Wanneer het scannen van een document niet voldoende is: de uitdaging van betrouwbare digitale documenten

Maar voor documenten waarvoor bewaar-, controle-, regelgevings- of wettelijke vereisten gelden, biedt het louter beschikken over een digitale kopie niet noodzakelijkerwijs een antwoord op de belangrijkere vragen. 

Is het document correct gescand? Wie heeft het gescand? Kan de organisatie aantonen dat de digitale kopie een getrouwe weergave is van het origineel? Is het document gecontroleerd voordat het originele papieren exemplaar werd weggegooid?

En kan de organisatie jaren later aantonen hoe dat dossier tot stand is gekomen en is goedgekeurd?

Deze vragen worden steeds belangrijker naarmate organisaties papieren processen vervangen door digitale dossiers.

De kloof tussen scannen en betrouwbare digitalisering 

Er is een belangrijk verschil tussen het digitaliseren van een document en het aanvaarden van de daaruit voortvloeiende digitale kopie als officieel document.

Bij een standaard scanproces ligt de nadruk doorgaans op het aanmaken van een digitaal bestand. Zodra het scannen is voltooid, kan het bestand worden opgeslagen in een map, een documentbeheersysteem, een cloudopslagplatform of een archief.

Het probleem is dat het uiteindelijke bestand niet per se aanwijzingen bevat over het proces waarmee het is gemaakt.

Een PDF-bestand kan de inhoud van een document weergeven, maar het is mogelijk dat het volgende niet wordt weergegeven: 

• Wie heeft de scan uitgevoerd? 

• Welk apparaat is gebruikt? 

• Hoe het document is gescand 

• Of de scan is gecontroleerd op kwaliteit en volledigheid 

• Wie heeft de uiteindelijke digitale kopie gecontroleerd? 

• Of het document was goedgekeurd voordat het origineel werd vernietigd 

• Of het digitale document beveiligd was tegen latere wijzigingen

Voor organisaties die de betrouwbaarheid van hun digitale documenten moeten aantonen, is het opslaan van het bestand slechts een deel van het probleem. Ook het proces achter het bestand is van belang.

In de Europese regelgeving wordt steeds meer nadruk gelegd op digitaal vertrouwen 

In heel Europa opereren organisaties in een omgeving waarin de integriteit, de beveiliging, de verantwoordingsplicht en de bewijskracht van digitale informatie van groot belang zijn.

De Algemene Verordening Gegevensbescherming (AVG) van de EU schrijft bijvoorbeeld voor dat persoonsgegevens met passende beveiligingsmaatregelen moeten worden verwerkt, waaronder bescherming tegen ongeoorloofde of onrechtmatige verwerking en tegen onopzettelijk verlies, vernietiging of beschadiging. Daarnaast legt de verordening verantwoordingsplicht vast, waarbij organisaties moeten kunnen aantonen dat zij de relevante beginselen naleven.

Het Europese kader voor elektronische identificatie en vertrouwensdiensten erkent eveneens het belang van mechanismen die de integriteit en herkomst van elektronische informatie vaststellen. Op grond van eIDAS kunnen rechtspersonen elektronische zegels gebruiken om de herkomst en integriteit van gegevens en documenten te waarborgen, terwijl elektronische tijdstempels als bewijs kunnen dienen van het tijdstip waarop gegevens bestonden en de integriteit van die gegevens kunnen ondersteunen.

Dit betekent niet dat voor elk gescand document dezelfde controlemaatregelen nodig zijn.

Dit houdt wel in dat organisaties moeten weten welk niveau van zekerheid passend is voor de documenten die zij digitaliseren en welk bewijsmateriaal zij later mogelijk moeten overleggen.

Het opslaan van een document is niet hetzelfde als het behouden van de bewijskracht ervan

Stel je een document voor dat is gescand en digitaal is opgeslagen. Als het papieren origineel wordt bewaard, is er nog steeds een fysiek referentiepunt. Als het papieren origineel wordt vernietigd, wordt de digitale versie veel belangrijker.

De organisatie moet dan wellicht aantonen dat de digitale kopie een betrouwbare weergave van het origineel is en dat het proces waarmee deze is gemaakt, naar behoren is gecontroleerd.

Dit vormt een uitdaging voor organisaties die scannen beschouwen als een eenvoudige activiteit waarbij documenten worden vastgelegd en opgeslagen. Een digitaal archief kan duizenden of miljoenen documenten bevatten, maar het archief zelf geeft niet per se aan hoe elk document in het systeem is terechtgekomen.

Zonder passende controles kunnen organisaties uiteindelijk komen te zitten met een verzameling digitale bestanden zonder dat er een duidelijk, verifieerbaar overzicht is van het proces dat daaraan ten grondslag ligt.

Scannen van vervangende documenten legt de lat hoger

Duitsland biedt een bijzonder duidelijk voorbeeld van deze uitdaging in de vorm van TR-RESISCAN, de technische richtlijn van het Duitse Federale Bureau voor Informatiebeveiliging voor het scannen van vervangingsmateriaal.

De richtlijn heeft betrekking op situaties waarin papieren documenten worden gedigitaliseerd en het origineel vervolgens kan worden vernietigd. Er wordt in het proces uitgegaan van een levenscyclusbenadering, in plaats van het scannen te beschouwen als een op zichzelf staande technische handeling.

Dat omvat onder meer aspecten als het opstellen van documenten, het scannen, de nabewerking, het waarborgen van de integriteit, organisatorische controles, personeel en technische beveiligingsmaatregelen.

Het uitgangspunt is: als de digitale kopie het papieren exemplaar gaat vervangen, moet de organisatie vertrouwen hebben in het proces waarmee die digitale kopie tot stand is gekomen.

Waarom het scanproces zelf belangrijk is

Bij een gecontroleerd digitaliseringsproces gaat het om meer dan alleen de beeldkwaliteit. Er moet rekening worden gehouden met de betrokken personen, de gebruikte apparatuur, het document zelf, het controleproces en de bewijsstukken die worden bewaard om aan te tonen wat er is gebeurd.

Organisaties moeten bijvoorbeeld het volgende vaststellen: 

1. Wie heeft het document vastgelegd?
   Een digitaal document is nuttiger wanneer de organisatie het kan koppelen aan de persoon of het proces dat verantwoordelijk is voor het vastleggen ervan.

2. Hoe is het vastgelegd?
   Informatie over het scanapparaat en de scanomstandigheden kan relevant zijn om aan te tonen hoe de digitale kopie tot stand is gekomen.

3. Is het resultaat gecontroleerd?
   Een scan kan ontbrekende pagina's, een slechte resolutie, onjuiste kleurinstellingen of andere problemen bevatten die niet direct uit de PDF zelf blijken.

4. Wie heeft de digitale kopie geaccepteerd?
   Er is een aanzienlijk verschil tussen het maken van een scan en het formeel accepteren van die scan als digitaal document.
   
   Voor documenten met strengere beveiligingseisen kan het scheiden van de persoon die de scan maakt en de persoon die verantwoordelijk is voor de goedkeuring een extra controlemaatregel bieden.

5. Kan de integriteit van het document worden aangetoond?
   Digitale handtekeningen, zegels, tijdstempels en andere mechanismen kunnen bewijs leveren over de integriteit of herkomst van elektronische informatie, afhankelijk van het specifieke proces en de vereisten. De Europese wetgeving inzake vertrouwensdiensten biedt een kader voor deze mechanismen.

6. Is er bewijs van wat er is gebeurd?
   Een einddocument is wellicht niet voldoende. Organisaties hebben mogelijk ook documentatie nodig waaruit blijkt hoe het digitaliseringsproces is verlopen.

Het probleem wanneer elke scan op dezelfde manier wordt behandeld

Aan een gewoon intern document en aan een document waarop men zich kan beroepen voor juridische, financiële, gezondheidszorg-, overheids- of regelgevingsdoeleinden gelden niet noodzakelijkerwijs dezelfde eisen.

De uitdaging is dan ook om niet elk scanproces onnodig ingewikkeld te maken.

Het doel is om vast te stellen op welke punten de gevolgen van een onbetrouwbaar digitaal document aanzienlijk zijn en om passende controles rond die documenten in te voeren.

Dit geldt met name voor organisaties die documenten digitaliseren voordat ze de papieren originelen vernietigen.

Overheidsinstanties, financiële dienstverleners en verzekeringsmaatschappijen, zorgverleners, juridische instellingen en andere gereguleerde sectoren kunnen beschikken over documenten waarbij het van belang is dat de authenticiteit, integriteit en procesgeschiedenis nog lang nadat het document oorspronkelijk is gescand, kunnen worden aangetoond.

Welke sporen blijven er over als het papier verdwenen is?

Een bestand dat in een archief is opgeslagen, kan je vertellen wat het document bevat. Een gecontroleerd digitaliseringsproces kan ook informatie verschaffen over hoe dat document een digitaal document is geworden.

Dat onderscheid wordt steeds belangrijker naarmate organisaties steeds minder gebruikmaken van papier en steeds meer vertrouwen op digitale archieven. Het doel is niet alleen om meer documenten te scannen of ze efficiënter op te slaan.

Het doel is om digitale documenten te creëren die betrouwbaar zijn en die op de lange termijn kunnen worden beheerd en verantwoord.

Voorbereiding op een meer gestructureerde aanpak van digitalisering

Wanneer digitale documenten bedoeld zijn om papieren originelen te vervangen, gereguleerde processen te ondersteunen of een audit of juridisch onderzoek te doorstaan, verdient het scanproces evenveel aandacht als het archief waarin het uiteindelijke document wordt bewaard.

Dat betekent dat er praktische vragen moeten worden gesteld over het vastleggen, controleren, goedkeuren, de integriteit, het bewaren en het bewijsmateriaal. 

Want zodra het origineel verdwenen is, hangt de waarde van het digitale document niet alleen af van het document zelf, maar ook van de vraag of de organisatie kan aantonen hoe dat document tot stand is gekomen.

De toekomst van het digitaliseren van documenten draait niet alleen om het overzetten van papieren documenten naar digitale opslag. Het gaat erom dat je kunt vertrouwen op wat er tijdens dat proces gebeurt.

MyQ heeft een aanpak ontwikkeld om deze leemte aan te pakken

We zullen dit tijdens ons komende webinar toelichten, waarbij we zullen bekijken hoe een gestructureerde scanworkflow organisaties kan ondersteunen die meer zekerheid nodig hebben over de digitale documenten die ze aanmaken. 

Neem deel aan het webinar op 17 september 2026 om te zien hoe MyQ aanpak van het digitaliseren van vertrouwde documenten en wat dit voor uw scanprocessen kan betekenen. Schrijf u hier in voor de ochtendsessie of hier voor de middagsessie.