Persoonsgegevens bewaren: hoe lang mag en moet het?

Veel MKB-bedrijven bewaren data te lang. Niet uit kwade wil, maar omdat verwijderen werk kost en bewaren veilig voelt. De AVG draait dat om: bewaren zonder doel is een overtreding, en verwijderen is een verplichting zodra het doel is bereikt.

Het probleem wordt complexer doordat de AVG botst met andere wetten. De Belastingdienst verplicht je facturen 7 jaar te bewaren, terwijl de AVG zegt dat je klantgegevens moet verwijderen als de relatie is beëindigd. Hoe ga je daarmee om?

Het basisprincipe: opslagbeperking (AVG art. 5 lid 1e)

De AVG formuleert het principe van opslagbeperking in art. 5 lid 1e: persoonsgegevens mogen niet langer worden bewaard dan noodzakelijk voor het doel waarvoor ze zijn verzameld.

Dat klinkt simpel, maar vereist dat je per type gegevens twee vragen beantwoordt:

1. Voor welk doel verzamel je deze gegevens?
2. Op welk moment is dat doel bereikt?

Als een sollicitant wordt afgewezen, is het doel van de CV-gegevens bereikt. Als een klantrelatie wordt beëindigd, vervalt het doel voor de meeste klantgegevens. Uitzondering: als een andere rechtsgrond in het leven roept dat je ze toch nog nodig hebt, zoals een openstaande vordering of een lopend geschil.

Concrete bewaartermijnen per categorie

De AVG geeft zelf geen vaste termijnen per categorie. Maar sectorrichtlijnen, de Autoriteit Persoonsgegevens (AP) en gespecialiseerde rechtsbronnen geven duidelijke handvatten.

De spanning met wettelijke bewaarplichten

Sommige gegevens moet je juist bewaren. De Belastingdienst verplicht op grond van art. 52 van de Algemene wet inzake rijksbelastingen (AWR) een administratiebewaarplicht van 7 jaar. Die geldt voor:

• Facturen (in- en verkoopfacturen)
• Bankafschriften
• Kasboek
• Loonadministratie
• Inkoop- en verkoopregisters

Voor onroerende zaken geldt een uitgebreide bewaarplicht van 10 jaar.

De oplossing voor de spanning tussen AVG en AWR: bewaar de financiële documenten integraal, maar verwijder of pseudonimiseer de aanvullende persoonsgegevens die niet fiscaal relevant zijn. Een factuur met naam en adres moet je bewaren. De volledige klanthistorie, e-mailcorrespondentie en notities over de klant hoeven dat niet.

Praktijkscenario: accountantskantoor maakt onderscheid

Een accountantskantoor bewaarde van alle klanten de volledige e-mailcorrespondentie, telefoonnoteringen, notities over privésituaties en aanvullende documenten. Na een AVG-audit bleek dat alleen de financiële documenten onder de fiscale bewaarplicht vielen.

De rest: 8 jaar aan e-mails van oud-klanten, inclusief gevoelige persoonlijke informatie, was nergens voor nodig. Na een opruimactie van 3 dagen verwijderde het kantoor 42 GB aan overtollige data. Het resterende risico bij een datalek daalde significant.

Stappenplan dat het kantoor volgde:

Stap 1: categoriseer de data

Welke documenten vallen onder de fiscale bewaarplicht? Welke zijn louter klantcommunicatie?

Stap 2: stel termijnen per categorie vast

Facturen: 7 jaar. Correspondentie met oud-klanten: maximaal 2 jaar na beëindiging. Sollicitatiebrieven: 4 weken.

Stap 3: leg de termijnen schriftelijk vast

Neem de termijnen op in je register van verwerkingsactiviteiten. Dit is verplicht onder AVG art. 30 en toont de AP aan dat je gestructureerd omgaat met bewaartermijnen.

Stap 4: richt technische processen in

Zorg dat je systemen bewaartermijnen kunnen handhaven. Dat kan via automatische archivering en verwijdering, of via een jaarlijkse handmatige opruimronde.

Stap 5: verwijder actief

Verwijdering is geen eenmalig project maar een doorlopend proces. Plan elk jaar een opruimmoment voor elke datacategorie.

Stap 6: documenteer de verwijdering

Noteer wanneer je data hebt verwijderd en waarom. Dit beschermt je bij een geschil: je kunt aantonen dat de data rechtmatig is verwijderd, niet verloren gegaan.

Wat er mis kan gaan: veelgemaakte fouten

Bijzondere persoonsgegevens: strengere regels

Voor bijzondere categorieën persoonsgegevens (AVG art. 9) gelden strengere beperkingen. Denk aan gezondheidsdata, politieke overtuigingen, biometrische data en strafrechtelijke informatie. Deze gegevens mag je alleen bewaren als je een expliciete uitzonderingsgrond hebt (AVG art. 9 lid 2) en moet je zo kort mogelijk bewaren.

Voor de meeste MKB-bedrijven is de meest relevante categorie: gezondheidsdata van medewerkers in het kader van verzuimbeheer. Die gegevens mogen uitsluitend de bedrijfsarts en de werkgever in een beperkte vorm verwerken. Het exacte ziektebeeld mag de werkgever niet bewaren, alleen de geschiktheid voor werk.

Bewaartermijnen en back-ups: een vergeten risico

Veel bedrijven denken dat ze data hebben verwijderd, maar vergeten de back-ups. Als een klantdossier uit het CRM is gewist maar nog in 24 back-up snapshots van de afgelopen 2 jaar staat, is de data niet verwijderd. Bij een datalek of een AVG-verzoek tot inzage telt ook de data in back-ups mee.

Praktische aanpak:

• Stel voor back-ups dezelfde bewaartermijnen in als voor de livedata
• Verwijder back-upsets die ouder zijn dan de maximale bewaartermijn van de data die erin staat
• Documenteer het back-upbeleid in je verwerkingsregister
• Test minimaal 1 keer per jaar of verwijdering ook daadwerkelijk uit back-ups werkt

Voor cloudopslagdiensten zoals Microsoft 365 en Google Workspace geldt: verwijderde bestanden blijven standaard 30 tot 90 dagen in de prullenbak staan. Pas dit aan in de instellingen als je kortere verwijderingstermijnen nastreeft, of houd hiermee rekening in je termijnenbeleid.

Veelgestelde vragen

Wat als een klant vraagt zijn gegevens te verwijderen?

Dat is het recht op vergetelheid (AVG art. 17). Je moet de gegevens verwijderen tenzij je een dwingende reden hebt om ze te bewaren, zoals een lopend geschil of een wettelijke bewaarplicht. Als de factuurdata onder de AWR valt, hoef je die niet te verwijderen maar je kunt de aanvullende klantinformatie wel wissen. Zie ook rechten van betrokkenen.

Mag je klantdata voor marketing bewaren nadat een klant niets meer heeft gekocht?

Maximaal 2 jaar na de laatste transactie op basis van gerechtvaardigd belang, en langer alleen met actieve toestemming. Heeft de klant zich afgemeld voor marketing, dan moet je de marketingdata direct verwijderen.

Moet je bewaartermijnen in je privacyverklaring vermelden?

Ja. AVG art. 13 lid 2a verplicht je bij het verzamelen van gegevens te informeren over de bewaartermijn of de criteria die worden gebruikt om die termijn te bepalen. Zie privacyverklaring maken.

Wat zijn de gevolgen als je te lang bewaart?

De AP kan een boete opleggen. Voor kleine overtredingen zijn dat waarschuwingen of boetes van duizenden euro's. Bij stelselmatige niet-naleving of grote datalekken door te lang bewaren kunnen boetes oplopen tot €20 miljoen of 4% van de wereldwijde omzet (AVG art. 83 lid 5).

---

Bewaarplicht-termijnen zijn geen suggesties maar juridische verplichtingen. De Belastingdienst kan tot 5 jaar (of 12 jaar bij bijzondere gevallen) terug controleren. Na de bewaartermijn is vernietiging verplicht onder de AVG, bewaar je data langer dan nodig, dan is dat een AVG-overtreding. Digitale vernietiging: verwijder bestanden en leeg de prullenbak, of gebruik een gecertificeerd vernietigingsprogramma voor gevoelige data.

Bewaarplichten samengevat: loonadministratie 7 jaar (fiscaal), personeelsdossiers duur dienstverband + 5 jaar (arbeidsrecht), sollicitanten niet-aangenomen 4 weken (AVG), klantdata na relatie 2 jaar gerechtvaardigd belang. Digitale data vernietigen: delete + prullenbak legen + backups checken. Bij twijfel over termijn: kies de langste toepasselijke termijn. Boete voor te lang bewaren: AP legt doorgaans eerst een waarschuwing op met herstelperiode van 60-90 dagen.

Praktische bewaarplichten-tabel voor MKB

*Zie ook: AVG register van verwerkingen | Rechten van betrokkenen | Privacyverklaring maken | Verwerkersovereenkomst | AVG checklist | AI en AVG privacy | Datalek melden*