Bedrijfsgegevens mag je in Nederland bewaren zolang dat noodzakelijk is voor het doel waarvoor ze zijn verzameld, maar voor veel soorten gegevens gelden vaste wettelijke bewaartermijnen. De fiscale bewaarplicht schrijft voor dat je de meeste financiële administratie zeven jaar bewaart. Voor persoonsgegevens geldt een strengere norm: de AVG verplicht je om niet langer te bewaren dan strikt nodig. In dit artikel beantwoorden we de meest gestelde vragen over bewaartermijnen, zodat je weet waar je aan toe bent.

Welke wettelijke bewaartermijnen gelden er voor bedrijven?

Voor de meeste bedrijven geldt een fiscale bewaarplicht van zeven jaar voor de financiële administratie. Dit is vastgelegd in de Algemene wet inzake rijksbelastingen. Denk aan facturen, bankafschriften, loonadministratie en contracten. Voor gegevens die betrekking hebben op onroerende zaken geldt zelfs een termijn van tien jaar.

Naast de fiscale regels bestaan er ook sectorspecifieke termijnen. In de zorg gelden andere regels dan in de financiële sector. Een huisarts moet patiëntendossiers twintig jaar bewaren, terwijl een accountant zijn werkdossiers minimaal zeven jaar moet archiveren. Het is dus niet één universele termijn die voor iedereen geldt.

• Financiële administratie (facturen, bankafschriften, grootboek): 7 jaar
• Gegevens rond onroerende zaken: 10 jaar
• Personeelsdossiers: veelal 5 jaar na uitdiensttreding
• Medische dossiers: 20 jaar (tenzij sectorspecifiek anders bepaald)

De kern is simpel: bewaar wat je wettelijk moet bewaren en verwijder de rest zodra het doel is bereikt. Dat klinkt logisch, maar in de praktijk stapelen gegevens zich op zonder dat iemand er bewust naar kijkt.

Wat zegt de AVG over het bewaren van persoonsgegevens?

De Algemene Verordening Gegevensbescherming (AVG) stelt geen vaste bewaartermijnen vast, maar schrijft wel het principe van opslagbeperking voor. Dat betekent dat persoonsgegevens niet langer bewaard mogen worden dan noodzakelijk voor het doel waarvoor ze zijn verzameld. Zodra dat doel is bereikt, moeten de gegevens worden verwijderd of geanonimiseerd.

Concreet betekent dit dat je als bedrijf per categorie persoonsgegevens moet kunnen uitleggen waarom je ze bewaart en hoe lang. Een sollicitant die niet is aangenomen? Zijn gegevens mogen maximaal vier weken na de procedure worden bewaard, tenzij de kandidaat toestemming geeft voor een langere periode. Klantgegevens mogen langer bewaard blijven als er een actieve klantrelatie of wettelijke verplichting is.

De AVG vraagt ook om transparantie richting de betrokkenen. Mensen hebben het recht om te weten hoe lang hun gegevens worden bewaard. Dit leg je vast in je privacyverklaring. Wie dat niet goed regelt, loopt het risico op een boete van de Autoriteit Persoonsgegevens. Privacycompliance is daarmee niet alleen een juridische verplichting, maar ook een kwestie van vertrouwen.

Welke gegevens mag je langer bewaren en welke moet je eerder verwijderen?

Je mag gegevens langer bewaren als daar een gegronde reden voor is, zoals een wettelijke verplichting, een lopende rechtsvordering of een zwaarwegend gerechtvaardigd belang. Gegevens die je eerder moet verwijderen, zijn gegevens waarvoor het oorspronkelijke doel al is vervallen en waarvoor geen wettelijke grondslag meer bestaat.

In de praktijk zijn er twee categorieën die extra aandacht verdienen.

Gegevens die je langer mag bewaren: financiële gegevens met fiscale relevantie, dossiers in het kader van een juridisch geschil en gegevens waarvoor de betrokkene uitdrukkelijk toestemming heeft gegeven voor langere bewaring.

Gegevens die je eerder moet verwijderen: gegevens van afgewezen sollicitanten (na vier weken), marketinggegevens van mensen die hun toestemming hebben ingetrokken en bijzondere persoonsgegevens zoals gezondheids- of geloofsgegevens waarvoor de verwerkingsgrondslag is vervallen.

De vuistregel: hoe gevoeliger de gegevens, hoe strenger de norm. Bijzondere categorieën persoonsgegevens vereisen altijd een expliciete grondslag en een korte bewaartermijn.

Wat zijn de gevolgen van het te lang of te kort bewaren van gegevens?

Te lang bewaren leidt tot AVG-overtredingen en mogelijke boetes van de Autoriteit Persoonsgegevens. Te kort bewaren kan leiden tot problemen bij belastingcontroles, rechtszaken of audits waarbij je verplicht bent bepaalde informatie te kunnen overleggen. Beide fouten hebben dus concrete zakelijke en juridische gevolgen.

De Autoriteit Persoonsgegevens kan bij overtredingen van de AVG boetes opleggen die oplopen tot twintig miljoen euro of vier procent van de wereldwijde jaaromzet. In de praktijk worden bij mkb-bedrijven lagere bedragen gehanteerd, maar ook een waarschuwing of een last onder dwangsom kan forse operationele gevolgen hebben.

Aan de andere kant: wie financiële gegevens te vroeg vernietigt, loopt bij een belastingcontrole het risico dat de Belastingdienst de administratie als ondeugdelijk beschouwt. Dat kan leiden tot een omkering van de bewijslast, waarbij jij moet aantonen dat je aangifte correct is. Dat is een situatie die je wilt vermijden.

Naast de formele gevolgen speelt ook reputatieschade een rol. Een datalek of een privacyklacht kan het vertrouwen van klanten en partners ernstig schaden. Auren ziet in de praktijk dat bedrijven die hun gegevenshuishouding niet op orde hebben, kwetsbaarder zijn op meerdere fronten tegelijk.

Hoe leg je als bedrijf bewaartermijnen intern vast?

Je legt bewaartermijnen intern vast door een verwerkingsregister op te stellen en daarin per gegevenscategorie de bewaartermijn en de grondslag te documenteren. Dit register is verplicht onder de AVG voor organisaties met meer dan 250 medewerkers, maar ook voor kleinere bedrijven sterk aan te raden als bewijs van compliance.

Praktisch gezien doe je dit in een paar stappen. Breng eerst in kaart welke gegevens je verwerkt en waarom. Koppel daar vervolgens een bewaartermijn aan op basis van wet- en regelgeving. Zorg daarna voor een proces om gegevens daadwerkelijk te verwijderen of te anonimiseren zodra de termijn verloopt. Automatiseer dit waar mogelijk, zodat het niet afhankelijk is van iemands geheugen.

Vergeet ook de interne communicatie niet. Medewerkers die dagelijks met klant- of personeelsgegevens werken, moeten weten wat de spelregels zijn. Een intern beleidsdocument of een korte training maakt het verschil tussen papieren compliance en een werkende praktijk.

Hoe Auren u helpt met gegevensbeveiliging en compliance

Bewaartermijnen zijn één onderdeel van een bredere uitdaging: zorgen dat je gegevens goed beveiligd zijn, correct worden verwerkt en voldoen aan alle relevante wet- en regelgeving. Dat vraagt om meer dan een spreadsheet met termijnen. Het vraagt om inzicht in je volledige IT-omgeving en een concrete aanpak.

Wij helpen organisaties bij het in kaart brengen van hun gegevenshuishouding en het versterken van hun digitale weerbaarheid. Concreet doen we dat door:

• Het uitvoeren van risicoanalyses en IT-audits om zwakke plekken te identificeren
• Het vertalen van AVG, NIS2 en andere regelgeving naar uitvoerbare maatregelen
• Het opstellen of toetsen van een verwerkingsregister en privacybeleid
• Het bieden van onafhankelijke assurance via ISAE 3000/3402 of SOC-rapportages

Wil je weten of jouw organisatie de gegevensbeveiliging en bewaartermijnen goed op orde heeft? Neem contact op met Auren en we kijken samen wat er nodig is, zonder jargon en zonder omwegen.

Gerelateerde artikelen

• Hoe herstel ik fouten in mijn WKR-administratie?
• Welke cybersecurity-KPI’s moet ik als CFO volgen?
• Wat doe je als de bank je kredietfaciliteit bevriest?
• Wat zijn de 3 meest voorkomende methodes van phishing?
• Hoeveel keer je omzet is je bedrijf waard?