Bewaartermijnen
Zoals met bijna alles in het leven is het ook met persoonsgegevens niet de bedoeling om ze voor eeuwig te bewaren. Persoonsgegevens dienen bewaard te worden voor termijnen die voorafgaand aan de verwerking worden vastgesteld.
Maar hoe wordt zo'n termijn nou vastgesteld? Hier zijn twee opties voor:
- Een bewaartermijn vastgelegd in de wet.
- Een bewaartermijn die zelf wordt vastgesteld, op basis van noodzakelijkheid.
Hieronder gaan we verder in op deze twee opties.
Bewaartermijn vastgelegd in de wet
Je kan lang zoeken, maar in de AVG zelf staat geen concrete bewaartermijn voor persoonsgegevens. Het enige wat volgt uit de AVG is dat je persoonsgegevens niet langer moet bewaren dan noodzakelijk.
En toch kan het zijn dat je bewaartermijnen tegenkomt in wetgeving waar organisaties, zoals Het Handje, zich aan moeten houden. Dit kan nationale wetgeving zijn, maar zelfs wetgeving opgelegd door de Europese Unie.
Het bekendste voorbeeld hierbij is mogelijk de wettelijke bewaartermijnen in het kader van administratiegegevens voor de Belastingdienst. Zo dien je de basisgegevens uit de administratie voor 7 jaar te bewaren. Gegevens over onroerende zaken en rechten op onroerende zaken moeten 10 jaar bewaard blijven. In dit kader gaan de bewaartermijnen in op het moment dat de administratie niet langer actueel is. Voor een leasecontract dat 4 jaar loopt gaat de bewaartermijn dus pas in wanneer die 4 jaar verstreken zijn. Op dat moment gaat de bewaartermijn van 10 jaar lopen.
De bewaartermijn voor de Belastingdienst is niet de enige wettelijke bewaartermijn. Het is dus altijd belangrijk om te controleren welke termijnen er van toepassing kunnen zijn.
Bewaartermijn op basis van noodzakelijkheid
Wanneer een bewaartermijn niet terug te vinden is in de wet, dan zal je als organisatie die verwerkingsverantwoordelijke is voor persoonsgegevens zelf moeten bepalen wat de bewaartermijn wordt.
Hierbij dien je uit te gaan van het antwoord op de vraag: hoe lang heb je de gegevens nodig voor het doel waarvoor je de persoonsgegevens verwerkt? Het uitgangspunt is dat je de gegevens zo kort mogelijk bepaalt. Let op, ga je gevoelige gegevens verwerken, waaronder bijzondere persoonsgegevens, of zijn het gegevens die toebehoren aan kwetsbare groepen? Ben dan nóg scherper met deze termijn. Dit om eventuele risico's bij de omgang met deze gegevens te beperken.
Tip: soms zijn bewaartermijnen op te stellen op basis van richtlijnen van de EDPB of de Autoriteit Persoonsgegevens. Zo ook bij de omgang met gegevens van sollicitanten. Zo stelt de Autoriteit Persoonsgegevens een periode van 4 weken voor, voor gegevens van sollicitanten, na afloop van de sollicitatieperiode. Zo kan je in het geval een nieuwe medewerker gedurende de proefperiode toch geen match blijkt te zijn eventueel nog doorschakelen naar andere kandidaten. Duurt je proefperiode nou geen 4, maar 6 weken, dan is het prima te beargumenteren dat het voor jouw organisatie noodzakelijk is om de gegevens 6 weken te bewaren na afloop van de procedure.