Waarom is dit belangrijk?
De GDPR is hier duidelijk: je mag persoonsgegevens niet langer bewaren dan nodig is om het doel te bereiken waarvoor je ze verzamelt. Toch bewaren de meeste bedrijven gegevens veel langer dan nodig, simpelweg omdat niemand er ooit over nadenkt.
Het risico? Bij een controle door de toezichthouder, of bij een verwijderingsverzoek van een klant, moet je kunnen uitleggen waarom je bepaalde gegevens nog steeds bewaart. “We hebben er nooit over nagedacht” is geen geldig antwoord.
Veelvoorkomende bewaartermijnen
Hieronder een overzicht van gangbare bewaartermijnen. Let op: dit zijn richtlijnen; controleer altijd de specifieke wetgeving die op jouw situatie van toepassing is.
| Type gegeven | Wettelijke basis | Bewaartermijn |
|---|---|---|
| Boekhoudkundige documenten (facturen, betalingen) | Wetboek van Economisch Recht / AWR | 7 jaar |
| Personeelsdossiers | Arbeidsrecht | 5 jaar na einde dienstverband |
| Sollicitatiegegevens (afgewezen) | Gerechtvaardigd belang | Max. 4 weken (tot 1 jaar met toestemming) |
| Klantgegevens (actieve relatie) | Uitvoering overeenkomst | Duur van de relatie |
| Klantgegevens (na beeindiging) | Gerechtvaardigd belang | Max. 2 jaar |
| Camerabeelden | Gerechtvaardigd belang | Max. 1 maand (tenzij incident) |
| Websiteanalytics (IP-adressen) | Toestemming / gerechtvaardigd belang | Max. 26 maanden |
| Contactformulier-inzendingen | Gerechtvaardigd belang | Max. 2 jaar na laatste contact |
| Nieuwsbriefabonnees | Toestemming | Tot intrekking toestemming |
Hoe stel je een bewaartermijnenbeleid op?
Stap 1: Inventariseer je verwerkingen
Je kunt geen bewaartermijnen instellen als je niet weet welke gegevens je verwerkt. Begin met je verwerkingsregister; daar staan alle verwerkingsactiviteiten in.
Stap 2: Bepaal per verwerking de termijn
Stel jezelf per verwerkingsactiviteit deze vragen:
- Is er een wettelijke bewaarplicht? Zo ja, die geldt
- Zo nee, hoe lang heb ik de gegevens echt nodig voor het doel?
- Is er een branchestandaard die ik kan volgen?
Stap 3: Documenteer je keuzes
Leg per verwerkingsactiviteit vast:
- Welke bewaartermijn je hanteert
- Waarom (wettelijke basis of motivering)
- Wat er gebeurt na afloop (verwijdering, anonimisering)
Stap 4: Implementeer en controleer
- Stel herinneringen in voor het controleren en verwijderen van verlopen gegevens
- Configureer automatische verwijdering waar mogelijk
- Controleer minstens jaarlijks of je beleid nog actueel is
Veelgemaakte fouten
- Alles “voor altijd” bewaren omdat het makkelijker is. Dit is een overtreding van de GDPR
- Geen onderscheid maken tussen actieve en inactieve klanten
- Back-ups vergeten: als je gegevens verwijdert maar ze staan nog in een back-up, ben je niet klaar
- Geen beleid op papier: als je het niet hebt gedocumenteerd, bestaat het niet voor de toezichthouder
GDPRWise helpt je om per verwerkingsactiviteit de juiste bewaartermijn vast te leggen en herinnert je wanneer gegevens verwijderd moeten worden.