Open bronnenonderzoek en privacyregels
Open bronnenonderzoek gebruikt informatie die publiek toegankelijk is, zoals websites, nieuwsberichten, openbare profielen, beeldmateriaal en registers. Maar openbaar betekent niet dat u zulke gegevens onbeperkt mag verzamelen, combineren, bewaren of delen. Zodra u gericht zoekt naar personen, gedragingen of verbanden, gelden eisen uit de privacywetgeving. Doel, bevoegdheid of grondslag, noodzakelijkheid, proportionaliteit en zorgvuldige verwerking bepalen samen wat wel en niet verdedigbaar is. Deze praktische uitleg helpt professionals in overheid, veiligheid en toezicht om OSINT uit te voeren zonder juridische of ethische grenzen te overschrijden.
Waarom openbaar niet hetzelfde is als onbeperkt bruikbaar
Open bronnenonderzoek, vaak OSINT genoemd, is het verzamelen en analyseren van informatie uit bronnen die voor het publiek toegankelijk zijn. In deze uitleg gaat het om informatie die rechtmatig uit publiek toegankelijke bronnen wordt verkregen. Toegang tot afgeschermde omgevingen, identiteitsmisleiding en technische inbreuken vallen niet zonder meer onder OSINT en vereisen een afzonderlijke beoordeling binnen de wet- en regelgeving in openbare orde en veiligheid. Juist omdat online veel zichtbaar is, neemt de zorgvuldigheid toe. U moet selecteren wat relevant is, correct interpreteren wat de context is en vastleggen waarom een vondst ertoe doet. Ook openbare posts, foto’s en profielen kunnen privacybelangen raken zodra u die gericht opspoort, combineert met andere gegevens of opnieuw gebruikt in een onderzoek of procedure.
Welke privacyregels sturen open bronnenonderzoek?
| Toetssteen | Wat dit betekent in de praktijk |
|---|---|
| Juridisch kader | Welk kader geldt, hangt af van taak, organisatie en soort gegevens. De AVG geldt vaak, maar verwerking voor rechtshandhaving kan in Nederland onder de Wpg of de Wjsg vallen; daarnaast kunnen sectorspecifieke wetten relevant zijn. |
| Grondslag | Ook bij openbare bronnen is voor iedere verwerking van persoonsgegevens een grondslag nodig. Voor private organisaties is bij scraping van openbare persoonsgegevens vaak alleen een beroep op gerechtvaardigd belang denkbaar, maar dat is door de schaal en gevoeligheid vaak moeilijk of onmogelijk. |
| Doelbinding | Bepaal vooraf waarom u zoekt. Gebruik voor een ander doel vereist een toets aan doelbinding: beoordeel of het nieuwe doel verenigbaar is met het oorspronkelijke doel. Is het doel onverenigbaar, dan is een afzonderlijke rechtsgrond of specifieke wettelijke basis nodig. |
| Noodzakelijkheid | Verzamel alleen informatie die nodig is voor de onderzoeksvraag, niet alles wat online beschikbaar is. |
| Proportionaliteit | Hoe groter de inbreuk, bijvoorbeeld bij het combineren van persoonsgegevens of gebruik voor handhaving, hoe zwaarder de motivering moet zijn. |
| Subsidiariteit en dataminimalisatie | Kies de minst ingrijpende werkwijze en beperk bronnen, zoektermen, reikwijdte en bewaarkeuzes. |
| Bijzondere persoonsgegevens en strafrechtelijke gegevens | OSINT kan bijzondere persoonsgegevens of strafrechtelijke gegevens opleveren. Daarvoor gelden aanvullende, strenge voorwaarden; voor private organisaties is verwerking daarvan vaak niet toegestaan. |
| Transparantie bij indirecte verzameling | Wanneer persoonsgegevens niet rechtstreeks bij de betrokkene zijn verkregen, geldt in beginsel een informatieplicht. Daarbij moet onder meer de bron worden genoemd, inclusief de vermelding dat gegevens uit openbare bronnen afkomstig zijn, tenzij een wettelijke uitzondering geldt. |
| DPIA | Voer vóór verwerking een DPIA uit wanneer de verwerking waarschijnlijk een hoog risico oplevert. Structurele of grootschalige monitoring kan een DPIA-plicht opleveren; vraag, als een FG is aangewezen, diens advies bij de DPIA. |
| Ethische grens | Dat u iets kunt vinden, is nog geen reden om het ook te gebruiken. Relevantie, fairness en mogelijke schade tellen mee. |
Een onderzoek zorgvuldig opzetten
- Formuleer eerst een concrete onderzoeksvraag en leg het doel vast, zodat duidelijk is waarnaar u zoekt en waarvoor de uitkomst wordt gebruikt.
- Kies vooraf welke openbare bronnen relevant en verdedigbaar zijn; breed of ongericht zoeken leidt snel tot onnodige verwerking van persoonsgegevens.
- Werk met zoektermen, tijdvakken, inclusie- en exclusiecriteria en duidelijke stopcriteria, zodat het onderzoek proportioneel en achteraf controleerbaar blijft.
- Breng vanaf de start ook veiligheids- en afbreukrisico’s in kaart voor onderzoeker, organisatie en betrokkenen, inclusief escalatie en ongewenste verspreiding van bevindingen.
Bronnen vinden en informatie verifiëren
Effectief open bronnenonderzoek gaat verder dan alleen een zoekmachine of een bekend socialmediaplatform. Relevante informatie kan ook zitten in openbare documenten, websites van organisaties, beeldbanken, reacties onder berichten, videoplatforms, forums, archieven of openbaar toegankelijk beeldmateriaal. Juist die combinatie van bronnen kan waardevol zijn, mits u vooraf kunt uitleggen waarom ze nodig zijn voor uw onderzoeksvraag.
Online informatie is vaak vluchtig. Berichten worden aangepast, accounts verdwijnen en afbeeldingen worden opnieuw geplaatst zonder context. Daarom is het belangrijk om bevindingen tijdig vast te leggen, met bronverwijzing, datum, tijd en de zichtbare context van de pagina. Tegelijk geldt dat u niet méér persoonsgegevens hoeft op te slaan dan nodig is. Soms volstaat een relevante passage met URL en tijdsaanduiding, in plaats van een volledig profiel of een complete tijdlijn.
Verifiëren is essentieel. Kijk wie de bron heeft gepubliceerd, of het om een origineel of een doorplaatsing gaat, wanneer en waar het materiaal vermoedelijk is gemaakt en of andere onafhankelijke bronnen hetzelfde beeld ondersteunen. Controleer ook of conclusies niet worden getrokken uit losse fragmenten zonder context. Beelden kunnen eenvoudig zijn bewerkt en ook deepfakes maken visuele informatie minder vanzelfsprekend betrouwbaar. Onbevestigde, irrelevante of speculatieve informatie hoort daarom niet in de kern van uw analyse thuis, hoe opvallend of bruikbaar die op het eerste gezicht ook lijkt.
Van losse vondst naar een verdedigbaar dossier
| Onderdeel | Zorgvuldige werkwijze |
|---|---|
| Feitelijke vastlegging | Noteer per bevinding bron, URL, datum, tijd, context en of het om origineel materiaal of een kopie gaat. Scheid feiten duidelijk van interpretaties. |
| Onzekerheden benoemen | Leg vast wat nog niet is geverifieerd, welke informatie ontbreekt en welke alternatieve uitleg mogelijk blijft. Dat verhoogt de transparantie van het dossier. |
| Bewaren | Bewaar alleen wat nodig is voor het onderzoeksdoel. Kies passende toegangsbeperking en maak bewuste keuzes over bewaartermijn en versiebeheer. |
| Delen en uitwisselen | Deel informatie alleen met personen of partners die deze voor het doel nodig hebben. Leg bij externe samenwerking rollen, doeleinden, grondslagen, toegangsrechten, beveiliging en afspraken over verstrekking vast. Zorg bovendien dat de organisatie naleving kan aantonen. |
| Gebruik in procedures | Bij gebruik in handhaving, tuchtrecht of procedures kunnen aanvullende bewijs-, proces- en sectorspecifieke regels gelden. Leg daarom herkomst, context, wijze van verkrijging en onzekerheden zorgvuldig vast. Een sterk dossier is selectief, navolgbaar en toetsbaar. |
Waar liggen de grenzen en risico’s in de praktijk?
In de praktijk ontstaan problemen vaak door te brede zoekslagen, onjuiste duiding of het te lang bewaren en te ruim delen van bevindingen. Dat kan leiden tot reputatieschade, onnodige inbreuk op privacy en zelfs onveiligheid voor onderzoekers. Interne protocollen helpen om kwaliteit, rolverdeling, toetsing en consistente besluitvorming te borgen. Betrek een Functionaris voor Gegevensbescherming, jurist of privacyprofessional vroegtijdig bij structurele monitoring, gevoelige gegevens, broncombinaties met grotere impact of samenwerking met externe partijen. Voer vóór verwerking een DPIA uit wanneer de verwerking waarschijnlijk een hoog risico oplevert; structurele of grootschalige monitoring kan zo’n DPIA-plicht opleveren. Als een FG is aangewezen, vraag dan diens advies bij de DPIA. Wie deze afwegingen verder wil verdiepen, vindt op sbo.nl onder meer de opleiding Functionaris Gegevensbescherming, de juridische update data & technologie en de opleiding Open Bronnenonderzoek.
Als projectmanager en teammanager opleidingen en congressen bij Euroforum en SBO, onderdeel van Cegos group, ontwikkelt Lieveke opleidings- en congresprogramma’s binnen de vakgebieden onderwijs en veiligheid. Als aanjager, onderzoeker en netwerker, verbindt ze vakinhoudelijke experts aan actuele en maatschappelijke thematiek en vertaalt ze daarmee buikpijndossiers, uitdagingen in werkveld naar concrete scholingproramma’s in de vorm van opleidingen, congressen en andere events.