Bewaartermijn van persoonsgegevens

In de AVG is geen concrete bewaartermijn voor persoonsgegevens opgenomen. Organisaties mogen zelf bepalen hoe lang ze gegevens bewaren, maar gegevens mogen niet langer bewaard worden dan noodzakelijk. Persoonsgegevens mogen alleen verwerkt worden voor vastgestelde doelen en organisaties moeten een bewaartermijn in hun privacyreglement opnemen. In het privacyreglement is vastgelegd dat persoonsgegevens voor een bepaalde periode worden bewaard nadat het doel is behaald of wanneer de dienstverlening stopt.

Wanneer start een bewaartermijn?

De bewaartermijn begint te lopen wanneer het doel, waarvoor de persoonsgegevens worden verwerkt, is behaald of wanneer de dienstverlening tussen twee partijen stopt. In deze gevallen is er namelijk geen reden meer om de gegevens te verwerken. De hoofdregel die de AVG aanhoudt is dat persoonsgegevens niet langer bewaard mogen worden dan noodzakelijk. 

Bewaartermijn

Hoe lang een bewaartermijn precies is, verschilt per organisatie. Zo kan een webshop bij een eenmalige bestelling de persoonsgegevens al heel snel verwijderen, omdat na het verzenden van de bestelling deze gegevens niet meer nodig zijn. Maar er zijn ook andere situaties denkbaar waarin de gegevens nog wel noodzakelijk zijn, ook na het stoppen van de dienstverlening. In zo’n geval kan een organisatie een bewaartermijn van bijvoorbeeld twee jaar opnemen in hun privacyreglement.

Gegevens vernietigen

Wanneer de bewaartermijn van persoonsgegevens voorbij is of als de gegevens niet meer noodzakelijk zijn, dan moeten organisaties de gegevens vernietigen. Als persoonsgegevens bestemd voor zijn voor historische, statistische of wetenschappelijke doeleinden, dan mogen de gegevens bewaard worden in een archief.

Wettelijke bewaartermijn

In andere wetten zijn wel bewaartermijnen gesteld, denk aan de Belastingwet en de Archiefwet. Organisaties moeten debiteuren- en crediteurenadministratie en loonbelastingverklaringen zeven jaar bewaren. Medische gegevens moeten zelfs 20 jaar bewaard worden. Deze wettelijke termijnen gaan vóór de bewaartermijnen van persoonsgegevens. Dit betekent dat een organisatie een factuur waar mogelijk ook persoonsgegevens op staan, alsnog zeven jaar moet bewaren voor de Belastingdienst, ook al hanteert de organisatie een andere bewaartermijn voor persoonsgegevens.