image

Wanneer heeft een digitaal bericht dezelfde juridische waarborgen als aangetekende post?

woensdag 28 september 2022, 11:32 door Arnoud Engelfriet, 12 reacties
Laatst bijgewerkt: 29-09-2022, 12:26

Heb jij een interessante vraag op het snijvlak van privacy, cybersecurity en recht? Stuur je vraag naar juridischevraag@security.nl. Elke week geeft ict-jurist Arnoud Engelfriet in deze rubriek antwoord.

Juridische vraag: Digitale berichten die de overheid naar de berichtenbox van burgers met een MijnOverheid-account stuurt hebben dezelfde waarborgen als aangetekende fysieke post, zo stelt minister Bruins Slot van Binnenlandse Zaken. Dat las ik bij Security.nl onlangs. Maar hoe zit dat nu precies juridisch?

Antwoord: De brief van de minister is een reactie op een discussie over de status van digitale boodschappen in uw Mijn Overheid-berichtenbox tijdens het plenaire debat over de Wet modernisering elektronisch bestuurlijk verkeer. Deze zal in 2023 in werking treden en het onder meer mogelijk maken dat je digitaal berichten naar de overheid stuurt.

De status van aangetekende post in het recht is vrij hoog: al snel neemt de rechter aan dat post is aangekomen als je een PostNL-ontvangstbevestiging kunt laten zien. Niet altijd, zeker bij “geen gehoor” en geen bewijs van door de bus duwen. Het is dus een fijne procedurele stap die je kunt nemen bij dossieropbouw, je kunt dan in ieder geval het verweer “hebben we nooit gehad” aftikken als er een handtekening van de receptioniste of postkamer ligt dat het is aangenomen. (Dat de envelop wellicht leeg was, heb ik nooit als verweer in een vonnis aangetroffen.)

Bij digitale berichten is de aankomstbevestiging zeer kwetsbaar, er is geen breed gedragen technische standaard en in formele procedures vragen om een mail met ontvangstbevestiging voelt toch niet helemaal wenselijk. Dus het is fijn bevestiging te krijgen dat een bericht in de berichtenbox telt als een aangetekend stuk. Waarbij dan twee situaties gelden: berichten van de overheid, en berichten aan de overheid. Zoals de minister het uitlegt:

Officiële elektronische berichten van de overheid worden doorgaans geplaatst in de berichtenbox van MijnOverheid. Het tijdstip van ‘bezorgen’ wordt daarbij vastgelegd en kan daarmee gemakkelijk worden bewezen. Problemen doen zich voor als iemand te laat in de berichtenbox kijkt en daarmee niet tijdig op het bericht heeft gereageerd. Hierom wordt verplicht om bij het plaatsten van een bericht binnen 48 uur aan de geadresseerde een (eveneens digitale) notificatie te sturen, tenzij deze heeft laten weten geen notificaties te willen ontvangen.

Dit is natuurlijk al de huidige situatie. De logging door het overheidsorgaan is cruciaal, en we vertrouwen erop dat de loggende instantie dat eerlijk doet. (Ik zie bij Security.nl de suggestie dat een slinkse ambtenaar het bericht achteraf kan wijzigen en/of de gelogde gegevens aan kan passen. Dit lijkt me sterk maar ik kan geen informatie vinden over de beveiliging van deze procedures.)

De omgekeerde situatie wordt heel simpel geschetst:

Bij elektronische berichten aan de overheid is voorgeschreven dat het bestuursorgaan de ontvangst van een bericht moet bevestigen.Het wetsvoorstel gaat er van uit dat dit een geautomatiseerde bevestiging is. De ontvangstbevestiging vormt voor de afzender het bewijs dat diens bericht is ontvangen.

Dat is leuk en aardig, maar betekent nu dus dat je toch moet hengelen om een bevestiging per e-mail, en maar moet afwachten wanneer de ontvangende ambtenaar dit gaat doen. Ja, ik heb altijd weinig hoop in autoreplies, helemaal als die enkel zeggen “uw mail is ontvangen” zonder bijvoorbeeld aan te geven of de bijlagen zijn aangekomen.

Het wetsvoorstel regelt het iets uitgebreider, art. 2:13 lid 1 en 2 Awb gaat luiden:

1. Een ieder kan een bericht dat deel uitmaakt van een procedure over een besluit of een klacht of een ander krachtens wettelijk voorschrift voorgeschreven bericht elektronisch aan een bestuursorgaan zenden.

2. Bij wettelijk voorschrift of bij besluit van het bestuursorgaan wordt voor ieder type bericht als bedoeld in het eerste lid, gelet op de aard en de inhoud van het type bericht en het doel waarvoor het wordt gebruikt, een voldoende betrouwbare en vertrouwelijke wijze van verzenden aangewezen.

Het overheidsorgaan moet dus een elektronisch kanaal openstellen voor deze formele communicaties van de burger, en moet zorgen dat dit betrouwbaar en veilig is. Daar hoort dus logging van ontvangst bij. (Voor andere systemen mág het overheidsorgaan iets dergelijks doen, maar dat moet dan apart als keuze gemeld worden, art. 2:14 nieuw.)

Een ontvangstbevestiging wordt apart verplicht gesteld in art. 2:18:

1. Een bestuursorgaan bevestigt de ontvangst van een elektronisch bericht als bedoeld in artikel 2:13, eerste lid, dat is verzonden overeenkomstig het tweede lid van dat artikel en met inachtneming van de nadere eisen, gesteld krachtens het derde lid van dat artikel, tenzij:

1. a.het bestuursorgaan en de verzender gebruikmaken van hetzelfde systeem voor gegevensverwerking en de verzender in dat systeem kan zien dat het bericht voor het bestuursorgaan beschikbaar is; of

2. b.van de verzender geen elektronisch adres beschikbaar is.

2. 2.Indien een bericht als bedoeld in artikel 2:13, eerste lid, aan een bestuursorgaan wordt verzonden door de rechtstreekse invoer van gegevens in een systeem voor gegevensverwerking van het bestuursorgaan, stelt het bestuursorgaan de ingevoerde gegevens aan de verzender ter beschikking op een voldoende betrouwbare en vertrouwelijke manier.

In veel gevallen zal de communicatie verlopen via een berichtenbox. Dan moet het overheidsorgaan een notificatie sturen van de plaatsing (of afkeuring) van het bericht dat de burger uploadde:

In dat geval zal van de in de berichtenbox geplaatste ontvangstbevestiging op grond van het voorgestelde artikel 2:10 een notificatiebericht moeten worden gezonden (zie paragraaf 3.4.3). Een andere mogelijkheid is de bevestiging op het scherm waarin het bestuursorgaan meedeelt dat het bericht is ontvangen. Om de archieffunctie van de ontvangbevestiging te waarborgen, zou in dat geval een te downloaden versie hiervan ter beschikking kunnen worden gesteld.

Die downloadbare bevestiging lost dus het probleem op van de achterdochtige Security.nl reageerder, want als jij een digitaal getekende PDF hebt dat je bericht met inhoud X op datum Y ontvangen is, dan kan geen slinkse ambtenaar daar inhoud X’ van maken of het bericht weghalen.

Arnoud Engelfriet is Ict-jurist, gespecialiseerd in internetrecht waar hij zich al sinds 1993 mee bezighoudt. Hij werkt als partner bij juridisch adviesbureau ICTRecht. Zijn site Ius mentis is één van de meest uitgebreide sites van Nederland over internetrecht, techniek en intellectueel eigendom. Hij schreef twee boeken, De wet op internet en Security: Deskundig en praktisch juridisch advies.

Reacties (12)
28-09-2022, 12:04 door Anoniem
Officiële elektronische berichten van de overheid worden doorgaans geplaatst in de berichtenbox van MijnOverheid. Het tijdstip van ‘bezorgen’ wordt daarbij vastgelegd en kan daarmee gemakkelijk worden bewezen. Problemen doen zich voor als iemand te laat in de berichtenbox kijkt en daarmee niet tijdig op het bericht heeft gereageerd.
Dit kan eenvoudig worden ondervangen door het het "geplaatst in de berichtenbox" als criterium voor het ontvangen te hanteren, maar "heeft het bericht in de berichtenbox gelezen".
Immers zo gaat het ook met aangetekende post: niet het verzenden van de post en het door de postbode langs gaan bij de ontvanger is het criterium voor "is aangetekend verzonden", maar het terug ontvangen van de handtekening voor ontvangst. Die is er pas als er iemand thuis is aangetroffen die getekend heeft.
Het is daarmee krom dat bij een berichtenbox alleen gekeken wordt naar "geplaatst in de berichtenbox" en er dan als "extra service" nog even een notificatie achteraan gaat. Ontvangen is het pas als de ontvanger dat weet en je terug gehoord hebt dat ie dat weet, zoals bij aangetekende post. Notificatiemails kunnen gemakkelijk verloren gaan.
28-09-2022, 12:05 door Anoniem
Dit lijkt me sterk maar ik kan geen informatie vinden over de beveiliging van deze procedures.
Aan procedures hebben we niks. Die zijn boterzacht, zo blijkt elke keer weer. Het moet technisch niet mogelijk zijn, zoals bij een brief. Pas DAN heb je wat.

Je zou dan iets met een hash moeten gaan doen. Dat gaat bij de overheid hoe dan ook niet werken. En bij de gemiddelde burger toch al niet.
28-09-2022, 12:40 door Anoniem
Totdat je
1) e-mail box waar de ‘waarschuwing’ in zou moeten komen vol is of afgesloten door een externe partij
2) enkel met SMS of App (telefoon-Android/iOS lock in) kan inloggen en je geen telefoon hebt
3) de hele werking van dat systeem je boven de pet gaat

In het kader van ‘er zijn ook mensen die meer moeite met digitaal hebben’ zou het goed zijn om parallel een traject te hebben en houden waarbij contact gewoon via een deur en/of persoon gaat. Digitale overheid ontwikkelen is goed maar niet ten koste van een groep die mss moeilijk mee kan komen.
28-09-2022, 12:41 door Anoniem
Door Anoniem:
Dit lijkt me sterk maar ik kan geen informatie vinden over de beveiliging van deze procedures.
Aan procedures hebben we niks. Die zijn boterzacht, zo blijkt elke keer weer. Het moet technisch niet mogelijk zijn, zoals bij een brief. Pas DAN heb je wat.

Je zou dan iets met een hash moeten gaan doen. Dat gaat bij de overheid hoe dan ook niet werken. En bij de gemiddelde burger toch al niet.

Nee maar de gemiddelde burger heeft natuurlijk ook niet het probleem dat zijn berichten (die naar zijn berichtenbox gestuurd zijn) later nog worden aangepast.
Wie garandeert dat de ontvanger van een brief die niet manipuleert (aanpast) en daar dan mee gaat wapperen?
En wat wil je bereiken met het hebben van een brief waarvan de inhoud nu door de overheid bestreden wordt?
Als de overheid wil terugkomen op een eerder genomen beslissing of gedane belofte dan kan dat altijd wel.
28-09-2022, 12:53 door Anoniem
Die berichten box zou dus in een blockchain kunnen. Dwz de identificatie van een bericht + hash + timestamp + status.
Het bericht zelf is dan natuurlijk ook een digitaal ondertekende statische pdf.
28-09-2022, 13:49 door Briolet
…De logging door het overheidsorgaan is cruciaal, en we vertrouwen erop dat de loggende instantie dat eerlijk doet. (Ik zie bij Security.nl de suggestie dat een slinkse ambtenaar het bericht achteraf kan wijzigen en/of de gelogde gegevens aan kan passen. Dit lijkt me sterk maar …i

Maar dit geld natuurlijk ook voor aangetekende post. Daar kan iemand de data in de database ook achteraf nog aanpassen. In beide gevallen moet je er van uitgaan dat dit niet gebeurd. Ik verwacht zelfs dat hierover bij de berichtenbox beter over nagedacht is dan bij de digitale afhandeling van aangetekende post.
28-09-2022, 21:16 door Anoniem
Door Anoniem:
Dit lijkt me sterk maar ik kan geen informatie vinden over de beveiliging van deze procedures.
Aan procedures hebben we niks. Die zijn boterzacht, zo blijkt elke keer weer. Het moet technisch niet mogelijk zijn, zoals bij een brief. Pas DAN heb je wat.

Je zou dan iets met een hash moeten gaan doen. Dat gaat bij de overheid hoe dan ook niet werken. En bij de gemiddelde burger toch al niet.

Als de gemiddelde burger er niet mee kan omgaan dan is dat dus geen bruikbare oplossing.
Dit is net als met het stemproces. Dat moet ook door iedereen doorzien en gecontroleerd kunnen worden.
Niet alleen door een ICT "elite".

Maar ook politici lijken dat nogal eens "actief te vergeten".
28-09-2022, 21:18 door Anoniem
Door Anoniem: Die berichten box zou dus in een blockchain kunnen. Dwz de identificatie van een bericht + hash + timestamp + status.
Het bericht zelf is dan natuurlijk ook een digitaal ondertekende statische pdf.

Want een pdf kan niet gewijzigd worden.

En de gemiddelde burger snapt dit allemaal. :-)
Eerst maar even bijna heel Nederland op cursus sturen.
29-09-2022, 10:33 door Anoniem
Door Anoniem: Totdat je
1) e-mail box waar de ‘waarschuwing’ in zou moeten komen vol is of afgesloten door een externe partij
2) enkel met SMS of App (telefoon-Android/iOS lock in) kan inloggen en je geen telefoon hebt
3) de hele werking van dat systeem je boven de pet gaat

In het kader van ‘er zijn ook mensen die meer moeite met digitaal hebben’ zou het goed zijn om parallel een traject te hebben en houden waarbij contact gewoon via een deur en/of persoon gaat. Digitale overheid ontwikkelen is goed maar niet ten koste van een groep die mss moeilijk mee kan komen.
Totdat je een niet thuis bent door bijvoorbeeld vakanties.
29-09-2022, 15:07 door spatieman
moet je ook maar een computer hebben, en internet.
maar ook nog eens digid neem ik aan.
29-09-2022, 16:26 door Anoniem
Door spatieman: moet je ook maar een computer hebben, en internet.
maar ook nog eens digid neem ik aan.
Ik durf te zeggen dat 95 % van de inwoners in Nederland een computer en internet hebben en + 80 % een digid
29-09-2022, 18:26 door Anoniem
Door Anoniem:
Dit lijkt me sterk maar ik kan geen informatie vinden over de beveiliging van deze procedures.
Aan procedures hebben we niks. Die zijn boterzacht, zo blijkt elke keer weer. Het moet technisch niet mogelijk zijn, zoals bij een brief. Pas DAN heb je wat.
De voorloper van de huidige Berichtenbox draaide bij de RDW. Die had 't ooit opgezet voor de herinneringen van de jaarlijkse APK keuring. De belastingdienst vond 't handig, en is 't ook gaan gebruiken voor de herinneringen om de jaarlijkse belastingaangifte te gaan doen. Daarna is 't gebruik flink gegroeit en moest 't bij de RDW weg. Het beheer van een Berichtenbox van de hele overheid paste niet meer bij de missie van de RDW.

Logius heeft toen aan een bedrijf gevraagd om een nieuw backend van de Berichtenbox op te zetten en beheren. En omdat dergelijke zaken maar voor beperkte tijd aan een bedrijf gegunt worden, is de toekomstige partij hiervoor al bekend:
https://www.computable.nl/artikel/nieuws/wie-gunt-wat/7113771/3152533/cgi-mag-nieuwe-berichtenbox-bouwen-en-beheren.html

Het tijdstip van ‘bezorgen’ wordt daarbij vastgelegd en kan daarmee gemakkelijk worden bewezen.
Het bezorgen van het bericht in de Berichtenbox en het vastleggen van het tijdstip van 'bezorgen' wordt aan de kant de backend gedaan. Geen ambtenaar die er toegang tot heeft, die kan het dus niet aanpassen of verwijderen

(Het sturen van notificatie mails wordt niet vanuit de backend van de Berichtenbox gedaan, misschien is dat ergens bij de frontend; https://mijn.overheid.nl geregeld?)
Reageren

Deze posting is gelocked. Reageren is niet meer mogelijk.