De bewaarplicht is een feit: wat nu?

• Door
• Vraag het Mr. Ras
• geplaatst op
• 25 september 2009 08:03 uur

Sinds 1 september 2009 is de Wet bewaarplicht telecommunicatiegegevens van kracht geworden en opgenomen in de Telecommunicatiewet en het Wetboek van strafvordering. Hoewel velen – onzes inziens terecht – menen dat deze wet nooit goedgekeurd had mogen worden, dient er nu wel uitvoering aan te worden gegeven.

Het Agentschap Telecom is belast met het toezicht op die uitvoering en is nu bezig een zogenoemde ‘nulmeting’ te houden. Alle bedrijven die ingeschreven staan in het register van de OPTA krijgen een brief (of hebben die al gekregen) met daarin enige uitleg en vooral een uitvoerige vragenlijst die door hen moet worden ingevuld. Als u zich als telecommunicatiedienstverlener afvraagt waarom u juist wel of juist niet bericht hebt gehad van het Agentschap Telecom en wat u met de vragen zult moeten doen, lees dan dit artikel.

Als eerste is van belang om te weten dat u verplicht bent op de brief te antwoorden, maar er weliswaar wat de inhoud van uw reactie betreft geen eisen bestaan. Dit betekent dat u ook gewoon kunt antwoorden dat u meent dat de bewaarplicht niet op u van toepassing is en het daarbij kunt laten. Pas nadat het Agentschap alle reacties heeft ontvangen en geanalyseerd, zal er mogelijk met u een afspraak worden gemaakt voor een nader gesprek en wellicht een bezoek over de vraag of u inderdaad niet onder de wetgeving valt. Voordat dat zover is, zullen er al maanden zijn verstreken. Indien u het (te) bezwarend vindt om inhoudelijk op de brief te antwoorden, kunt u dus volstaan met het antwoord dat u meent geen aanbieder van een openbare telecommunicatiedienst te zijn en de bewaarplicht en de nulmeting dus niet op u van toepassing zijn.

Daarbij is goed om te realiseren dat op basis van de Europese en Nederlandse wettelijke definities, die licht afwijken, op dit moment ook bij de bevoegde autoriteiten nog geen volledige zekerheid bestaat over wie er nu precies wel en niet onder de bewaarplicht vallen. Deze definitieproblematiek vormt waarschijnlijk één van de redenen om überhaupt tot een nulmeting over te gaan (het verdient daarbij opmerking dat het op zijn zachtst gezegd nogal klungelig is van de wetgever om eerst een wet te maken en vervolgens erachter te komen dat men zelf niet weet wat die wet nu precies betekent).

De kans dat u de vragenlijst heeft ontvangen maar er weinig mee hoeft te doen, is overigens zeer reëel. Aan alle bedrijven die bij OPTA geregistreerd staan, is een lijst gestuurd, terwijl naar schatting maar de helft daarvan daadwerkelijk onder de bewaarplicht zal vallen. Dit komt omdat de lijst van de OPTA in ieder geval voor wat de bewaarplicht betreft, ernstig is vervuild. Zelfs het telefoonboek staat bijvoorbeeld in het register en bedrijven die alleen maar kabelgoten graven ook. Die vallen vanzelfsprekend niet onder de bewaarplicht.

De vragenlijst kunt u dan ook zien als een middel voor de overheid om zelf wat meer inzicht in de situatie te krijgen en vormt niet direct een controle op uw dienstverlening (nogmaals: dit had gewoon vóór de goedkeuring van de wet moeten gebeuren, het is een aanfluiting dat dit niet is gebeurd). Dus mocht u zich afvragen wat u in vredesnaam moet invullen bij de vraag of u groot, middelgroot of klein bent en op basis waarvan dan wel: verzin vooral zelf iets, daar is men namelijk eigenlijk op uit.

Hoewel u bij het invullen van de vragen dus veel vrijheid heeft om daar zelf een interpretatie aan te geven en de definities zoals gezegd niet geheel vastliggen, is het wel goed om zelf ook inzicht te vergaren in de toepasselijkheid van de bewaarplicht op u en de verplichtingen die daarbij concreet zullen gelden. Hierbij enige informatie om u dat inzicht te verschaffen.

1. De kern is of u een openbare telecommunicatiedienst aanbiedt. De elementen ‘openbaar’ en ‘telecommunicatiedienst’ zijn gescheiden begrippen en betekenen het volgende:
   a. Het element ‘openbaar’ (zie met name de Surfnet-uitspraak) betekent dat het aanbod moet gelden voor iedereen die daar gebruik van wil maken en dat niet slechts een bepaalde categorie personen of bedrijven klant kan worden.
   b. Het element ‘telecommunicatiedienst’ ziet op de vraag of u degene bent die de routering regelt bij de overdracht van elektronische signalen. Hoewel de precieze betekenis hiervan zoals gezegd aan discussie onderhevig is, zijn enkele vuistregels te geven:
   i. bedrijven die zelf vaste en/of mobiele telefonie aanbieden, zijn aanbieders van telecommunicatiediensten.
   ii. Bedrijven die internettoegang aanbieden, zijn ook aanbieders van telecommunicatiediensten, mits zij de routering ook zelf voor hun rekening nemen.
   iii. Een café die Wifi aanbiedt aan klanten, doet dat normaal gesproken niet en is geen telecommunicatiedienst.
   iv. Hostingbedrijven die opslag, rekenkracht en/of software aanbieden en daarbij gebruikmaken van de internetconnectie die zij zelf (bijvoorbeeld bij KPN) inkopen, voeren ook de routering niet zelf uit en zijn ook geen telecommunicatiedienst.
   v. Datacenters die echt een eigen internetverbinding aanbieden (bijvoorbeeld ten behoeve van colocated hosting), doen de routering zelf en zijn wel telecommunicatiediensten.
   vi. Als u dus zelf ADSL- of kabellijnen beheert en daarover internettoegang aanbiedt (of u de lijnen zelf nu huurt of in eigendom heeft), bent u een telecommunicatiedienst en valt u onder de bewaarplicht.
2. Ook over de exact te bewaren gegevens is men nog niet geheel uit. Wederom is wel een vuistregel te geven, namelijk u moet klantgegevens hebben en digitale gegevens die automatisch in uw systemen ontstaan bij het leveren van de telecomdiensten. Die gegevens bent u geacht te bewaren. U hoeft in principe geen gegevens te bewaren die u niet zelf al genereerde, of infrastructuur aan te leggen voor het genereren van nieuwe gegevens.
3. Op de beveiliging en uiteindelijk ook vernietiging van de gegevens wordt toezicht uitgeoefend door het Agentschap Telecom. Aanbieders die onder de bewaarplicht vallen, dienen op grond van het Besluit beveiliging gegevens telecommunicatie (Bbgt), een beveiligingsplan te maken, dat zal worden gecontroleerd door het Agentschap Telecom. Ten behoeve van die beveiliging stelt het Agentschap bijvoorbeeld bepaalde eisen ten aanzien van uw personeel en de fysieke beveiliging van de computerapparatuur en de omgeving. Er wordt een minimumniveau vastgesteld waaraan u zult moeten voldoen, maar hoe u daaraan wilt voldoen is aan u. Ook het verwijderen van de gegevens zal worden gecontroleerd en moet uiterlijk 8 dagen na het verstrijken van de bewaartermijn zijn geschied; waarschijnlijk zal er een technische oplossing worden gevonden om dat snel en gemakkelijk mogelijk te maken voor iedere aanbieder. Zie voor meer informatie over de beveiliging de checklist van het Agentschap. Zie ook de site van het Agentschap voor meer algemene informatie over de bewaarplicht.

Zoals bekend zal zijn, is over de legitimiteit en gerechtvaardigdheid van de bewaarplicht nogal wat te doen geweest. Met name de senaat is (gelukkig) erg kritisch geweest, maar is om politieke redenen toch akkoord gegaan met het wetsvoorstel. Deze nulmeting heeft zoals gezegd een enigszins oriënterend karakter en mochten daarbij grote economische dan wel principiële bezwaren (nog duidelijker dan al het geval was) aan het licht komen, dan zouden deze een belangrijke rol kunnen vervullen in de verdere discussie over of er überhaupt zoiets moet bestaan als een bewaarplicht en hoe er aan de bezwaren tegemoet kan worden gekomen. Mocht u dus economische en/of principiële bezwaren hebben tegen de bewaarplicht en de nulmeting hebben ontvangen, laat die bezwaren dan vooral doorschemeren in de beantwoording van de vragen van de nulmeting. Voor meer informatie kunt u ook contact met ICTRecht opnemen via [email protected] of 0251-501000.