Een oud personeelsdossier, een mailbox van een vertrokken medewerker of een lijst met offertes van tien jaar geleden: veel mkb-bedrijven bewaren gegevens omdat verwijderen onveilig voelt. Toch is de vraag hoe lang data bewaren niet alleen een technische kwestie. Te lang bewaren vergroot het risico op een datalek, een onnodig complexe ICT-omgeving en vragen van betrokkenen. Te vroeg verwijderen kan juist problemen geven bij een belastingcontrole, arbeidsconflict of contractueel geschil.

De juiste bewaartermijn hangt daarom af van het soort gegevens, het doel waarvoor ze zijn verzameld en de wettelijke plicht die erop rust. Een goed bewaarbeleid geeft duidelijkheid aan directie, administratie, HR en IT. Het maakt bovendien bespreekbaar welke gegevens echt nodig zijn en welke data vooral een risico vormen.

Hoe lang data bewaren volgens de AVG?

De AVG noemt voor de meeste persoonsgegevens geen vaste aantallen jaren. De hoofdregel is wel helder: persoonsgegevens mogen niet langer worden bewaard dan noodzakelijk is voor het doel waarvoor ze zijn verzameld. Dit heet opslagbeperking.

Een sollicitatiebrief bewaart u bijvoorbeeld om een vacatureprocedure af te ronden. Is de procedure voorbij en is de kandidaat niet aangenomen, dan vervalt dat doel meestal snel. Een factuur bewaart u niet primair voor de klantrelatie, maar omdat de fiscale bewaarplicht dat vereist. Het verschil is essentieel: een wettelijke plicht kan een langere termijn rechtvaardigen, maar alleen voor de gegevens die daarvoor nodig zijn.

Leg per gegevenscategorie vast waarom u de gegevens bewaart, wie eigenaar is van de gegevens en wanneer de termijn opnieuw wordt beoordeeld. Zonder die onderbouwing is een map met het label ‘archief’ geen bewaarbeleid.

De AVG vraagt ook om transparantie. Klanten, medewerkers en andere betrokkenen moeten in een privacyverklaring of interne regeling kunnen zien welke termijnen u hanteert. Dat hoeft niet altijd tot op de dag nauwkeurig, maar ‘zolang als nodig’ is zonder verdere toelichting meestal te vaag.

De belangrijkste bewaartermijnen voor mkb-bedrijven

Voor een deel van uw administratie gelden concrete wettelijke termijnen. Deze vormen een ondergrens, geen reden om alle beschikbare informatie onbeperkt te archiveren.

Financiële administratie en facturen

De basisadministratie bewaart u in beginsel zeven jaar. Denk aan het grootboek, debiteuren- en crediteurenadministratie, inkoop- en verkoopfacturen, bankafschriften, kassaregistratie en voorraadadministratie. De Belastingdienst moet uw administratie binnen die periode kunnen controleren.

Voor gegevens rond onroerende zaken geldt voor de btw vaak een langere bewaartermijn van negen jaar na het boekjaar. Dat kan spelen bij aankoop, verbouwing, verhuur of verkoop van bedrijfspanden. Bespreek specifieke situaties met uw accountant of fiscalist, want de precieze toepassing hangt af van uw situatie.

Bewaar niet alleen het pdf-bestand van een factuur. Zorg dat de administratieve keten controleerbaar blijft: wie leverde wat, wanneer is betaald en hoe is de boeking verwerkt? Een onleesbare back-up of een oud boekhoudpakket zonder toegang voldoet in de praktijk niet aan de bewaarplicht.

Personeelsgegevens

Voor personeelsdossiers bestaat geen universele termijn voor elk document. U bewaart gegevens zolang ze nodig zijn voor de arbeidsovereenkomst, wettelijke verplichtingen of een redelijk voorzienbaar geschil. Daarbij moet u onderscheid maken tussen documenten.

Loonadministratie en gegevens die relevant zijn voor loonheffingen bewaart u doorgaans zeven jaar. Een kopie van een identiteitsbewijs van een medewerker moet u in het kader van de loonheffingen in principe vijf jaar na het einde van het dienstverband bewaren. Voor andere onderdelen van het personeelsdossier, zoals beoordelingsverslagen, verzuimgegevens of correspondentie, is maatwerk nodig.

Juist bij verzuim is terughoudendheid belangrijk. De werkgever mag niet meer medische informatie vastleggen dan noodzakelijk is. Een uitgebreide e-mailwisseling over diagnoses hoort niet thuis in een regulier personeelsdossier, ongeacht de bewaartermijn.

Sollicitanten en oud-medewerkers

Gegevens van afgewezen sollicitanten verwijdert u normaal gesproken uiterlijk vier weken na het einde van de sollicitatieprocedure. Wilt u iemand langer in portefeuille houden, dan heeft u toestemming nodig. Met die toestemming kunt u de gegevens doorgaans nog maximaal één jaar bewaren. Zorg dat toestemming vrijwillig, concreet en aantoonbaar is.

Bij oud-medewerkers is het verstandig een opschoningsmoment in te plannen zodra het dienstverband eindigt. Houd alleen wat nodig is voor de loonadministratie, wettelijke claims, pensioenverplichtingen of een lopende zaak. Een volledig personeelsdossier in een gedeelde HR-map laten staan ‘voor het geval dat’ is moeilijk te verdedigen.

Klant-, prospect- en contractgegevens

Klantgegevens bewaart u zolang de overeenkomst loopt en zolang gegevens daarna nodig zijn voor administratie, garantie, service of juridische verplichtingen. Contracten en correspondentie kunnen ook na afloop relevant blijven, bijvoorbeeld vanwege de wettelijke verjaringstermijn van vorderingen. In veel zakelijke situaties is vijf jaar een logisch uitgangspunt voor contractuele bewijsstukken, terwijl financiële documenten vaak zeven jaar bewaard blijven.

Voor prospects ligt dat anders. Iemand die ooit een brochure heeft aangevraagd, blijft niet onbeperkt een relevante contactpersoon. Kies een concrete termijn voor inactieve leads en maak die afhankelijk van uw verkoopcyclus. Bij een zakelijke dienstverlener kan dat bijvoorbeeld korter zijn dan bij een leverancier van kapitaalintensieve producten. Verwijder of anonimiseer gegevens als er geen aantoonbaar commercieel of wettelijk doel meer is.

Camerabeelden, e-mail en logs

Camerabeelden bewaart u in de regel maximaal vier weken, tenzij er een incident is vastgelegd waarvoor langere bewaring noodzakelijk is. Ook hierbij geldt: beperk de toegang en leg vast wie beelden mag bekijken.

Voor e-mail bestaat geen algemene wettelijke bewaartermijn. Een mailbox is bovendien geen archiefstrategie. Bewaar relevante contractafspraken, opdrachten en financiële documenten in het daarvoor bedoelde systeem en hanteer voor gewone e-mail een praktische verwijdertermijn. Dat vermindert zoekwerk, opslagkosten en de impact van een mogelijk datalek.

Logbestanden van systemen zijn nodig voor beveiliging, foutanalyse en onderzoek naar incidenten. De passende termijn hangt af van uw risico’s, beschikbare opslag en de tijd waarin misbruik redelijkerwijs ontdekt kan worden. Voor een organisatie met gevoelige klantdata is een langere, goed beveiligde logbewaring soms verdedigbaar. Voor algemene technische logs zonder veiligheidswaarde niet.

Van bewaartermijn naar werkbaar beleid

Een bewaarbeleid werkt alleen als het aansluit op de dagelijkse praktijk. Begin daarom niet met een juridisch document van twintig pagina’s, maar met een overzicht van de systemen waarin gegevens staan. Denk aan boekhouding, CRM, HR-software, gedeelde schijven, Microsoft 365, back-ups, cameratoezicht en applicaties van externe leveranciers.

Bepaal vervolgens per categorie wat het doel is, welke grondslag of wettelijke plicht geldt, welke termijn past en wat er na afloop gebeurt. Verwijderen is niet de enige optie. Soms is anonimiseren voldoende, bijvoorbeeld wanneer historische verkoopcijfers waardevol zijn maar persoonsgegevens niet meer nodig zijn.

Automatisering voorkomt dat uw beleid afhankelijk wordt van goede bedoelingen. Richt waar mogelijk bewaartermijnen in binnen HR- en CRM-systemen, maak archiefmappen alleen toegankelijk voor bevoegde medewerkers en plan periodieke opschoning. Controleer ook of verwijderde gegevens uit actieve systemen na verloop van tijd verdwijnen uit back-ups. Back-ups zijn bedoeld voor herstel, niet als verborgen langetermijnarchief.

Leg verantwoordelijkheden expliciet vast. HR is inhoudelijk eigenaar van personeelsdossiers, finance van de fiscale administratie en IT van de technische uitvoering en toegangsbeveiliging. De directie blijft verantwoordelijk voor de keuzes en moet kunnen aantonen dat risico’s zijn afgewogen.

Let ook op leveranciers en gedeelde data

Gegevens staan zelden nog op één server in uw eigen pand. Uw boekhouder, salarisverwerker, cloudleverancier, IT-partner en softwareleveranciers kunnen allemaal persoonsgegevens verwerken. Controleer daarom in verwerkersovereenkomsten en contracten wat er gebeurt aan het einde van de dienstverlening. Worden gegevens teruggeleverd, verwijderd of nog enige tijd bewaard voor herstel en wettelijke verplichtingen?

Vraag ook hoe een leverancier verwijdering kan aantonen. Een algemene belofte is minder waardevol dan een duidelijke procedure met termijnen, verantwoordelijkheden en bevestiging. Dit is vooral relevant wanneer u van software wisselt of een leveranciersovereenkomst beëindigt. Data die u niet meer ziet, kan nog jaren in een oud platform aanwezig zijn.

Een onafhankelijke beoordeling van uw systemen, contracten en werkprocessen kan helpen om de verschillen tussen beleid op papier en de praktijk zichtbaar te maken. Uw ICT Adviseur kijkt daarbij niet vanuit de verkoop van een pakket, maar vanuit de vraag welke gegevensrisico’s voor uw organisatie echt beheersbaar moeten zijn.

Een goede bewaartermijn is uiteindelijk geen vinkje voor de AVG. Het is een concrete keuze voor minder onnodige data, sneller herstel bij incidenten en beter overzicht wanneer uw organisatie moet aantonen waarom informatie nog aanwezig is.