NMa digitale werkwijze 2007

De Raad van Bestuur van de Nederlandse Mededingingsautoriteit,

Gelet op de artikelen 50 en 52 van de Mededingingswet en de artikelen 5:13, 5:17 en 5:20 van de Algemene wet bestuursrecht;

Besluit:

Artikel 1. Begripsomschrijvingen

In dit besluit wordt verstaan onder:

1. Raad: de Raad van Bestuur van de Nederlandse Mededingingsautoriteit (NMa), als bedoeld in artikel 1, aanhef en onder c, van de Mededingingswet;

2. ambtenaar: een ambtenaar als bedoeld in artikel 50, eerste lid, en/of artikel 52, eerste lid, van de Mededingingswet;

3. digitale kopie: een kopie van digitaal opgeslagen gegevens;

4. forensische image: een integrale kopie van een opslagmedium, of een deel hiervan, waardoor tevens inzage kan worden verkregen in de digitale gegevens waartoe de gebruiker geen toegang (meer) heeft, zoals verwijderde bestanden;

5. gebruikersbestand: een bestand dat mogelijk door een gebruiker is aangemaakt, dit in tegenstelling tot bijvoorbeeld systeembestanden;

6. HASH-waarde: een unieke waarde, welke algoritmisch wordt berekend over digitale kopieën of forensische images, aan de hand waarvan de authenticiteit van die digitale kopieën en/of die forensische images achteraf kan worden gecontroleerd;

7. opslagmedium: gegevensdrager zoals een harde schijf, een diskette, cd-rom;

8. geprivilegieerde gegevens: gegevens met betrekking tot de toepassing van mededingingsregels, gewisseld tussen een onderneming en een advocaat die is toegelaten tot de balie, die zich bij de onderneming bevinden, doch waarop, indien zij zich zouden bevinden bij de advocaat, artikel 5:20, tweede lid, van de Algemene wet bestuursrecht van toepassing zou zijn;

9. privé-gegevens: gegevens van persoonlijke aard, welke niet worden gebruikt ten dienste van het maatschappelijke verkeer of zakelijke doeleinden;

10. werkkopie: een ten kantore van de NMa gemaakte kopie van de bij een onderneming gemaakte digitale kopieën en/of een forensische images, welke als basis dient voor de in artikel 5 genoemde werkzaamheden;

11. kluiskopie: een ten kantore van de NMa gemaakte kopie van de bij een onderneming gemaakte digitale kopieën en/of een forensische images, welke in een kluis zal worden opgeborgen;

12. functionaris: een door de Raad aangewezen persoon die niet bij het onderzoek betrokken is dan wel zal zijn.

Artikel 2. Werkwijze voorafgaand aan het bedrijfsbezoek

De Raad geeft middels het document ‘bedrijfsbezoekopdracht’ aan ambtenaren van de NMa de opdracht een onderzoek bij een onderneming te verrichten. Dit document vermeldt doel en voorwerp van het onderzoek.

Artikel 3. Procedure tijdens het bedrijfsbezoek

1. Een ambtenaar reikt bij aanvang van het bedrijfsbezoek de schriftelijke omschrijving van het doel en voorwerp van het onderzoek aan de onderneming uit.

2. Tijdens het bedrijfsbezoek kunnen digitale kopieën en forensische images worden gemaakt. Het maken van digitale kopieën en/of forensische images vindt uitsluitend plaats door een op dit terrein deskundige ambtenaar, dan wel door een ingevolge artikel 5:15, derde lid, van de Algemene wet bestuursrecht aangewezen specialist.

3. Indien door de ambtenaar vervaardigde digitale kopieën geprivilegieerde gegevens en/of privé-gegevens bevatten en de onderneming deze terstond kan aanwijzen, verwijdert de ambtenaar ter plaatse de betreffende gegevens uit die digitale kopie.

4. Na afloop van het bedrijfsbezoek verstrekt de ambtenaar ter plaatse aan de onderneming een overzicht van alle digitale gegevens, waarvan digitale kopieën zijn gemaakt met de daarbij berekende HASH-waarden, en van alle gegevensdragers, waarvan een forensische image is gemaakt met de daarbij berekende HASH-waarde.

5. Indien tijdens het bedrijfsbezoek de geprivilegieerde gegevens en/of privé-gegevens niet ter plaatse uit de vervaardigde digitale kopieën zijn verwijderd dan wel indien zich geprivilegieerde gegevens en/of privé-gegevens bevinden op een vervaardigde forensische image, heeft de onderneming de gelegenheid binnen 10 werkdagen na afloop van het bedrijfsbezoek schriftelijk gemotiveerd aan te geven welke gegevens geprivilegieerd zijn en welke gegevens privé zijn.

6. Indien de onderneming tijdens het bedrijfsbezoek heeft verklaard dat zich in de digitale kopieën geen geprivilegieerde gegevens en/of privé-gegevens bevinden, dan wel tijdens het bedrijfsbezoek heeft bevestigd dat alle geprivilegieerde gegevens en/of privé-gegevens ter plaatse zijn verwijderd, wordt haar de in lid 5 genoemde gelegenheid niet geboden.

7. Indien tijdens het bedrijfsbezoek forensische images zijn gemaakt, heeft de onderneming de gelegenheid binnen 10 werkdagen na afloop van het bedrijfsbezoek schriftelijk gemotiveerd aan te geven welke gegevens niet vallen binnen het doel en voorwerp van het onderzoek zoals vooraf kenbaar gemaakt. Dit geldt enkel met betrekking tot de zichtbare gegevens op de forensische images.

8. De in lid 7 genoemde gegevens zijn gegevens van personen waarvan geen vermoeden bestaat dat zij betrokken zijn bij activiteiten die het doel en voorwerp van het onderzoek betreffen, dan wel gegevens die naar hun aard redelijkerwijs niet binnen het doel en voorwerp van het onderzoek kunnen vallen.

Artikel 4. Procedure ten kantore van de NMa (algemeen)

1. Van het bedrijfsbezoek maakt een ambtenaar zo spoedig mogelijk een verslag van ambtshandeling op.

2. Een op dit terrein deskundige ambtenaar maakt van de vervaardigde digitale kopieën en/of forensische images een werkkopie en een kluiskopie.

3. Aan de werkkopie en de kluiskopie worden uitsluitend beheerswerkzaamheden verricht om het in stand houden van de daarop opgeslagen informatie te garanderen.

4. Verwijderde digitale gegevens op een forensische image worden niet eerder in het onderzoek betrokken dan nadat deze door een op dit terrein deskundige ambtenaar zichtbaar zijn gemaakt.

Artikel 5. Voorbereidende werkzaamheden aan onderzoek en inzage

1. Een op dit terrein deskundige ambtenaar bereidt de digitale gegevens uit de werkkopie voor teneinde - in een later stadium - onderzoek en inzage daarin mogelijk te maken.

2. De werkzaamheden bestaan eruit dat met specialistische programmatuur gebruikersbestanden worden voorbereid teneinde - in een later stadium - kennis te kunnen nemen van de inhoud van die bestanden. Gegevens die niet (meer) leesbaar zijn en/of die gezien hun aard bij voorbaat niet relevant kunnen zijn voor onderzoek en inzage, zoals voorbeeldbestanden van standaardprogrammatuur, worden daarbij meteen verwijderd.

3. De ambtenaar maakt van de verrichte voorbereidende werkzaamheden een verslag van ambtshandelingen op.

Artikel 6. Geprivilegieerde gegevens en privé-gegevens

1. Een op dit terrein deskundige ambtenaar plaatst de door de onderneming overeenkomstig artikel 3, vijfde lid, aangewezen geprivilegieerde gegevens en/of privé-gegevens buiten de omgeving van het onderzoek.

2. Een functionaris toetst de door de onderneming aangewezen geprivilegieerde gegevens die buiten de omgeving van het onderzoek zijn geplaatst.

3. Indien de functionaris bevestigt dat het om geprivilegieerde gegevens gaat, stelt hij de onderneming hierover schriftelijk in kennis en vernietigt hij deze gegevens. De functionaris maakt hiervan een verslag op.

4. Indien de functionaris van oordeel is dat de door de onderneming aangewezen geprivilegieerde gegevens niet als zodanig kunnen worden aangemerkt, dan stelt hij de onderneming hiervan schriftelijk in kennis. De onderneming krijgt de gelegenheid om binnen 5 werkdagen na verzending van deze kennisgeving schriftelijk nader toe te lichten waarom het naar haar mening wel gaat om geprivilegieerde gegevens.

5. Blijft de functionaris ook na de toelichting van oordeel dat de door de onderneming aangewezen geprivilegieerde gegevens niet als zodanig kunnen worden aangemerkt, dan stelt hij de onderneming hiervan schriftelijk in kennis. Deze kennisgeving bevat tevens de datum waarop de gegevens weer bij de onderzoeksgegevens zullen worden gevoegd.

6. Komt de functionaris na de toelichting van de onderneming alsnog tot het oordeel dat het inderdaad om geprivilegieerde gegevens gaat, dan stelt hij de onderneming hiervan schriftelijk in kennis en vernietigt hij deze gegevens. De functionaris maakt van die vernietiging een verslag op.

7. Een ambtenaar toetst de door de onderneming aangewezen privé-gegevens en stelt de onderneming in kennis van zijn bevindingen.

Artikel 7. Forensische images: niet tot het onderzoek behorende gegevens

1. Indien tijdens het bedrijfsbezoek forensische images zijn gemaakt en de onderneming heeft voldaan aan het in artikel 3, lid 7, genoemde verzoek, toetst een ambtenaar de door de onderneming aangewezen gegevens. Aan de onderneming wordt een kennisgeving verzonden dat haar de gelegenheid wordt geboden hierbij aanwezig te zijn. De kennisgeving bevat de datum en het tijdstip waarop de onderneming, indien zij gebruik wil maken van deze gelegenheid, geacht wordt ten kantore van de NMa te verschijnen.

2. De ambtenaar stelt de onderneming in kennis van zijn bevindingen.

Artikel 8. Forensische images: zichtbaar gemaakte gegevens

1. Wanneer verwijderde digitale gegevens op een forensische image zichtbaar zijn gemaakt, zendt een ambtenaar aan de onderneming een dvd met de zichtbaar gemaakte digitale gegevens.

2. Met de verzending van de dvd, als bedoeld in lid 1, heeft de onderneming de gelegenheid binnen 10 werkdagen na die verzending schriftelijk gemotiveerd aan te geven of geprivilegieerde gegevens en/of privé-gegevens zichtbaar zijn gemaakt en welke deze gegevens zijn.

3. Met betrekking tot geprivilegieerde en privé-gegevens zoals bedoeld in lid 2, is artikel 6 van overeenkomstige toepassing.

4. Met de verzending van de dvd, als bedoeld in lid 1, heeft de onderneming de gelegenheid binnen 10 werkdagen na die verzending schriftelijk gemotiveerd aan te geven welke gegevens niet vallen binnen het doel en voorwerp van het onderzoek zoals vooraf kenbaar gemaakt. Met betrekking tot deze gegevens is artikel 7 van overeenkomstige toepassing.

Artikel 9. Van overeenkomstige toepassingverklaring

De in de artikelen 3, 6, 7 en 8 beschreven procedures worden ook gevolgd bij een natuurlijke persoon indien jegens deze, tijdens het bedrijfsbezoek reeds het vermoeden bestaat dat hij/zij feitelijke leidinggevende/ opdrachtgever is ten aanzien van de desbetreffende overtreding.

Artikel 10. Onderzoek en Inzage

1. Ambtenaren gaan over tot onderzoek en inzage in de toegankelijk gemaakte onderzoeksgegevens nadat de in artikel 6 en artikel 7 genoemde procedures zijn voltooid.

2. Van de onderzoekshandelingen tijdens het onderzoek die aanleiding geven tot inzage in de digitale gegevens wordt een logboek bijgehouden. Het logboek maakt, indien het onderzoek resulteert in een rapport op grond van artikel 59, eerste lid, Mededingingswet, deel uit van de op de zaak betrekking hebbende stukken, die te zijner tijd op grond van artikel 60, tweede lid, Mededingingswet, ter inzage zullen worden gelegd.

Artikel 11. Intrekking eerder besluit

Het besluit ‘Werkwijze m.b.t. het inzien en kopiëren van digitale gegevens en bescheiden’ van 6 juni 20031 wordt ingetrokken.

Artikel 12. Inwerkingtreding

Dit besluit treedt in werking met ingang van de tweede dag na dagtekening van de Staatscourant waarin het wordt geplaatst.

Artikel 13. Overgangsrecht

Indien vóór het tijdstip van inwerkingtreding van dit besluit de Raad een opdracht heeft gegeven een onderzoek bij een onderneming te verrichten, als bedoeld in artikel 2, blijft op dat onderzoek het besluit ‘Werkwijze m.b.t. het inzien en kopiëren van digitale gegevens en bescheiden’ van 6 juni 2003 van toepassing.

Artikel 14. Citeertitel

Dit besluit wordt aangehaald als ‘NMa digitale werkwijze 2007’.

Dit besluit zal met de toelichting in de Staatscourant worden geplaatst.

Den Haag, 12 december 2007.
De Raad van Bestuur van de Nederlandse Mededingingsautoriteit,
P. Kalbfleisch.
R.J.P. Jansen.
G.J.L. Zijl.

¹ Stcrt. 2003, nr. 109, laatstelijk gewijzigd in Stcrt. 2005, nr. 247.

Toelichting

Inleiding

1. De NMa digitale werkwijze 2007¹ vervangt de Werkwijze m.b.t. het inzien en kopiëren van digitale gegevens en bescheiden van 6 juni 2003². In de nieuwe werkwijze zijn verschillende procedurele wijzigingen opgenomen. De NMa beoogt met de nieuwe werkwijze op efficiëntere wijze digitaal onderzoek te doen en tegelijkertijd optimale transparantie voor ondernemingen te bereiken.

2. Hieronder wordt vooral ingegaan op de onderdelen waarop de werkwijze is gewijzigd ten opzichte van de Werkwijze m.b.t. het inzien en kopiëren van digitale gegevens en bescheiden van 6 juni 2003.

Geprivilegieerde gegevens en privé-gegevens

3. De nieuwe werkwijze voorziet in een procedure waarbij op efficiënte en transparante wijze geprivilegieerde gegevens en privé-gegevens uit het gekopieerde materiaal worden verwijderd. De onderneming wordt de gelegenheid geboden schriftelijk gemotiveerd kenbaar te maken welke gegevens geprivilegieerd of privé zijn. Deze gegevens worden zonder te worden bekeken buiten de voor het onderzoek gekopieerde gegevens geplaatst. De als geprivilegieerd geclaimde gegevens worden beoordeeld door een niet bij het onderzoek betrokken functionaris. Hiermee vervalt de procedure waarbij ondernemingen werden uitgenodigd om ten kantore van de NMa aan te geven wat geprivilegieerde gegevens zijn, waarbij deze door een bij het onderzoek betroken ambtenaar werden beoordeeld en eventueel verwijderd.

4. De onderneming wordt door de eerder genoemde functionaris schriftelijk geïnformeerd over zijn bevindingen ten aanzien van de als geprivilegieerd geclaimde gegevens. Wanneer de functionaris van oordeel is dat er bij bepaalde door de onderneming als zodanig aangewezen gegevens geen sprake is van geprivilegieerde gegevens, krijgt de onderneming de gelegenheid de claim nader te motiveren. De uiteindelijke beslissing van de functionaris wordt schriftelijk aan de onderneming medegedeeld.

5. Een ambtenaar toetst de door de onderneming geclaimde privé-gegevens en informeert de onderneming over zijn bevindingen.

Feitelijk leidinggevenden/opdrachtgevers

6. Sinds 1 oktober 2007 beschikt de NMa over de bevoegdheid om feitelijk leidinggevenden en opdrachtgevers aan inbreuken op de Mededingingswet te sanctioneren. Dit kan van belang zijn tijdens het uitvoeren van een bedrijfsbezoek. Aan personen van wie tijdens het bedrijfsbezoek wordt vermoed dat zij feitelijk leidinggevende dan wel opdrachtgever zijn aan inbreuken op de Mededingingswet, komt het recht toe om aan te geven welke gegevens geprivilegieerd, zijn dan wel privé zijn. In deze situatie gelden de procedurele waarborgen voor de onderneming tevens voor deze personen.

Het bedrijfsbezoek

7. Tijdens bedrijfsbezoeken kunnen digitale kopieën en forensische images worden gemaakt. De keuze tussen het maken van digitale kopieën en forensische images is afhankelijk van het onderzoeksbelang en de ICT-inrichting van de onderneming waaronder de mogelijkheden tot het bewaren van gegevens.

8. Zowel digitale kopieën als forensische images zijn niets anders dan een kopie ten behoeve van het onderzoek. De onderneming blijft in het bezit van de originele gegevens en opslagmedia. Het maken van digitale kopieën of forensische images kan enige tijd (doorgaans enkele uren) in beslag nemen. Gedurende deze tijd kunnen de gebruikers van wie de gegevens worden gekopieerd geen gebruik maken van de betreffende servers en de opslagmedia.

9. Forensische images zijn naar hun aard alomvattend wat betreft de gegevens op het opslagmedium. Daarom wordt de onderneming, wanneer tijdens het bedrijfsbezoek forensische images zijn gemaakt, de gelegenheid geboden aan te geven welke gegevens op de forensische images niet vallen binnen het doel en voorwerp van het onderzoek zoals vooraf kenbaar gemaakt. Dit geldt enkel met betrekking tot de zichtbare gegevens op de forensische images. Wanneer de onderneming gebruik wil maken van deze gelegenheid, wordt zij geacht binnen 10 werkdagen schriftelijk aan te geven welke gegevens op de forensische images niet vallen binnen het doel en voorwerp van het onderzoek zoals vooraf kenbaar gemaakt.

10. Zoals aangegeven in de nieuwe werkwijze is er in twee gevallen sprake van gegevens die niet vallen binnen het doel en voorwerp van het onderzoek. Ten eerste bij gegevens van personen waarvan geen vermoeden bestaat dat zij betrokken zijn bij activiteiten die het doel en voorwerp van het onderzoek betreffen. Ten tweede bij gegevens die naar hun aard redelijkerwijs niet binnen het doel en voorwerp van het onderzoek kunnen vallen.

Het onderzoek ten kantore van de NMa

11. Van de digitale kopieën en de forensische images die bij de onderneming zijn gemaakt, wordt ten kantore van de NMa een kluiskopie en een werkkopie gemaakt. Aan de kluiskopie worden enkel werkzaamheden verricht die het in stand houden van de informatie garanderen. Hierna wordt deze kopie in de kluis van de NMa opgeslagen.

De werkkopie zal worden gebruikt voor onderzoek en inzage. De gegevensdragers waarop de digitale kopieën en de forensische images na afloop van het bedrijfsbezoek zijn meegenomen, worden na het maken van de werkkopie en de kluiskopie gewist.³

12. Wanneer forensische images zijn gemaakt kan de NMa verwijderde bestanden zichtbaar maken⁴. Wanneer verwijderde bestanden zichtbaar worden gemaakt, wordt aan de onderneming een dvd⁵ gestuurd waarop alle zichtbaar gemaakte gegevens staan. In de procedure uit de Werkwijze voor het inzien en kopiëren van digitale gegevens en bescheiden van 6 juni 2003, werden aan de onderneming enkel de bestandsnamen gegeven.

Tevens wordt de onderneming wederom de gelegenheid geboden om binnen 10 werkdagen aan te geven welke gegevens, die door de ambtenaren van de NMa zichtbaar zijn gemaakt, niet vallen binnen het doel en voorwerp van het onderzoek zoals vooraf aan het bedrijfsbezoek kenbaar gemaakt, alsmede welke gegevens geprivilegieerd zijn en privé zijn.

13. Wanneer de onderneming heeft aangegeven welke bestanden niet vallen binnen het doel en voorwerp van het onderzoek, wordt haar de gelegenheid geboden aanwezig te zijn bij de toetsing van de door haar aangewezen gegevens. De onderneming ontvangt hierover schriftelijk bericht. Dit bericht bevat tevens de datum en het tijdstip waarop de toetsing zal plaatsvinden. Hiermee vervalt de procedure waarbij de onderneming wordt uitgenodigd om aanwezig te zijn bij onderzoek en inzage door de NMa.

14. Onderzoek en inzage wordt verricht in de gekopieerde digitale gegevens waaruit de door de onderneming aangewezen geprivilegieerde en privé-gegevens reeds zijn verwijderd, en waaruit tevens, voor zover het forensische images betreft, de gegevens zijn verwijderd die niet vallen binnen het doel en voorwerp van het onderzoek zoals vooraf aan het bedrijfsbezoek kenbaar gemaakt.

15. Het digitale materiaal kan aan hand van verschillende onderzoeksmethoden worden onderzocht en worden geanalyseerd. Alle onderzoekshandelingen die worden verricht en die leiden tot inzage in gegevens, worden digitaal vastgelegd in een logboek. Hiermee wordt verantwoording afgelegd over de wijze waarop de ambtenaren van de NMa onderzoek hebben gedaan.

16. Het logboek wordt, wanneer het onderzoek resulteert in een rapport, aan het rapportdossier toegevoegd. Derhalve kunnen ondernemingen alle onderzoekshandelingen die hebben geleid tot inzage in gegevens bekijken. Hiermee biedt de NMa volledige transparantie over het digitaal onderzoek.

¹ De NMa digitale werkwijze 2007 treedt in werking met ingang van de tweede dag na publicatie in de Staatscourant.

² Stcrt. 2003, nr. 109, laatstelijk gewijzigd in Stcrt. 2005, nr. 247.

³ De beheerswerkzaamheden zoals omschreven in de werkwijze en zoals hierboven toegelicht zijn niet veranderd ten opzichte van de vorige werkwijze.

⁴ Dit geldt tevens voor e-mail bestanden en andere bestandsformaten die verwijderde gegevens vasthouden zonder medeweten van de gebruiker.

⁵ Dit kan in sommige gevallen ook een cd-rom, een (externe) harde schijf of een andere gegevensdrager zijn.