Vernietigen

Een betrouwbaar register verwijdert in beginsel niets: het gevolgenjournaal en de projecties zijn append-only, en ook wat onjuist bleek, blijft als onttrokken bewering bewaard. Toch zijn er situaties waarin een bewering niet langer mag bestaan. Dit onderdeel beschrijft hoe het register daarmee omgaat zonder zijn verantwoordingsplicht op te geven.

Blijvend ontoegankelijk maken

De functie Blijvend ontoegankelijk maken maakt een bewering blijvend ontoegankelijk, zodat de inhoud niet gereconstrueerd kan worden. Dat geldt voor gevolgen en voor projectie-elementen. Wat overblijft, is een merkteken: een markering die getuigt van het bestaan van een bewering, zonder iets te vertellen over de inhoud daarvan.

Het merkteken houdt het register ook na vernietiging begrijpelijk. Een journaal waaruit stilzwijgend iets kan verdwijnen, is niet te verantwoorden. Door een markering achter te laten, blijft zichtbaar dat er iets was, zonder prijs te geven wat.

Omdat de inhoud niet gereconstrueerd mag kunnen worden, kan vernietiging niet beperkt blijven tot één bewering. Projectie-elementen zijn afgeleid van gevolgen en bevatten dus (een deel van) dezelfde inhoud. Wordt een gevolg blijvend ontoegankelijk gemaakt, dan geldt dat ook voor de projectie-elementen die eruit zijn afgeleid, en moet worden voorkomen dat die inhoud opnieuw ontstaat wanneer gevolgen later opnieuw worden verwerkt.

Vernietigen en onttrekken

Vernietigen en onttrekken lijken op elkaar, omdat in beide gevallen een bewering uit het normale verkeer verdwijnt. Ze verschillen in grond en gevolg:

	Onttrekken	Vernietigen
Vraag	Is de bewering juist?	Mag de bewering nog bestaan?
Vastlegging	Een nieuw gevolg met een onttrekking als gevolgdeel	De bewering wordt blijvend ontoegankelijk gemaakt
Inhoud	Blijft bewaard en is beschikbaar voor wie wil weten wat het register ooit onderschreef	Is niet meer te reconstrueren; alleen een merkteken blijft over
Herhaalbare vraag	Blijft beantwoordbaar	Vervalt voor de vernietigde bewering

Een bewering die het register heeft onttrokken, kan later alsnog worden vernietigd, bijvoorbeeld als de bewaartermijn verstrijkt.

Grondslagen voor vernietigen

Aan Blijvend ontoegankelijk maken zijn twee capabilities verbonden. Ze vereisen een vergelijkbare handeling, met verschillende grondslagen.

Vernietigen is het vermogen vernietigingshandelingen uit te voeren conform archiefwettelijke eisen. De archiefwettelijke bewaartermijn voor een bewering verstrijkt, en vernietiging volgt uit het register zelf.

Vergeten is het vermogen gegevens te wissen conform het recht op vergetelheid uit de Algemene Verordening Gegevensbescherming. Hier komt de aanleiding van buiten, van een betrokkene die verzoekt een feitelijk juiste bewering te laten verwijderen, en gaat er een afweging aan vooraf.

Open vraag: ethische of maatschappelijke overwegingen

Een eerdere versie van de handreiking noemde nog een derde aanleiding om een feitelijk juiste bewering niet langer te behouden: een ethische of maatschappelijke overweging. Het model kent daarvoor geen eigen capability. Of zo'n overweging onder Vernietigen of Vergeten valt, een eigen grondslag vraagt, of eerder een vorm van onttrekking is, is nog niet beslist.

Verantwoording van vernietiging

Ook vernietiging is een handeling waarover het register verantwoording aflegt. Het merkteken getuigt van het bestaan van de vernietigde bewering; wanneer, op welke grondslag en door wie de vernietiging is uitgevoerd, hoort bij de herkomst van die handeling. Hoe die verantwoording wordt vastgelegd zonder de vernietigde inhoud prijs te geven, is in de voorbeelden nog niet uitgewerkt.

Verstrekkingen die het register vóór de vernietiging heeft gedaan, vallen buiten zijn bereik: ze bevinden zich bij afnemers. Het register kan een eerdere verstrekking van een vernietigde bewering niet meer herleveren.