Issuu

Uitspraak beroepsinstantie OVB/2020/005

Vlaamse overheid Beroepsinstantie inzake openbaarheid van bestuur en hergebruik van overheidsinformatie Afdeling openbaarheid van bestuur Havenlaan 88, bus 20 1000 BRUSSEL T : 02 553 57 25 Mail: openbaarheid@vlaanderen.be Dossiernummer: OVB/2020/005

DE BEROEPSINSTANTIE - Afdeling openbaarheid van bestuur Bevoegdheid beroepsinstantie Bestuursdecreet van 7 december 2018, titel II, hoofdstuk 3, afdeling 6. Besluit van de Vlaamse Regering van 19 juli 2007 tot oprichting van de beroepsinstantie inzake openbaarheid van bestuur en hergebruik van overheidsinformatie. Voorafgaande procedure Op 21 december 2019 diende xxx, een verzoek in bij de stad Mechelen tot het verkrijgen van een afschrift van “het bestuursdocument waarin de risico’s, meldingen en incidenten beschreven staan mbt

informatieveiligheid. In het jaarverslag informatieverslag wordt hiernaar verwezen onder punt 16 met ‘mondelinge toelichting’”:

Op 23 december 2019 deelde de stad Mechelen aan xxx mee dat dit document niet bestaat. Vervolgens diende xxx op 2 januari 2020 tegen die beslissing beroep in bij de beroepsinstantie. Dit beroep werd geregistreerd op 6 januari 2020. Ontvankelijkheid van het beroep Het oorspronkelijke verzoek tot openbaarmaking dateert van 21 december 2019. De in beroep aangevochten beslissing van de stad Mechelen d.d. 23 december 2019 maakt geen melding van de beroepsmogelijkheden en -modaliteiten, zoals voorgeschreven in artikel II.43, §1, derde lid van het Bestuursdecreet zodat de beroepstermijn pas aanvangt vier maanden na kennisgeving van de beslissing.

www.vlaanderen.be

Het ingediende beroep van 2 januari 2020 is ingesteld binnen de decretaal voorgeschreven termijn, conform artikel II.48, §1, derde lid van het Bestuursdecreet en is bijgevolg ontvankelijk. Gegrondheid van het beroep Overeenkomstig artikel II.31, eerste lid Bestuursdecreet heeft het recht op passieve openbaarheid betrekking op bestuursdocumenten. Op grond van deze bepaling is elke instantie in principe verplicht aan eenieder die erom verzoekt inzage te geven in, uitleg te verschaffen over of een afschrift te bezorgen van de gewenste bestuursdocumenten. De openbaarmaking kan slechts geweigerd worden mits toepassing wordt gemaakt van één of meerdere uitzonderingen, zoals gestipuleerd in de artikelen II.33 tot en met II.39 van voormeld decreet.

Bestreden beslissing

Op 23 december 2019 stelde de stad Mechelen beroeper ervan in kennis dat het bestuursdocument waarin de risico’s, meldingen en incidenten beschreven staan met betrekking tot informatieveiligheid, waarnaar in het jaarverslag informatieveiligheid wordt verwezen onder punt 16 met ‘mondelinge toelichting’ en waarvan hij afschrift vroeg, niet bestaat.

2. Inhoud van het beroepschrift Beroeper verklaart in zijn beroepschrift van 2 januari 2020 volgende kanttekeningen te willen plaatsen bij die bewering: •

•

“Het feit dat er geen dergelijk bestuursdocument zou bestaan (namelijk waarin de risico’s, meldingen en incidenten omtrent de informatieveiligheid van de stad en het Sociaal Huis Mechelen worden beschreven), zou met andere woorden betekenen dat de stad de risico’s, meldingen en incidenten omtrent informatieveiligheid en gegevensbescherming ten aanzien van de stad en het sociaal huis voor het ganse jaar 2018 via geen enkel bestuursdocument zou hebben bijgehouden. Dat lijkt ons weinig geloofwaardig. We vragen ons oprecht af hoe het praktisch mogelijk is om de risico’s, meldingen en incidenten omtrent informatieveiligheid van een voorbij jaar mondeling toe te lichten zonder dat dit op enigerlei wijze ergens beschreven staan. Volgens de Algemene Verordening Gegevensbescherming (AVG) dient de verwerkingsverantwoordelijke (zijnde de stad Mechelen en het Sociaal Huis) passende technische en organisatorische maatregelen te treffen om te waarborgen en te kunnen aantonen dat de verwerking in overeenstemming met deze verordening wordt uitgevoerd. Daarbij dient zij o.a. rekening te houden met de qua waarschijnlijkheid en ernst uiteenlopende risico’s voor de rechten en vrijheden van natuurlijke personen. Dat er bijgevolg geen document bestaat waarin de risico’s, meldingen en incidenten hieromtrent beschreven staan, lijkt ons moeilijk in overeenstemming te brengen met de verplichtingen die de AVG opleggen aan de verwerkingsverantwoordelijke. We willen er ook op wijzen dat er in het voorgaande jaarverslag van 2017 wel nog heel wat risico’s en incidenten werden beschreven. Opmerkelijk genoeg gebeurde dat dus niet in het daaropvolgende

//////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////// // https://www.vlaanderen.be/openbaarheid-van-bestuur

uitspraak beroepsinstantie OVB/2020/005

pagina 2 van 4

•

jaarverslag van 2018; en blijkt er na onze vraag dus ook geen bestuursdocument over te bestaan. Dat lijkt ons hoogst ongebruikelijk. We kunnen één en ander niet los zien van een eerder beroep (referentie: OVB/2018/273) ten aanzien van onleesbaar gemaakte passages uit het vorige jaarverslag, namelijk dat van 2017. Toen stelde de beroepsinstantie dat bij enkele van de onleesbaar gemaakte passages dit ten onrechte was gebeurd. De beroepsinstantie wees onder meer op het algemeen belang om te weten in hoeverre de stad Mechelen kwetsbaar is voor hacking en het openbaar maken van vertrouwelijke informatie, en hoe het risico hiervoor zo effectief mogelijk beheerst en beperkt kan worden; dat een openbaar debat hierover op basis van de relevante gegevens, waaronder de door de informatieveiligheidsconsulent gedane meldingen, uiteindelijk kan leiden tot meer bescherming op het vlak van informatieveiligheid van de stad. Het feit dat er het jaar daarop (in 2018) plotsklaps geen enkel bestuursdocument bestaat over de risico’s, meldingen en incidenten tijdens het jaar 2018 lijkt ons niet ernstig. Doordat de stad geen inzage geeft in de risico’s, meldingen en incidenten van het jaar 2018 is het voor burgers bovendien erg moeilijk om de progressie inzake de informatieveiligheid van de stad en het sociaal huis, ten opzichte van het jaar 2017 (waarvoor de risico’s, meldingen en incidenten wel gedeeltelijk werden vrijgegeven dankzij de eerder genoemde uitspraak van de beroepsinstantie), correct in te schatten. We merken ook op dat de stad in haar beleidsnota over het informatieveiligheidsbeleid dat eind maart 2018 ter goedkeuring aan de gemeenteraad werd voorgelegd expliciet stelt dat de aanpak van informatieveiligheidsbeleid 'risk based' is. Deze stelling lijkt ons niet in overeenstemming met het feit dat er geen bestuursdocument bestaat met de risico's, meldingen en incidenten uit 2018. (Deze nota vermeldt bijvoorbeeld het gebruik van een incidentenregister - q.e.d.: https://www.mechelen.be/uittreksel-gr-27-03-2018---punt-9) We merken ook op dat de stad in haar antwoord niet aangaf op welke wijze een beroep moet worden ingediend.” 3. Toelichting door de stad Mechelen

De beroepsinstantie nam op 6 januari 2020 contact op met de stad Mechelen om met kennis van zaken het ingestelde beroep te kunnen beoordelen. Per e-mail van 13 januari 2020 herhaalde de stad Mechelen dat er geen document ter beschikking is met betrekking tot meldingen, risico’s en incidenten voor het jaar 2018, waarnaar verwezen wordt onder punt 16 van het jaarverslag informatieveiligheid 2018. De stad liet weten dat er uiteraard incidenten worden geregistreerd, maar dat er geen afzonderlijk document werd gemaakt voor het jaarverslag. Op 14 januari 2020 bezorgde de stad Mechelen het betreffende jaarverslag aan de beroepsinstantie.

4. Standpunt van de beroepsinstantie De beroepsinstantie stelt vast dat beroeper met zijn oorspronkelijk verzoek doelt op een document waarvan hij veronderstelt dat het zou zijn opgemaakt in het kader van het Jaarverslag 2018 Informatieveiligheid & Gegevensbescherming Stad & Sociaal Huis Mechelen, meer bepaald punt 16 ‘risico’s, meldingen en incidenten’. Beroeper wenste een afschrift van het bestuursdocument op basis waarvan punt 16 uit dit

uitspraak beroepsinstantie OVB/2020/005

pagina 3 van 4

jaarverslag mondeling werd toegelicht en waarnaar in dit verslag ook zou worden verwezen. Nu blijkt dat de stad Mechelen heeft gesteld dat dit document niet bestaat, betoogt beroeper in zijn beroepschrift dat het betreffende bestuursdocument volgens hem, om de betreffende mondelinge toelichting überhaupt te kunnen geven, noodzakelijk voorhanden zou moeten zijn geweest. Hij merkt eveneens op dat de afwezigheid van zo een document dan in principe zou moeten betekenen dat de stad Mechelen voor het gehele jaar 2018 geen enkel bestuursdocument zou hebben bijgehouden inzake risico’s, meldingen en incidenten omtrent informatieveiligheid en gegevensbescherming. In artikel I.4, 3° Bestuursdecreet wordt de term “bestuursdocumenten” gedefinieerd als: “alle informatie, ongeacht de drager ervan, die in het bezit is van een overheidsinstantie”. De stad Mechelen heeft aan de beroepsinstantie bevestigd dat het document waarvan afschrift werd gevraagd niet bestaat en bijgevolg dus ook niet in haar bezit is. Het komt niet aan de beroepsinstantie toe om betwistingen in verband met het al dan niet bestaan van een bestuursdocument te beoordelen. De beroepsinstantie gaat ervan uit dat de informatie die zij van de stad Mechelen ontving volledig en correct is. In tegenstelling tot wat beroeper aangeeft, heeft de beroepsinstantie bovendien ook nog kunnen vaststellen dat er onder punt 16 van het betreffende jaarverslag niet naar het door hem bedoelde bestuursdocument wordt verwezen. Het beroepschrift wordt als ongegrond beschouwd. Na beraadslaging,

BESLUIT: Het beroepschrift van xxx d.d. 2 januari 2020 tegen de weigeringsbeslissing van de stad Mechelen wordt als ontvankelijk en ongegrond beschouwd Brussel, 22 januari 2020 Voor de beroepsinstantie, afdeling openbaarheid van bestuur, Bruno ASSCHERICKX Voorzitter

uitspraak beroepsinstantie OVB/2020/005

pagina 4 van 4