--- title: "Bewaartermijn persoonsgegevens: wat zegt de AVG? | Pitch" description: "De AVG kent geen vaste bewaartermijn: artikel 5, lid 1, e) zegt niet langer dan nodig. Zo bepaal je bewaartermijnen, regel je back-ups en wis je echt." url: https://pitch.law/nl/academy/data-retention-policies-how-long-should-you-keep-personal-data --- [pitch](https://pitch.law/nl) [Academy](https://pitch.law/nl/academy) [Privacy & gegevensbescherming](https://pitch.law/nl/academy/topics/privacy) # Bewaartermijn persoonsgegevens: wat zegt de AVG? De AVG kent geen vaste bewaartermijn: artikel 5, lid 1, e) zegt niet langer dan nodig. Zo bepaal je bewaartermijnen, regel je back-ups en wis je echt. - - Door [Bart Lieben](https://pitch.law/nl/team/bart-lieben), Advocaat - 25 februari 2026 - Bijgewerkt 30-10-2026 ## Het juridisch kader [Artikel 5, lid 1, e) AVG](https://eur-lex.europa.eu/legal-content/NL/TXT/?uri=CELEX:32016R0679#art_5) zegt dat persoonsgegevens worden bewaard in een vorm waarin personen identificeerbaar zijn, niet langer dan nodig is voor de verwerkingsdoeleinden. De AVG geeft geen algemene bewaartermijn. De termijn volgt uit het doel: zolang het doel bestaat en je een rechtsgrond hebt, mag je de gegevens bewaren. Eindigt het doel, dan moet je de gegevens wissen of anonimiseren. Meerdere bepalingen bouwen hierop voort: - Artikelen [13, lid 2, a)](https://eur-lex.europa.eu/legal-content/NL/TXT/?uri=CELEX:32016R0679#art_13) en [14, lid 2, a)](https://eur-lex.europa.eu/legal-content/NL/TXT/?uri=CELEX:32016R0679#art_14) verplichten je de betrokkenen de bewaartermijn of de criteria om die te bepalen mee te delen. - [Artikel 30, lid 1, f)](https://eur-lex.europa.eu/legal-content/NL/TXT/?uri=CELEX:32016R0679#art_30) vraagt de beoogde wistermijnen in het verwerkingsregister. - [Artikel 17, lid 1, a)](https://eur-lex.europa.eu/legal-content/NL/TXT/?uri=CELEX:32016R0679#art_17) geeft betrokkenen recht op wissing als de gegevens niet meer nodig zijn voor hun doel, onder voorbehoud van de uitzonderingen in artikel 17, lid 3. - [Artikel 25](https://eur-lex.europa.eu/legal-content/NL/TXT/?uri=CELEX:32016R0679#art_25) (gegevensbescherming door ontwerp en door standaardinstellingen) betekent dat je wissing in je systemen moet inbouwen. ### Waar de termijn vandaan komt Bewaartermijnen komen uit vier bronnen. Eerst het doel zelf. Een lijst van nieuwsbriefabonnees bewaar je zolang het abonnement loopt. Sollicitaties bewaar je tijdens de selectie en, met toestemming van de kandidaat of een gedocumenteerd gerechtvaardigd belang, nog een beperkte tijd daarna. Voor sollicitatiedossiers geeft de AVG geen vaste termijn, en de nationale wet meestal ook niet, dus kies er zelf een en motiveer hem. Ten tweede, wettelijke bewaarplichten. Nationale boekhoud- en fiscale wetten schrijven minimumtermijnen voor boekhoudkundige stukken en bewijsstukken voor, en die verschillen per lidstaat (in België hebben het boekhoudrecht en het fiscaal recht bijvoorbeeld elk een eigen termijn, en in de praktijk geldt de langste). De Europese [antiwitwasregels](https://eur-lex.europa.eu/legal-content/NL/TXT/?uri=CELEX:32015L0849#art_40) verplichten onderworpen entiteiten om identificatie- en transactiegegevens vijf jaar na het einde van de zakelijke relatie te bewaren. Sectorregels (gezondheidszorg, arbeidsrecht, sociale zekerheid) leggen andere termijnen op. Check de actuele nationale tekst voor elke categorie en elk land waar je actief bent. Ten derde, rechtsvorderingen. Gegevens die je nodig hebt om een vordering in te stellen, uit te oefenen of te verdedigen, mag je bewaren zolang die vordering kan worden ingesteld, en dat hangt af van de toepasselijke verjaringstermijn. Bewaar dus een afgebakende set stukken, niet alles. Ten vierde, specifieke toelatingen zoals de toestemming van een persoon, die eindigt bij intrekking. ### Anonimisering en archivering Echt anonieme gegevens vallen buiten de AVG, maar anonimiseren moet in de praktijk onomkeerbaar zijn. Gepseudonimiseerde gegevens blijven persoonsgegevens. Langer bewaren kan voor archivering in het algemeen belang, wetenschappelijk of historisch onderzoek en statistische doeleinden op grond van [artikel 89](https://eur-lex.europa.eu/legal-content/NL/TXT/?uri=CELEX:32016R0679#art_89), met waarborgen. ## In de praktijk Een HR-dienstenbedrijf bewaart in zijn loonsysteem de dossiers van werknemers van vroegere klanten. Er is geen bewaarschema, dus dossiers van vijftien jaar geleden staan er nog. Bij het opstellen van het verwerkingsregister deelt het de gegevens in categorieën in: loongegevens die wettelijk bewaard moeten worden, contracten en briefwisseling die nodig kunnen zijn bij geschillen, en wervingsdossiers. Voor elke categorie legt het een termijn en de reden vast. Loongegevens bewaart het de wettelijk vereiste periode na het einde van de opdracht en daarna wist het ze. Wervingsdossiers wist het een bepaald aantal maanden na de selectie. Een jaarlijkse wisronde staat in de planning en wordt gelogd. Vraagt een werknemer van een vroegere klant later om wissing, dan kan het bedrijf precies antwoorden: gegevens die om wettelijke redenen bewaard blijven, blijven staan met verwijzing naar de wet, en de rest wordt gewist. ### Wissing laten gebeuren Een schema op papier doet niks als je systemen het niet toepassen. Bepaal wie elke categorie beheert, waar de gegevens staan (ook in back-ups, exports en e-mail) en hoe wissing wordt uitgevoerd en gecontroleerd. In back-ups kun je wissen door ze volgens een vaste cyclus te laten verlopen, zolang teruggezette gegevens opnieuw worden gewist en je de gegevens in back-ups niet gebruikt. Verwerkers moeten gegevens na afloop van de diensten wissen of teruggeven, en dat hoort in je [verwerkersovereenkomst](https://pitch.law/nl/solutions/data-processing-agreements). [Onze registerfunctie](https://pitch.law/nl/technologies/privacy-register) legt per activiteit de bewaartermijn en de reden vast, en de [afhandeling van verzoeken](https://pitch.law/nl/technologies/dsar-handling) gebruikt dezelfde informatie als er een wissingsverzoek binnenkomt. ## Veelgestelde vragen ### Bestaat er een standaardbewaartermijn onder de AVG? Nee. Je bepaalt hem per doel, binnen de grenzen van andere wetten. ### Mogen we alles bewaren voor het geval er een geschil komt? Nee. Bewaar de stukken die je realistisch nodig hebt voor een mogelijke vordering, zolang die kan worden ingesteld, en wis de rest. ### Moeten we gegevens in back-ups meteen wissen? Niet meteen, maar je hebt wel een vaste back-upcyclus nodig en een manier om te voorkomen dat gewiste gegevens terugkomen na een herstel. ### Is anonimisering een alternatief voor wissing? Ja, als ze in de praktijk onomkeerbaar is. Een naam verwijderen maar een uniek identificatienummer houden is pseudonimisering, en dan blijven de gegevens persoonsgegevens. ## Hoe dit samenhangt Een bewaarschema hoort in je verwerkingsregister, zoals beschreven in [Records of Processing Activities](https://pitch.law/nl/academy/gdpr-records-of-processing-activities-ropa-what-you-need-to-know), en is onderdeel van [DPO as a Service](https://pitch.law/nl/solutions/dpo-as-a-service). De bewaar- en wisverplichtingen van leveranciers komen aan bod in [verwerkersovereenkomsten](https://pitch.law/nl/solutions/data-processing-agreements). ## In het kort - Opslagbeperking onder artikel 5, lid 1, e) - Waar bewaartermijnen vandaan komen - Wissing in de praktijk laten gebeuren ## Hier helpen we mee - [Oplossingen](https://pitch.law/nl/solutions/dpo-as-a-service) ### [Externe functionaris voor gegevensbescherming](https://pitch.law/nl/solutions/dpo-as-a-service) [Een externe functionaris voor gegevensbescherming die jouw AVG-naleving adviseert, opvolgt en vastlegt, met een register, kalender en portaal als hulpmiddel.](https://pitch.law/nl/solutions/dpo-as-a-service) - [Oplossingen](https://pitch.law/nl/solutions/data-processing-agreements) ### [Verwerkersovereenkomsten](https://pitch.law/nl/solutions/data-processing-agreements) [Verwerkersovereenkomsten volgens artikel 28 AVG, opgesteld, nagekeken en onderhandeld voor verwerkingsverantwoordelijken en verwerkers, inclusief subverwerkers en doorgiften.](https://pitch.law/nl/solutions/data-processing-agreements) ## Tech die we gebruiken - [Technologie](https://pitch.law/nl/technologies/privacy-register) ### [Verwerkingsregister en compliance-registers](https://pitch.law/nl/technologies/privacy-register) [Eén registermotor voor je AVG-verwerkingsregister en voor de registers onder de AI-verordening, NIS2 en DORA, met artikelverwijzingen, bewijsstukken en goedkeuring door de advocaat of DPO.](https://pitch.law/nl/technologies/privacy-register) - [Technologie](https://pitch.law/nl/technologies/dsar-handling) ### [Verzoeken van betrokkenen](https://pitch.law/nl/technologies/dsar-handling) [Verzoeken van betrokkenen komen in het klantenportaal, we bewaken de termijn en handelen ze af met een gegevensexport en, bij wissing, een opruiming over al je gekoppelde dossiers.](https://pitch.law/nl/technologies/dsar-handling) - [Technologie](https://pitch.law/nl/technologies/contract-studio) ### [Document Studio](https://pitch.law/nl/technologies/contract-studio) [Onze Document Studio stelt juridische documenten op en analyseert ze, in een beveiligde on-premise omgeving. En ze houdt de documenten in je dossiers bij wanneer er nieuwe gegevens binnenkomen of een volgende procedurestap nadert.](https://pitch.law/nl/technologies/contract-studio) ## Meer over Privacy & gegevensbescherming - ### [AI onder Zwitsers recht en de GDPR: de verschillen](https://pitch.law/nl/academy/ai-under-swiss-fadp-and-gdpr) [Wat de herziene Zwitserse privacywet (FADP/DSG) en de GDPR betekenen voor bedrijven die AI-diensten bouwen of gebruiken: toepassingsgebied, grondslagen, DPIA's, doorgifte, sancties en de AI Act.](https://pitch.law/nl/academy/ai-under-swiss-fadp-and-gdpr) - ### [Cookies en toestemming](https://pitch.law/nl/academy/cookie-compliance-and-consent-management) [Wanneer je een cookiebanner nodig hebt, hoe geldige toestemming eruitziet en hoe de ePrivacyregels en de AVG samenwerken.](https://pitch.law/nl/academy/cookie-compliance-and-consent-management) - ### [Datalek melden onder de AVG: de 72-urenregel](https://pitch.law/nl/academy/data-breach-response-the-72-hour-countdown) [Artikel 33 AVG: meld een datalek binnen 72 uur nadat je ervan op de hoogte bent. Wanneer je meldt, hoe je de uren telt en wanneer je betrokkenen inlicht.](https://pitch.law/nl/academy/data-breach-response-the-72-hour-countdown) - ### [Inzageverzoek onder de AVG: zo haal je de termijn](https://pitch.law/nl/academy/data-subject-access-requests-dsars-practical-guide) [Beantwoord een inzageverzoek binnen een maand, verlengbaar met twee (artikelen 12 en 15 AVG): wat je bezorgt, wat je mag weigeren en hoe je op tijd blijft.](https://pitch.law/nl/academy/data-subject-access-requests-dsars-practical-guide) - ### [Het verwerkingsregister (RoPA)](https://pitch.law/nl/academy/gdpr-records-of-processing-activities-ropa-what-you-need-to-know) [Wat artikel 30 AVG je verplicht vast te leggen, wie een register moet bijhouden en hoe je het bruikbaar houdt.](https://pitch.law/nl/academy/gdpr-records-of-processing-activities-ropa-what-you-need-to-know) - ### [Gegevens doorgeven buiten de EU](https://pitch.law/nl/academy/international-data-transfers-post-schrems-ii) [Hoe hoofdstuk V AVG werkt na Schrems II: adequaatheidsbesluiten, het EU-VS Data Privacy Framework, modelcontractbepalingen en de beoordeling die erbij hoort.](https://pitch.law/nl/academy/international-data-transfers-post-schrems-ii) ## Even sparren? Vertel waar je mee bezig bent. We zetten de juiste persoon erop en je hoort binnen één werkdag van ons. Het eerste gesprek is gratis. [Plan een gesprek](https://pitch.law/nl/schedule)