Hoe lang mag u persoonsgegevens bewaren onder de AVG? Het uitgangspunt is het beginsel van opslagbeperking uit artikel 5 lid 1 sub e AVG: u bewaart persoonsgegevens niet langer dan noodzakelijk is voor het doel waarvoor u ze verwerkt. De AVG noemt zelf geen concrete termijnen — die volgen uit het doel, uit specifieke wetten (zoals de fiscale bewaarplicht van 7 jaar) of uit uw eigen onderbouwde beleid. In de praktijk betekent dit: bepaal per verwerking een termijn, onderbouw die, en verwijder of anonimiseer de gegevens daarna. Hieronder een praktisch overzicht van gangbare bewaartermijnen in Nederland en hoe u een bewaarbeleid opzet.
Bewaartermijnen zijn een van de velden waar de Autoriteit Persoonsgegevens (AP) scherp op toetst, omdat het direct raakt aan het accountability-beginsel. Voor de bredere uitleg van de zes beginselen zie onze gids AVG artikel 5: de beginselen.
Het beginsel: opslagbeperking
Opslagbeperking betekent dat gegevens in een vorm die identificatie mogelijk maakt, niet langer worden bewaard dan nodig. Zodra het doel is bereikt, moet u de gegevens verwijderen of anonimiseren. Er zijn twee soorten grenzen:
- Wettelijke bewaartermijnen — sommige wetten verplichten u gegevens een bepaalde tijd te bewaren (bijvoorbeeld de fiscale administratie).
- Doelgebonden termijnen — voor alles waar geen wettelijke termijn geldt, bepaalt het doel hoe lang u mag bewaren. U onderbouwt die termijn zelf.
Bewaren “voor het geval dat” is geen geldige onderbouwing. Dit hangt samen met dataminimalisatie: u verzamelt niet meer dan nodig, en u bewaart niet langer dan nodig.
Overzicht: gangbare bewaartermijnen in Nederland
De onderstaande termijnen zijn indicatief en gebaseerd op de meest voorkomende doelen; de exacte termijn hangt af van uw specifieke situatie.
| Gegevenssoort | Indicatieve bewaartermijn | Grondslag / reden |
|---|---|---|
| Fiscale en financiële administratie | 7 jaar | Bewaarplicht (art. 52 AWR) |
| Gegevens onroerend goed (btw) | 10 jaar | Fiscale bewaarplicht |
| Loonbelastinggegevens werknemer | 5 jaar na einde dienstverband | Fiscale wetgeving |
| Kopie identiteitsbewijs werknemer | 5 jaar na einde dienstverband | Loonheffingen |
| Sollicitatiegegevens (afgewezen) | 4 weken; met toestemming tot 1 jaar | AP-richtlijn |
| Personeelsdossier (niet-fiscaal) | Doorgaans tot 2 jaar na einde dienstverband | Doelgebonden |
| Camerabeelden | Maximaal 4 weken, tenzij incident | AP-richtlijn |
| Klantgegevens | Duur van de relatie + garantie/fiscaal | Doelgebonden |
| Nieuwsbriefabonnee | Tot intrekking van de toestemming | Doelgebonden |
Let op: waar een wettelijke bewaarplicht geldt (fiscaal), moet u de gegevens bewaren; waar geen plicht geldt, mag u ze alleen bewaren zolang het doel dat rechtvaardigt.
Van termijn naar bewaarbeleid
Een bewaartermijn op papier is niet genoeg; u moet hem ook operationeel maken. Een deugdelijk bewaarbeleid bestaat uit:
- Een bewaarschema per verwerking, gekoppeld aan uw verwerkingsregister — het register vraagt immers expliciet om de bewaartermijn per categorie.
- Onderbouwing van elke termijn: wettelijke plicht of doelgebonden motivering.
- Een verwijderroutine: gegevens worden na afloop daadwerkelijk gewist of geanonimiseerd, niet alleen “gearchiveerd”.
- Verwerkersafspraken: leg in de verwerkersovereenkomst vast dat ook uw verwerkers de gegevens na afloop verwijderen.
De relatie met het recht op vergetelheid
Opslagbeperking en het recht op vergetelheid (art. 17) versterken elkaar. Zelfs zonder verzoek van een betrokkene moet u gegevens verwijderen zodra het doel is bereikt. Krijgt u wél een verwijderverzoek, dan is een goed bewaarbeleid uw beste verweer of uitvoeringsinstrument: u weet direct welke gegevens u om welke reden bewaart en welke u kunt wissen. Een uitzondering geldt waar een wettelijke bewaarplicht in de weg staat aan verwijdering.
Hoe de AP hiernaar kijkt
De AP toetst of bewaartermijnen bestaan, onderbouwd zijn en daadwerkelijk worden nageleefd. Het te lang bewaren van gegevens — of het ontbreken van elk beleid — is een structureel signaal van gebrekkige accountability en weegt mee in onderzoeken en boetes op grond van artikel 83. In de Nederlandse praktijk zijn overmatige bewaring en het ontbreken van verwijderroutines terugkerende bevindingen. Een tool zoals Legiscope koppelt bewaartermijnen aan het register en signaleert wanneer een termijn verloopt, zodat verwijdering geen dode letter blijft.
Twee valkuilen: te lang én te kort bewaren
Opslagbeperking wordt vaak gelezen als “zo snel mogelijk wissen”, maar dat is te simpel. Er zijn twee tegengestelde valkuilen. Te lang bewaren is de klassieke overtreding: gegevens die hun doel allang hebben gediend, blijven “voor het geval dat” in systemen staan. Maar te kort bewaren kan óók fout zijn: waar een wettelijke bewaarplicht geldt — de fiscale administratie van 7 jaar, bepaalde arbeidsgegevens — moet u de gegevens juist behouden, en is voortijdig wissen een overtreding van die andere wet. Een goed bewaarbeleid balanceert beide: het onderscheidt gegevens met een wettelijke minimumbewaartijd van gegevens die u louter op basis van een doel bewaart, en past per categorie de juiste termijn toe.
Anonimiseren als alternatief voor wissen
Verwijderen is niet de enige uitweg. Wilt u gegevens langer gebruiken voor statistiek, analyse of onderzoek, dan biedt anonimiseren een uitkomst: zodra gegevens niet meer tot een persoon herleidbaar zijn, valt de verwerking buiten de AVG en geldt de opslagbeperking niet meer. Let op het verschil met pseudonimiseren: gepseudonimiseerde gegevens (bijvoorbeeld met een sleutel elders) blijven persoonsgegevens en vallen wél onder de bewaartermijnen. Echte anonimisering is onomkeerbaar en moet die toets doorstaan; een simpele vervanging van namen door nummers is niet genoeg. Waar analyse op lange termijn gewenst is, is anonimiseren daarom vaak een betere route dan gegevens jarenlang identificeerbaar bewaren.
Bewaartermijnen en het register
Uw verwerkingsregister is de plek waar bewaartermijnen samenkomen: artikel 30 vraagt expliciet om de beoogde bewaartermijn per categorie gegevens. Een register zonder onderbouwde termijnen is dus onvolledig. Behandel het register daarom als het centrale bewaarschema: per verwerking legt u de termijn én de reden vast, en bij de periodieke review toetst u of elke termijn nog klopt. Zo wordt opslagbeperking geen abstract beginsel, maar een concreet, controleerbaar onderdeel van uw documentatie — precies wat de AP bij een onderzoek verwacht te zien.
Veelgestelde vragen
Hoe lang mag ik persoonsgegevens bewaren onder de AVG?
Niet langer dan noodzakelijk voor het doel. De AVG noemt geen vaste termijnen; die volgen uit het doel, uit specifieke wetten (zoals de fiscale bewaarplicht van 7 jaar) of uit uw eigen onderbouwde beleid. Voor elk gegeven bepaalt u dus zelf een termijn en onderbouwt u die.
Geldt er een standaard bewaartermijn van bijvoorbeeld twee jaar?
Nee. Er bestaat geen universele AVG-bewaartermijn. Wel gelden er sectorspecifieke en fiscale termijnen (7 jaar voor de financiële administratie, 5 jaar voor bepaalde loongegevens) en AP-richtlijnen (4 weken voor camerabeelden en sollicitaties). Voor alles daarbuiten bepaalt het doel de termijn.
Wat moet ik doen als de bewaartermijn is verstreken?
De gegevens verwijderen of anonimiseren. Alleen archiveren zonder ze te wissen voldoet niet aan opslagbeperking. Zorg voor een verwijderroutine die dit periodiek en aantoonbaar uitvoert, en leg vast dat ook uw verwerkers de gegevens verwijderen.
Waar leg ik mijn bewaartermijnen vast?
In uw verwerkingsregister — artikel 30 vraagt expliciet om de beoogde bewaartermijn per categorie gegevens — en in een apart bewaarbeleid met de onderbouwing per verwerking. Zo kunt u bij een AP-verzoek direct tonen welke termijn u waarom hanteert.
Conclusie
AVG-bewaartermijnen draaien om één beginsel: opslagbeperking. Bewaar persoonsgegevens niet langer dan nodig, onderbouw elke termijn met een wettelijke plicht of een doelgebonden reden, en verwijder of anonimiseer de gegevens daarna daadwerkelijk. Gebruik het overzicht hierboven als vertrekpunt, maar toets elke termijn aan uw eigen doel en aan de geldende Nederlandse wetgeving. Leg de termijnen vast in uw register én in een bewaarbeleid met een echte verwijderroutine — bij meerdere verwerkingen loont software die de termijnen bewaakt en tijdige verwijdering signaleert.
Zie ook: AVG bij werving en selectie en de privacyverklaring voor werknemers.
Legiscope automates this for you
Stop doing compliance manually. Legiscope's AI handles ROPA creation, DPA audits, and gap analysis — in minutes, not weeks.
Start free trial