De bewaartermijn volgt uit het doel, een wettelijke plicht en de noodzaak om gegevens nog te bewaren.
Waarom één bewaartermijn niet werkt
De AVG bepaalt dat persoonsgegevens niet langer mogen worden bewaard dan nodig is voor het doel waarvoor zij zijn verzameld. Tegelijk kunnen fiscale en arbeidsrechtelijke regels juist een minimale bewaartermijn opleggen. Daardoor moet HR per gegevenscategorie bepalen welke regel geldt.
Een instelling als 'bewaar personeelsdossier zeven jaar' is te grof. Zij kan ertoe leiden dat onnodige notities te lang blijven staan of dat bewijs met een langere wettelijke termijn te vroeg wordt verwijderd.
Wettelijke termijnen herkenbaar vastleggen
De Autoriteit Persoonsgegevens vermeldt dat sommige gegevens uit de salarisadministratie zeven jaar na uitdiensttreding moeten worden bewaard. De AP noemt daarbij ook arbeidsovereenkomsten en wijzigingen daarop. Voor de kopie van het identiteitsbewijs geldt ten minste vijf jaar na het einde van het kalenderjaar waarin het dienstverband is beëindigd.
Leg bij iedere categorie niet alleen het aantal jaren vast, maar ook het startmoment van de termijn. Een termijn vanaf documentdatum, einde kalenderjaar of uitdiensttreding levert een andere vernietigingsdatum op.
Classificeer het dossier op doel
Een bruikbaar bewaarbeleid koppelt ieder document of gegeven aan een doel en grondslag. Denk aan salarisadministratie, uitvoering van de arbeidsovereenkomst, wettelijke identificatie, functioneren, verzuimproces en bedrijfsmiddelen. Medische informatie hoort niet in het gewone personeelsdossier van de werkgever.
Vermijd een restcategorie als 'overige HR-documenten' zonder eigenaar of termijn. Juist losse e-mails, vrije notities en oude exports blijven anders buiten de normale opschoning vallen.
- Benoem gegevenscategorie en verwerkingsdoel.
- Leg wettelijke grondslag of aantoonbare noodzaak vast.
- Bepaal bewaartermijn en exact startmoment.
- Wijs een proceseigenaar en toegestane rollen aan.
- Leg vast wat na afloop gebeurt: verwijderen, anonimiseren of opnieuw beoordelen.
Toegang volgt uit noodzaak, niet uit functietitel alleen
Niet iedere manager of HR-medewerker heeft toegang tot het volledige dossier nodig. Salarisgegevens, formele waarschuwingen, identiteitsdocumenten en ontwikkelafspraken hebben verschillende vertrouwelijkheidsniveaus. Richt toegang in op taak en doel en controleer periodiek of rollen nog kloppen.
Werknemers kunnen inzage vragen in de persoonsgegevens die de organisatie over hen gebruikt. Dat maakt feitelijke, professionele en doelgerichte vastlegging extra belangrijk. Een dossier moet uitlegbaar zijn aan de persoon over wie het gaat.
Van beleid naar automatische opvolging
Een bewaarbeleid werkt pas wanneer instroom, functiewijziging en uitdiensttreding een concrete opvolging starten. Registreer daarom een herleidbare verwijderdatum en laat uitzonderingen expliciet goedkeuren. Een lopend geschil kan bijvoorbeeld reden zijn om bepaalde gegevens langer te bewaren, maar niet om het hele dossier onbeperkt vast te houden.
Voer steekproeven uit op documenten buiten het centrale dossier, zoals gedeelde mappen en mailboxen. Privacyrisico's zitten vaak niet in het formele systeem, maar in kopieën die naast het proces zijn ontstaan.
Bronnen
Gebruikte bronnen
De links verwijzen naar de geraadpleegde bron. Controleer bij toepassing altijd of wet, regeling, registerinformatie of beleidsdocument inmiddels is gewijzigd.