Artikel 2:9 Awb: Betrouwbaar en vertrouwelijk verzenden

Artikel 2:9 Awb stelt een kwaliteitseis aan elektronische verzending door het bestuur: die moet gebeuren op een voldoende betrouwbare en vertrouwelijke manier, gelet op de aard en de inhoud van het bericht en het doel waarvoor het wordt gebruikt. De norm is open geformuleerd en schrijft geen enkele techniek voor.

Dat is bewust gedaan. Techniek veroudert sneller dan wetgeving; een wet die vandaag een bepaald protocol voorschrijft, staat over vijf jaar de veiligste oplossing in de weg. De maatstaf is daarom relatief: hoe gevoeliger het bericht, hoe zwaarder de eisen.

Twee verschillende eisen

• Betrouwbaarheid gaat over de vraag of het bericht ongeschonden en herkenbaar aankomt bij de juiste persoon. Klopt het adres? Is de inhoud onderweg niet gewijzigd? Is achteraf vast te stellen wat er is verzonden en wanneer?
• Vertrouwelijkheid gaat over de vraag of onbevoegden het bericht kunnen inzien. Een gewone e-mail is in dat opzicht ongeveer een briefkaart: onderweg leesbaar en makkelijk aan de verkeerde te richten.

Beide eisen worden ingekleurd door drie factoren die het artikel zelf noemt: de aard van het bericht, de inhoud ervan en het doel waarvoor het wordt gebruikt. Een ontvangstbevestiging zonder inhoudelijke gegevens is iets anders dan een besluit over een bijstandsuitkering met medische stukken in de bijlage.

Wat dit in de praktijk betekent

Voor eenvoudige, weinig gevoelige berichten volstaat gewone e-mail meestal. Denk aan een bevestiging dat een aanvraag is ontvangen, een uitnodiging voor een gesprek of een mededeling dat een termijn is verlengd.

Zodra er persoonsgegevens, financiële gegevens of gezondheidsgegevens in het spel zijn, ligt dat anders. Dan wordt van het bestuursorgaan verwacht dat het een beveiligde voorziening gebruikt: een berichtenbox waarin de geadresseerde na inloggen zijn post ophaalt, een beveiligd portaal, of ten minste versleutelde verzending.

De klassieke misser is de e-mail met de verkeerde geadresseerde in het cc-veld, of een bijlage met de gegevens van meer mensen dan de ontvanger mag zien. Dat is niet alleen een schending van dit artikel, maar vrijwel altijd ook een datalek in de zin van de privacyregels.

Verhouding tot de andere bepalingen

Artikel 2:9 Awb werkt samen met artikel 2:8 Awb: eerst moet vaststaan dát elektronisch mag worden verzonden, daarna komt de vraag hoe. Gebruikt het bestuursorgaan een systeem waarin de geadresseerde zijn bericht ophaalt, dan geldt bovendien de kennisgevingsplicht van artikel 2:10 Awb.

Voor de omgekeerde richting — berichten van de burger naar het bestuur — staat een vergelijkbare eis in artikel 2:13 Awb, tweede lid: per type bericht wordt een voldoende betrouwbare en vertrouwelijke wijze van verzenden aangewezen. En blijft die betrouwbaarheid uit, dan mag het bestuursorgaan het bericht op grond van artikel 2:15 Awb weigeren.

Een schending van artikel 2:9 Awb maakt een besluit niet automatisch ongeldig. Zij kan wel betekenen dat het besluit niet op de voorgeschreven wijze is bekendgemaakt, dat een termijnoverschrijding verschoonbaar is, of dat het besluit onzorgvuldig is voorbereid in de zin van artikel 3:2 Awb.