappelijk onderzoek kan informatie onherkenbaar worden gemaakt. De band met de persoonlijke en originele informatie is echter nog steeds op een of andere wijze terug te vinden mocht dit nodig zijn. Dit staat in tegenstelling tot wat er zou gebeuren in geval van het anoniem maken van gegevens. Dan verdwijnt immers de band met de originele gegevens. En dat is een scenario waar een archivaris (al dan niet met bewaringsplicht) niet voor staat te springen.
Archiving by design is een tweede interessant begrip dat herhaaldelijk opduikt. In dit geval krijgt de archivaris de kans om in te grijpen bij de bron. Het betreft andermaal vooral de creatie van informatie in openbare archieven. In overleg met de informatiebeheerders kan reeds bepaald worden welke informatie al dan niet wordt opgeslagen en achteraf wordt opgeladen in het archief.
Een uitzondering op de GDPR-richtlijn vormen gegevens die betrekking hebben op de Holocaust. De problematiek hieromtrent is terug te vinden in een interessante bijdrage van Dirk Luyten over een onderzoeksportaal met bronnen voor de studie van de Holocaust. De richtlijn uit 2018 geeft de individuele wetgevers wat speelruimte met een specifieke uitzondering voor dit soort onderzoek. Het portaal waarvan sprake is echter uitgebouwd onder de oude richtlijn. De manier waarop de initiatiefnemers toen zijn omgegaan met de privacygevoelige informatie is een mooi voorbeeld van waar archivarissen zonder uitzonderingsregel rekening mee zouden kunnen houden. In het voorbeeld heeft Luyten het over het beperken van de beschrijving (voornamelijk metadata) en het uitgangspunt dat de informatie voornamelijk slachtoffers betreft en dus reeds 70 jaar oud is. Bovendien is het uitgangspunt ook dat de participanten elk op hun beurt aan de nationale wetgeving voldoen. Tot slot krijgen individuen het recht om de vraag te stellen om bepaalde informatie te maskeren. Volgens de auteur is dat tot op heden nog niet aan de orde geweest.
Het laatste (en ook het meest uitgebreide) hoofdstuk van dit boek springt wat uit de band. De reeds eerder vermelde auteurs Thouvenin en Reutimann behandelen het archiveren van websites en overstijgen zo de GDPR-problematiek. De Zwitserse onderzoekers hebben het uitgebreid over het belang van webarchivering, de technologie en de werkwijze van archiveren en enkele interessante internationale projecten. Wat het juridische kader betreft zien zij de context van de GDPR-richtlijn als een uitdagend maar niet onoverkomelijk gegeven. Voor hen is de wetgeving op auteursrecht een grotere bedreiging voor webarchivering. De auteurs maken de interessante opmerking dat publieke archieven het algemeen belang kunnen oproepen terwijl dit voor niet-publieke archieven heel wat minder evident is. Nochtans zorgen ook zij voor cultureel erfgoed en zijn ze maatschappelijk relevant. Nationale wetgeving kan hier een mouw aan passen. Het stuk sluit af met een (terechte) oproep om hier dringend werk van te maken.
Zo lijkt op het einde van het boek de GDPR-problematiek met zijn vele valkuilen en onzekerheden slechts een van de vele monster die opdagen aan de horizon voor de archiefbeheerders. Of zoals redacteur Karin Van Hoonacker (Rijksarchief België) het mooi uitdrukt in het slot (p. 25-26) van haar inleiding: “The scope of duties of cultural heritage managers is steadily increasing. Therefore, cooperation with people from other disciplines becomes increasingly important in order to avoid causing irreparable damage. It is fair to say that the manner in which personal data must be separated from other information must still be analysed and studied much further.” Er blijft dus werk aan de winkel voor de archiefwereld.
> Karin Van Hoonacker (ed.), The Right to Be Forgotten Vs The Right to Remember, Brussel, VUBPress/ASP, 2018, 158 p. (met bijdragen van G. Barrera, P. Craddock, W. Debeuckelaere, A. Hänger, J. Jouret, H. Lemoine, D. Luyten, K. Reutimann, B. Ricard, F. Thouvenin, P. Van Eecke en woord vooraf K. Velle).