BesluitBron ontsluit alleen gegevens die al openbaar zijn. Elk bronplatform is te lezen zonder account en zonder sleutel. Elk platform publiceert onder een eigen wettelijke grondslag: de Wet open overheid voor de bestuursorganen, de Bekendmakingswet voor de officiële publicaties en het publicatiebeleid van de Raad voor de rechtspraak voor de uitspraken.
Daaruit volgt de inrichting. De MCP-adressen van BesluitBron kennen geen authenticatie. Een inlog op openbare gegevens voegt geen bescherming toe. Zo'n inlog werpt wel een drempel op voor het gebruik waarvoor die gegevens juist openbaar zijn gemaakt. De beheerconsole is wel afgeschermd, want die toont het gedrag van de dienst en niet de gegevens.
Persoonsgegevens in de bron
De registers bevatten persoonsgegevens: namen van raadsleden, van indieners van moties, van insprekers en, in de uitspraken, van procespartijen voor zover die niet zijn geanonimiseerd. Die gegevens staan er omdat de wetgever of het bestuursorgaan heeft besloten dat zij openbaar zijn.
Twee gevolgen daarvan zijn voor de lezer van belang:
- BesluitBron voegt niets toe en laat niets weg. Wat het register toont, wordt doorgegeven; wat het register heeft weggelakt, is ook hier weg. Een verzoek tot verwijdering hoort daarom bij de bronhouder thuis en niet bij deze dienst;
- Het samenbrengen van meerdere bronnen in één vraag kan een profiel opleveren dat in geen van de bronnen afzonderlijk bestaat. Dat is een verwerking waarvoor de gebruiker zelf verantwoordelijk is. Daarvoor geldt de gebruikelijke afweging van doelbinding en proportionaliteit.
Wat de dienst zelf vastlegt
De dienst legt van elk MCP-verzoek vast welk gereedschap is aangeroepen, hoe lang dat duurde, hoeveel gegevens erbij betrokken waren en vanaf welk netwerk het kwam. De inhoud van het gesprek met de assistent komt niet bij BesluitBron terecht en wordt dus ook niet vastgelegd. Vanaf 1.3.54 wordt ook de organisatie vastgelegd die de client zelf noemt, als de client die meestuurt. Dat is de naam van een organisatie en niet van een persoon, en niemand controleert die. De bewaartermijn en de inrichting van dat logboek staan in Logging en Verantwoording.
Vanaf 1.3.10 wordt het IP-adres ingekort voordat het wordt vastgelegd, en wordt een e-mailadres in een vastlegging vervangen door een onomkeerbare waarde. Dat heeft een gevolg voor een verzoek om inzage. Zo'n verzoek kan gaan over vastleggingen bij een IP-adres en wordt dan behandeld, maar het vastgelegde adres wijst een netwerk aan dat door veel mensen wordt gedeeld. Die vastleggingen zijn dus niet aan één persoon toe te schrijven. De dienst beschrijft en telt wat er staat en geeft de inhoud van die regels niet, want dan zou zij het verkeer van anderen meegeven.
De verklaring op de site
Wat de website zelf vastlegt, is iets anders dan wat de MCP-dienst vastlegt. Dat staat vanaf 1.2.24 op een openbare pagina, "Privacy en cookies", bereikbaar via /nl/privacy en vanuit de voettekst van elk scherm. Die pagina beschrijft de cookies, de bezoekersmeting en de toestemmingsvraag, wie de gegevens ontvangt en hoe lang zij blijven staan. De beschrijving volgt wat er feitelijk gebeurt, en niet wat de bedoeling was.
Wie er nog meer bij betrokken is
Naast de dienst zelf zijn er andere partijen die gegevens van een bezoeker kunnen ontvangen. Wie dat zijn staat op de pagina "Verwerkers", bereikbaar via /nl/verwerkers en vanuit de voettekst van elk scherm. Per partij staat er waarvoor, waar, in welke hoedanigheid, en of die partij op deze installatie werkelijk wordt bereikt. Dat laatste is nodig, want een installatie die de bijbehorende instelling leeg laat, stuurt daar niets heen.
Vanaf 1.3.58 staat er ook een partij in de lijst die geen script in de pagina zet: het foutadres dat de beheerder zelf instelt. De dienst stuurt daar elke afgehandelde storing naartoe, met het netwerk, het browserkenmerk en, wie is aangemeld, de gebruikersnaam. De lijst noemt de instelling BesluitBron:ErrorHandling:PostUrl en niet het adres zelf, want welk adres dat is, kiest de beheerder.
De lijst noemt ook wie via wie binnenkomt. Deze site laadt zelf maar een script van een andere partij: de tagcontainer. Alles wat daar doorheen komt, staat in de lijst met die container erbij. Zo is de keten zichtbaar in plaats van alleen de namen.
De lijst staat op een openbare pagina, zonder aanmelden, en is ook machineleesbaar op /processors.json. Wie de lijst over de tijd wil vergelijken, hoeft dus niet te vragen en niet te bellen.
Er is een regel die de lijst compleet houdt: een partij toevoegen betekent de lijst bijwerken in dezelfde wijziging. Een adres dat de dienst in een pagina zet terwijl geen regel in de lijst dat adres opeist, wordt bij het opstarten gemeld en laat een test falen. Wat een tagcontainer zelf toevoegt, valt buiten die controle; dat wordt bijgehouden bij de container. Vanaf versie 1.3.34.
Wat dit niet regelt
Deze pagina beschrijft de inrichting van de dienst en niet de rechtmatigheid van een concreet gebruik. Of een bepaalde bevraging binnen een organisatie is toegestaan, volgt uit het eigen verwerkingsregister en het eigen beleid van die organisatie.