Hoe lang mogen persoonsgegevens worden bewaard?
De Wet bescherming persoonsgegevens (Wbp) bepaalt in artikel 10 dat persoonsgegevens niet langer worden bewaard dan noodzakelijk is voor de verwerkelijking van het doel waarvoor ze zijn verzameld. De Europese Algemene verordening gegevensbescherming (AVG) kent met artikel 17, eerste lid, onder a een soortgelijke bepaling. Dit is een algemene regel, waarvan de uitwerking per situatie kan verschillen. Is het doel waarvoor de persoonsgegevens zijn verwerkt niet meer aanwezig, dan moeten deze gegevens worden verwijderd.
Termijnen in het Vrijstellingsbesluit
Als een organisatie persoonsgegevens verwerkt, dient dit aan de Autoriteit Persoonsgegevens te worden gemeld, tenzij het Vrijstellingsbesluit Wbp daar ontheffing voor verleent. In dit Vrijstellingsbesluit zijn termijnen opgenomen waarbinnen persoonsgegevens moeten worden verwijderd. Zo moeten persoonsgegevens die zijn verwerkt in verband met het lidmaatschap van een stichting of vereniging worden verwijderd uiterlijk twee jaar na beëindiging van het lidmaatschap. Hetzelfde geldt voor persoonsgegevens uit de personeelsadministratie en de salarisadministratie. Deze gegevens moeten twee jaar na de beëindiging van het dienstverband worden verwijderd. Voor het bewaren van sollicitatiegegevens van een niet aangenomen sollicitant wordt een bewaartermijn van vier weken na beëindiging van de sollicitatieprocedure redelijk geacht. Met toestemming van de sollicitant mogen de gegevens tot een jaar na beëindiging van de sollicitatieprocedure worden bewaard.
Verwijderen van persoonsgegevens ≠ vernietigen
Verwijderen is niet hetzelfde als vernietigen! Het verwijderen van verzamelde persoonsgegevens houdt in dat deze gegevens buiten het bereik van de actieve administratie worden gebracht en worden ondergebracht in een – al dan niet digitaal - archief. Van vernietigen is pas sprake als de gegevens nergens meer zijn opgeslagen. Voor sommige gegevens geldt dat deze gedurende een bepaalde periode niet vernietigd mogen worden. Ze moeten worden bewaard in het archief. Verschillende wetten kennen bepalingen waarin een termijn wordt gesteld gedurende welke de persoonsgegevens, na verwijdering uit de actieve administratie, bewaard moeten blijven.
Verschillende wetten bevatten bepalingen over bewaartermijnen. Voor de overheid geldt bijvoorbeeld de Archiefwet 1995. Deze wet kent geen algemene bewaartermijn, maar bepaalt wel dat ieder overheidsorgaan een selectielijst op moet stellen. In deze lijst staat welke documenten bewaard moeten worden en welke documenten na verloop van een termijn vernietigd moeten worden. De Vereniging van Nederlandse Gemeenten (VNG) heeft op haar website een ontwerpselectielijst Gemeenten en Intergemeentelijke organen 2017 gepubliceerd.
Concrete bewaartermijnen worden bijvoorbeeld ook genoemd in het Burgerlijk Wetboek en de onderwijs- en belastingwetgeving. Zo bepaalt artikel 454 van Boek 7 van het Burgerlijk Wetboek dat het dossier met betrekking tot de behandeling van een patiënt 15 jaren door de hulpverlener moet worden bewaard nadat het is vervaardigd of zoveel langer als redelijkerwijs uit de zorg van een goed hulpverlener voortvloeit. In artikel 52 van de Algemene wet inzake rijksbelastingen staat dat fiscaal relevante gegevens zeven jaar moeten worden bewaard. Dan gaat het bijvoorbeeld om de financiële administratie, waaronder facturen, maar ook om documenten die de salarisadministratie betreffen. Gegevens over de salarisadministratie moeten zeven jaar tot na beëindiging van het dienstverband in het archief bewaard worden. Als er na beëindiging van het dienstverband aanspraak bestaat op een financiële vergoeding of uitkering, moeten de gegevens door de uitkerende instantie tot zeven jaar na het beëindigen van die aanspraak in het archief bewaard worden.
Kortom
Persoonsgegevens dienen te worden verwijderd uit de actieve administratie zodra het doel waarvoor ze zijn verzameld niet meer bestaat. Voor verschillende documenten geldt echter een wettelijke bewaarplicht, al of niet voor de duur van een voorgeschreven termijn. In dat geval dient u de gegevens uit de actieve administratie te verwijderen en over te brengen naar een archief.