Juridisch Beleidskader - Logboek Dataverwerking

Dit document beschrijft de wijze waarop de overheid zich moet verantwoorden in brede zin en de informatie die daarvoor beschikbaar moet zijn. De standaard beoogt – initieel – niet alle aspecten te adresseren, maar biedt wel de basis om te zorgen dat eenduidigheid en relateerbaarheid van (log)informatie geborgd is. Deze aspecten bepalen de scope van dit document.

Dit document en - de standaard – staan daarin (bewust) neutraal ten opzichte de termijnen die gelden voor het bewaren van logging. Deze termijnen kunnen en zullen verschillen afhankelijk van taak en doel waarvoor zij beschikbaar moeten blijven. Dit document gaat hierop daarom niet in. De standaard biedt wel een manier om hiermee om te gaan (profiel).

Dit geldt bijvoorbeeld ook voor het bewaren van gegevens in het kader van de archiefwet. De logging die voorhanden is kan daarvoor gebruikt worden, maar dit document heeft geen oordeel over de vraag óf gegevens in het kader van de archiefwet bewaard dienen te blijven, noch voor de termijn daarvan.

Omdat het document neutraal staat ten opzichte van de doelen waarvoor de logging wordt benut, zijn ook eventuele maatregelen als gevolg van specifiek gebruik, bijvoorbeeld gelimiteerde toegang bij monitoring / soc) of extra beveiligingsmaatregelen op de logging buiten de scope.

In de het laatste hoofdstuk van dit document is het beleid voor de standaard Logboek Dataverwerkingen opgenomen in de vorm van ‘leidende principes’. Hiermee kunnen gebruikers binnen de context van hun specifieke situatie de bedoeling van de standaard interpreteren en toepassen.

De overheid staat bij alles wat zij doet in dienst van de maatschappij en legt daarover verantwoording af. Publieke verantwoording is onderdeel van goed openbaar bestuur.

De overheid en de daarmee verbonden organen leggen publieke verantwoording af over:

• de rechtmatigheid van de inning, het beheer en de besteding van publieke middelen,
• de effectiviteit en doelmatigheid van beleid en de behartiging van publieke taken, waaronder de besluiten die zij neemt,
• de integriteit van de organisatie en haar medewerkers, en het ‘in control’ zijn.

Er is niet op één centrale plek een verantwoordingsplicht voor overheden opgenomen. Verantwoordingsplichten zijn opgenomen in een breed scala van wetten en beginselen, waaruit volgt dat verantwoorden in zijn algemeenheid belangrijk is.

Om taken te kunnen vervullen is het voor overheidsorganisaties noodzakelijk om informatie te verwerken. Informatie en de wijze waarop deze wordt gebruikt ligt daarmee aan de basis voor een goed openbaar bestuur. Het vormt een van de pijlers van de democratische rechtstaat en geeft mede vorm aan de relatie met burgers.

Daarnaast is een goede informatiehuishouding van belang om burgers en bedrijven van betrouwbare informatie te kunnen voorzien en om als overheid efficiënt en effectief te kunnen werken.

Digitalisering maakt een efficiëntere en effectiever werkende overheid mogelijk. Dat komt door de toenemende mogelijkheden om gegevens te verwerken en onderling als overheidsorganisaties samen te werken. Dienstverlening aan burgers en bedrijven kan sneller en meer op maat plaatsvinden.

Aan deze mogelijkheden zit ook een andere kant, die vergt dat de overheid goed inzicht houdt – ook over organisaties heen - in hoe deze informatieverwerking en uitwisseling heeft plaatsgevonden. Dat is nodig om de steeds verder toenemende informatie-uitwisseling te kunnen verantwoorden. Maar ook om – op het moment dat zich in deze dienstverlening problemen voordoen – goed in staat te zijn om deze op te lossen. Want problemen in dienstverlening kunnen geautomatiseerd in korte tijd ontstaan en bovendien omvangrijk worden.

Een voorbeeld daarvan is de situatie rond de toeslagenproblematiek. Nadat deze problematiek is ontdekt vergt het vermoedelijk nog jaren om de gevolgen hiervan te herstellen, omdat de puzzel in het overheidshandelen niet eenduidig gelegd kan worden.

Daarnaast moeten bijvoorbeeld (individuele) burgers die slachtoffer worden van fraude of misbruik van hun gegevens beter geholpen kunnen worden. Immers, problemen kunnen zeer snel uitwaaieren over verschillende overheidsorganisaties. Daarbij past dat ook snel kan worden gereageerd, dat gereconstrueerd kan worden wat er is gebeurd en dat de burgers snel en effectief geholpen kunnen worden.

De overheid moet zich verantwoorden over de aan haar toegekende taken. Dat geldt niet alleen per overheidsorganisatie, maar ook voor “de overheid” als geheel.

Voor de uitvoering van haar taken verwerkt de overheid informatie. De wijze waarop informatie wordt verwerkt en waarop die verwerking wordt vastgelegd, speelt daarom een belangrijke rol bij de verantwoording door overheden. Daarnaast speelt een goede vastlegging van gegevens een belangrijke rol bij het oplossen van problemen als deze zich voordoen als gevolg van informatieuitwisseling.

Dit betekent dat de wijze waarop de verslaglegging gebeurt, bij de benodigde verantwoording moet aansluiten. De verantwoording is daarmee kaderend.

Om het mogelijk te maken dat “overheidsbreed” verantwoording kan worden afgelegd over de uitvoering van publieke taken en de onderlinge samenwerking die overheidsorganisaties daarin hebben, is het nodig dat de informatieverwerking die daarvoor plaatsvindt op een eenduidige manier wordt vastgelegd. Dat vergt dat wordt afgesproken welke informatie wordt vastgelegd en ook wat onder bepaalde informatie wordt verstaan.

Overheden hebben verschillende taken en verschillende bestuurlijke inrichtingen. Voor de taken moet verschillende informatie worden verwerkt en kunnen verschillende verantwoordingsverplichtingen gelden.

Dat maakt dat organisaties hun processen verschillend “op maat” zullen inrichten. Het resultaat is dat overheidsorganisaties in alle soorten en maten bestaan.

Bij het streven om eenduidigheid in de verslaglegging te realiseren zal hiermee rekening worden gehouden. Dat zal betekenen dat afspraken op conceptueel niveau zullen moeten zijn, en niet context- of taakafhankelijk moeten worden ingevuld.

Om zich te kunnen verantwoorden zal een organisatie inzichtelijk moeten kunnen maken dat zij de taken die zij heeft, heeft uitgevoerd in overeenstemming met de voor de betreffende organisatie geldende kaders. Er zal gereproduceerd moeten kunnen worden welk besluit op een bepaald moment is genomen, welke informatie daarvoor is gebruikt, en of deze informatie (waaronder persoonsgegevens) is gebruikt op een wijze die voldoet aan de daarvoor gestelde kaders.

Dit is niet alleen noodzakelijk voor (interne) verantwoording aan bijvoorbeeld toezichthouders, maar is ook nodig om richting burgers en bedrijven te kunnen aantonen dat besluiten zorgvuldig zijn genomen en adequaat gemotiveerd zijn.

Het uitgangspunt is dat overheidsorganisaties burgers en bedrijven niet naar de bekende weg vragen. Er geldt dat informatie die reeds bij de overheid beschikbaar is niet opnieuw aan burgers wordt gevraagd. Dit betekent in veel gevallen dat overheidsorganisaties gebruik (moeten) maken van elkaars informatie en daarop moeten kunnen vertrouwen.

Om te kunnen aantonen dat ze besluiten zorgvuldig en met de juiste informatie hebben genomen, dienen organisaties daarom vast te leggen welke informatie zij op welk moment van welke organisatie hebben verkregen. Vice versa vergt dit dat bij de organisatie die heeft geleverd wordt bijgehouden aan welke andere organisaties is geleverd, zodat verantwoording volledig kan worden teruggeleid naar de bron van de informatie.

Dit vergt dat de handelingen worden gelogd, en dat afspraken worden gemaakt om te zorgen dat de logging over overheidsorganisaties heen adequaat is vormgegeven om reproductie overheidsbreed mogelijk te maken.

Met logging in het kader van dit document wordt de logging bedoeld die nodig is om verantwoording af te leggen over de processen en beslissingen die de overheid neemt (functionele logging). Organisaties zullen daarnaast ook logging hebben die de technische werking van systemen of de werking applicaties betreft. Deze typen logging kunnen overlap vertonen met de functionele logging, maar dat hoeft niet zo te zijn.

Voor een goed inrichting van logging als verantwoordingsmogelijkheid is het van belang dat binnen organisaties logging op eenduidige wijze – conceptueel – wordt ingericht. Daarnaast is het van belang dat de wijzen van vastlegging van handelingen ten aanzien van informatie adequaat op elkaar aansluiten.

Organisaties hebben informatie nodig van elkaar om zichzelf te kunnen verantwoorden.

In de eerste plaats dienen zij zelf vast te leggen welke handelingen zij verrichten bij het nemen van besluiten of het uitvoeren van feitelijke handelingen.

Daarnaast zullen zij vastleggen welke informatie zij op welk moment van een andere overheidsorganisatie (de “verstrekkende” organisaties) hebben ontvangen om een bepaald besluit te nemen. Eenduidige logging kan helpen bij de uitvoering van verschillende plichten, door te zorgen dat de verstrekkende organisatie op dezelfde wijze de verstrekking logt. Zo zijn de “gegevensvraag” en de “gegevenslevering” als dat nodig is te koppelen en te verantwoorden. Deze verplichtingen kaderen de logging en daarmee de standaardisatie van logging.

In het voorgaande is besproken welke gegevens organisaties mogen verwerken om hun taken uit te voeren en zich over deze taken te verantwoorden. Dit “begrenst” de gegevens waarover zij mogen beschikken.

Ten aanzien van de gegevens waarover zij mogen beschikken in het kader van reguliere taken kunnen, naast verantwoording, nog andere verplichtingen rusten. Persoonsgegevens vormen een belangrijke categorie binnen de totale set aan gegevens die voorhanden zijn. Op deze gegevens is de AVG van toepassing. Dit betekent dat diverse informatieverplichtingen, zoals bij het inzagerecht, van toepassing zijn. Deze verplichtingen, die van invloed kunnen zijn op de wijze waarop gegevens worden gelogd, worden hieronder besproken.

De AVG geeft aan betrokkenen – degenen over wie de persoonsgegevens gaan - verschillende rechten in het kader van inzage en correctie. Denk hierbij aan het recht op informatie (art. 13 en 14 AVG), het recht op inzage (art. 15 AVG), het recht op rectificatie (art. 16 AVG) en het recht op gegevenswissing (art. 17 AVG).

Deze rechten kan de betrokkene inroepen tegenover de zogenoemde ‘verwerkingsverantwoordelijke’, dat is de organisatie die het doel en de middelen van de gegevensverwerking bepaalt.

Hieronder worden deze rechten kort besproken, waarbij wordt toegelicht welke invloed deze rechten hebben op de wijze waarop gegevens gelogd moeten worden. Belangrijke notitie is dat er geen extra gegevens mogen worden gelogd om uitvoering te geven aan deze rechten. Dat is op grond van de AVG niet toegestaan, omdat de uitvoering van de AVG op zichzelf geen extra verwerkingen mag veroorzaken. Echter het kan wel zo zijn dat de rechten, om deze adequaat te kunnen uitvoeren, van invloed zijn op de wijze waarop de handelingen ten aanzien van persoonsgegevens worden gelogd.

Logging die wordt vastgelegd kan vele verschillende doelen dienen, zoals de invulling van specifieke informatieverschaffing aan burgers, of de verantwoording over de zorgvuldigheid van overheidshandelen.

Belangrijk is dat de conceptuele invulling van afspraken over logging zodanig wordt ingericht dat zij breed toepasbaar is, maar tegelijkertijd ruimte laat om specifieke invulling (“aanbouw”) van afspraken op specifieke doelen te ondersteunen.

In het voorgaande is naar voren gekomen dat overheden bij de uitvoering van hun taken (persoons)gegevens verwerken. Daarbij zullen zij gegevens verwerken die zij zelf verzamelen en beheren, en op basis daarvan conclusies trekken en besluiten nemen.

Hoewel organisaties verschillende taken kunnen hebben, en afhankelijk daarvan ook verschillende soorten gegevens verwerken en verschillende soorten besluiten nemen, zal de wijze waarop zij zich over de uitvoering ervan moeten verantwoorden, minder divers zijn.

Gelet op de verantwoordingsverplichtingen – zoals de beginselen van behoorlijk bestuur – die zijn vastgelegd in de Awb en bijvoorbeeld de AVG, maakt de wijze waarop de verwerkingen van gegevens worden vastgelegd niet uit.

In alle gevallen zal de herkomst van de gegevens die worden gebruikt moeten worden gelogd, waaronder (meta)gegevens over de kwaliteit van deze gegevens. Ook het moment waarop de gegevens worden gebruikt om te komen tot een besluit, en de wijze waarop de gegevens worden gebruikt, zal moeten worden vastgelegd (motivering).

Het zal bij organisaties vermoedelijk vaak voorkomen dat gegevens die worden gebruikt, in verschillende (deel)verwerkingen worden vastgelegd. Een overzicht van de verschillende registraties die worden gebruikt (ook als daar geen persoonsgegevens in opgenomen zijn) zal daarom noodzakelijk zijn. Ook zal nodig zijn dat er over de verwerkingen heen een relatie kan worden gelegd tussen de gegevens die ten behoeve van een specifiek besluit zijn gebruikt, en aan welke (natuurlijke) persoon dit besluit is gericht.

Om te zorgen dat overheidsorganisaties dit op een eenduidige (gestandaardiseerde) wijze doen, ligt het voor de hand daarover regels te stellen in een op te leggen standaard.

Bij de uitvoering van hun taken zullen organisaties regelmatig gebruik maken van gegevens van andere overheidsorganisaties. Onder meer omdat het uitgangspunt is dat gegevens die bij de overheid bekend zijn, niet nogmaals bij burgers of bedrijven mogen worden uitgevraagd.

Dit betekent dat overheden, naast de uitvoering van de eigen taken, met regelmaat ook ondersteunend voor de taakuitvoering voor collega-overheidsorganisaties zullen zijn. Zij zullen daarbij zowel ontvanger als leverancier van informatie zijn. En dat betekent dat de wijze van hun eigen verantwoording (en logging) van belang is voor de verantwoording van andere overheidsorganisaties. Daarom is het van belang om ook afspraken te maken over de wijze waarop gegevens aan andere overheidsorganisaties worden verstrekt, of worden ontvangen.

Om deze koppeling goed te kunnen leggen, en daarmee de overheidsbrede verantwoording goed te kunnen vormgeven, is het belangrijk om afspraken te maken over de gebeurtenissen waarvoor de gegevens worden verstrekt, het tijdstip waarop dit gebeurt en de waarborgen die zijn getroffen. Overigens is dit niet alleen nodig ter verantwoording, maar ook om ingeval van problemen bij het gebruik van onjuiste gegevens deze snel te kunnen herkennen en herstellen, ook als de problemen organisatie-overstijgend zijn.

Om eenduidigheid te bevorderen, ook ten aanzien van de wijze van verslaglegging, is het nodig om afspraken te maken die zorgen dat verschillende organisaties logging op eenzelfde manier inrichten. Daarmee wordt een werkwijze of handeling gestandaardiseerd. Dat begint met afspraken over de wijze waarop organisaties zelf handelen binnen de eigen verantwoordelijkheid om verslaglegging te doen, maar ook hoe zij deze verslaglegging op elkaar laten aansluiten en waar de grenzen liggen.

Zoals hiervoor is besproken kunnen dataverwerkingen ten behoeve van taken verschillende verantwoordelijkheden overstijgen (en dus organisatie-overstijgend zijn). Doordat elke organisatie op basis van de standaard op dezelfde wijze én binnen de reikwijdte van de eigen organisatie logt, vallen er in de logging geen gaten en is de onderlinge verbondenheid in verantwoordelijkheden geborgd.

Immers vallen onder de verantwoordelijkheid om te loggen tevens de ontvangst van gegevens van andere overheidsorganisaties, of de gegevens die zij aan andere organisaties geleverd hebben.. Daardoor is de informatie-uitwisseling als geheel gelogd en wordt voorkomen dat “dubbele logging” ontstaat. Dat brengt naast doelmatigheid ook een beperking van de kans op fouten of strijdige logging met zich mee.

Zoals aangegeven is de logging op basis van de afspraken “neutraal”. De logging zorgt voor uniforme vastlegging door organisaties van gegevensverwerkingen en voor onderlinge relateerbaarheid van deze verwerkingen. De logging is dus niet gebonden aan een specifieke organisatie of aan organisaties die met elkaar samenwerkingen (“ketens”).

Het is echter mogelijk om, als een organisatie dat wil, door middel van extensies op de standaard aanvullingen te doen op de logging, of aanvullende afspraken te maken met andere overheden waarmee specifiek wordt samengewerkt. Sectorale aanvullingen binnen “samenwerkende ketens van organisaties” zijn mogelijk bovenop de basis die de standaard legt.

Om de hiervoor besproken uitgangspunten – eenduidige wijze van logging, scope van logging en onderlinge relateerbaarheid van logging – te bereiken, zullen functionele afspraken gemaakt moeten worden. Door de functionele logging tot het niveau van relateerbaarheid te beperken betekent het ook dat de standaard in de basis deze aspecten dient te adresseren.

Dit houdt in dat voor logging afspraken moeten worden gemaakt over de identificatie van transacties en/of mutaties (deze moeten functioneel herkenbaar of afgebakend zijn om als generieke basis voor logging te kunnen dienen).

Ook moeten afspraken worden gemaakt over het karakter van transacties (Naam), zodat dit voor systemen (ook over organisaties heen) herkenbaar is.

Verder moet de relatie met eerdere en onderliggende transacties of mutaties duidelijk zijn. Dat zorgt ervoor dat de transactie in de juiste context en onder de juiste verantwoordelijkheid geplaatst kan worden. Ook moet een referentienummer worden toegekend voor koppeling tussen verschillende organisaties.

De technische en operationele invulling moet zodanig plaatsvinden dat de functionele behoefte adequaat wordt ingevuld. Daarnaast dient ervoor gezorgd te worden dat de niet-functionele randvoorwaarden (zoals privacy en beveiligingsvereisten, wet- en regelgeving) adequaat worden ingevuld. Deze niet-functionele randvoorwaarden liggen in feite besloten in dit document (kadering). Binnen deze ruimte is de technische invulling vrij, als middel om een aan het bovenliggend doel te voldoen.

Bij de inrichting van een standaard die aan de basis ligt om verslaglegging (logging) te standaardiseren, is een belangrijk uitgangspunt dat de verantwoordelijkheid van elke organisatie als uitgangspunt wordt genomen, inclusief de grens daarvan. Dat vormt de “scope” per organisatie. Op basis daarvan kan een basis (baseline) worden afgesproken waarop kan worden voortgebouwd.

Om verantwoording te kunnen afleggen, zowel als overheidsorganisatie, maar met name ook om als “de overheid” te kunnen verantwoorden, dat wil zeggen als “samenwerkende overheidsorganisaties”, is het van belang dat de wijze waarop overheden verslag leggen van hun activiteiten eenduidig is, en dat de verschillende verslagleggingen aan elkaar te relateren zijn. Dat is de basis voor onderlinge samenwerking op dit terrein.

De standaard “Logboek Dataverwerkingen” zorgt daarvoor.

De standaard beoogt (technische) interoperabiliteit van loggen van dataverwerkingen te realiseren, door voor een aantal loghandelingen de koppelvlakken en werkwijze voor te schrijven:

• Het vastleggen van logs van dataverwerkingen
• Het aan elkaar relateren van deze logs.
• Het aan elkaar relateren van dataverwerkingen over grenzen van systemen (binnen organisaties) en verantwoordelijkheden (organisatie-overstijgend)

De standaard is ontwikkeld vanuit de behoefte om als overheid eenduidige verantwoording over overheidsorganisaties heen te kunnen realiseren. Echter, de systematiek zoals beschreven is breder toepasbaar voor organisaties buiten de overheid, die de verslaglegging onderling willen afstemmen en relateren.

Organisaties hebben taken toebedeeld gekregen. Om deze taken uit te voeren is het nodig om (persoons)gegevens te verwerken.

De standaard schrijft voor dat deze per taak als “verwerkingsactiviteit” worden onderkend. Om de verschillende taken uit te voeren heeft een organisatie in de regel meerdere verwerkingsactiviteiten onderkend.

De standaard schrijft voor dat deze verwerkingsactiviteiten in een “register” moeten worden opgenomen. Daarin wordt onder meer het doel van de verwerkingen opgenomen, zoals dit op grond van de art. 30 AVG voor verwerkingen van persoonsgegevens al verplicht is. Het register in het kader van de standaard beoogt een bredere reikwijdte dan persoonsgegevens.

Vervolgens schrijft de standaard voor dat binnen de onderkende verwerkingsactiviteiten “dataverwerkingen” worden gelogd. Dit gebeurt door iedere applicatie die een dataverwerking uitvoert op gestandaardiseerde manier een logregel te laten vastleggen in een Logboek dataverwerkingen.

De handelingen die worden gelogd kunnen alle handelingen betreffen die met gegevens plaatsvinden.

Elke dataverwerking wordt apart gelogd en krijgt een kenmerk (“trace”) toegekend, waardoor bij elkaar horende dataverwerkingen binnen de grenzen van een systeem worden gegroepeerd en kunnen worden gerelateerd. Dit betekent dat de handelingen die ten behoeve van een specifieke taak (context) zijn uitgevoerd aan elkaar te relateren zijn, en daarmee te verantwoorden zijn.

Omdat dataverwerkingen kunnen of zullen plaatsvinden voor meerdere taken (contexten, verwerkingsactiviteiten), ook over organisaties heen, is het nodig dat ook de relatie (link) kan worden gelegd tussen de verschillende taken. De standaard realiseert dit door informatie over de “trace”, “verwerkingsactiviteit” en registers (de statische informatie over de dataverwerking) mee te geven aan de uitwisseling van gegevens. Op deze wijze zijn de dataverwerkingen te relateren over verschillende taken en organisaties heen, en kan verantwoording worden afgelegd.

Op deze wijze wordt door de standaard geborgd dat de dataverwerkingen worden gelogd zonder dat relevant is in welke context of voor welk doel dat gebeurt (de wijze van logging is “neutraal”).

Echter op het moment dat doelen, context en onderlinge samenhang van belang is kan een verband worden gelegd en wordt de logging betekenisvol, bijvoorbeeld om verantwoording af te leggen over een specifieke handeling die is uitgevoerd in het kader van een taak door één of meerdere overheidsorganisaties (basale usecase).

Op basis van de algemene relateerbaarheid die de standaard realiseert over de logging van verschillende dataverwerkingen, is het - naast de algemene verantwoording die op basis daarvan kan worden afgelegd - mogelijk om diverse andere doeleinden en processen te faciliteren. De standaard maakt dat mogelijk door extensies, toe te staan waarmee specifieke functionaliteit wordt toegevoegd aan de standaard.

Een voorbeeld daarvan is de “Extensie Betrokkenen”. Daarmee kan meer precies worden uitgewerkt hoe de identiteit van een betrokkene wordt gerelateerd aan een dataverwerking. Dat maakt het mogelijk om de koppeling te maken tussen de verwerkingen van persoonsgegevens, waarmee bijvoorbeeld inzageverzoeken geautomatiseerd mogelijk gemaakt kunnen worden. Een ander voorbeeld is de “Extensie Inzage”, waarmee de wijze waarop op basis van de logs op een gestandaardiseerde manier de verwerkingen van gegevens over een persoon ter inzage kunnen worden aangeboden (interface).

Organisaties en sectoren die een extensie maken, moeten deze extensie conform het beheerproces van de standaard laten vaststellen waarmee extensie een optioneel onderdeel wordt van de standaard.

De standaard zorgt ervoor dat eenduidige relaties gelegd kunnen worden tussen dataverwerkingen. De standaard legt daar in de basis geen beperkingen of aanvullingen aan op, en ook niet aan de tijdsduur waarbinnen de relaties moeten kunnen worden gelegd (bewaartermijn). Door middel van profielen kunnen dergelijke aanvullingen wel gemaakt worden, bijvoorbeeld door extensies, aanvullende eisen, of bewaartermijnen. Dit kan binnen een organisatie of binnen een groep van organisaties, bijvoorbeeld een sector die op een bepaalde wijze met elkaar samenwerking en afspraken wil maken.

Een belangrijk aspect bij verantwoording is dat op de informatie kan worden vertrouwd. Dit betekent dat de wijze waarop logging wordt weggeschreven en bewaard zodanig is dat deze beschermd is en dat eventuele manipulaties van de logging kunnen worden aangetoond. Deze onweerlegbaarheid is belangrijk voor de bewijskracht van de logging. Als dit generiek is geregeld hoeven organisaties niet separaat meer aan te tonen of te regelen dat de logging ook daadwerkelijk klopt.

Het is van belang dat de wijze waarop overheden hun activiteiten vastleggen eenduidig is, en dat de verschillende verslagleggingen aan elkaar te relateren zijn. Dat is de basis om de onderlinge informatieuitwisseling te kunnen relateren. De standaard bevat om deze reden conceptuele afspraken, bedoeld om rekening te houden met verschillende processen, dataverwerkingen en de wijze waarop deze zijn worden gerelateerd. Dit vormt de basis waarmee het mogelijk is om voor verschillende toepassingen of doelen nadere toevoegingen op de standaard te maken. Daarbij is er ruimte om dit per organisatie of per groep organisaties (sector) aan te vullen afhankelijk van de specifieke behoeften.