De AVG geeft geen algemene bewaartermijn van twee, vijf of zeven jaar. Volgens artikel 5 lid 1 onder e AVG bewaart u persoonsgegevens in identificeerbare vorm niet langer dan nodig voor het doel. Een andere wet kan voor specifieke documenten juist een minimumtermijn voorschrijven. De juiste vraag is daarom niet: „Hoe lang mag ik alle klantgegevens bewaren?”, maar: „Welk gegeven is voor welk doel nodig, wanneer eindigt dat doel en geldt er nog een afzonderlijke bewaarplicht?”
De Autoriteit Persoonsgegevens (AP) zegt dat organisaties hun termijn zelf moeten bepalen en onderbouwen waar geen specifieke wet geldt. Deze gids onderscheidt wettelijke plichten van voorbeelden uit AP-voorlichting, legt het startmoment van een termijn uit en laat zien hoe een verwijderregel daadwerkelijk werkt. Voor de samenhang met de overige beginselen kunt u artikel 5 AVG raadplegen.
Eerst het doel, dan de termijn
Een bewaartermijn hoort bij een verwerking en doel, niet bij een hele applicatie. Een webshop kan een afleveradres nodig hebben om een bestelling te bezorgen, een factuur voor de fiscale administratie en een e-mailadres voor een nieuwsbrief. Die drie doelen eindigen niet op hetzelfde moment. Het bestaan van een wettelijke bewaarplicht voor de factuur betekent niet dat ook de nieuwsbriefinschrijving of het volledige winkelgedrag zeven jaar moet blijven staan.
Artikel 5 lid 1 onder e kent beperkte ruimte voor langere bewaring voor archivering in het algemeen belang, wetenschappelijk of historisch onderzoek en statistische doeleinden, mits de waarborgen van artikel 89 lid 1 worden toegepast. Dat is geen vrijbrief om een oud klantbestand „archief” te noemen. Beschrijf het nieuwe doel, beperk toegang en beoordeel welke gegevens nog identificeerbaar moeten zijn. Een gewone opslagmap zonder actief gebruik blijft een vorm van bewaren.
Maak bij elk gegevensveld onderscheid tussen een minimum en een maximum. Een fiscale bewaarplicht verplicht de organisatie bepaalde administratie gedurende de wettelijke periode te behouden. Een doelgebonden periode geeft juist de grens aan waarop voortgezette bewaring opnieuw moet worden gerechtvaardigd. Andere doelen, zoals een lopende procedure of een garantieclaim, kunnen een afzonderlijk en beperkt dossier rechtvaardigen. Leg dan vast welk onderdeel langer blijft en waarom; verleng niet automatisch het hele profiel.
Overzicht van Nederlandse voorbeelden
De volgende tabel is een startpunt voor beoordeling. De AP vermeldt voor veel gegevens geen vaste wettelijke termijn; de beschreven voorbeelden zijn dus geen universele vrijstelling van de noodzaaktoets.
| Gegevens en doel | Termijn of beoordelingspunt | Juridische status |
|---|---|---|
| Basisgegevens van de bedrijfsadministratie | In beginsel zeven jaar nadat de actuele waarde is vervallen | Fiscale bewaarplicht; bepaal welke stukken eronder vallen |
| Btw-gegevens over onroerende zaken en rechten daarop | Tien jaar | Bijzondere fiscale termijn |
| Kopie identiteitsbewijs werknemer en specifieke loonheffingsformulieren | Ten minste vijf jaar na het einde van het kalenderjaar waarin het dienstverband eindigde | AP-uitleg over personeelsdossiers en identiteitsbewijzen |
| Overige personeelsdossierstukken zonder eigen bewaarplicht | In het algemeen uiterlijk twee jaar na uitdiensttreding, eerder als niet meer nodig | AP-richtsnoer, met een concrete uitzondering bijvoorbeeld bij een geschil |
| Afgewezen sollicitatie | Gebruikelijk uiterlijk vier weken na afronding; met passende toestemming kan maximaal een jaar redelijk zijn | AP-voorlichting, geen algemene AVG-wetstermijn |
| Beveiligingscamerabeelden | Niet langer dan noodzakelijk; geselecteerde beelden van een incident eventueel tot afhandeling | Actuele AP-regel, geen algemene wettelijke „altijd vier weken”-regel |
| Klantaccount, nieuwsbrief en supportdossier | Bepaal per doel, gebeurtenis en noodzaak | Geen vaste AVG-termijn voor alle klanten of alle e-mailadressen |
Een tabel op internet kan niet vaststellen welke belastingregel op uw document of welke sectorwet op uw dossier van toepassing is. Controleer de actuele officiële regel bij de verantwoordelijke proceseigenaar. Noteer bovendien wanneer de klok gaat lopen: vanaf ontvangst, einde dienstverband, einde kalenderjaar, laatste aankoop of het vervallen van de actuele waarde? Zonder startmoment is „zeven jaar” geen uitvoerbare verwijderregel.
Fiscale administratie: zeven jaar is geen termijn voor alles
De Belastingdienst onderscheidt basisgegevens van de administratie, zoals grootboek, debiteuren- en crediteurenadministratie, inkoop, verkoop en loonadministratie. Voor die gegevens geldt in beginsel zeven jaar. Voor gegevens over onroerende zaken en rechten daarop vermeldt de Belastingdienst tien jaar. De officiële uitleg maakt duidelijk dat de bewaartermijn van zeven jaar begint wanneer een gegeven zijn actuele waarde voor de bedrijfsvoering verliest. Een doorlopend contract kan dus eerst jaren actueel blijven voordat deze periode begint.
Bij sommige overige gegevens kan de Belastingdienst schriftelijk een kortere termijn afspreken; die mogelijkheid geldt niet zomaar voor de basisgegevens. Controleer ook bijzondere regelingen voordat u een automatische zevenjaarsregel instelt. Zet in uw schema daarom de documentcategorie, fiscale bron en het startmoment. Beperk de bewaring tot het stuk dat echt tot de administratie behoort. Een factuur kan verplicht blijven terwijl het marketingprofiel dat tot die bestelling leidde al weg moet.
Technisch betekent dit dat u administratieve bewijsstukken gescheiden houdt van actieve klantfuncties. Geef niet elke medewerker en elke marketingtool toegang tot een oud factuurarchief. Is een bewaarplicht nog niet verstreken, dan is verwijdering van de factuur niet de juiste reactie op een algemeen wisverzoek; beoordeel wel of overbodige kopieën, exportbestanden en afgeleide profielen kunnen verdwijnen. De bewaarplicht geeft geen eigen recht om alle informatie opnieuw voor marketing te gebruiken.
Personeel en sollicitanten: meerdere klokken in één dossier
Een personeelsdossier bevat arbeidscontracten, loonheffingsinformatie, beoordelingen, verzuimgegevens en correspondentie. Dat is geen enkele categorie met één einddatum. De AP-pagina over personeelsdossiers noemt voor sommige gegevens uit de salarisadministratie en arbeidsovereenkomsten zeven jaar na uitdiensttreding; specifieke loonbelastingformulieren en kopieën van identiteitsbewijzen moeten vijf jaar na het einde van het dienstverband bewaard worden. De AP-uitleg over het identiteitsbewijs preciseert dat dit ten minste vijf jaar is na het einde van het kalenderjaar waarin het dienstverband eindigde. Neem dat startmoment expliciet over in uw systeemregel.
Voor stukken zonder eigen wettelijke bewaarplicht noemt de AP in het algemeen een grens van twee jaar na vertrek, of eerder als ze niet meer nodig zijn. Denk aan functioneringsgesprekken en gewone personeelscorrespondentie. Een lopend arbeidsconflict of procedure kan voor relevante stukken langer bewaren rechtvaardigen, maar schrijf dan op welk geschil speelt, wie het dossier mag inzien en wanneer de noodzaak opnieuw wordt bekeken. Medische details of uitgebreide verzuimnotities horen niet automatisch in hetzelfde archief als loonbewijzen. De privacyverklaring voor werknemers moet aansluiten op de feitelijke termijnen.
Voor afgewezen sollicitanten noemt de AP vier weken na afronding van de procedure als gebruikelijke verwijdertermijn. Met toestemming voor een toekomstige vacature kan een termijn tot een jaar redelijk zijn. Vraag die keuze afzonderlijk en maak duidelijk wanneer en hoe de sollicitant die kan intrekken. Een recruiter die een cv in een persoonlijke mailbox of op een exportlijst laat staan, voert de verwijderregel niet uit. Bekijk het volledige proces in AVG bij werving en selectie; de AVG kent hier geen algemene wettelijke vierwekentermijn voor elke mogelijke sollicitatieverwerking.
Camerabeelden, accounts en nieuwsbrieven
Voor cameratoezicht zegt de actuele AP-uitleg dat beelden niet langer mogen blijven dan noodzakelijk. Als een diefstal is vastgelegd, mogen de betreffende beelden tot afhandeling van het incident bewaard worden. Een vaak herhaald maximum van vier weken komt uit oudere AP-beleidsregels en is geen algemene wettelijke standaardtermijn onder de AVG. Kies een concrete korte termijn op basis van het beveiligingsdoel, laat de recorder automatisch overschrijven en stel een afzonderlijke, gemotiveerde procedure in voor het veiligstellen van incidentbeelden. De bronopname van alle andere camera’s hoeft daardoor niet langer te blijven.
Voor een klantaccount is „zolang de relatie bestaat” vaak te vaag. Wanneer is een inactief account niet langer nodig? Worden bestellingen, facturen, bezorggegevens en favorieten apart verwijderd? Gebruik een redelijke inactiviteitscontrole en onderzoek of de klant de dienst werkelijk nog gebruikt. Voor een nieuwsbrief eindigt het doel als iemand zich afmeldt. De toestemming voor gegevensverwerking kan worden ingetrokken; bewaar dan hoogstens de beperkte gegevens die nodig zijn om de afmelding te respecteren en te kunnen aantonen, zolang dat doel dat rechtvaardigt. Een nooit geopende nieuwsbrief is geen automatisch argument voor eindeloze bewaring.
Een supportverzoek vraagt weer een andere regel. Het ticket kan kort nodig zijn om een klacht af te handelen en daarna mogelijk beperkt voor een concrete aanspraak. Een vaag „mogelijk ooit nuttig” is onvoldoende. Definieer voor routinevragen en klachten aparte startgebeurtenissen en herbeoordeel open zaken. Zo voorkomt u dat één langlevend account ook alle oude chatbijlagen, schermopnamen en identiteitskopieën in leven houdt.
Bouw een bewaarmatrix die een systeem kan uitvoeren
Een bruikbare bewaarmatrix bevat ten minste: verwerking en doel; gegevenscategorie; rechtsgrond; eventuele wettelijke bewaarplicht met bron; gebeurtenis die de termijn start; termijn of criterium; verwijderactie; verantwoordelijke; systemen en verwerkers; en datum van de volgende controle. In het model voor een bewaartermijnenbeleid kunt u die beslissingen per verwerking uitwerken. Koppel de matrix aan uw verwerkingsregister. Artikel 30 lid 1 onder f AVG verlangt daarin, indien mogelijk, de beoogde termijnen voor het wissen van de verschillende categorieën. Schrijf dus geen absolute wettelijke precisie in een veld waar de wet een voorwaarde stelt, maar documenteer een werkbaar criterium.
Een voorbeeldregel voor een webshop kan luiden: „Facturen: zeven jaar na vervallen van hun actuele waarde voor de administratie; bron Belastingdienst; alleen finance heeft toegang; gecontroleerde verwijdering na afloop.” Een andere regel luidt: „Niet-bestelde winkelwagen: verwijder na een intern gemotiveerde korte periode van inactiviteit.” Dat tweede getal volgt niet uit een vaste AVG-tabel; product en privacyteam moeten het noodzakelijke doel onderbouwen. Leg vervolgens de instellingen van webshop, CRM, betaalsysteem, e-mailplatform en exportmap naast de matrix. Als het CRM na verwijdering toch automatisch een oude lijst opnieuw importeert, klopt het beleid alleen op papier.
Informeer betrokkenen over de bewaartermijn of, als die niet exact te geven is, de criteria om de termijn te bepalen. Dat volgt uit artikelen 13 lid 2 onder a en 14 lid 2 onder a AVG. Een privacyverklaring met „wij bewaren zo lang als noodzakelijk” zonder uitleg van doeleinden of criteria helpt een klant weinig. Maak een beschrijving per soort verwerking die bij de interne matrix past, zonder interne beveiligingsdetails bloot te leggen. Gebruik dataminimalisatie om te voorkomen dat het schema onnodig grote categorieën moet dekken.
Wissen, anonimiseren en back-ups
Een record „archiveren” in hetzelfde systeem is geen verwijdering. Bepaal of u het gegeven werkelijk wist, onomkeerbaar anonimiseert of voor een apart rechtmatig doel beperkt bewaart. Pseudonimisering is geen anonimisering wanneer herleiding met aanvullende informatie nog mogelijk is; de AVG blijft dan van toepassing. Bij echte anonimisering beoordeelt u of heridentificatie redelijkerwijs nog mogelijk is, ook met gegevens die een ontvanger waarschijnlijk kan gebruiken. Een simpele vervanging van de naam door een klantnummer voldoet vaak niet.
Maak de verwijderregel concreet voor productie, zoekindexen, losse exports en leveranciers. Voor back-ups kan onmiddellijk per record wissen technisch lastig zijn. Beperk toegang, hanteer een afgebakende overschrijfcyclus en zorg dat een teruggezette back-up verwijderde records niet weer blijvend actief maakt. Documenteer wie herstel controleert. Dat is nauwkeuriger dan beloven dat gegevens op exact dezelfde seconde uit elk medium verdwijnen. Als een verwerker gegevens namens u bewaart, moet de verwerkersovereenkomst onder meer regelen dat die na afloop van de dienstverlening naar keuze van de verwerkingsverantwoordelijke worden gewist of teruggegeven, tenzij een wettelijke bewaarplicht voor de verwerker geldt.
Controleer verwijdering steekproefsgewijs. Kies een oud account, een verlopen sollicitatie en een afgesloten supportticket. Kijk niet alleen naar het scherm: controleer ook of de gegevens nog via rapportages, API’s of een eerdere export beschikbaar zijn. Leg de testdatum, afwijking, herstelactie en hertest vast. Zo kan de organisatie onderbouwen dat de bewaartermijn werkelijk wordt uitgevoerd. Een tool kan een eigenaar en een herzieningsdatum zichtbaar maken, maar neemt de juridische beoordeling en de technische test niet over.
Wisverzoeken en uitzonderingen
Het recht op vergetelheid uit artikel 17 AVG en opslagbeperking werken naast elkaar. U moet ook zonder verzoek gegevens verwijderen wanneer het doel en elke andere geldige grond voor bewaring eindigen. Bij een verzoek onderzoekt u per gegevenscategorie welke verwerking nog nodig of wettelijk verplicht is. Artikel 17 lid 3 noemt onder meer een noodzakelijke verwerking wegens een wettelijke verplichting of voor rechtsvorderingen. Dat rechtvaardigt een beperkte bewaring van relevante facturen of processtukken, niet het behoud van alle oude marketingdata.
Antwoord aan de betrokkene concreet: welke gegevens zijn verwijderd, welke blijven beperkt bewaard, op welke grond en hoe lang? Artikel 12 lid 3 AVG vraagt een reactie zonder onredelijke vertraging en in beginsel binnen een maand. Als gegevens aan ontvangers zijn verstrekt en artikel 19 van toepassing is, beoordeel dan ook het informeren van die ontvangers over de wissing. Een goed dossier bevat de datum van ontvangst, de zoekactie per systeem en de beslissing. Een afwijzing met alleen „wij hebben een bewaarplicht van zeven jaar” is te breed wanneer het verzoek tegelijk een nieuwsbrief, profiel en factuur betreft.
Een tijdelijk geschil vraagt een afzonderlijke beslissing. Stel vast welke stukken nodig zijn om een concrete vordering in te stellen, uit te oefenen of te onderbouwen, wie toegang krijgt en wanneer de zaak opnieuw wordt beoordeeld. Zet het relevante dossier zo nodig op een gecontroleerde bewaarstop, zodat een automatische opschoontaak bewijs niet voortijdig verwijdert. Zodra de reden voor die stop wegvalt, herneemt de gewone bewaartermijn of volgt verwijdering. Beschrijf dit niet als een permanente uitzondering voor alle gegevens van de klant. Ook tijdens een procedure kunt u overbodige duplicaten of marketingkopieën wissen. Dezelfde afbakening voorkomt dat een algemene klacht over één bestelling het hele historische account onbeperkt bewaart.
Veelgestelde vragen
Moet ik alle klantgegevens zeven jaar bewaren?
Nee. De fiscale zevenjaarsregel ziet op de relevante administratie, niet op ieder klantgegeven. Een factuur, account, marketingvoorkeur en websitebezoek hebben verschillende doelen en mogelijk verschillende termijnen. Controleer welke documenten onder de belastingplicht vallen en wis de rest zodra een gerechtvaardigd doel ontbreekt.
Mag ik sollicitaties altijd één jaar bewaren als iemand toestemming geeft?
Niet automatisch. De AP noemt met toestemming maximaal een jaar als redelijke mogelijkheid voor toekomstige vacatures. De toestemming moet geldig en specifiek zijn en kan worden ingetrokken. Is de kandidaat niet meer geïnteresseerd of is het doel eerder vervallen, verwijder dan eerder. Zonder deze vervolgtoestemming is vier weken na afronding gebruikelijk.
Is vier weken voor camerabeelden een wettelijke AVG-termijn?
Nee. De AVG eist noodzakelijke duur en de actuele AP-uitleg noemt geen universele vierwekengrens. Bepaal een korte termijn passend bij het beveiligingsdoel; bewaar geselecteerde incidentbeelden zo nodig afzonderlijk tot het incident is afgehandeld. Leg het gekozen criterium uit en controleer de automatische overschrijving.
Moet de termijn in het verwerkingsregister staan?
Artikel 30 lid 1 onder f vraagt indien mogelijk de beoogde termijnen voor het wissen van de verschillende gegevenscategorieën. Het register, het bewaarbeleid en de informatie aan betrokkenen moeten onderling kloppen. Leg een concreet criterium vast wanneer een exacte kalenderdatum vooraf niet zinvol is.
Samenvatting
Een bruikbare AVG-bewaartermijn heeft een gegevenscategorie, doel, bron, startmoment en verwijderactie. Behoud wettelijk verplichte administratie zolang de specifieke regel dat vraagt; bepaal voor overige gegevens de kortst noodzakelijke duur en toets die opnieuw wanneer het doel verandert. De AP verwacht dat u uw keuze kunt uitleggen. Een matrix die ook in systemen, exports en back-ups werkt, maakt dat antwoord controleerbaar.