Ook WhatsApp-berichten op privé-telefoon vallen onder de Wob

De Afdeling bestuursrechtspraak van de Raad van State (‘Afdeling’) heeft uitgemaakt dat berichten, zoals WhatsApp- en sms-berichten, op zakelijke én op privé-telefoons worden beheerst door de Wet openbaarheid van bestuur (‘Wob’).

Wat betekent dit voor de praktijk?

We gaan in deze blog in op de uitspraak en de praktische betekenis daarvan: wat moeten bestuursorganen regelen?

Aanleiding is een Wob-verzoek van Branchebelang Thuiszorg Nederland (‘BTN’) aan de minister van Volksgezondheid, Welzijn en Sport (‘de minister’) waarin is gevraagd om openbaarmaking van informatie op alle gegevensdragers. Whatsapp- en sms-berichten behoren hier volgens BTN tevens toe.

De Wob bepaalt dat informatie neergelegd in documenten over een bestuurlijke aangelegenheid in beginsel verstrekt moet worden. Daarom is ten eerste van belang of sms- en WhatsApp-berichten een ‘document’ in de zin van artikel 1, aanhef en onder a, van de Wob zijn. Nadat eerder de rechtbank Midden-Nederland oordeelde van wel, volgt hierover eenzelfde rechtsoordeel van de Afdeling.

Het verweer van de minister die de tekstberichten gezien de informele aard en de vluchtigheid het meest te vergelijken vindt met (telefoon)gesprekken, waardoor deze volgens hem niet als ‘document’ kunnen worden aangemerkt, wordt verworpen.

Zowel de rechtbank als de Afdeling oordelen dat er geen reden is om sms- en WhatsApp-berichten categorisch uit te sluiten van de Wob. Daarbij verwijzen beide instanties naar de parlementaire geschiedenis waaruit volgt dat het begrip ‘document’ ruim dient te worden geïnterpreteerd. Het argument van de minister dat deze opvatting de bestuurspraktijk te veel belemmert maakt dit niet anders.

Conclusie is dat sms- en WhatsApp-berichten documenten zijn in de zin van de Wob.

Met de conclusie dat de tekstberichten een ‘document’ in de zin van de Wob zijn, is nog niet alles gezegd. Een tweede voorwaarde om te concluderen dat de Wob op deze berichten van toepassing is, is dat deze berichten ‘berusten onder het bestuursorgaan’.

Het criterium dat de Afdeling hiervoor hanteert, is of de inhoud van de berichten een bestuurlijke aangelegenheid betreft en of de berichten bestemd zijn voor het bestuursorgaan. Volgens de Afdeling is het dus niet van belang op welke wijze en waar een bericht is opgeslagen. Met een andere opvatting zou de Wob gemakkelijk kunnen worden omzeild, namelijk door bestuurlijke informatie op privé gegevensdragers te zetten. De Afdeling ziet derhalve geen reden om onderscheid te maken tussen sms- en WhatsApp-berichten op zakelijke en op privé-telefoons; de berichten vallen onder het bereik van de Wob.

Een bestuursorgaan kan dus niet ontkomen aan een Wob-verzoek door de correspondentie via een zakelijke dan wel privé-telefoon te laten lopen, nu de Afdeling heeft geoordeeld dat de Wob ook hierop van toepassing is. Bestuursorganen zullen daarom bij Wob-verzoeken moeten nagaan of er relevante sms- of WhatsApp-berichten zijn.

Dit betekent uiteraard niet dat bestuursorganen bij een Wob-verzoek alle sms- en WhatsApp-berichten altijd openbaar moet maken. De Wob kent immers een eigen afwegingskader waaruit volgt in welke gevallen de informatie niet openbaar gemaakt wordt. Denk daarbij aan sms-berichten met persoonlijke beleidsopvattingen. Die hoeven op grond van de Wob niet openbaar te worden gemaakt.

Om op de hoogte te kunnen zijn van berichtenverkeer via telefoons ten aanzien van bepaalde zaken, is het van belang om duidelijke interne afspraken te maken over de omgang met een telefoon voor zakelijk of privé gebruik.

Bestuursorganen moeten een keuze maken met betrekking tot communicatie via telefoons, zowel zakelijk als privé. Als ambtenaren niet over bestuurlijke aangelegenheden mogen sms-en of appen, dan zal dit duidelijk moeten zijn voor de ambtenaren. Als het wel gewenst is om via tekstberichten op telefoons te communiceren zal het bestuursorgaan hieraan regels moeten verbinden.

Mogelijk bestaan er binnen het bestuursorgaan al afspraken en/of regels die betrekking hebben op telefonisch berichtenverkeer. Denk bijvoorbeeld aan een bring your own device reglement (BYOD-reglement), afspraken in de gebruikersovereenkomst van een zakelijke telefoon of een gedragscode. Of, zoals de Afdeling suggereert, kunnen dergelijke afspraken worden vastgelegd in een werkprotocol. Als een dergelijke regeling bestaat is het verstandig om na te kijken wat daar precies in staat en of dat voldoende is om inzicht te kunnen krijgen in relevant berichtenverkeer van ambtenaren op hun (privé)telefoon.

Als deze afspraken er nog niet zijn, of de afspraken bieden nog onvoldoende ruimte om aan de uitspraak te kunnen voldoen, moet het bestuursorgaan aanvullende afspraken maken met ambtenaren. Bij het opstellen daarvan moet het bestuursorgaan uiteraard rekening houden met andere van toepassing zijnde regelgeving. Afhankelijk van de afspraken die het bestuursorgaan wil opstellen moeten de relevante medezeggenschapsraden hierin worden betrokken, zoals de ondernemingsraad (OR) of het georganiseerd overleg (GO).

Op het moment dat het bestuursorgaan berichtenverkeer van een ambtenaar ontvangt verwerkt zij persoonsgegevens. Dat betekent dat de regels van de Algemene Verordening Gegevensbescherming (AVG) en de Uitvoeringswet AVG (UAVG) hierop van toepassing zijn.

Voorbeelden van verwerkingen die in dit kader zouden kunnen plaatsvinden:

Het bestuursorgaan moet ervoor zorgen dat deze verwerkingen voldoen aan de basisbeginselen uit de AVG. Dit betekent onder meer dat het bestuursorgaan de doeleinden voor deze verwerkingen moet bepalen en deze moet vastleggen in het verwerkingsregister. Een doel is bijvoorbeeld: ‘om te kunnen voldoen aan Wob-verzoeken’.

Ook moeten ambtenaren over de verwerking worden geïnformeerd, bijvoorbeeld in de interne privacyverklaring. Indien het bestuursorgaan bij een Wob-verzoek tot de conclusie komt dat berichtenverkeer openbaar moet worden gemaakt, moet zij afwegen welke persoonsgegevens zij moet publiceren. Als het bijvoorbeeld niet noodzakelijk is om daarbij de naam van de betreffende ambtenaar te vermelden, dan moet publicatie van die naam achterwege blijven.

Om na te gaan of de gemaakte afspraken met de ambtenaren worden nageleefd kan het nodig zijn om het berichtenverkeer op de telefoons te controleren. Voor controles van werknemers gelden onder de AVG strikte voorwaarden. Zo zal onder meer een data protection impact assessment (gegevensbeschermingseffectbeoordeling of DPIA) vereist zijn. “Controle van werknemers” komt namelijk voor in de lijst van verwerkingen waarvoor een DPIA verplicht is van de Autoriteit Persoonsgegevens.

Een DPIA is een risicobeoordeling naar de impact op de privacy van de ambtenaren bij dergelijke controles. Zie over de mogelijkheden en eisen bij het controleren van werknemers de blogpost van onze collega Chantal Grouls.

De praktische betekenis van de uitspraak van de Afdeling is dus:

Heeft u vragen naar aanleiding van deze blog of wilt u juridisch advies met betrekking tot het beoordelen of opstellen van de benodigde afspraken? Neem dan contact op.