Hoe lang mag je persoonsgegevens bewaren?

Het juridisch kader

Artikel 5, lid 1, e) AVG zegt dat persoonsgegevens worden bewaard in een vorm waarin personen identificeerbaar zijn, niet langer dan nodig is voor de verwerkingsdoeleinden. De AVG geeft geen algemene bewaartermijn. De termijn volgt uit het doel: zolang het doel bestaat en je een rechtsgrond hebt, mag je de gegevens bewaren. Eindigt het doel, dan moet je de gegevens wissen of anonimiseren.

Meerdere bepalingen bouwen hierop voort:

• Artikelen 13, lid 2, a) en 14, lid 2, a) verplichten je de betrokkenen de bewaartermijn of de criteria om die te bepalen mee te delen.
• Artikel 30, lid 1, f) vraagt de beoogde wistermijnen in het verwerkingsregister.
• Artikel 17, lid 1, a) geeft betrokkenen recht op wissing als de gegevens niet meer nodig zijn voor hun doel, onder voorbehoud van de uitzonderingen in artikel 17, lid 3.
• Artikel 25 (gegevensbescherming door ontwerp en door standaardinstellingen) betekent dat je wissing in je systemen moet inbouwen.

Waar de termijn vandaan komt

Bewaartermijnen komen uit vier bronnen.

Eerst het doel zelf. Een lijst van nieuwsbriefabonnees bewaar je zolang het abonnement loopt. Sollicitaties bewaar je tijdens de selectie en, met toestemming van de kandidaat of een gedocumenteerd gerechtvaardigd belang, nog een beperkte tijd daarna. Voor sollicitatiedossiers geeft de AVG geen vaste termijn, en de nationale wet meestal ook niet, dus kies er zelf een en motiveer hem.

Ten tweede, wettelijke bewaarplichten. Nationale boekhoud- en fiscale wetten schrijven minimumtermijnen voor boekhoudkundige stukken en bewijsstukken voor, en die verschillen per lidstaat (in België hebben het boekhoudrecht en het fiscaal recht bijvoorbeeld elk een eigen termijn, en in de praktijk geldt de langste). De Europese antiwitwasregels verplichten onderworpen entiteiten om identificatie- en transactiegegevens vijf jaar na het einde van de zakelijke relatie te bewaren. Sectorregels (gezondheidszorg, arbeidsrecht, sociale zekerheid) leggen andere termijnen op. Check de actuele nationale tekst voor elke categorie en elk land waar je actief bent.

Ten derde, rechtsvorderingen. Gegevens die je nodig hebt om een vordering in te stellen, uit te oefenen of te verdedigen, mag je bewaren zolang die vordering kan worden ingesteld, en dat hangt af van de toepasselijke verjaringstermijn. Bewaar dus een afgebakende set stukken, niet alles.

Ten vierde, specifieke toelatingen zoals de toestemming van een persoon, die eindigt bij intrekking.

Anonimisering en archivering

Echt anonieme gegevens vallen buiten de AVG, maar anonimiseren moet in de praktijk onomkeerbaar zijn. Gepseudonimiseerde gegevens blijven persoonsgegevens. Langer bewaren kan voor archivering in het algemeen belang, wetenschappelijk of historisch onderzoek en statistische doeleinden op grond van artikel 89, met waarborgen.

In de praktijk

Een HR-dienstenbedrijf bewaart in zijn loonsysteem de dossiers van werknemers van vroegere klanten. Er is geen bewaarschema, dus dossiers van vijftien jaar geleden staan er nog. Bij het opstellen van het verwerkingsregister deelt het de gegevens in categorieën in: loongegevens die wettelijk bewaard moeten worden, contracten en briefwisseling die nodig kunnen zijn bij geschillen, en wervingsdossiers. Voor elke categorie legt het een termijn en de reden vast. Loongegevens bewaart het de wettelijk vereiste periode na het einde van de opdracht en daarna wist het ze. Wervingsdossiers wist het een bepaald aantal maanden na de selectie. Een jaarlijkse wisronde staat in de planning en wordt gelogd.

Vraagt een werknemer van een vroegere klant later om wissing, dan kan het bedrijf precies antwoorden: gegevens die om wettelijke redenen bewaard blijven, blijven staan met verwijzing naar de wet, en de rest wordt gewist.

Wissing laten gebeuren

Een schema op papier doet niks als je systemen het niet toepassen. Bepaal wie elke categorie beheert, waar de gegevens staan (ook in back-ups, exports en e-mail) en hoe wissing wordt uitgevoerd en gecontroleerd. In back-ups kun je wissen door ze volgens een vaste cyclus te laten verlopen, zolang teruggezette gegevens opnieuw worden gewist en je de gegevens in back-ups niet gebruikt. Verwerkers moeten gegevens na afloop van de diensten wissen of teruggeven, en dat hoort in je verwerkersovereenkomst.

Onze registerfunctie legt per activiteit de bewaartermijn en de reden vast, en de afhandeling van verzoeken gebruikt dezelfde informatie als er een wissingsverzoek binnenkomt.

Veelgestelde vragen

Bestaat er een standaardbewaartermijn onder de AVG?

Nee. Je bepaalt hem per doel, binnen de grenzen van andere wetten.

Mogen we alles bewaren voor het geval er een geschil komt?

Nee. Bewaar de stukken die je realistisch nodig hebt voor een mogelijke vordering, zolang die kan worden ingesteld, en wis de rest.

Moeten we gegevens in back-ups meteen wissen?

Niet meteen, maar je hebt wel een vaste back-upcyclus nodig en een manier om te voorkomen dat gewiste gegevens terugkomen na een herstel.

Is anonimisering een alternatief voor wissing?

Ja, als ze in de praktijk onomkeerbaar is. Een naam verwijderen maar een uniek identificatienummer houden is pseudonimisering, en dan blijven de gegevens persoonsgegevens.

Hoe dit samenhangt

Een bewaarschema hoort in je verwerkingsregister, zoals beschreven in Records of Processing Activities, en is onderdeel van DPO as a Service. De bewaar- en wisverplichtingen van leveranciers komen aan bod in verwerkersovereenkomsten.