Persoonsgegevens mag je niet langer bewaren dan noodzakelijk is voor het doel waarvoor je ze hebt verzameld. Dit is een van de kernbeginselen van de Algemene Verordening Gegevensbescherming (AVG). Er is geen vaste maximale bewaartermijn die voor alle gegevens geldt: de termijn hangt af van het doel van de verwerking, de wettelijke verplichtingen die op jouw organisatie rusten, en de aard van de gegevens zelf. In dit artikel beantwoorden we de meest gestelde vragen over bewaartermijnen, bewaarbeleid en wat je riskeert als je persoonsgegevens te lang bewaart.
Wat zegt de AVG over bewaartermijnen?
De AVG stelt dat persoonsgegevens niet langer bewaard mogen worden dan noodzakelijk is voor het doel waarvoor ze zijn verzameld. Dit wordt het opslagbeperkingsbeginsel genoemd en is vastgelegd in artikel 5, lid 1, sub e van de AVG. De wet schrijft geen concrete termijnen voor: jij als verwerkingsverantwoordelijke bepaalt zelf hoe lang gegevens nodig zijn, mits je dat kunt onderbouwen.
Wat de AVG wel eist, is dat je de bewaartermijn van tevoren vaststelt en documenteert. Dat betekent concreet dat je in je verwerkingsregister per categorie persoonsgegevens moet aangeven hoe lang je die bewaart en waarom. Kun je die termijn niet beargumenteren, dan is er een goede kans dat je langer bewaart dan is toegestaan.
Het opslagbeperkingsbeginsel werkt nauw samen met het doelbindingsbeginsel: zodra het oorspronkelijke doel is bereikt en er geen andere wettelijke grondslag voor verdere bewaring bestaat, moeten de gegevens worden verwijderd of anoniem gemaakt. Anonimisering is daarbij een volwaardig alternatief voor verwijdering, mits de gegevens na anonimisering niet meer herleidbaar zijn tot een individu.
Welke wettelijke bewaartermijnen gelden in Nederland?
Hoewel de AVG zelf geen vaste termijnen noemt, schrijven andere Nederlandse wetten specifieke bewaartermijnen voor bepaalde categorieën gegevens voor. Deze wettelijke termijnen gaan boven de AVG-norm uit: je bent verplicht de gegevens minimaal zo lang te bewaren, maar niet langer dan nodig.
Enkele veelvoorkomende wettelijke bewaartermijnen in Nederland zijn:
- Fiscale gegevens: op grond van de Belastingwet geldt een bewaarplicht van 7 jaar voor de financiële administratie, inclusief facturen, loongegevens en btw-records.
- Personeelsdossiers: salarisgegevens moeten 7 jaar bewaard worden; kopieën van identiteitsbewijzen 5 jaar na uitdiensttreding; andere personeelsgegevens doorgaans 2 jaar na vertrek van de medewerker.
- Medische dossiers: op grond van de Wet op de geneeskundige behandelingsovereenkomst (WGBO) geldt een bewaartermijn van 20 jaar na de laatste behandeling.
- Camerabeelden: in de meeste gevallen maximaal 4 weken, tenzij er een incident is dat langere bewaring rechtvaardigt.
- Sollicitatiegegevens: maximaal 4 weken na afronding van de procedure, tenzij de sollicitant toestemming geeft voor bewaring in een talentpool (maximaal 1 jaar).
Voor organisaties die onder relevante wet- en regelgeving vallen, zoals de NIS2-richtlijn of sectorspecifieke normen, kunnen aanvullende verplichtingen gelden rondom het bewaren van loggegevens en incidentregistraties. Het is verstandig om per categorie gegevens na te gaan welke sectorwetgeving van toepassing is.
Wat gebeurt er als je persoonsgegevens te lang bewaart?
Als je persoonsgegevens langer bewaart dan noodzakelijk en toegestaan, overtreed je de AVG. De Autoriteit Persoonsgegevens (AP) kan daarvoor handhavend optreden met boetes die kunnen oplopen tot 20 miljoen euro of 4% van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. Bovendien kan langdurige bewaring leiden tot reputatieschade en verlies van vertrouwen bij klanten en medewerkers.
Naast financiële sancties zijn er andere risico’s verbonden aan te lange bewaring:
- Groter aanvalsoppervlak bij datalekken: hoe meer gegevens je bewaart, hoe meer er gelekt kan worden bij een cyberaanval of beveiligingsincident. Organisaties die onnodige gegevens bewaren, lopen bij een inbreuk een groter risico op ernstige schade voor betrokkenen.
- Hogere kosten: meer data betekent meer opslagcapaciteit, meer beveiligingsmaatregelen en meer beheerlast.
- Rechten van betrokkenen: mensen hebben het recht om hun gegevens te laten verwijderen (het recht op vergetelheid). Als je geen helder bewaarbeleid hebt, is het lastig om dit recht correct uit te voeren.
De AP heeft de afgelopen jaren meerdere organisaties beboet en gewaarschuwd wegens het ontbreken van een adequaat bewaarbeleid. Preventief handelen is dan ook verstandiger dan reactief reageren op een handhavingstraject.
Hoe stel je een bewaarbeleid op voor jouw organisatie?
Een bewaarbeleid is een intern document waarin je per categorie persoonsgegevens vastlegt hoe lang je ze bewaart, op welke grondslag, en hoe je zorgt voor tijdige verwijdering. Het opstellen van zo’n beleid is verplicht onder de AVG en vormt de basis voor aantoonbare naleving.
Een goed bewaarbeleid opzetten doe je stap voor stap:
- Inventariseer alle verwerkingen: breng in kaart welke categorieën persoonsgegevens je verwerkt en voor welk doel. Dit doe je op basis van je verwerkingsregister.
- Bepaal de bewaartermijn per categorie: kijk eerst of er een wettelijke bewaartermijn geldt. Is dat niet het geval, bepaal dan zelf hoe lang de gegevens nodig zijn voor het beoogde doel en onderbouw die keuze.
- Leg de termijnen schriftelijk vast: documenteer de termijnen en de bijbehorende motivering. Dit is essentieel voor de verantwoordingsplicht onder de AVG.
- Richt technische processen in: zorg dat gegevens automatisch worden verwijderd of geanonimiseerd zodra de bewaartermijn is verstreken. Handmatige processen zijn foutgevoelig en schalen slecht.
- Evalueer het beleid periodiek: doelen veranderen, wetgeving verandert. Controleer het bewaarbeleid minimaal jaarlijks op actualiteit.
Voor organisaties die ook loggegevens en beveiligingsdata bewaren in het kader van informatiebeveiliging, is het verstandig om het bewaarbeleid te koppelen aan bredere beleidsprocessen rondom gegevensbescherming en beveiligingsbeheer.
Wanneer mag je persoonsgegevens langer bewaren dan normaal?
Er zijn situaties waarin de AVG langere bewaring van persoonsgegevens toestaat, ook als het oorspronkelijke doel al is bereikt. Dit is toegestaan wanneer de verdere bewaring een uitdrukkelijk omschreven, gerechtvaardigd doel dient dat in de wet is erkend.
De AVG noemt drie uitzonderingsgronden voor langere bewaring:
- Archivering in het algemeen belang: denk aan historische archieven, wetenschappelijk onderzoek of statistische doeleinden. Overheden en onderzoeksinstellingen maken hier regelmatig gebruik van, mits er passende waarborgen zijn getroffen.
- Wetenschappelijk of historisch onderzoek: gegevens mogen langer worden bewaard als ze noodzakelijk zijn voor legitiem onderzoek. Er moeten dan wel technische en organisatorische maatregelen zijn om de privacy te beschermen, zoals pseudonimisering.
- Statistische doeleinden: voor het bijhouden van statistieken mogen gegevens langer worden bewaard, mits de gegevens niet worden gebruikt om besluiten te nemen over individuele personen.
Buiten deze drie gronden geldt dat expliciete toestemming van de betrokkene een langere bewaring kan rechtvaardigen, maar alleen als die toestemming vrijwillig, specifiek en geïnformeerd is gegeven. Toestemming is geen vrijbrief: het doel van de langere bewaring moet helder zijn en de betrokkene moet zijn toestemming te allen tijde kunnen intrekken.
Een andere situatie die langere bewaring kan rechtvaardigen, is een lopend juridisch geschil. Als je gegevens nodig hebt om een rechtszaak te voeren of te verdedigen, mag je ze bewaren zolang dat noodzakelijk is, ook als de normale bewaartermijn al is verstreken.
Hoe Q-Cyber helpt met gegevensbescherming en bewaarbeleid
Een goed bewaarbeleid is meer dan een AVG-verplichting: het is een onderdeel van een bredere, volwassen aanpak van informatiebeveiliging. Organisaties die hun gegevensstromen niet onder controle hebben, lopen niet alleen privacyrisico’s, maar ook beveiligingsrisico’s. Te veel data betekent een groter aanvalsoppervlak.
Wij bij Q-Cyber helpen organisaties om beleid en techniek samen te laten werken. Concreet ondersteunen wij bij:
- Het opstellen en implementeren van een bewaarbeleid dat aansluit op de AVG en sectorspecifieke wetgeving
- Gap-analyses om te bepalen waar jouw organisatie nu staat op het gebied van gegevensbescherming en informatiebeveiliging
- Beleidsschrijving en procesbegeleiding, ook in het kader van NIS2-compliance
- Trainingen voor bestuurders en medewerkers over privacyrisico’s en beveiligingsbewustzijn
- Onafhankelijk advies, zonder binding aan softwarepartijen of leveranciers
Wil je weten hoe jouw organisatie ervoor staat en waar de risico’s zitten? Neem contact op met Q-Cyber voor een vrijblijvend gesprek.
Gerelateerde artikelen
- Derde partijen en cybersecurity: risico's en maatregelen
- Cookies en privacy: wat zijn de regels?
- Hoe stel je een NIS2-risicobeoordeling op?
- Hoe blijf je NIS2-compliant na de eerste implementatie?
- Wat is cloud security?
- Wat doe je als een leverancier niet NIS2-compliant is?
- Hoe schrijf je een verwerkersovereenkomst?
- Hoeveel bedrijven hebben te maken met cybercriminaliteit?
- Hoe weet ik of onze cloudopslag goed beveiligd is?
- Welke bedrijven hebben pentesten nodig?