13 Bewaartermijnen

Gegevens mogen op grond van de AVG niet langer worden bewaard dan voor het doel waarvoor zij worden verwerkt (art. 5 lid 1 sub e AVG). De AVG geeft geen concrete bewaartermijnen. Organisaties bepalen zelf hoe lang zij persoonsgegevens bewaren. Hierbij kijken zij hoe lang de gegevens nodig zijn voor het doel waarvoor deze zijn verzameld of “verder” worden gebruikt. Wel zijn er concrete bewaartermijnen in andere wetten waar organisaties zich aan moeten houden. Bijvoorbeeld in belastingwetgeving. Daarnaast geeft het per 25 mei 2018 vervallen Vrijstellingsbesluit (VB) voor diverse soorten persoonsgegevens een indicatie voor de bewaartermijn (tevens de opinie van de AP). De termijnen uit het inmiddels vervallen VB zijn relatief kort en niet bindend. Persoonsgegevens kunnen langer worden bewaard dan de daarin genoemde termijnen, bijvoorbeeld omdat sprake is van een geschil of procedure.

Algemene aandachtspunten:

• □

  vaststellen bewaarbeleid;

• □

  vaststellen uitgangspunten voor bepalen bewaartermijn (criteria vaststellen: art. 13 lid 2 sub a AVG, art. 14 lid 2 sub a AVG);

• □

  vaststellen aanvang bewaarperiode (bijvoorbeeld: bij aanvang/einde relatie, bij einde contract of bij een bepaalde gebeurtenis) en einde bewaarperiode (bijvoorbeeld: bij verjaring betwistingsmogelijkheid);

• □

  vastleggen bewaarbeleid (art. 5 lid 2 AVG: accountability);

• □

  check visie AP over concrete bewaartermijnen;

• □

  vaststellen bewaardoeleinden;

• □

  procedure wijzigen bewaardoel (verenigbaarheidstoets);

• □

  handhaven bewaarbeleid;

• □

  handhaven bewaarbeleid bij inschakeling verwerker;

• □

  procedure voor vernietigen gegevensdragers (documenten, USB, hard disk, printergeheugens, mobiele apparaten, etc.);

• □

  procedure inrichten voor achteraf geautomatiseerd vernietigen;

• □

  bewaartermijn vooraf implementeren door middel van “standaardinstellingen” (art. 25 lid 1 en 2 AVG);

• □

  procedure pseudonimisering of anonimisering bij langere opslag (art. 5 lid 1 sub e AVG);

• □

  vernietigingsverbod bij geschillen;

• □

  inrichten “archiefstatus”: beperkte toegang (bijvoorbeeld alleen voor manager toegankelijk);

• □

  aandachtspunt: procedures bij conversie papier naar elektronisch (maatregelen tegen fouten);

• □

  is er ruimte voor commerciële doeleinden (zonder doelomschrijving aan te passen);

• □

  is er ruimte voor onderzoeksdoeleinden (zonder doelomschrijving aan te passen);

• □

  is er ruimte voor big-datadoeleinden (zonder doelomschrijving aan te passen);

• □

  is sprake van verwerking in het kader van het algemeen belang, wetenschappelijk of historisch onderzoek of statistische doeleinden (art. 5 lid 1 sub e en 89 lid 1 AVG, art. 44 en 45 UAVG);

• □

  is sprake van bewaring voor journalistieke doeleinden (overweging 65 AVG, art. 85 AVG en art. 43 UAVG);

• □

  is sprake van gegevens van kinderen (overweging 65 AVG);

• □

  informatieplicht ten aanzien van bewaartermijn of berekeningswijze bewaartermijn (art. 13 lid 2 sub a en art. 14 lid 2 sub a AVG);

• □

  informatieplicht als onderdeel reactie op inzageverzoek (art. 15 lid 1 sub d AVG);

• □

  vastleggen bewaartermijn in verwerkingsregister (art. 30 lid 1 sub f AVG);

• □

  vastleggen bewaartermijnen in bindende bedrijfsvoorschriften (art. 47 lid 2 sub d AVG);

• □

  back-upsystemen: onder een back-up wordt een reservekopie van data verstaan, die uitsluitend als doel heeft de originele data te kunnen reconstrueren in geval van verlies of beschadiging. Daarbij gelden de volgende aandachtspunten ten aanzien van de bewaartermijn:

  • een back-up van gestructureerde data moet een (alomvattende) kopie zijn van de huidige live- en archiefomgeving. De bewaartermijnen tussen de live- en archiefomgeving lopen in dat geval simultaan met de back-up. Handhaving van bewaartermijnen en rechten van betrokkenen (zoals rectificatie en verwijdering) vergt bij deze back-upconfiguratie géén aanvullende handeling;

  • een back-up van ongestructureerde data (zoals e-mailberichten) vereist een andere (technische) oplossing. Met behulp van technische hulpmiddelen moet de handhaving van bewaartermijnen en rechten van betrokkenen in back-ups mogelijk worden gemaakt. Daarbij moet het uitgangspunt zijn dat bij het verstrijken van de bewaartermijn van de data ook de bijbehorende gegevens in het back-upbestand worden gewist.

Enkele voorbeelden van in de praktijk veel voorkomende bewaartermijnen: