AVG - Bewaartermijnen

Verschillende soorten persoonsgegevens mogen niet even lang worden bewaard. Zo kan het zijn dat bepaalde persoonsgegevens maar voor enkele weken bewaard mogen worden, en andere onbeperkt. In dit blog wordt behandeld wat de AVG over bewaartermijnen zegt, wat de specifieke bewaartermijnen zijn, en het verwijderingsproces van persoonsgegevens.

Geen bewaartermijn

De AVG zelf stelt zelf geen wettelijke bewaartermijn voor persoonsgegevens. De vuistregel is dat organisaties zelf mogen bepalen hoe lang ze persoonsgegevens bewaren. Organisaties hebben het recht persoonsgegevens zo lang mogen bewaren als dat het nodig is voor het doel van de verwerking. Dit kan natuurlijk per soort persoonsgegeven en per organisatie verschillen. Zo mag de Belastingdienst langer informatie over het loon van een persoon bewaren, dan een bedrijf sollicitatiegegevens mag bewaren. Daarnaast worden specifieke bewaartermijnen in specifieke wetten gesteld, zoals bijvoorbeeld de Archiefwet als het om overheidsinstanties gaat.

Bewaartermijnen in specifieke wetten

Omdat de AVG geen wettelijke bewaartermijn voor persoonsgegevens stelt, is het van belang om aantal belangrijke bewaartermijnen in andere wetgeving in kaart te brengen. De Autoriteit Persoonsgegevens heeft aantal van deze specifieke wetten opgesomd:

De Archiefwet is van toepassing op alle Nederlandse overheidsorganen. Het doel van de Archiefwet is het bewaren van belangrijke informatie door overheidsinstanties. Ook staat in de Archiefwet dat de overheid alle informatie vernietigd, zodra deze informatie niet meer noodzakelijk is voor het doel van de verwerking (dit uitgangspunt komt uit de AVG). De overheid moet dus het belang om belangrijke informatie te bewaren, afwegen tegenover dataminimalisatie. Niet alle gegevens zijn even belangrijk en hoeven even lang bewaard te worden: overheidsinstanties houden selectielijsten bij, waarin staat waarom gegevens bewaard worden en voor hoe lang. Ook stelt de Archiefwet dat alle gegevens die permanent bewaard moeten worden, bewaard worden in een archief.

Particulieren hoeven volgens de belastingdienst niet zelfstandig hun administratieve gegevens te bewaren. Voor bedrijven stelt de fiscale bewaarplicht dat financiële gegevens zeven jaar bewaard moeten worden. In sommige gevallen, zoals wanneer bedrijven gebruik maken van de MOSS-regeling én telecommunicatiediensten verrichten, moeten de financiële gegevens zelfs tien jaar lang bewaard worden. Daarnaast stelt de fiscale bewaarplicht dat de werkgever de loongegevens en een kopie van het identiteitsbewijs van werknemers vijf jaar mag bewaren. Voor overige persoonsgegevens van werknemer bestaat geen wettelijke bewaartermijn. De vuistregel daarbij is een bewaartermijn van twee jaar na uitdiensttreding.

Een medisch dossier bij de huisarts moet minimaal 20 jaar nadat de behandeling is gestopt, bewaard worden. Een medisch dossier kan in sommige gevallen korter, of juist langer bewaard worden: dit is geregeld in de Wet op de geneeskundige behandelingsovereenkomst (WGBO). Een medisch dossier mag langer dan 20 jaar bewaard worden indien er een andere wettelijke bewaartermijn is gesteld, bewaring noodzakelijk is voor goede hulpverlening of de gegevens van groot belang zijn voor een derde. Voor gegevens die niet onder de WGBO vallen, geldt de vuistregel dat ze net zo lang bewaard mogen worden als nodig voor het doel van de verwerking.

Het is gebruikelijk dat organisaties vier weken na beëindiging van de sollicitatieprocedure, de persoonsgegevens van de sollicitanten verwijderen. Het is echter mogelijk om de gegevens langer te mogen bewaren. Dit kan indien de sollicitant zelf nadrukkelijk toestemming heeft gegeven dat de gegevens voor langer bewaard mogen worden. Dit kan handig zijn wanneer er in het bedrijf in de nabije toekomst een functie vrijkomt.

Camerabeelden van openbare ruimtes mogen gebruikelijk vier weken, na de start van de opname, bewaard worden. Dit kan echter langer worden, indien er een incident op de beelden te zien is. In dat geval mogen de camerabeelden bewaard worden totdat het incident is afgesloten.

Verwijdering persoonsgegevens

Een uitgangspunt dat bij vrijwel iedere specifieke wet over de bewaartermijn van persoonsgegevens te vinden is, is dat de gegevens verwijderd moeten worden als ze niet meer noodzakelijk zijn voor de verwerking. Organisaties moeten goed stilstaan bij de manier waarop er wordt omgegaan met persoonsgegevens, en dus ook de verwijdering van persoonsgegevens. Tegenwoordig worden er meer digitale dossiers bijgehouden dan fysiek op papier. Digitale dossiers kunnen op een veilige manier automatisch verwijderd worden door middel van software. Indien er klachten zijn over de manier waarop persoonsgegevens verwijderd worden, of voor hoelang persoonsgegevens bewaard worden, kan de betrokkene in gesprek gaan met de organisatie. Wanneer de partijen er onderling niet uit komen, kan de betrokkene een privacy-klacht indienen bij de Autoriteit Persoonsgegevens.

In dit blog werd de bewaartermijn voor persoonsgegevens volgens de AVG behandeld, werden aantal specifieke bewaartermijnen uit andere wetten doorgenomen en is de verwijdering van persoonsgegevens behandeld. Wilt u meer weten over de AVG-data compliance? In de volgende blog wordt de Data Protection Impact Assessment (DPIA) behandeld.