Er staat nergens in de AVG hoe lang je een cv mag bijhouden. Dat is de eerste teleurstelling voor wie een lijst met bewaartermijnen komt zoeken. De verordening zegt alleen dat persoonsgegevens niet langer bewaard mogen worden dan noodzakelijk voor het doel waarvoor ze verwerkt worden — artikel 5.1.e, de opslagbeperking. De termijn bepaal je dus zelf, en je moet kunnen uitleggen waarom.
De tweede teleurstelling: elke lijst met «standaard bewaartermijnen» die je online vindt, is een mengelmoes van wettelijke termijnen uit andere wetgeving, verjaringstermijnen en gewoontes. Sommige daarvan zijn hard, andere zijn een keuze die iemand ooit maakte. Dit artikel legt uit welke van de twee je voor je hebt, en hoe je een termijn opschrijft die een controle doorstaat.
Waar bewaartermijnen vandaan komen
Er zijn maar drie bronnen, en het helpt enorm om ze uit elkaar te houden.
- Een wettelijke bewaarplicht. Andere wetgeving dan de AVG legt op dat je iets moét bijhouden. De boekhoudwetgeving, de sociale wetgeving, de archiefwet voor besturen. Hier is de termijn een gegeven: je hebt niets te kiezen en je hebt een vindplaats.
- Een verjaringstermijn. Je bewaart omdat je je nog moet kunnen verdedigen. Dit is geen plicht maar een gerechtvaardigd belang. Het is verdedigbaar, maar je moet het als zodanig opschrijven.
- Een eigen keuze. Je bewaart nieuwsbriefinschrijvingen tot iemand zich uitschrijft, camerabeelden dertig dagen, sollicitaties twee jaar met toestemming. Hier ben je vrij, en hier moet je motiveren.
De fout die het vaakst opduikt in registers: alles krijgt de kleur van categorie 1. «Wettelijke verplichting, 7 jaar» bij een klantenbestand waar de boekhoudkundige stukken maar een deel van uitmaken. Dat is niet fout omdat de termijn te lang is, maar omdat de grondslag niet klopt — en dat is precies het soort tegenstrijdigheid dat opvalt.
Vaak voorkomende termijnen in België
Onderstaande tabel is een vertrekpunt, geen eindpunt. Controleer altijd of jouw sector een eigen regeling heeft, en let op de kolom «hard?» — die zegt of je nog iets te kiezen hebt.
| Gegevens | Gangbare termijn | Hard? | Waarom |
|---|---|---|---|
| Boekhoudkundige stukken en facturen | 7 jaar | Ja | Boekhoudwetgeving; termijn loopt vanaf het afsluiten van het boekjaar |
| Loon- en personeelsadministratie | 5 jaar na uitdiensttreding | Grotendeels | Sociale wetgeving; sommige stukken langer |
| Sollicitaties van niet-weerhouden kandidaten | Tot einde procedure, of langer met toestemming | Nee | Eigen keuze; wervingsreserve vraagt toestemming |
| Camerabeelden | Maximaal 30 dagen | Ja | Camerawet; langer alleen bij een concreet incident |
| Ledenadministratie vereniging | Duur lidmaatschap + verjaringstermijn | Nee | Uitvoering overeenkomst, daarna gerechtvaardigd belang |
| Fiscale attesten voor giften | 7 jaar | Ja | Fiscale wetgeving |
| Nieuwsbriefinschrijvingen | Tot uitschrijving, plus bewijs van toestemming | Nee | Toestemming; het bewijs zelf hou je langer |
| Logbestanden en toegangslogs | 6 maanden tot 1 jaar | Nee | Beveiliging als gerechtvaardigd belang |
| Datalekdossier | Zolang aantoonbaarheid dat vraagt | Ja, in de geest | Art. 33.5 vraagt documentatie van elk lek, ook niet-gemelde |
| Verzoeken van betrokkenen | Verjaringstermijn na afhandeling | Nee | Bewijs dat je binnen de termijn geantwoord hebt |
Termijnen voor de rechten van betrokkenen en voor datalekken zijn een ander soort termijn: dat zijn reactietermijnen, geen bewaartermijnen. Ze horen wel op hetzelfde scherm thuis, want in de praktijk lopen ze door elkaar.
Een bewaartermijn zonder startpunt is geen bewaartermijn
Dit is de meest voorkomende fout in verwerkingsregisters, en ze is ook de makkelijkst te herstellen. «7 jaar» is geen bewaartermijn. «7 jaar na het afsluiten van het boekjaar» is er wel een.
Zonder startpunt kan niemand — jij niet, je opvolger niet, een toezichthouder niet — uitrekenen wanneer iets weg moet. Elke termijn heeft dus twee delen:
- De duur. Een getal met een eenheid.
- Het startpunt. Einde van de overeenkomst, uitdiensttreding, laatste contact, afsluiting van het boekjaar, datum van de opname.
En bij categorie 1 komt er een derde bij: de vindplaats. Welke wet, welk artikel. Niet omdat het mooi staat, maar omdat je het na drie jaar zelf niet meer weet, en omdat een grondslag zonder vindplaats bij een controle een open vraag wordt.
Het DPO-dossier waarschuwt daarop: een bewaartermijn zonder startpunt en een wettelijke grondslag zonder vindplaats komen er allebei als melding uit, op het moment dat je de fiche bewaart. Dat is één van de dingen die een register in Excel per definitie niet kan doen.
Wat er ná de termijn moet gebeuren
Een termijn opschrijven is de helft. De andere helft is dat er iets gebeurt als hij verstrijkt. Drie mogelijkheden, met heel verschillende gevolgen:
- Wissen. Het gegeven verdwijnt. Vergeet de back-ups niet: die vallen onder een eigen regime, maar je moet minstens kunnen uitleggen hoe lang ze meelopen en dat een teruggezette back-up opnieuw opgeschoond wordt.
- Anonimiseren. Echt anonimiseren, niet pseudonimiseren. Als je het met een sleutel kunt terugdraaien, is het nog altijd een persoonsgegeven en loopt je termijn gewoon door.
- Archiveren. Voor besturen vaak de enige juiste weg: het archiefregime neemt over van je verwerkingsdoel. Zet dat er dan ook zo bij, met de verwijzing naar de selectielijst.
De praktijk is dat bijna niemand die opkuis effectief doet. Dat komt zelden door onwil en bijna altijd doordat niemand een signaal krijgt. Een termijnenscherm dat alles wat loopt op één plaats zet — bewaartermijnen, hertoetsingen, aflopende contracten, openstaande verzoeken — lost dat op zonder dat er iemand iets moet onthouden.
Bewaartermijnen en je verwerkingsregister
Artikel 30.1.f vraagt de bewaartermijnen «indien mogelijk» in je register. Die woorden worden vaak gelezen als «mag je overslaan». Zo bedoeld is het niet: ze zijn er voor de gevallen waarin een vaste duur echt niet te geven is, bijvoorbeeld bij een lopende overeenkomst. Ook dan schrijf je iets op, alleen dan een criterium in plaats van een getal: «duur van het lidmaatschap, plus de verjaringstermijn».
Wie een verwerkingsregister opstelt, doet er goed aan de bewaartermijn meteen mee te nemen per verwerking, en niet in een aparte lijst. Een aparte lijst loopt binnen het jaar uit de pas met het register, en dan heb je twee documenten die elkaar tegenspreken. Dat is erger dan één document dat op sommige punten «criterium» zegt in plaats van een getal.
Eén nuance over wie de termijn eigenlijk vastlegt: ben je verwerker en niet verwerkingsverantwoordelijke, dan is de bewaartermijn geen keuze van jou maar een instructie die je krijgt. Het is een wezenlijk middel, en daarover beslist altijd de verantwoordelijke. Twijfel je over je rol, lees dan verwerker of verwerkingsverantwoordelijke.
Veelgestelde vragen
Staat er een lijst met bewaartermijnen in de AVG?
Nee. De AVG bevat één regel — artikel 5.1.e — die zegt dat je niet langer bewaart dan noodzakelijk voor het doel. Concrete termijnen komen uit andere wetgeving of uit je eigen, gemotiveerde keuze.
Mag ik alles gewoon 7 jaar bewaren, voor de zekerheid?
Nee. Dat is precies wat de opslagbeperking verbiedt. Bovendien werkt het tegen je: hoe langer je bewaart, hoe groter de schade bij een datalek en hoe zwaarder je verantwoording. Zeven jaar is de boekhoudkundige termijn, geen algemene.
Hoe lang mag ik sollicitaties bijhouden?
Tot het einde van de procedure, tenzij de kandidaat toestemt om in je wervingsreserve te blijven. Die toestemming moet vrij en aantoonbaar zijn, en je moet ze intrekbaar maken. Een termijn van één of twee jaar is dan gangbaar, mits je die bij het verzamelen meedeelt.
Gelden bewaartermijnen ook voor back-ups?
Ja, maar met een eigen redenering. Een back-up mag een gegeven nog even bevatten na het wissen in het productiesysteem, zolang de back-upcyclus eindig is en je bij een herstel opnieuw opschoont. Leg die cyclus vast: dat is het antwoord dat je bij een wisverzoek nodig hebt.
Het DPO-dossier zet elke bewaartermijn samen met zijn startpunt en zijn vindplaats in het register, en verzamelt alles wat loopt op één termijnenscherm. Volledig offline, op je eigen schijf. Dertig dagen gratis proberen.
