Een bewaartermijnenbeleid legt per gegevenscategorie vast hoe lang uw organisatie persoonsgegevens bewaart, op welke wettelijke of zakelijke grond, en hoe u ze daarna vernietigt. Het is de operationele uitwerking van het opslagbeperkingsbeginsel uit artikel 5 lid 1 sub e AVG: persoonsgegevens mag u niet langer bewaren dan noodzakelijk voor het doel. Hieronder vindt u een invulbaar bewaartermijnenbeleid met een werkschema, Nederlandse wettelijke ankers en uitleg om keuzes per verwerking te onderbouwen. Het voorbeeld is geen kant-en-klaar juridisch oordeel voor iedere sector.
Dit is geen uitleg van het principe — dat vindt u in de gids over bewaartermijnen onder de AVG — maar een model dat u aan uw doelen, systemen en wettelijke verplichtingen moet aanpassen voordat u het vaststelt.
Belangrijkste punten
- Het beleid vertaalt het noodzakelijkheidsbeginsel naar concrete termijnen per gegevenscategorie.
- Voor fiscale basisadministratie geldt doorgaans 7 jaar (art. 52 AWR); sommige gegevens, zoals die over onroerende zaken voor de btw, vallen onder een langere termijn.
- Volgens de AP is verwijderen van gegevens van afgewezen sollicitanten binnen 4 weken gebruikelijk; met toestemming is maximaal 1 jaar in een kandidatenbestand een redelijke termijn. Dit is guidance, geen generieke wettelijke maximumtermijn.
- Elke termijn vraagt een aantoonbaar doel en een passende rechtsgrond voor de verwerking; een wettelijke bewaarplicht is één mogelijke reden om langer te bewaren.
- Vernietiging moet gedocumenteerd en aantoonbaar zijn — anders is er geen bewijs dat u het beleid uitvoert.
Structuur van een bewaartermijnenbeleid
Een werkbaar beleid bevat vier onderdelen: het bewaarschema, de grondslag per termijn, de vernietigingsprocedure en de verantwoordelijkheden. Het schema is de kern; de rest maakt het beleid uitvoerbaar en controleerbaar.
Koppel het schema aan uw verwerkingsregister: elke verwerking daarin heeft een bewaartermijn, en die termijn moet overeenkomen met dit beleid. Artikel 30 AVG vraagt, indien mogelijk, de beoogde termijnen voor het wissen van de verschillende gegevenscategorieën in het register. Bij controle moet de praktijk met de documentatie te verklaren zijn.
Model — bewaarschema per categorie
Onderstaand schema is een voorbeeld voor beoordeling, geen lijst van automatische bewaartermijnen. Controleer per verwerking of een wettelijke termijn geldt en wanneer die begint. Voor overige gegevens motiveert u de noodzakelijke duur zelf.
| Gegevenscategorie | Mogelijk vertrekpunt | Verificatie voordat u dit vastlegt |
|---|---|---|
| Fiscale basisadministratie | In beginsel 7 jaar | Art. 52 AWR; controleer startmoment en bijzondere btw-termijnen, onder meer onroerende zaken |
| Loonadministratie | Vaak 7 jaar als fiscale basisadministratie | Scheid loonadministratie van andere personeelsstukken met andere regels |
| Afgewezen sollicitant | AP noemt verwijderen binnen 4 weken gebruikelijk | Bij langer bewaren voor toekomstige vacatures: geldige toestemming en redelijke termijn, volgens AP hooguit 1 jaar |
| Personeelsdossier | Per soort document beoordelen | Onderscheid fiscale stukken, identiteitsbewijs, verzuim en functioneringsstukken |
| Klantcontact en support | Afleiden uit doel en concrete verplichtingen | Verwijder of anonimiseer niet-noodzakelijke details; geen universele tweejaarstermijn |
| Nieuwsbrief | Tot intrekking/afmelding als toestemming de grondslag is | Bewaar eventueel beperkt bewijs van de gegeven toestemming volgens eigen noodzaak |
| Camerabeelden | Zo kort als voor het concrete beveiligingsdoel nodig | Beoordeel incidenten afzonderlijk; geen automatische vier weken voor elk systeem |
| Datalekdossier | Onderbouwde termijn per doel | Art. 33 lid 5 AVG eist documentatie, maar geeft geen algemene driejaarstermijn |
Voor personeelsgegevens gelden aanvullende nuances; de gids over de AVG voor werkgevers behandelt de verzuim- en monitoringgegevens waarvoor strengere regels gelden.
De grondslag per termijn
Elke bewaartermijn moet u kunnen verantwoorden. Er zijn verschillende redenen die de duur kunnen dragen:
- Wettelijke bewaarplicht — bijvoorbeeld de fiscale bewaarplicht van 7 jaar. Deze termijn is dwingend; korter bewaren mag niet.
- Aantoonbare noodzaak voor een rechtmatig doel — bijvoorbeeld behandeling van een lopend garantieverzoek of een concrete rechtsvordering. De organisatie moet de toepasselijke AVG-grondslag en een niet langer dan noodzakelijke duur onderbouwen; een algemeen „zakelijk belang” is niet genoeg.
Ontbreekt een grondslag, dan geldt de hoofdregel: verwijderen. “Voor het geval dat” is geen grondslag. Een onbepaalde termijn zonder rechtvaardiging is lastig te verenigen met het opslagbeperkingsbeginsel en de verantwoordingsplicht.
Let op het verschil tussen een bewaarplicht en een bewaarmogelijkheid. De fiscale bewaarplicht van zeven jaar verplicht u de administratie te bewaren; voor de relevante administratie is dat in beginsel een verplichte minimale duur, met de wettelijke uitzonderingen en afspraken die de Belastingdienst beschrijft. Een uit het doel afgeleide termijn daarentegen is een geplande grens: u mág gegevens bewaren zolang het doel dat rechtvaardigt, maar u móét ze verwijderen zodra dat doel is vervallen. Wie dit onderscheid niet maakt, bewaart al snel te lang “omdat het mag” — terwijl de wet juist verwijdering als uitgangspunt neemt zodra de noodzaak weg is. Formuleer elke regel in het beleid daarom expliciet als plicht of als maximum, zodat de uitvoerder weet of hij verplicht bewaart of verplicht wist.
De vernietigingsprocedure
Een termijn zonder uitvoering is waardeloos. Neem daarom een procedure op die beschrijft:
- Wanneer de opschoning plaatsvindt (bijvoorbeeld per kwartaal of automatisch bij het verstrijken van de termijn);
- Hoe wordt vernietigd (definitief wissen, of veilig anonimiseren zodat de gegevens buiten de AVG vallen);
- Wie verantwoordelijk is per systeem;
- Hoe de vernietiging wordt vastgelegd (logboek).
Vergeet back-ups en logbestanden niet. Gegevens die u uit de productieomgeving verwijdert maar in back-ups laat staan, blijven persoonsgegevens. Werk daarom met een back-uprotatie: gegevens verdwijnen dan vanzelf uit de back-ups zodra de oudste set wordt overschreven. Documenteer die rotatietermijn, zodat u kunt uitleggen dat een verwijderd gegeven volgens een gedocumenteerde rotatie ook uit reservekopieën verdwijnt; beoordeel herstelprocedures en uitzonderingen voor wettelijke plichten.
Verantwoordelijkheden en governance
Een beleid zonder eigenaren blijft papier. Wijs per gegevenscategorie een verantwoordelijke aan die bewaakt dat de termijn wordt nageleefd — meestal de proceseigenaar, niet de IT-afdeling. IT voert de technische verwijdering uit, maar de inhoudelijke afweging (mogen deze gegevens weg?) hoort bij degene die het proces bestuurt.
Leg ook vast wie het beleid periodiek herziet. Wet- en regelgeving verandert, nieuwe verwerkingen komen erbij, en termijnen die vijf jaar geleden logisch waren, kunnen nu te lang zijn. Een jaarlijkse review, gekoppeld aan de actualisatie van het verwerkingsregister, houdt het beleid actueel. De functionaris voor gegevensbescherming kan, waar aanwezig, adviseren en toezien; de verwerkingsverantwoordelijke blijft verantwoordelijk voor vaststelling en uitvoering.
Bewaren versus anonimiseren
Aan het einde van een bewaartermijn heeft u twee opties: definitief vernietigen of anonimiseren. Bij anonimiseren bewerkt u de gegevens zo dat herleiding naar een persoon redelijkerwijs onmogelijk is; het resultaat valt na daadwerkelijke anonimisering buiten de AVG, maar eventuele andere regels en het doel van bewaren blijven te beoordelen. Let op: pseudonimiseren is géén anonimiseren — pseudonieme gegevens blijven persoonsgegevens en vallen dus nog onder uw bewaartermijnen.
Kies bewust. Voor analyse en trends is anonimiseren aantrekkelijk omdat u de waarde van de data behoudt zonder de bewaarrisico’s. Voor gegevens die geen enkel doel meer dienen, is definitieve vernietiging eenvoudiger en beter uitlegbaar. Beschrijf in het beleid per categorie welke route u kiest, zodat de uitvoering niet aan toeval wordt overgelaten.
Een documentatiesysteem als hulpmiddel
Een bewaarschema in een los Excel-bestand veroudert snel: nieuwe verwerkingen komen erbij, termijnen wijzigen, en niemand controleert of de praktijk het beleid volgt. Een systeem voor AVG-documentatie kan helpen eigenaren en termijnen te volgen; controleer in een demonstratie welke signaleringen en koppelingen daadwerkelijk beschikbaar zijn. De inhoudelijke beslissing blijft bij uw organisatie.
Invulmodel: leg de beslisregel vast, niet alleen een getal
Gebruik voor elke verwerking dezelfde velden: naam van de verwerking; doel; verantwoordelijke proceseigenaar; categorieën persoonsgegevens; AVG-rechtsgrond; toepasselijke wettelijke bewaarverplichting met artikel en startmoment; gebeurtenis die de gewone termijn start; geplande bewaartermijn; uitzonderingen en wie deze mag goedkeuren; systeem en eventuele kopieën; verwijder- of anonimiseermethode; controlemoment; bewijs van uitvoering. Een datum zonder startmoment is onvoldoende. «Zeven jaar» kan bijvoorbeeld betekenen vanaf het moment waarop een fiscaal stuk zijn actuele waarde verliest; het is niet altijd zeven jaar vanaf de dag waarop het bestand werd aangemaakt.
Maak vervolgens één regel per doel en soort gegevens, niet per applicatie. Een CRM kan tegelijk actieve klantcontacten, afgesloten supportzaken, factuurgegevens en nieuwsbrieftoestemmingen bevatten. Deze hebben niet vanzelf dezelfde termijn. Andersom kan één dossier over meerdere systemen verdeeld zijn; dan moet de regel alle locaties omvatten. Link elke regel aan het verwerkingsregister en controleer of de daar vermelde beoogde wistermijn overeenkomt met de operationele regel.
Tekst voor het beleidsdocument
Modelclausule – aan te passen. Wij bewaren persoonsgegevens per verwerking niet langer dan nodig voor het omschreven doel, tenzij een toepasselijke wettelijke plicht of een andere aantoonbare rechtvaardiging een langere termijn verlangt. De proceseigenaar documenteert per gegevenscategorie het startmoment, de duur, de grond en de verwijdermethode. Een uitzondering wordt vóór verlenging gemotiveerd en goedgekeurd. Na afloop verwijderen of anonimiseren wij gegevens volgens de vastgelegde procedure en controleren wij ook kopieën en leveranciers. Het beleid en het schema worden periodiek herzien.
Deze clausule is bewust algemeen. Zij werkt pas als het schema concrete gebeurtenissen, eigenaren en systemen noemt. Neem geen belofte van onmiddellijke verwijdering op als de technische architectuur dat niet kan waarmaken. Leg in plaats daarvan een verdedigbare uitvoering vast, inclusief afscherming van gegevens die tijdelijk nog in een back-up zitten.
Wettelijke plicht, richtsnoer en intern maximum scheiden
Markeer elke regel als «wet», «toezichthouderrichtsnoer» of «eigen onderbouwde keuze». Voor fiscale basisadministratie beschrijft de Belastingdienst doorgaans zeven jaar; voor gegevens over onroerende zaken en bepaalde btw-regelingen kunnen tien jaar of andere details gelden. Controleer of een document werkelijk onder die administratie valt. De noodzaak om een factuur fiscaal te bewaren rechtvaardigt niet automatisch dat u alle marketingnotities over dezelfde klant even lang bewaart. Waar gegevens tegelijk meerdere doelen dienen, leg vast welke onderdelen voor welk doel toegankelijk blijven.
De AP zegt dat het gebruikelijk is om gegevens van afgewezen sollicitanten uiterlijk vier weken na de procedure te verwijderen, en dat met toestemming voor toekomstige vacatures maximaal één jaar redelijk kan zijn. Beschrijf dit niet als een wettelijk algemeen maximum voor ieder wervingsdossier. Een aangenomen kandidaat krijgt een personeelsdossier met eigen regels. Voor een kopie identiteitsbewijs kan bijvoorbeeld een specifieke loonheffingenplicht gelden; vraag HR en fiscaliteit daarom om documenten apart te classificeren. De gids voor werkgevers helpt de typen personeelsgegevens uiteen te houden.
Een retentieschema met twee jaar voor alle klanten is evenmin verdedigbaar zonder onderscheid. Bij een lopende overeenkomst kunnen sommige gegevens nodig blijven voor levering; na afloop kunnen fiscale stukken of een concreet geschil langer nodig zijn, terwijl ruwe browsegegevens veel eerder hun doel verliezen. Kies per categorie een startgebeurtenis en toets de gekozen termijn aan een realistisch scenario. Als u niet kunt uitleggen welke taak na dat moment nog persoonsgegevens vereist, verkort de periode of anonimiseer.
Uitzonderingen: bevriezen zonder onbeperkt bewaren
Soms mag of moet een normaal verwijdermoment tijdelijk worden opgeschort, bijvoorbeeld voor een concrete rechtsvordering, lopende wettelijke bewaarplicht of onderzoek waarvoor een specifieke rechtsgrond bestaat. Noem in het beleid wie dit beslist, welke gegevens werkelijk nodig zijn, wie nog toegang heeft en wanneer de uitzondering opnieuw wordt beoordeeld. Een vaag «mogelijk toekomstig geschil» rechtvaardigt geen permanente opslag van complete dossiers. Beperk de kopie waar mogelijk tot de gegevens die de uitzondering dragen.
Het recht op gegevenswissing uit artikel 17 AVG is geen automatische overschrijving van elke wettelijke bewaarplicht. De uitzonderingen omvatten onder voorwaarden onder meer naleving van een wettelijke verplichting, rechtsvorderingen, bepaalde belangen van volksgezondheid en onderzoek of archivering met de vereiste waarborgen; de onderzoeksuitzondering vereist ook dat wissing de doelen onmogelijk maakt of ernstig belemmert. Beantwoord een verzoek dus per gegevenscategorie. Leg uit welke stukken u wist, welke u op welke grond behoudt en hoe u het gebruik van behouden gegevens beperkt. Lees voor de verzoekprocedure de gids over het recht op verwijdering.
Verwijderen in systemen, leveranciers en reservekopieën
Vertaal elke regel naar een uitvoerbare actie. Een actieve database kan gegevens automatisch verwijderen, terwijl een documentarchief een periodieke eigenaarcontrole nodig heeft. Controleer of gegevens ook in exports, gedeelde mappen, logbestanden, testomgevingen en systemen van verwerkers staan. Vraag leveranciers hoe hun verwijderproces, back-uprotatie en bevestiging werken. Een export die iemand buiten het systeem bewaart, wordt niet gewist door een knop in de hoofdapplicatie.
Back-ups hebben een hersteldoel en kunnen tijdelijk nog oude gegevens bevatten. Documenteer rotatie, toegang en wat er gebeurt als een oude kopie wordt teruggezet: het verwijderbesluit moet dan opnieuw worden toegepast. Beloof geen onmiddellijke fysieke verwijdering uit elke onveranderlijke back-up als dat technisch niet gebeurt. Beperk in dat geval gebruik en bewaartermijn van de kopie en onderbouw de gekozen werkwijze. Pseudonimisering is een nuttige beveiligingsmaatregel maar geen wissing; pas na effectieve anonimisering zonder redelijke herleidbaarheid vallen gegevens buiten de AVG.
Controleer het model met drie praktijkgevallen
Neem eerst een afgewezen kandidaat die na drie weken om verwijdering vraagt. Zoek alle kopieën, bepaal of er een uitzondering geldt en toets of de afgesproken verwijdering werkt. Neem daarna een klant die zeven jaar geleden een factuur kreeg maar vorig jaar nog een lopend servicecontract had. Verschillende documenten kunnen dan verschillende startmomenten en doeleinden hebben. Neem ten slotte een camerabeeld van een concreet incident: beslis welke uitsnede voor welk dossier nodig is en wis niet-relevante beelden volgens de normale regel.
Leg de uitkomst van deze proeven vast: welke regel was onduidelijk, welk systeem kon niet verwijderen, wie gaf een uitzondering en wat is verbeterd? Zo wordt het model een uitvoerbaar beleid. Herhaal de proef na een nieuw systeem, een wetswijziging of een organisatorische verandering. Een jaarlijks controlemoment kan praktisch zijn, maar is een eigen beheersmaatregel en geen vaste AVG-deadline.
Maak de informatie aan betrokkenen consistent
Vergelijk het schema met de privacyverklaring voor werknemers en met andere informatie die u aan betrokkenen geeft. Als de verklaring zegt dat sollicitatiegegevens na een korte periode verdwijnen, maar de gedeelde mailbox ze jarenlang bewaart, is het beleid niet uitgevoerd. Zet niet simpelweg «wij bewaren zolang nodig» in elke verklaring: waar u termijnen of criteria kunt specificeren, maakt een concrete uitleg het beleid toetsbaar voor betrokkenen én medewerkers. Het model voor een verwerkingsregister helpt te controleren of geplande wistermijnen per activiteit terugkomen in de verantwoordingsdocumentatie.
FAQ
Hoe lang mag ik persoonsgegevens bewaren onder de AVG?
Er is geen universele termijn. Artikel 5 lid 1 sub e AVG bepaalt dat u gegevens niet langer bewaart dan noodzakelijk voor het doel. Sommige categorieën kennen een wettelijke plicht, bijvoorbeeld fiscale basisgegevens doorgaans zeven jaar, met uitzonderingen. Voor andere verwerkingen bepaalt u een onderbouwde noodzakelijke duur op basis van het doel en de rechtsgrond.
Wat is de bewaartermijn voor sollicitatiegegevens?
De AP noemt verwijdering binnen vier weken na afloop van de procedure gebruikelijk voor afgewezen kandidaten. Voor toekomstige vacatures kan toestemming langer bewaren rechtvaardigen; de AP noemt maximaal één jaar redelijk. Leg doel, toestemming en verwijdermoment vast.
Moet ik camerabeelden na 4 weken verwijderen?
Niet als universele termijn uit de AVG. De AP stelt dat beelden niet langer mogen worden bewaard dan nodig is voor het concrete doel. Beoordeel de normale looptijd en een eventueel afzonderlijk incidentdossier; leg beide beslissingen vast.
Wat gebeurt er als ik geen bewaartermijnenbeleid heb?
Een afzonderlijk document met precies deze titel is niet voorgeschreven, maar u moet het opslagbeperkingsbeginsel kunnen naleven en verantwoorden. Een AVG-controlelijst helpt het beleid, het verwerkingsregister en de feitelijke verwijdering te vergelijken. Bovendien vergroot ongelimiteerd bewaren de schade bij een datalek: hoe meer verouderde gegevens u nog onder u heeft, hoe groter het aantal betrokkenen dat bij een incident geraakt wordt. Een strak bewaarbeleid is dus niet alleen een nalevingskwestie maar ook een concrete beperking van uw risico.
Officiële bronnen: AVG, art. 5, 17, 30 en 33 · AP, bewaren van persoonsgegevens · AP, sollicitaties · Belastingdienst, fiscale bewaarplicht en uitzonderingen · AP, regels voor cameratoezicht.