Audit logging: een verdedigbaar dossier bijhouden

Waarom dit een eigen bespreking verdient, niet alleen een vermelding elders

Audit logging komt in deze kennisbank steeds terug als ondersteunend detail — een juridische bewaarplicht wordt gelogd, de afhandeling van een represaillemelding wordt gelogd, een verwijdering wordt gelogd. Wat nergens direct wordt gezegd, is waarom die logging het onderdeel is dat er daadwerkelijk toe doet, niet de actie waaraan het is gekoppeld. Het verantwoordingsbeginsel van de AVG (art. 5, lid 2) vereist niet alleen dat een bedrijf voldoet aan de gegevensbeschermingswetgeving — het vereist dat het bedrijf die naleving kan aantonen, en art. 24 vertaalt dat naar een concrete verplichting om maatregelen te implementeren die het mogelijk maken dit aan te tonen. Een eerlijk bijgehouden dossier van wat er is gebeurd, is hoe "we hebben dit correct afgehandeld" stopt een bewering te zijn en iets wordt dat u daadwerkelijk kunt laten zien.

Wat een verdedigbaar dossier daadwerkelijk moet vastleggen

De nuttige test voor elke audit log, welk platform deze ook produceert: zou iemand buiten het bedrijf — een toezichthouder, een rechter, een werknemer die vindt dat hij oneerlijk is behandeld — hieruit kunnen reconstrueren wat er is gebeurd en wanneer, zonder op iemands woord te hoeven vertrouwen? Dat betekent doorgaans dat voor elke actie die ertoe doet, wordt vastgelegd:

• Wie het deed. Niet "een behandelaar," een specifieke, herleidbare persoon of account.
• Wanneer. Een echt tijdstempel, geen bij benadering achteraf gereconstrueerde herinnering.
• Wat er is veranderd. Het daadwerkelijke voor-en-na, niet alleen dat er iets is gebeurd.
• Waarom, voor alles wat een oordeel vereiste. Een statuswijziging of een routinematige update hoeft misschien geen reden te hebben — maar een juridische bewaarplicht, een verwijdering, of de afhandeling van een represaillemelding wel, omdat dat precies de acties zijn waarover iemand later zou kunnen vragen "waarom heeft u dat gedaan." Zie wanneer een legal hold in te stellen en omgaan met een represaillemelding voor twee concrete voorbeelden van beslissingen die een reden op het dossier nodig hebben, niet alleen een tijdstempel.

Het gat dat de meeste logs hebben: wie keek, niet alleen wie wijzigde

Een log die alleen wijzigingen vastlegt — statusveranderingen, toegevoegde notities, een geregistreerde uitkomst — mist de helft van wat vertrouwelijkheid daadwerkelijk vereist. De kanaalbeveiligingsverplichting van art. 9, lid 1, onder a gaat over het voorkomen van toegang door niet-gemachtigde personeelsleden, wat betekent dat wie een zaak heeft bekeken net zo'n vertrouwelijkheidsrelevant feit is als wie deze heeft bewerkt. Als een bedrijf kan laten zien wie een zaak heeft gewijzigd, maar niet wie ernaar heeft gekeken, kan het niet daadwerkelijk de vraag beantwoorden die een onderzoek naar een schending van vertrouwelijkheid als eerste zou stellen: wie heeft hier zicht op gehad. Een verdedigbaar dossier dekt toegang, niet alleen wijzigingen.

Het dossier is wat de bewijslast wegneemt, niet alleen ondersteunt

Dit doet er het meest concreet toe precies in de situatie die wordt behandeld in wat geldt als represaille: zodra een melder aantoont dat hij een melding heeft gedaan en vervolgens is benadeeld, neemt art. 21, lid 5 aan dat die benadeling een represaille was, en is het aan het bedrijf om het tegendeel te bewijzen. Op dat moment is een gedocumenteerd, van een tijdstempel voorzien dossier van waarom een beslissing is genomen geen leuke bijkomstigheid die de zaak van het bedrijf ondersteunt — het is het enige dat die bewijslast daadwerkelijk kan wegnemen. Een bedrijf dat vertrouwt op geheugen, of op informele Slack-berichten die niemand dacht te bewaren, probeert achteraf iets negatiefs te bewijzen zonder dat daar iets voor is gebouwd.

Hoe Provoxis dit heeft geïmplementeerd

Provoxis registreert elk van deze acties — het instellen of opheffen van een juridische bewaarplicht, het melden of oplossen van een represaille-incident, het wissen van een melding — als een audit-log-item dat wordt aangemaakt in dezelfde databasetransactie als de actie zelf. Dat is een structurele garantie, geen procesmatige: het systeem is zo gebouwd dat de actie nooit kan slagen zonder een bijbehorend gelogd dossier van wie het deed, wanneer, en waarom, in plaats van dat loggen een aparte stap is die zou kunnen mislukken, worden overgeslagen, of achteraf worden toegevoegd. Een bedrijf dat zijn eigen proces draait bovenop een gedeelde inbox of een spreadsheet, is afhankelijk van iemand die eraan denkt de notitie te maken — een verdedigbaar dossier zou daar niet van afhankelijk moeten zijn.

Juridische basis

• Art. 5, lid 2, AVG — het verantwoordingsbeginsel: de verwerkingsverantwoordelijke moet naleving kunnen aantonen, niet alleen naleven.
• Art. 24, AVG — de verplichting om maatregelen te implementeren die het mogelijk maken die naleving aan te tonen.
• Art. 21, lid 5, Richtlijn (EU) 2019/1937 — de omkering van de bewijslast die een gedocumenteerd dossier daadwerkelijk wegneemt.