Hoe lang moet u persoonsgegevens bewaren onder de AVG?

Hoe lang persoonsgegevens bewaren? De AVG geeft geen algemene termijn. Een organisatie moet per doel aantonen waarom gegevens nog nodig zijn, toepasselijke lidstaat- en sectorregels onderzoeken en een duidelijke startgebeurtenis, periode en eindactie vastleggen. Dat besluit moet uitvoerbaar zijn in iedere actieve kopie, export en back-up ^1,2.

Snel antwoord

Hoe lang persoonsgegevens bewaren? Alleen zolang een vastgesteld doel, een concrete wettelijke plicht of een andere gedocumenteerde noodzaak dat rechtvaardigt. De AVG schrijft geen standaardaantal jaren voor. Maak per gegevensset een bewaartermijn met startmoment en eindactie, voer verwijdering in alle echte kopieën uit en herzie iedere uitzondering op een berekenbare datum ¹.

Laatst bijgewerkt: 28 augustus 2026

Begin bij het dossier, niet bij een favoriet getal

Een bruikbaar antwoord ontstaat uit de gegevensstroom zelf; “klantgegevens: zeven jaar” kan bezorgen, garantie, boekhouding, marketing en geschilafhandeling verbergen, terwijl die doelen mogelijk elk een andere grond en einddatum hebben. Splits het dossier totdat iedere regel één verklaarbaar doel draagt.

Begin met een inventarisatie van systemen, papieren archieven, mailboxen, apparaten en leveranciers. Vraag uitvoerders waar kopieën werkelijk ontstaan. Een factuur kan in boekhoudsoftware, een gedeelde map, e-mail en een accountantsomgeving staan; het schema moet al die plaatsen aan dezelfde regel verbinden.

Beoordeel vervolgens noodzaak. Kan het doel met minder gegevens, een kortere periode of werkelijk geanonimiseerde statistiek worden bereikt, dan hoort ruimere opslag niet in het schema. Pseudonimisering is geen anonimisering wanneer heridentificatie met aanvullende informatie redelijkerwijs mogelijk blijft ^1,3.

Lidstaatrecht levert enkele echte termijnen

Opslagbeperking is bewust geen uniforme tabel met jaren; belasting-, ondernemings-, arbeids-, loon- en sectorrecht van de lidstaat kan wel concrete minima of claimtermijnen opleveren. De AVG verlangt vervolgens dat de organisatie die bron correct op de betrokken persoonsgegevens toepast en opslag niet ongemerkt verder laat doorlopen ^1,2.

Voor een Nederlandse organisatie worden deze termijnen onder Nederlands recht onderzocht; een organisatie in een andere lidstaat volgt haar eigen bevoegde rechtsorde. Dit gedeelde EU-artikel geeft daarom bewust geen nationale aantallen. Een getal zonder geverifieerde nationale bron is gevaarlijker dan een open onderzoeksvraag.

Noteer titel of identificatie van de regel, toepassingsvoorwaarde, startgebeurtenis en uitzonderingen naast iedere schemaregel; een minimum verbiedt mogelijk te vroege verwijdering, maar rechtvaardigt niet vanzelf opslag na afloop. Houd wettelijke minimumduur, gewone operationele periode en eventuele claimperiode van elkaar gescheiden.

Maak de rechtsorde onderdeel van elke schemaregel, niet van een algemene voetnoot. Een groepsbeleid kan bijvoorbeeld één factuurcategorie gebruiken voor Nederland en het Verenigd Koninkrijk, maar de bron, starttrigger en uitzonderingen worden per toepasselijke rechtsorde vastgesteld. De beslislogica is materieel gelijkwaardig — gegevensbeschermingsrecht geeft geen universele termijn en binnenlands recht levert specifieke perioden — maar de bewijsstukken zijn niet uitwisselbaar. Blokkeer daarom een gekopieerde termijn totdat een eigenaar de juiste nationale bron en rekenregel heeft geverifieerd.

Werk de nationale bron uit tot een rekenregel die een systeembeheerder kan uitvoeren. Het record noemt op welke organisatievorm, administratie en gebeurtenis de plicht ziet, of de termijn een minimum of maximum is, welke kalender- of boekjaarregel het begin bepaalt en welke gebeurtenissen verlengen of juist niets veranderen; een losse verwijzing naar “belastingwetgeving” laat al deze beslissingen open en kan daardoor zowel te vroege verwijdering als onbeperkte opslag veroorzaken.

Controleer bronnen bij de officiële wetgever, bevoegde overheid of sectorale toezichthouder en bewaar de versie en controledatum bij het besluit. Een zoekresultaat, oud advies of groepsbeleid kan een onderzoeksvraag opleveren maar draagt het getal niet, en een periode uit een andere lidstaat blijft onbruikbaar totdat dezelfde soort administratie onder de werkelijk toepasselijke rechtsorde is geverifieerd.

Laat de eigenaar daarna drie voorbeeldrecords berekenen: één normaal geval, één grensgeval rond boekjaar of contracteinde en één geval met een geldige verlenging. Een tweede reviewer moet uit dezelfde bronvelden dezelfde einddatum bereiken; elk verschil wordt vóór automatisering opgelost, omdat een onduidelijke trigger op duizenden records sneller en consequenter de verkeerde beslissing uitvoert dan een handmatige fout.

Maak tenslotte zichtbaar wat na de wettelijke minimumduur gebeurt. De organisatie toetst of een afzonderlijk actueel doel of een concrete claimgrond verdere opslag van juist deze velden nog nodig maakt, beperkt toegang zolang die reden geldt en verwijdert of anonimiseert zodra zij eindigt, in plaats van de nationale minimumtermijn stil als permanent maximum voor iedere kopie te behandelen.

Bouw het schema als werkinstrument

Een bewaarschema vertelt uitvoerders wat zij wanneer doen; het is geen beleidsbijlage die alleen tijdens een audit wordt geopend. Geef iedere regel een eigenaar, systeemkoppeling, berekenbare trigger en bewijs van uitvoering ^3,4.

Bepaal voor ieder dossier eerst de categorie en het doel en verifieer de bron van de noodzaak ². Leg daarna de berekenbare starttrigger, periode, beheerste uitzonderingen en eindactie vast. Voer die actie in alle werkelijke kopieën uit en controleer het resultaat.

Verbind de taal van het schema met systeemgegevens. “Einde klantrelatie” is te vaag wanneer niemand weet of dat de laatste bestelling, opzegging, betaling of sluiting van het account betekent. Een benoemd datumveld plus een periode kan door een systeem worden uitgevoerd en door een reviewer worden getest.

Bewaar versies van het schema. Als een termijn verandert, moet duidelijk blijven welke regel gold toen een dataset werd verwijderd of behouden. Noteer besluitdatum, eigenaar, bron en ingangsdatum; wijzig oude uitvoeringslogs niet om ze bij een nieuw beleid te laten passen.

Het schema sluit aan op leverancierscontracten. Vraag of verwijdering doorwerkt naar actieve kopieën, replica's, exports en back-ups, welke vertraging geldt en welk bewijs beschikbaar is. “Cloud” is een locatie, geen eindactie. Voor handmatige processen staat er wie de lijst ontvangt, wie holds controleert en waar vernietigingsbewijs wordt opgeslagen.

Beperk vrije tekst met vaste keuzewaarden waar dat helpt, maar laat ruimte voor een gemotiveerde uitzondering. Automatisering zonder foutafhandeling en handwerk zonder tweede controle hebben hetzelfde zwakke punt: niemand merkt dat één stap niet is uitgevoerd.

Eén klant kan meerdere einddatums hebben

Neem een webwinkelklant die een product koopt, kort daarna een retour meldt en zich later voor een nieuwsbrief afmeldt; accountprofiel, factuur, supportberichten en marketingvoorkeur vormen geen enkel bewaardoel. De afmelding moet meteen worden uitgevoerd, terwijl relevante boekhoudinformatie op grond van toepasselijk nationaal recht kan blijven.

In het schema krijgt de factuur een geverifieerde nationale bron en berekenbare termijn. De afleverinstructie hoort bij bezorging en krijgt een kortere eindactie zodra problemen redelijkerwijs zijn afgehandeld. Een minimale suppressiestatus kan juist blijven om te voorkomen dat het adres opnieuw aan een marketinglijst wordt toegevoegd; doel en inhoud verschillen dan van oude campagnedata.

Een concrete klacht of claim kan een gerichte uitzondering starten; bevries niet het hele klantprofiel, maar benoem welke berichten, transacties en bewijsstukken nodig zijn, wie de hold beheert en welke gebeurtenis hem beëindigt. Daardoor gaat gewone verwijdering voor niet-relevante kopieën door.

Test het voorbeeld in de echte systemen. Kan de winkel de factuur behouden zonder het volledige profiel actief te houden? Kan marketing afmelding scheiden van campagnehistorie? Kan ondersteuning relevante berichten vinden zonder alle chats onbeperkt te bewaren? Een negatief antwoord onthult een systeemprobleem dat het schema alleen niet oplost.

Maak voor dit ene klantnummer een gegevenskaart met afzonderlijke regels voor factuurvelden, afleverinstructies, retourcommunicatie, accounttoegang, marketingvoorkeur en supportnotities. Iedere regel krijgt een eigen doel, bron, starttrigger, periode, eindactie en systeemlocatie, zodat het delen van één identifier niet langer wordt verward met het delen van één bewaartermijn.

Laat de retourdatum alleen de regels beïnvloeden waarvoor afhandeling van de retour werkelijk het doel is. Zij mag de klok van een losstaande factuurregel, een al uitgevoerde marketingsuppressie of oude bezorginstructies niet automatisch herstarten; de systeemeigenaar legt daarom per regel vast welke gebeurtenis de einddatum berekent en welke veelvoorkomende gebeurtenissen uitdrukkelijk geen reset vormen.

Wanneer een claim ontstaat, krijgt de hold een lijst met specifieke documenten en kopieën in plaats van een vinkje op het volledige account. De gewone verwijdertaak blijft voor niet-relevante velden lopen, geblokkeerde stukken krijgen beperkte toegang en herzieningsdatum, en de vrijgave activeert de oorspronkelijke eindactie zonder vanaf die dag een nieuwe volledige periode te verzinnen.

Voer vervolgens een proefverwijdering uit met fictieve maar realistisch gekoppelde records. Controleer of het account kan sluiten terwijl de noodzakelijke factuurvelden afgeschermd blijven, of de nieuwsbriefstatus herinschrijving voorkomt zonder oude campagneprofielen te bewaren en of een herstel uit back-up reeds verlopen afleverinstructies opnieuw verwijdert voordat medewerkers ermee werken.

Verwijdering moet de echte kopieën bereiken

Verwijderen betekent dat gegevens niet beschikbaar blijven voor gewone verwerking; een record uit het hoofdscherm verbergen terwijl exports, lokale downloads en synchronisatiekopieën blijven bestaan voert de eindactie niet uit. Breng alle kopieën bij de inventarisatie in kaart.

Gebruik een verwijderrun met controle: selecteer verlopen records, controleer uitzonderingen, voer de actie uit, leg aantallen en fouten vast en laat de eigenaar een steekproef uitvoeren. Wanneer anonimiseren de eindactie is, test of personen niet via resterende kenmerken of andere tabellen opnieuw identificeerbaar zijn.

Back-ups vragen een gedocumenteerde uitfasering. Als selectief wissen technisch onpraktisch is, blijft toegang strikt beperkt, leidt rotatie tot verdwijnen en mogen verlopen gegevens bij herstel niet opnieuw voor gewone doelen beschikbaar komen. Bouw een herverwijderingsstap in de herstelprocedure en test vóór een echte storing of die stap werkt.

Vernietig papier en draagbare media passend bij de gevoeligheid. Een gesloten afvalbak zonder betrouwbare overdracht of vernietigingscontrole is geen aantoonbare eindactie. Controleer mislukte verwijderingen apart; een offline apparaat of synchronisatiefout kan precies de kopie vasthouden die een afgerond succespercentage verbergt.

Voor vragen of klachten over de Nederlandse toepassing is de Autoriteit Persoonsgegevens de bevoegde toezichthouder en het officiële contactpunt. De nationale contactroute is geen bron voor een landgebonden bewaartermijn en staat daarom niet in het gedeelde Europese bronnenmanifest.

Bewaar bij iedere verwijderrun ook het selectiebestand of een controleerbare hash, de gebruikte regelversie, aantallen vóór en na, uitzonderingen, fouten en steekproefresultaat, zodat een latere reviewer kan vaststellen welke gegevens daadwerkelijk door welke beslissing zijn geraakt.

Een hold is een uitzondering met einddatum

Een juridische hold pauzeert verwijdering voor afgebakende gegevens wanneer een concrete verplichting of procedure dat vereist. Leg aanleiding, zaken, gegevensbronnen, eigenaar en herzieningsdatum vast. Een mondeling “bewaar voorlopig alles” is niet beheersbaar.

Blijf tijdens de hold doelbinding en beveiliging toepassen. Beperk toegang tot mensen die het materiaal nodig hebben en voorkom gebruik voor marketing, analyse of prestatiebeoordeling. Herzie de uitzondering bij iedere relevante gebeurtenis; wanneer de procedure eindigt, hervat de oorspronkelijke eindactie zonder een nieuwe willekeurige termijn.

Breng de hold technisch zo dicht mogelijk bij de betrokken records aan. Een dossierlabel, geblokkeerde verwijdertaak en controlelijst zijn veiliger dan een algemene instructie om niets weg te gooien. Een holdregister toont open uitzonderingen, laatste beoordeling, volgende beslisdatum en vrijgavebesluit.

Laat een tweede bevoegde persoon een vrijgave controleren wanneer verwijdering onomkeerbaar is. Documenteer daarna welke gewone schema-actie opnieuw is gestart en welke kopieën nog technische verwerkingstijd nodig hebben. Een uitzondering zonder eindtrigger verandert anders ongemerkt in permanent beleid.

Maak het startmoment berekenbaar

Een periode zonder trigger kan nooit betrouwbaar verlopen. “Zeven jaar bewaren” zegt niets wanneer klanten doorlopend bestellen of dossiers jaren openstaan. Kies een gebeurtenis die juridisch juist en technisch zichtbaar is: einde boekjaar, sluiting contract, laatste definitieve betaling, einde procedure of datum waarop een specifieke plicht eindigt.

Definieer uitzonderingen in dezelfde taal. Als een nationale regel een late aangifte, controle of andere gebeurtenis kent, krijgt het schema een veld of werkstap waarmee de eigenaar die gebeurtenis markeert, plus een herzieningsdatum. Anders kent het beleid de uitzondering maar het systeem niet.

Vermijd een glijdende termijn die ieder onbelangrijk contact opnieuw start. Een automatische servicemail of adreswijziging hoeft niet alle historische aankoopgegevens opnieuw te laten lopen. Benoem per dataset welke gebeurtenis inhoudelijk bij het doel hoort en welke gebeurtenissen de klok juist niet herstarten.

Voor samengestelde dossiers kunnen meerdere logische triggers bestaan. Scheid relevante velden of gebruik gecontroleerde deelverwijdering. Als het systeem alleen alles of niets kan, documenteer de beperking, beperk toegang en plan een wijziging; maak technische onhandigheid niet stil tot bewaarbeleid.

Maak termijnen controleerbaar met voorbeelddata. Vul voor belangrijke regels drie fictieve startdatums in en bereken de verwachte eindactie. Laat een andere medewerker dezelfde uitkomst bepalen. Verschillen wijzen op onduidelijke taal voordat echte gegevens verkeerd worden verwijderd.

Registreer tijdzones en kalenderregels wanneer systemen internationaal werken. Kies één bedrijfsconventie en documenteer die, zodat verschillende toepassingen niet elk een eigen interpretatie gebruiken. Bewaar de berekende einddatum én de bronvelden waarmee die uitkomst later kan worden herleid.

Houd minimum en maximum uit elkaar. Een wettelijk minimum kan verwijdering vóór een datum verbieden, maar rechtvaardigt geen onbeperkte opslag daarna. Een claimperiode wordt onderbouwd met toepasselijke termijn, werkelijke soort claim en noodzaak van juist deze gegevens.

Waar een termijn na laatste activiteit begint, definieer activiteit nauw. Een inlog, automatische systeemmail of mislukte betaling heeft niet noodzakelijk dezelfde betekenis als een nieuwe opdracht. Een te brede resetgebeurtenis verandert een beperkte periode ongemerkt in permanente bewaring.

Rechtenverzoeken wissen het schema niet

Een verzoek om verwijdering verdient een afzonderlijke juridische beoordeling, maar zet geldige bewaarplichten niet automatisch opzij. Bepaal per gegevensset welk doel, welke grond en welke uitzondering geldt. Verwijder wat geen basis meer heeft en leg begrijpelijk uit waarom een beperkt deel tijdelijk behouden blijft ¹.

Beperk behouden gegevens tot de reden van behoud. Een factuur die wegens belastingrecht blijft, hoeft niet beschikbaar te zijn voor marketing of klantprofilering. Toegangsrechten, statusmarkering en werkinstructies dwingen die scheiding af.

Een inzageverzoek is evenmin reden om routinematige verwijdering te laten doorgaan alsof het verzoek niet bestaat. Zet relevante gegevens tijdelijk veilig zodat het antwoord volledig kan zijn, registreer de gerichte uitzondering en laat haar eindigen zodra de noodzaak voorbij is. Verander geen records om een verzoek gemakkelijker te beantwoorden.

Bij bezwaar of beperking van verwerking kan opslag soms blijven terwijl gebruik stopt. Het bewaarschema onderscheidt daarom bewaren, actief gebruiken, blokkeren en verwijderen. Eén status “archief” verbergt te veel beslissingen.

Leg de reactie naast de schemaregel. Zo ziet een reviewer of de organisatie een minimumtermijn correct toepaste, een te brede dataset beperkte en een einddatum voor de uitzondering behield. Rechtenafhandeling en opslagbeperking dwingen samen een precieze reden per gegevensset af.

Geef de verzoeker per relevant deel in gewone taal aan welk doel en welke juridische reden verdere opslag dragen, wanneer de eindactie volgt en welke gebruiksbeperkingen intussen gelden. Controleer vóór een bewering over anonimisering of heridentificatie redelijkerwijs niet meer mogelijk is.

Maak van veelvuldige verwijderverzoeken een feedbacksignaal. Als steeds dezelfde oude marketingprofielen of verlaten accounts terugkomen, is de gewone schema-uitvoering waarschijnlijk te ruim of defect. Een structurele correctie bereikt dan meer dan telkens één dossier handmatig opschonen.

Test het schema in de echte systemen

Een jaarlijkse bespreking van het document is niet genoeg; neem steekproeven van verlopen, actieve en uitgezonderde records en vergelijk wat het schema zegt met systemen, mappen en leveranciers.

Onderzoek fouten, niet alleen percentages. Wanneer één platform verwijdering mist, bepaal of een API, exportproces, toegangsbeperking of vervanging nodig is. Noteer tijdelijke maatregel en einddatum; een bekende fout zonder eigenaar wordt snel permanent.

Gebruik wijzigingstriggers naast een vaste controle: nieuwe wet, product, leverancier, gegevensveld, integratie, claimprocedure of organisatorische rol. Neem ook één record op dat juist behouden moest blijven. Een proces faalt zowel wanneer het te weinig wist als wanneer het wettelijk vereist bewijs te vroeg vernietigt.

Vergelijk aantallen tussen bron en verwijderrapport. Als honderd records verlopen maar het systeem er achtennegentig verwerkt, identificeer dan de twee verschillen in plaats van een afgerond succespercentage te accepteren. Vraag leveranciers wat “soft delete”, “archive” en “purge” technisch betekenen.

Laat medewerkers de regel uitvoeren zonder de beleidsauteur. Geef een echte casus aan de eigenaar en laat bron, trigger, uitzondering en eindactie aanwijzen. Rapporteer verlopen records, uitgevoerde acties, open fouten, actieve holds en wijzigingen zonder regel. Zo wordt opslagbeperking operationele beheersing: bron, doel, berekenbaar startmoment, eindactie en bewijs dat de actie werkelijk plaatsvond.

Selecteer voor de praktijktest niet alleen gemakkelijke records. Neem een normaal verlopen record, een geldig actief record, een dossier met een hold, een record dat bij een leverancier staat, een herstel uit een oudere back-up en een samengestelde klant met meerdere termijnen; daarmee wordt tegelijk zichtbaar of selectie, uitzondering, eindactie en terugkeerpreventie als één keten werken.

Vergelijk de verwachte aantallen uit de bronquery met het verslag van iedere toepassing en laat nulresultaten eveneens uitleggen. Wanneer een leverancier meldt dat alles is verwijderd maar geen record-ID's, tijdstempel of technische betekenis van “delete” kan geven, blijft de actie onbewezen en krijgt zij een eigenaar, tijdelijke toegangsbeperking en nieuwe verificatiedatum.

Test de back-uproute door een herstel in een afgeschermde omgeving uit te voeren. De procedure moet verlopen records herkennen en opnieuw verwijderen vóórdat de omgeving voor gewone verwerking beschikbaar komt, terwijl geldige holds en wettelijke minima behouden blijven; een document dat deze stap beschrijft maar nooit op werkelijk herstelde data is uitgevoerd bewijst geen beheersing.

Controleer daarnaast of nieuwe gegevensstromen vóór lancering een schemaregel hebben. Een nieuw CRM-veld, papieren formulier, integratie-export of analyseomgeving krijgt doel, bron, trigger, eigenaar en eindactie voordat productiegegevens binnenkomen, zodat de jaarlijkse review geen maanden oude kopieën ontdekt waarvoor nooit een besluit bestond.

Laat een onafhankelijke reviewer twee kanten zoeken: gegevens die na hun einddatum nog bestaan en gegevens die vóór hun geldige minimum of hold zijn verdwenen. Opslagbeperking faalt in beide richtingen, zodat een dashboard met alleen verwijdervolume een gevaarlijke helft van de controle verbergt.