Bewaartermijnen
Korte samenvatting
Bewaartermijnen bepalen hoe lang een organisatie persoonsgegevens mag of moet bewaren. Na het verstrijken van deze termijn moeten de gegevens worden verwijderd.
Uitleg in gewone taal
Een bewaartermijn is de periode waarin een organisatie persoonsgegevens mag of moet bewaren. Er is geen vaste bewaartermijn die voor alle persoonsgegevens geldt. Hoe lang gegevens mogen worden bewaard, hangt af van het doel waarvoor ze worden gebruikt. Als organisatie moet je daarom per soort persoonsgegevens bepalen hoe lang je deze nodig hebt. Je moet ook kunnen uitleggen waarom je voor die bewaartermijn hebt gekozen. Zodra persoonsgegevens niet meer nodig zijn voor het doel waarvoor ze zijn verzameld, moeten ze worden verwijderd of geanonimiseerd, tenzij er een andere reden of wettelijke verplichting is om ze langer te bewaren.
Om dit goed te regelen, is het belangrijk om een bewaarbeleid op te stellen. In dit beleid leg je vast welke persoonsgegevens je bewaart, waarom je ze bewaart en hoe lang je ze bewaart. Ook leg je vast wat er met de gegevens gebeurt wanneer de bewaartermijn voorbij is: worden ze verwijderd of geanonimiseerd.
Het bewaarbeleid moet niet alleen voorkomen dat persoonsgegevens te lang worden bewaard, maar ook dat ze te kort worden bewaard. Wanneer een andere wet verplicht om bepaalde gegevens een bepaalde periode te bewaren, mogen deze gegevens niet zomaar eerder worden verwijderd.
Kort gezegd houdt een bewaartermijn in dat persoonsgegevens alleen worden bewaard zolang dit nodig is voor het doel waarvoor ze zijn verzameld. De organisatie legt per soort gegevens vast hoe lang deze worden bewaard en waarom. Wanneer de bewaartermijn is verstreken en er geen wettelijke verplichting of andere geldige reden is om de gegevens te bewaren, moeten de gegevens verwijderd of geanonimiseerd worden.
Wettelijke bewaartermijnen
De AVG geeft geen vaste bewaartermijn voor alle persoonsgegevens. Maar voor bepaalde gegevens gelden wel specifieke bewaartermijnen vanuit andere Nederlandse wetten. In die gevallen bepaalt de wet hoe lang de gegevens minimaal moeten worden bewaard.
Een aantal voorbeelden van wettelijke bewaartermijnen zijn hieronder weergegeven:
| Categorie | Gegevens | Bewaartermijn | Wetgeving |
|---|---|---|---|
| Persoonsgegevens | Sollicitatiegegevens | 4 weken na afloop van de sollicitatieprocedure | AVG |
| Administratie en belasting | Facturen | 7 jaar | Belastingwetgeving |
| Juridisch | Contracten | Afhankelijk van het soort contract en de situatie | Burgerlijk Wetboek |
| Zorg | Medische dossiers | 20 jaar na de laatste wijziging of behandeling, met enkele uitzonderingen | Wet op de geneeskundige behandelingsovereenkomst.(WGBO) |
| Administratie en belasting | Jaarrekeningen | 7 jaar | Belastingwetgeving |
De exacte bewaartermijn kan dus verschillen per soort gegeven en per situatie.
Waarom is dit belangrijk voor uw organisatie?
Wanneer een organisatie zich niet aan de juiste bewaartermijnen houdt, kan dit verschillende gevolgen hebben.
Het te lang bewaren van persoonsgegevens vergroot bijvoorbeeld het risico op datalekken en privacyproblemen, omdat er meer gegevens aanwezig zijn die bij een cyberaanval kunnen worden blootgesteld. Daarnaast moet een organisatie zich houden aan de bewaartermijnen die zijn vastgelegd in de AVG en andere wetten. Wanneer er niet word voldaan aan de bewaartermijn, kan de organisatie worden aangesproken door een toezichthouder en kunnen er boetes of andere maatregelen volgen. Ook kan het niet goed omgaan met persoonsgegevens leiden tot juridische problemen, bijvoorbeeld wanneer betrokkenen een klacht indienen.
De AP heeft de afgelopen jaren meerdere boetes uitgedeeld en organisaties gewaarschuwd doordat ze geen volledige bewaarbeleid hadden. Het is daarom beter om problemen vooraf te voorkomen dan pas actie te ondernemen wanneer het mis gaat.
Voorbeeld uit de praktijk
Een organisatie verzamelt bij nieuwe medewerkers verschillende persoonsgegevens, zoals contactgegevens, salarisgegevens en een kopie van het identiteitsbewijs. Na het vertrek van medewerkers blijven deze gegevens jarenlang in de systemen staan, omdat de organisatie geen duidelijk bewaarbeleid heeft waarin staat tot wanneer gegevens bewaard mogen worden.
Tijdens een controle wordt vastgesteld dat sommige gegevens veel langer worden bewaard dan nodig is. De Autoriteit Persoonsgegevens (AP) spreekt het bedrijf aan en legt een boete op.
Wat kunt u als organisatie doen?
Naast het maken van een duidelijk bewaarbeleid kunt u als organisatie ook regelmatig controleren of bewaartermijnen nog actueel zijn, bijvoorbeeld wanneer:
- De wettelijke eisen veranderen.
- Het doel van de gegevensverwerking verandert.
- Uw organisatie andere processen of systemen gaat gebruiken.
Ook is het belangrijk om technische processen in te voeren. Dit zorgt ervoor dat gegevens automatisch worden verwijderd zodra de bewaartermijn is verstreken. Handmatige processen zijn namelijk gevoeliger voor fouten.
Gerelateerde onderwerpen
Hulp nodig?
Wilt u weten hoe uw organisatie ervoor staat? Neem contact op voor een vrijblijvend adviesgesprek.