"Zo lang als nodig" is de regel van de AVG, maar wat betekent dat in de praktijk?
Kort antwoord
De AVG schrijft geen vaste termijnen voor; u bewaart persoonsgegevens niet langer dan nodig voor het doel. Andere wetten verplichten u soms juist om langer te bewaren, zoals de fiscale bewaarplicht van in de regel zeven jaar voor uw administratie. Stel per soort gegevens een termijn vast, leg die vast in uw privacyverklaring en ruim daarna ook echt op. Dit is algemene uitleg, geen juridisch advies.
Twee kanten van dezelfde regel
Niet te lang: gegevens die u niet meer nodig hebt, moet u verwijderen of anonimiseren. Een kast vol oude offerteaanvragen van mensen die nooit klant werden, is een risico zonder nut.
Niet te kort: voor uw administratie geldt een wettelijke bewaarplicht. De Belastingdienst kan facturen, contracten en betalingen over meerdere jaren opvragen.
Voorbeelden van gangbare termijnen
De termijnen hieronder zijn indicaties die veel ondernemers aanhouden. Controleer ze voor uw eigen situatie.
Facturen, contracten, betalingen en bijbehorende klantgegevens: in de regel zeven jaar (fiscale bewaarplicht). Voor bepaalde onroerendgoedgegevens geldt een langere termijn.
Offertes die niet tot een opdracht leidden: vaak enkele maanden tot een jaar.
Losse vragen via contactformulier, mail of WhatsApp: vaak een jaar, of korter.
Nieuwsbriefadressen: zolang iemand ingeschreven is; na afmelden alleen het adres op een blokkeerlijst, zodat u hem niet opnieuw mailt.
Sollicitaties: doorgaans vier weken na de procedure, of langer met toestemming van de sollicitant.
Camerabeelden: meestal kort, vaak vier weken, tenzij er een incident is.
Websitestatistieken: zo kort als werkbaar; in veel pakketten in te stellen.
Gegevens van medewerkers: verschillende termijnen, sommige tot jaren na uitdiensttreding.
Zo stelt u uw eigen termijnen vast
Maak een lijst van waar u persoonsgegevens bewaart: mailbox, boekhouding, CRM, formulierplugin, WhatsApp, telefoon, map met foto's, back-ups.
Bepaal per soort het doel. Waarvoor hebt u het nog nodig: administratie, garantie, nazorg, marketing?
Koppel een termijn aan elk doel, met de wettelijke plicht als ondergrens.
Zet het in uw privacyverklaring in gewone taal.
Plan het opruimen. Bijvoorbeeld elk jaar in januari: oude aanvragen, formulierinzendingen en chats verwijderen.
Wat vaak vergeten wordt
Mailboxen. Ook als u klantgegevens netjes uit uw CRM verwijdert, staan ze nog in uw verzonden items.
Formulierplugins. Veel WordPress-formulieren bewaren elke inzending in de database, ook als u ze al per mail kreeg.
WhatsApp op uw telefoon. Foto's van woningen of documenten blijven jaren in uw galerij staan.
Back-ups. Een verwijderde klant staat nog in oude back-ups. Dat is acceptabel als back-ups na een vaste tijd worden overschreven en u ze niet terugzet voor ander gebruik.
Oude systemen. Een vorige webshop of oud boekhoudpakket met een account dat nog loopt.
Automatisch opruimen
Veel software kan zelf opruimen: formulierplugins met een automatische verwijdertermijn, statistieken met een korte bewaartermijn, mailregels die oude berichten archiveren. Zet dat aan waar het kan; handmatig opruimen schiet er vaak bij in.
Veelgestelde vragen
Mag ik gegevens langer bewaren "voor het geval dat"?
Nee, dat is geen geldig doel. Kunt u een concrete reden noemen, zoals garantie of een lopend geschil, dan kan een langere termijn wel.
Wat als een klant vraagt zijn gegevens te verwijderen, maar de factuur moet ik bewaren?
Dan bewaart u wat u wettelijk moet bewaren en verwijdert u de rest, zoals marketinggegevens en losse berichten. Leg de klant uit waarom.
Geldt de zevenjaarsregel ook voor e-mails?
Voor zover mails onderdeel zijn van uw administratie, zoals een opdrachtbevestiging, wel. Gewone correspondentie zonder administratieve waarde niet per se.
Hulp nodig?
Wilt u formulierplugins, mailboxen en back-ups zo instellen dat oude gegevens automatisch worden opgeruimd? Dat regel ik via IT-support.
