Hoe lang mag u gegevens bewaren? De AVG geeft daarop geen getal, maar een norm: niet langer dan noodzakelijk. Daarnaast bestaan er wel degelijk harde termijnen, alleen komen die uit andere wetten.
Wettelijke basis
Artikel 5, eerste lid, onder e, AVG bevat het beginsel van opslagbeperking: persoonsgegevens mogen niet langer worden bewaard in een vorm die identificatie mogelijk maakt dan noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt. Wat noodzakelijk is, bepaalt de verwerkingsverantwoordelijke zelf en moet hij kunnen verantwoorden. De vaste termijnen komen elders vandaan. Artikel 52 van de Algemene wet inzake rijksbelastingen verplicht ondernemers hun administratie zeven jaar te bewaren; voor gegevens over onroerende zaken geldt tien jaar. Voor de loonadministratie geldt een bewaarplicht van vijf jaar na afloop van het dienstverband. Waar een wettelijke bewaarplicht geldt, gaat die voor op een verzoek tot verwijdering.
Hoe het in de praktijk werkt
Werkbaar wordt het pas met een bewaarschema: per categorie gegevens een termijn, een grondslag en een verantwoordelijke, met een periodieke opschoning die ook daadwerkelijk draait. Voor sollicitatiegegevens is vier weken na afronding gangbaar, of een jaar met toestemming van de kandidaat. Voor camerabeelden houdt de Autoriteit Persoonsgegevens vier weken aan, behoudens een concreet incident.
Waar het misgaat
Drie punten keren terug. Ten eerste back-ups en archieven, die buiten het schema blijven en jaren blijven staan. Ten tweede de verwarring tussen de fiscale bewaarplicht en de AVG, waardoor alles zeven jaar wordt bewaard. Ten derde het gebruik van oude bestanden voor nieuwe doeleinden, wat een zelfstandige grondslag vereist.
Verwante begrippen
Bewaartermijnen raken aan de rechten van betrokkenen, aan het datalek en aan de verwerkersovereenkomst.
Wilt u uw bewaarbeleid op orde brengen? Onze ICT-recht advocaten stellen het bewaarschema op.
