Veel data van ondernemingen is digitaal. Het gaat bijvoorbeeld om informatie op interne servers, laptops, telefoons, e-mailboxen, cloud-omgevingen etc. Overheidsinstanties willen bij bedrijfsinval daarom vooral digitale data inzien en kopiëren. Dat gebruiken zij vervolgens voor het onderzoek. De overheidsinstantie is in beginsel bevoegd om digitale data in te zien en te kopiëren. Er mag geen data worden gewist. Het hangt ervan af of de overheidsinstantie zelf mag doorzoeken of dat de overheidsinstantie afhankelijk is van de medewerking van de onderneming. Zie nader Laten doorzoeken of meewerken.
Strafrechtelijk instantie
- Strafrechtelijke instanties mogen tijdens een inval daadwerkelijk zelf doorzoeken. Dat zijn onder meer: een rechter-commissaris, het OM, de FIOD en de politie. Zij kunnen alle datadragers in beslag nemen, inzien of kopiëren.
- In het strafrecht wordt digitale data veelal verzameld doordat een volledige kopie wordt gemaakt van de gegevensdrager, cloud-omgeving, e-mailbox etc.
- De onderneming moet dat toestaan, maar hoeft daar niet aan mee te werken en hoeft ook geen toestemming te verlenen.
- Als de stafrechtelijke instantie vraagt waar data kan worden gevonden of om wachtwoorden, hoeft de onderneming geen antwoord te geven. Wel kan dat ertoe leiden dat de strafrechtelijke instantie meer ruimtes/digitale omgevingen zelf doorzoekt, digitale gegevensdragers in beslag neemt/kopieert en dat het daardoor langer duurt. Stem af met de advocaat of dat een reden is om mee te werken.
- Informatie-uitwisseling tussen de onderneming en haar advocaat valt onder het verschoningsrecht van de advocaat. Ook wel: legal privilege. Dat mag de strafrechtelijke instantie niet inzien of kopiëren. Het is belangrijk daarop te wijzen en bezwaar te maken dat die informatie wordt doorzocht. Zie Legal privilege.
Bestuursrechtelijke instantie
- Als een bestuursrechtelijke toezichthouder is binnengevallen, moet in beginsel worden meegewerkt aan vragen van die toezichthouder.
- Meewerken: De medewerkingsplicht houdt bij digitale data in dat: (i) medewerkers een instructie moeten krijgen dat ze geen gegevens mogen wissen; (ii) laptops en telefoons ter beschikking moeten worden gesteld; (iii) wachtwoorden moeten wor-den verstrekt; (iv) de ICT-afdeling van de onderneming moet ondersteunen bij de verstrekking van digitale data en het registreren van welke digitale data precies is ingezien en gekopieerd.
- Grenzen: De bevoegdheid om digitale data in te zien en te kopiëren wordt begrensd door het doel van het onderzoek Out of Scope, het verschoningsrecht en het privédomein.
- Verschoningsrecht: Informatie-uitwisseling tussen de onderneming en haar advocaat valt onder het verschoningsrecht van de advocaat. Ook wel: legal privilege. Dat mag de overheidsinstantie niet inzien of kopiëren. Het is belangrijk de bestuursrechtelijke toezichthouder daarop te wijzen en bezwaar te maken tegen verstrekking van die informatie. Zie Legal privilege.
- Doel van het onderzoek: Data die wordt ingezien en gekopieerd, moet binnen de doelomschrijving van het onderzoek blijven. Het doel van het onderzoek, moet blijken uit een brief die de overheidsinstantie bij aanvang van de bedrijfsinval heeft verstrekt. Bijvoorbeeld: als de doelomschrijving alleen ziet op de verkoop van een bepaald product, mag de toezichthouder in beginsel geen (digitale) data inzien van een medewerker die zich bezighoudt met de inkoop van een heel ander product. Zie Out of Scope.
- Privé: Privéinformatie mag de overheidsinstantie niet inzien of kopiëren. Wel mag de overheidsinstantie digitale data van een privételefoon of -laptop halen voor zover die wordt gebruikt voor werkdoeleinden.
- Praktisch: De verstrekking van digitale data gaat als volgt. De overheidsinstantie selecteert data op basis van zoekcriteria zoals zoektermen, onderwerpen, betrokken personen en/of een tijdvak. Dan wordt of (1) de data die binnen de selectiecriteria valt direct ter plaatse bekeken en alleen relevante data wordt gekopieerd of (2) alle data die binnen de selectiecriteria valt, wordt ook gekopieerd en pas later nader bekeken.
– Als de data ter plaatse wordt bekeken, mogen de onderneming en haar advocaat meekijken. Dan kan de onderneming controleren wat de over-heidsinstantie inziet en kopieert. Dan kan direct bezwaar worden ge-maakt als (1) de data buiten het doel van het onderzoek valt, (2) het ver-schoningsrecht geldt (legal privilege) en/of (3) het privédata betreft. De data die de overheidsinstantie dan uiteindelijk kopieert, gebruikt de overheidsinstantie vervolgens voor het onderzoek.
– Als alle data binnen de selectiecriteria wordt gekopieerd zonder inzage ter plekke, bestaat de kans dat daar data onder valt die de overheidsinstantie niet mag meenemen. Omdat: (1) die buiten het doel van het onderzoek valt, (2) onder het verschoningsrecht valt of (3) privé is. Als dat zo is, maak daartegen direct bezwaar. Dat geldt in het bijzonder voor verschoningsgerechtigde data: juridisch mag de overheidsinstantie die niet inzien en kopiëren. Als de overheidsinstantie het bezwaar verwerpt, kan de onderneming mededelen dat zij later nog opgeeft welke data de overheidsinstantie niet had mogen inzien/kopiëren. Na de bedrijfsinval volgt dan nog een fase waarin wordt gecorrespondeerd over welke data de overheidsinstantie wel/niet mag gebruiken. - Het is raadzaam zo precies mogelijk op te schrijven: (1) de gebruikte selectiecriteria, (2) welke data wordt ingezien/gekopieerd, (3) waartegen de onderneming bezwaar maakt, (4) wat de overheidsinstantie met het bezwaar heeft gedaan, (5) welke afspraken wor-den gemaakt met de overheidsinstantie.
