Wat is een bewaarbeleid?

Een bewaarbeleid (data retention policy) is een document dat bepaalt hoe lang een organisatie elk type record of gegeven bewaart, wat de bewaartermijn laat starten, en wanneer en hoe die gegevens veilig verwijderd, vernietigd of geanonimiseerd moeten worden zodra de termijn afloopt. Het beantwoordt twee vragen die anders per ongeluk worden beantwoord: “waarom hebben we dit nog?” en “wie zei dat we dat mochten verwijderen?”. In de praktijk staat het naast het bredere assetmanagementbeleid, omdat de gegevens die het regelt op de laptops, telefoons en schijven staan die dat beleid volgt.

Dat is de betekenis van bewaarbeleid in één alinea. De rest van deze pagina is de operationele helft: een uitgewerkt bewaarschema dat u kunt overnemen, de termijnen die in Nederland en België daadwerkelijk worden gehanteerd, de legal hold die ze allemaal opzij zet, en het bewijs waarmee u aantoont dat de vernietiging echt heeft plaatsgevonden.

Wat u hier leert

• Wat een bewaarbeleid dekt
• Bewaarbeleid voorbeeld (een uitgewerkt bewaarschema)
• Gangbare bewaartermijnen per recordtype
• Hoe bewaartermijnen worden vastgesteld - en wat de klok start
• Een bewaarbeleid opstellen in negen stappen
• Bewaren, archiveren, back-uppen en anonimiseren
• Legal holds en andere uitzonderingen
• Bewaren en de AVG
• Wat normen en toezichthouders verwachten
• Wie eigenaar is en hoe vaak het beleid wordt herzien
• Wat het betekent voor uitgefaseerde apparaten
• Aantonen dat gegevens en apparaten echt zijn vernietigd
• Bewaargebeurtenissen verstoppen zich in offboarding
• Checklist bewaarbeleid
• Veelgemaakte fouten
• Veelgestelde vragen

Wat een bewaarbeleid dekt

Een bruikbaar beleid is een tabel, geen essay. Voor elke recordcategorie vermeldt het:

• Het recordtype - facturen, contracten, personeelsdossiers, camerabeelden, e-mail, klantgegevens, systeemlogboeken.
• De bewaartermijn - hoe lang het wordt bewaard.
• De starttrigger - wat de klok start: aanmaak, einde contract, laatste contact, uitdiensttreding, afsluiting van het boekjaar.
• De juridische of zakelijke onderbouwing - de wet, regeling of operationele behoefte achter de termijn.
• De vernietigingsmethode - veilige verwijdering, datasanitisatie van het apparaat, fysieke vernietiging, of anonimisering.
• De eigenaar - wie verantwoordelijk is voor de categorie en wie de vernietiging uitvoert.

Om die tabel heen staat het proza: de reikwijdte, wie uitzonderingen goedkeurt, hoe legal holds werken, hoe back-ups en SaaS-kopieën worden behandeld, en wanneer het geheel wordt herzien. Samen heet dat het bewaarbeleid met zijn bewaarschema - en het is het schema, niet het proza, waar mensen daadwerkelijk mee werken.

Bewaarbeleid voorbeeld

Wie zoekt op een bewaarbeleid template wil bijna altijd één ding: een voorbeeldschema om aan te passen. Zo ziet een werkbaar schema eruit. De termijnen hieronder zijn illustratief en geen juridisch advies - toets ze aan de regels die in uw eigen land en sector gelden voordat u ze overneemt.

Twee dingen maken die tabel bruikbaar in plaats van alleen mooi. Ten eerste heeft elke regel een trigger en niet alleen een duur - “zeven jaar” betekent niets tot u erbij zet: zeven jaar vanaf wat. Ten tweede heeft elke regel een benoemde eigenaar, want een schema zonder eigenaar is een schema dat niemand uitvoert.

Gangbare bewaartermijnen per recordtype

De meest gestelde vervolgvraag is simpelweg hoe lang moet ik mijn administratie bewaren. De bekende wettelijke ankers geven u een startkader, al hangt elk daarvan aan een specifiek rechtsgebied:

• Boekhouding en fiscale administratie (Nederland) - zeven jaar vanaf het einde van het boekjaar waarop ze betrekking hebben. Voor gegevens over onroerende zaken geldt tien jaar, vanwege de herzieningstermijn in de btw.
• Boekhouding (België) - eveneens zeven jaar vanaf 1 januari volgend op het afgesloten boekjaar, met sociale documenten die doorgaans vijf jaar worden bewaard.
• Loonadministratie - de basis volgt de fiscale termijn; kopieën van identiteitsbewijzen en loonbelastingverklaringen worden vaak vijf jaar na einde dienstverband bewaard.
• Personeelsdossiers zonder fiscale plicht - geen algemene wettelijke termijn; twee jaar na uitdiensttreding wordt breed als richtsnoer gehanteerd.
• Sollicitatiegegevens - vier weken na afronding van de procedure, of maximaal één jaar met uitdrukkelijke toestemming van de kandidaat.
• Camerabeelden - maximaal vier weken, en korter zodra duidelijk is dat er geen incident is vastgelegd.
• Witwasregelgeving (Wwft) - doorgaans vijf jaar na het einde van de zakelijke relatie of na de transactie.
• Medische dossiers - twintig jaar vanaf de laatste wijziging, of zoveel langer als goed hulpverlenerschap vraagt.
• Contracten - meestal gekoppeld aan de verjaringstermijn voor vorderingen: vijf jaar voor de meeste claims, met twintig jaar als uiterste grens, waardoor zeven jaar in de praktijk een veelgebruikte werktermijn is.
• E-mail en algemene correspondentie - één tot drie jaar, tenzij een specifiek record of een hold langer vereist.
• Overheidsorganisaties - werken niet met een zelfbedacht schema maar met een vastgestelde selectielijst onder de Archiefwet, die per procescategorie voorschrijft wat wordt vernietigd en wat blijvend wordt bewaard.

Daaronder ligt één regel die het onthouden waard is: de wet stelt de ondergrens, de AVG stelt het plafond voor persoonsgegevens, en alles daartussen is een onderbouwde zakelijke afweging. Kunt u de ondergrens niet benoemen of het verschil niet onderbouwen, dan is de eerlijke standaard een kortere termijn, niet een langere.

Hoe bewaartermijnen worden vastgesteld - en wat de klok start

Termijnen komen uit drie richtingen. De wet stelt minimums, zoals hierboven. Contracten, verzekeraars en klanten kunnen daar eigen eisen bovenop leggen - een klantovereenkomst die verwijdering binnen 30 dagen na beëindiging eist, gaat boven uw standaardschema. Al het overige is een zakelijke afweging, en de eerlijke standaard voor gegevens zonder onderbouwing is “verwijderen”, niet “voor altijd bewaren voor het geval dat”.

Het onderdeel dat de meeste schema’s misgaat is niet het getal maar de starttrigger. Een termijn wordt pas berekenbaar als iets concreets hem start: de datum waarop een record is aangemaakt, de dag waarop een contract eindigde, het laatste moment waarop een klant contact had, de datum waarop een medewerker uit dienst ging, de afsluiting van het boekjaar. Kies de verkeerde trigger en het hele schema loopt scheef - “zeven jaar na aanmaak” en “zeven jaar na einde contract” kunnen op hetzelfde dossier een decennium uit elkaar liggen. Zet de trigger naast de termijn in elke regel, en controleer of het systeem dat de verwijdering uitvoert die datum daadwerkelijk kan lezen. Dit is ook waar dataclassificatie zich terugverdient: u kunt geen regel toepassen op een categorie die u nooit hebt gedefinieerd.

Een bewaarbeleid opstellen in negen stappen

U hebt geen download nodig maar een methode. Negen stappen leveren een beleid op dat een auditor overleeft:

1. Bepaal de reikwijdte. Benoem de systemen, de recordklassen en ook de fysieke wereld - papieren dossiers, archiefdozen en de apparaten waarop gegevens staan, niet alleen databases.
2. Inventariseer en classificeer wat u hebt. Leid de persoonsgegevens af uit uw verwerkingsregister (artikel 30 AVG); de rest komt uit finance, HR en de systeeminventarisatie. Een information asset register is hier de natuurlijke plek voor.
3. Zet per categorie een termijn én een starttrigger. Altijd allebei.
4. Schrijf de onderbouwing op. Eén regel per categorie met de wet, het contract of de zakelijke noodzaak. Dit is precies de zin die u gevraagd zult worden te tonen.
5. Bepaal de actie bij afloop. Verwijderen, vernietigen of anonimiseren - en zeg per categorie welke.
6. Wijs per categorie een eigenaar aan. Een afdeling, en liever nog een rol, niet “de business”.
7. Bepaal hoe kopieën verlopen. Back-ups, exports, datawarehouses, gedeelde schijven en SaaS-kopieën. Een kopie die de termijn overleeft, ondermijnt het beleid stilletjes.
8. Leg vast hoe holds en uitzonderingen worden goedgekeurd. Wie verwijdering mag opschorten, wie hem weer vrijgeeft, en hoe beide worden vastgelegd.
9. Stel een herzieningsritme vast. Jaarlijks als basis, plus een tussentijdse herziening bij elke wezenlijke juridische of systeemwijziging.

Die volgorde - reikwijdte, inventarisatie, termijnen, onderbouwing, actie bij afloop, eigenaren, kopieën, uitzonderingen, herziening - is het hele document. De rest is opmaak.

Bewaren, archiveren, back-uppen en anonimiseren

Vier woorden worden door elkaar gebruikt en betekenen heel verschillende dingen:

• Bewaren is hoe lang gegevens mogen bestaan. Het is een toestemming met een einddatum.
• Archiveren verplaatst gegevens die nog binnen hun bewaartermijn vallen naar goedkopere, koudere opslag. Het verandert de kosten en de toegangssnelheid; het zet de klok niet terug en verlengt hem niet.
• Back-uppen is een kopie maken zodat gegevens een incident overleven. Back-ups zijn de meest voorkomende stille schending van een bewaarbeleid: het productierecord wordt keurig op tijd verwijderd terwijl dezelfde persoonsgegevens in een snapshot staan die niemand heeft laten verlopen. Leg een bewaartermijn voor back-ups expliciet vast, en accepteer de realiteit dat het terugzetten van een oude back-up verwijderde records kan laten herleven - daarom hoort bij elke restore een stap waarin het schema opnieuw wordt toegepast.
• Anonimiseren is een derde legitieme uitkomst bij afloop. Zijn gegevens echt en onomkeerbaar van identificerende kenmerken ontdaan, dan zijn het geen persoonsgegevens meer en vallen ze volledig buiten de reikwijdte - vaak het praktische antwoord voor analytics, trendrapportage en historische cijfers die u niet wilt verliezen. Let op de valkuil: pseudonimiseren is niet anonimiseren. Bestaat er ergens een sleutel waarmee het record aan een persoon te koppelen is, dan zijn het nog steeds persoonsgegevens en staan ze nog steeds op het schema.

Legal holds en andere uitzonderingen

Het schema is de standaard. De legal hold - ook wel bewaarbevel of preservation notice - is de uitzondering die daar bovenop gaat.

Een hold ontstaat wanneer een rechtszaak of een onderzoek door een toezichthouder begint, of wanneer een van beide redelijkerwijs te voorzien is. Vanaf dat moment wordt de geplande verwijdering voor de betrokken records opgeschort tot Legal de hold formeel opheft. Drie praktische punten bepalen of het echt werkt:

• Hij moet aan beide kanten vastliggen. Wie hem instelde, wanneer, over welke reikwijdte, en wanneer hij is opgeheven. Een ongedateerde hold is niet te verdedigen, en een hold die niemand opheft verandert stilletjes in permanente bewaring.
• Geautomatiseerde verwijdering moet hem kunnen honoreren. De klassieke faalmodus is een hold op de “officiële” kopie in het recordsysteem, terwijl een nachtelijke taak in een ander platform diezelfde gegevens gewoon volgens schema wist. Verwijderen tijdens een hold is een veel slechtere uitkomst dan te lang bewaren.
• Hij raakt de hardware. Een laptop, telefoon of schijf van iemand op wie een hold rust, mag niet gewist, heruitgegeven, doorverkocht of gerecycled worden. Dat betekent dat het assetdossier een zichtbare markering nodig heeft, want degene die besluit een partij uitgefaseerde machines naar een ITAD-leverancier te sturen, is zelden degene die van de zaak weet.

Holds zijn niet de enige uitzondering. Lopende contractuele verplichtingen, openstaande verzekeringsclaims en onopgeloste geschillen rechtvaardigen allemaal dat gegevens langer dan hun normale termijn blijven staan - maar elk daarvan hoort te worden vastgelegd als een bewuste, gedateerde uitzondering en niet als een informeel besluit om de gegevens maar te laten staan.

Bewaren en de AVG

Voor persoonsgegevens maakt het opslagbeperkingsbeginsel van de AVG van bewaren geen kwestie van goed huishouden maar een wettelijke plicht: persoonsgegevens mogen niet langer bewaard worden dan nodig is voor hun doel. De tweelingzus daarvan, dataminimalisatie, vraagt of u het veld überhaupt nodig had. Samen werken ze twee kanten op - het beleid moet bewaren onderbouwen, en het moet ook wettelijke minimums respecteren die u dwingen sommige records te bewaren, zelfs na een verzoek om verwijdering. Het bewaarschema is waar die twee krachten schriftelijk met elkaar in evenwicht worden gebracht, voordat een toezichthouder of auditor ernaar vraagt.

Drie praktische punten die generieke uitleg overslaat:

• Het schema hoort te worden afgeleid uit het verwerkingsregister. Artikel 30 verplicht u al om verwerkingsdoelen te noteren en, waar mogelijk, de beoogde termijnen waarbinnen gegevens worden gewist. Spreken uw verwerkingsregister en uw bewaarschema elkaar tegen, dan klopt er minstens één van de twee niet - en een auditor vindt die naad.
• Een verzoek om verwijdering gaat niet boven wettelijke minimums. Waar u wettelijk verplicht bent een record te bewaren - fiscaal, arbeidsrechtelijk, Wwft - bewaart u het, legt u de verzoeker uit waarom, en beperkt u de verdere verwerking in plaats van te verwijderen.
• Anonimiseren is een compliant antwoord. Onomkeerbaar geanonimiseerde gegevens vallen buiten de reikwijdte van de verordening, wat het vaak beter maakt dan een discussie over de vraag of analyticsgegevens weg moeten.

De botte versie: een schema dat niemand technisch afdwingt is erger dan geen schema, want het documenteert in uw eigen woorden een verplichting die u aantoonbaar niet nakomt.

Wat normen en toezichthouders verwachten

Bewaren behandelen als een puur AVG-onderwerp maakt van een beleid een EU-document, en in 2026 komt de druk allang niet meer alleen van die kant.

• ISO 27001:2022 raakt het in twee beheersmaatregelen: A.5.33 over de bescherming van registraties, die bewaarschema’s verwacht plus bescherming tegen verlies en onbevoegde openbaarmaking, en A.8.10 over het verwijderen van informatie zodra die niet meer nodig is. Zie ISO 27001 asset management voor hoe dit in de bredere set beheersmaatregelen past.
• SOC 2 auditors vragen om bewijs dat de afloop daadwerkelijk is afgegaan - verwijderingslogs, uitgevoerde taken, vernietigingscertificaten - en niet alleen om een beleidsdocument met een versienummer erop.
• Amerikaanse staatsprivacywetten. In 2026 zijn twintig brede staatsprivacywetten van kracht, en verschillende daarvan duwen bewaartermijnen naar buiten in plaats van ze intern te laten. Californië verlangt per categorie een bewaartermijn (of de criteria om die te bepalen) in de privacyverklaring; Minnesota verwacht een beschrijving van het bewaarbeleid met een datum van laatste wijziging; en de Illinois-wet BIPA eist een publiek beschikbaar bewaar- en vernietigingsschema voor biometrische gegevens. Relevant zodra u klanten of medewerkers in de VS hebt.

De rode draad is dat bewaren geen privé intern document meer is. Waar een termijn is gepubliceerd, wordt de gepubliceerde termijn een belofte - en een onjuiste belofte is op zichzelf al een informatiegebrek, los van de vraag of de onderliggende gegevens ooit misbruikt zijn.

Wie eigenaar is en hoe vaak het beleid wordt herzien

“De business is eigenaar” is hoe beleid sterft. Splits de rollen expliciet:

• De verwerkingsverantwoordelijke blijft aanspreekbaar. Gegevens aan een SaaS-leverancier geven, geeft de verplichting niet mee, dus verwerkersovereenkomsten moeten dezelfde vernietigingsvoorwaarden dragen plus een manier om gegevens bij vertrek terug te krijgen of te laten vernietigen. Dit is precies waar shadow IT pijn doet: een tool die niemand heeft geregistreerd, is een bewaarplicht die niemand nakomt.
• Categorie-eigenaren keuren de verwijdering goed. Meestal het afdelingshoofd voor die categorie, dat vóór het draaien van de taak bevestigt dat de gegevens echt niet meer nodig zijn.
• IT of het platformteam voert uit. Zij draaien de verwijdering, het mailboxbeleid, de logrotatie en het wissen van apparaten.
• Legal stelt holds in en heft ze op, en beslist over alles wat dubbelzinnig is.
• Privacy of compliance houdt het schema in lijn met het verwerkingsregister, de privacyverklaring en nieuwe wetgeving.

Herzie jaarlijks als basis, en tussentijds zodra een nieuw systeem, een nieuw rechtsgebied, een fusie of een wetswijziging langskomt. Zet de herzieningsdatum op de voorkant van het document - het is het goedkoopst denkbare signaal dat het beleid leeft, en sommige regimes verwachten die datum inmiddels te zien. Een schone rolverdeling is hier ook gewoon toegepaste functiescheiding: degene die de gegevens weg wil hebben, hoort niet de enige te zijn die bevestigt dat ze weg zijn.

Wat het betekent voor uitgefaseerde apparaten

Het onderdeel dat de meeste beleidsdocumenten te summier behandelen is hardware. Elke laptop, telefoon of server die uit dienst gaat is een data-bearing device, en de records erop vallen niet buiten het beleid alleen omdat de machine in een kast staat. Sterker nog: een la vol uitgefaseerde apparatuur is bewaren zonder schema - niemand weet wat er op die schijven staat, dus niemand kan zeggen of de termijn is verlopen.

Een bewaarbeleid dat echt iets voorstelt, zegt wat er aan het einde van de levensduur gebeurt: welke apparaten gewist moeten worden vóór hergebruik of doorverkoop, welke fysiek vernietigd moeten worden, hoe lang een uitgefaseerd apparaat mag wachten voordat het wordt afgehandeld, en welk bewijs wordt bewaard. Een maximale wachttijd afspreken - bijvoorbeeld afgevoerd binnen 90 dagen na de status ‘uitgefaseerd’ - maakt van buitengebruikstelling een meetbaar doel in plaats van een voornemen. Teams die een assetregister bijhouden, vinden dit deel eenvoudig te onderbouwen, omdat het apparaat, zijn status en zijn afvoerbewijs al in hetzelfde dossier staan.

Aantonen dat gegevens en apparaten echt zijn vernietigd

Verwijdering die u niet kunt aantonen is, voor auditdoeleinden, verwijdering die niet heeft plaatsgevonden. Twee begrippenkaders doen er hier toe.

Het eerste is de wismethode. NIST SP 800-88 onderscheidt drie niveaus: Clear (overschrijven met de gewone lees- en schrijfopdrachten, geschikt voor hergebruik binnen de eigen organisatie), Purge (cryptografisch wissen of een sanitize-opdracht op firmwareniveau, passend voordat een apparaat uw controle verlaat) en Destroy (versnipperen, verpulveren, verbranden - de enige optie voor defecte schijven die niet meer aanspreekbaar zijn). Het niveau matchen aan de gevoeligheid van de gegevens en de bestemming van het apparaat is de hele afweging.

Het tweede is de afvoerregistratie. Een verdedigbare registratie benoemt:

• de datum en het tijdstip van het wissen of de vernietiging;
• het serienummer en de asset tag van het apparaat;
• de gebruikte methode en tool, en de norm waar die op aansluit;
• wie het uitvoerde en wie het waarnam of verifieerde;
• de locatie waar het gebeurde;
• en een ononderbroken chain of custody van ophaling tot definitieve afvoer.

Sla dat op bij het assetdossier en niet in een gedeelde map, want de vraag van de auditor is nooit “laat uw certificaten zien” - het is “laat zien wat er met serienummer ABC123 is gebeurd”. Een vernietigingscertificaat dat niet aan een specifiek apparaat te koppelen is, bewijst bijzonder weinig. De methoden zelf staan in datasanitisatie, de afvoerroute in ITAD, en de historie per record in de audittrail.

Bewaargebeurtenissen verstoppen zich in offboarding

Op de dag dat iemand vertrekt, starten er meerdere bewaarklokken tegelijk. De laptop en telefoon moeten terugkomen en worden gewist of heruitgegeven. De mailbox en bestanden gaan een gedefinieerd bewaarvenster in, in plaats van ter plekke te worden verwijderd - of, net zo vaak, voor altijd te worden bewaard “voor het geval iemand er nog iets uit nodig heeft”. De SaaS-accounts moeten worden afgesloten zonder records wees te maken waar anderen nog van afhankelijk zijn. En rust er een legal hold op die persoon, dan mag niets van dit alles doorgaan.

De meeste organisaties voeren de HR-helft van offboarding netjes uit en vergeten de gegevenshelft volledig. De oplossing is weinig glamoureus: een offboardingchecklist die aan het assetregister hangt, zodat inname van apparatuur, het afsluiten van accounts en het besluit over de mailbox één proces met één eigenaar vormen, in plaats van drie teams die aannemen dat de anderen het geregeld hebben. Onze gids over offboarding van medewerkers en het terughalen van hardware behandelt de apparatuurkant in detail.

Checklist bewaarbeleid

Leg het beleid hier langs voordat u het af noemt:

• Elke categorie heeft een bewaartermijn, een starttrigger, een onderbouwing, een eigenaar en een vernietigingsmethode.
• Back-ups, exports, datawarehouses en SaaS-kopieën zijn expliciet gedekt, niet alleen het productiesysteem.
• Legal holds hebben een vastgelegde route voor instellen en opheffen, en de geautomatiseerde verwijderingstaken kunnen ze honoreren.
• Het schema komt overeen met wat uw privacyverklaring naar buiten toe zegt, inclusief gepubliceerde termijnen.
• Papieren dossiers en uitgefaseerde apparaten vallen binnen de reikwijdte, met een maximale wachttijd tot afvoer.
• Geen apparaat verlaat het pand zonder afvoerbewijs dat aan een serienummer hangt.
• Verwijdering is aantoonbaar, niet aangenomen - logs, taakregistraties of certificaten die u op verzoek kunt tonen.
• Het document draagt een herzieningsdatum en een benoemde herziener.

Veelgemaakte fouten

• Alles voor altijd bewaren. Opslag is goedkoop, maar oude gegevens zijn puur een risico - ze kunnen worden gelekt, opgevraagd in een procedure, of onderwerp worden van inzageverzoeken lang nadat ze nuttig waren. Te lang bewaren is verreweg de meest voorkomende bevinding.
• Een beleid dat niemand uitvoert. Een schema dat zegt “verwijder na afloop van de termijn” zonder benoemde eigenaar en zonder terugkerende taak is een papieren beleid - en, ongelukkig genoeg, een gedocumenteerd papieren beleid.
• Termijnen zonder trigger. “Zeven jaar” is geen regel tot u erbij zet: zeven jaar vanaf wat.
• Kopieën vergeten. Exports, back-ups, duplicaten op gedeelde schijven, analyticsomgevingen en de schijf in de oude laptop van een vertrekker overleven allemaal de “officiële” kopie tenzij het beleid ze meeneemt.
• Holds die de hardware niet bereiken. Legal bevriest de mailbox; IT wist en verkoopt diezelfde week de laptop.
• Geen afvoerbewijs. Wordt u gevraagd te bewijzen dat een record of apparaat is vernietigd, dan is “we zijn er vrij zeker van” geen antwoord dat een auditor accepteert.
• Een gepubliceerde termijn die u niet haalt. Zodra een bewaartermijn in uw privacyverklaring staat, is hem niet halen naast een operationeel probleem ook een informatieprobleem.

Veelgestelde vragen

Hoe lang moet een bedrijf gegevens bewaren?

Er is geen enkel getal. De wet stelt de ondergrenzen: de fiscale bewaarplicht in Nederland is zeven jaar vanaf het einde van het boekjaar (tien jaar voor gegevens over onroerende zaken), en arbeids-, loon- en sectorregels kennen hun eigen minimumtermijnen. De AVG stelt het plafond voor persoonsgegevens: die mogen niet langer bewaard worden dan nodig is voor het doel waarvoor ze zijn verzameld. Alles tussen die twee lijnen is een zakelijke afweging, en het bewaarschema is de plek waar die afweging wordt opgeschreven, onderbouwd en aan een eigenaar toegewezen. Controleer altijd de regels in uw eigen rechtsgebied en sector voordat u een termijn vastlegt.

Wat is een legal hold en gaat die boven het bewaarbeleid?

Ja. Een legal hold (ook wel bewaarbevel of preservation notice) schort de geplande vernietiging op voor records die relevant zijn voor een rechtszaak, een onderzoek door een toezichthouder, of een reële verwachting daarvan. De hold gaat boven het schema totdat Legal hem formeel opheft, en zowel het instellen als het opheffen hoort gedateerd en vastgelegd te zijn. Een hold raakt ook hardware: de laptop van iemand op wie een hold rust mag niet gewist, doorverkocht of gerecycled worden, dus het assetdossier heeft een zichtbare markering nodig.

Wie is verantwoordelijk voor het bewaarbeleid?

De verantwoordingsplicht ligt bij de verwerkingsverantwoordelijke: de organisatie die bepaalt waarom en hoe gegevens worden verwerkt, ook wanneer een SaaS-leverancier of andere verwerker ze feitelijk onder zich heeft. Daarom moeten verwerkersovereenkomsten dezelfde vernietigingsplichten dragen. In de dagelijkse praktijk heeft elke categorie een eigenaar (meestal een afdelingshoofd) die bevestigt dat de gegevens echt niet meer nodig zijn, voert IT of het platformteam de verwijdering uit, stelt Legal holds in en heft ze op, en houdt privacy of compliance het schema in lijn met het verwerkingsregister.

Wat gebeurt er met gegevens als de bewaartermijn afloopt?

Er zijn drie legitieme uitkomsten: verwijderen, de drager waarop ze staan fysiek vernietigen, of ze zo onomkeerbaar anonimiseren dat het geen persoonsgegevens meer zijn. Anonimiseren is vaak het praktische antwoord voor analytics en historische rapportage, waar het totaal nuttig is maar de identiteiten niet. Let op: gepseudonimiseerde gegevens zijn niet geanonimiseerd en blijven binnen de reikwijdte. Welke route u ook kiest, een korte controle vóórdat de verwijdering afgaat en een vastlegging achteraf dat het gebeurd is, maken het verdedigbaar.

Hoe vaak moet een bewaarbeleid worden herzien?

Jaarlijks is het gebruikelijke ritme, maar de kalender is niet de enige aanleiding. Herzie tussentijds zodra er iets wezenlijks verandert: een nieuw systeem of SaaS-tool waarin records terechtkomen, een nieuw rechtsgebied, een fusie of overname, een wetswijziging, of een nieuwe categorie gegevens die u eerder niet verzamelde. Zet de herzieningsdatum op het document zelf: steeds meer privacyregimes verwachten een zichtbare datum van laatste wijziging.

Wat is het verschil tussen een bewaarbeleid en een bewaarschema?

Het beleid beschrijft de regels, de reikwijdte, de rollen en de procedure voor uitzonderingen zoals een legal hold. Het bewaarschema is de tabel eronder: elke recordcategorie met haar termijn, haar starttrigger, haar onderbouwing, haar vernietigingsmethode en haar eigenaar. In de meeste organisaties is het schema een bijlage bij het beleid, en het is het deel waar mensen daadwerkelijk mee werken. Een beleid zonder schema is een intentieverklaring; een schema zonder beleid heeft geen gezag achter zich.

Wat zijn de risico’s van gegevens te lang bewaren?

Te lang bewaarde gegevens zijn puur een risico. Ze vergroten het bereik van elk datalek, ze zijn opvraagbaar in een juridische procedure, ze verbreden de reikwijdte van elk inzageverzoek dat u moet beantwoorden, en ze kosten geld aan opslag en back-ups. Er is ook een compliancekant: als uw privacyverklaring een bewaartermijn noemt, maakt langer bewaren dan daar staat van een operationele slordigheid een onjuiste mededeling.

Wat is het verschil tussen een bewaarbeleid en een backupbeleid?

Een backupbeleid gaat over kopieën bewaren zodat gegevens een incident overleven; een bewaarbeleid gaat over hoe lang gegevens überhaupt mogen bestaan. De twee botsen voortdurend - een bewaarbeleid dat zegt “verwijder na afloop van de termijn” is niet nageleefd als dezelfde records oneindig in back-ups blijven staan. Volwassen beleid vermeldt expliciet hoe en wanneer ook back-upkopieën verlopen, en dat een teruggezette back-up opnieuw langs het schema moet.

Stelt de AVG specifieke bewaartermijnen vast?

Nee. Het opslagbeperkingsbeginsel van de AVG zegt dat persoonsgegevens niet langer bewaard mogen worden dan nodig is voor het doel waarvoor ze zijn verzameld, maar het schrijft geen termijnen voor. Organisaties stellen die zelf vast, onderbouwd door het doel of door andere wetten - fiscale, arbeids- en zorgregels stellen vaak minimumtermijnen vast. Het beleid is waar die onderbouwingen worden vastgelegd en consistent gemaakt.

Geldt een bewaarbeleid ook voor fysieke apparatuur?

Indirect wel. Het beleid gaat over de gegevens, maar gegevens staan op laptops, telefoons en schijven, dus het uitfaseren van een apparaat wordt een bewaargebeurtenis. Een apparaat kan niet worden doorverkocht, gerecycled of weggegooid totdat de gegevens erop volgens beleid zijn afgehandeld - meestal betekent dat wissen of vernietiging, met een vastlegging van wie het deed en wanneer.

De kern

Een bewaarbeleid is het document dat zegt hoe lang elk type record mag bestaan, wat de klok start, wie eigenaar is, en wat er bij afloop gebeurt - verwijderen, vernietigen of anonimiseren. Het proza stelt de regels; het bewaarschema eronder doet het werk. Vijf dingen goed krijgen en de rest volgt vanzelf: een trigger naast elke termijn, een eigenaar op elke categorie, back-ups en SaaS-kopieën binnen de reikwijdte, een legal-holdproces dat een verwijderingstaak daadwerkelijk kan stoppen, en afvoerbewijs dat aan een serienummer hangt in plaats van aan een hoopvolle herinnering. De wet stelt uw ondergrenzen, de AVG stelt uw plafond voor persoonsgegevens, en alles daartussen is een afweging die u in één zin moet kunnen uitleggen.

Hulpmiddelen die dit makkelijker maken

AMPthilly geeft de hardwarehelft van een bewaarbeleid een plek om te leven. Elke laptop, telefoon of schijf krijgt een dossier met serienummer, eigenaar, locatie en status - in gebruik, in opslag, in reparatie of uitgefaseerd - zodat u precies ziet welke data-bearing devices hun afvoerdatum voorbij zijn en nog in een kast liggen. Hang het wislogboek of het vernietigingscertificaat als document rechtstreeks aan de asset, en de audithistorie houdt per apparaat een spoor bij van elke overdracht, statuswijziging en toegevoegd document, zodat aantonen wat er met één serienummer is gebeurd een zoekopdracht wordt in plaats van een opgraving. Print per item een QR-label en iedereen opent het dossier vanuit een telefoonbrowser - geen app om te installeren. Gratis starten - 3 gebruikers en 25 assets, zonder creditcard - of neem contact op over een grotere uitrol.

Gerelateerde termen

• Assetmanagementbeleid - het bredere beleid voor de apparatuur waarop de gegevens staan
• Acceptable Use Policy - de regels voor hoe medewerkers apparaten en gegevens dagelijks gebruiken
• ITAD - het afvoerproces dat het beleid uitvoert aan het einde van de hardwarelevensduur
• Datasanitisatie - de methoden om verwijdering permanent te maken
• Data-Bearing Device - elke asset die gegevens opslaat en daarom onder het beleid valt
• Vernietigingscertificaat - het bewijs dat de gegevens op een apparaat echt zijn vernietigd
• Chain of Custody - het ononderbroken overdrachtsspoor achter dat bewijs
• Information Asset Register - waar de categorieën op uw bewaarschema vandaan komen
• Audittrail - de historie per record die aantoont dat het beleid is gevolgd
• Buitengebruikstelling - het proces aan het einde van de levensduur dat een bewaartermijn in gang zet