Bewaartermijnen

Inhoudsopgave

Juridisch kader

Artikel 5, eerste lid, onder e, van de AVG omvat het beginsel dat persoonsgegevens in identificeerbare vorm niet langer mogen worden bewaard dan noodzakelijk is voor het doel van de verwerking. Zodra persoonsgegevens niet langer noodzakelijk zijn voor verwezenlijking van de doeleinden waarvoor zij zijn verzameld/verwerkt, moeten ze worden verwijderd of geanonimiseerd. De AVG bevat zelf geen concrete bewaartermijnen, omdat de vaststelling van de periode – met het oog waarop de verwerking van gegevens noodzakelijk is – afhankelijk is van de omstandigheden. Op grond van de artikelen 6, derde lid, en 23, eerste lid, van de AVG kan de wetgever dergelijke termijnen wel vaststellen (voor het wissen van gegevens of periodieke toetsing daarvan). Deze pagina biedt handvatten om te beoordelen of het wenselijk is om een bewaartermijn op te nemen in de wet en, zo ja, hoe deze het beste kan worden vormgegeven.

Terug naar boven

Minimale gegevensverwerking en opslagbeperking 

Het beginsel van minimale gegevensverwerking vereist dat de bewaartermijn wordt beperkt tot een strikt minimum (overweging 39 bij de AVG). Dit sluit aan bij het beginsel van opslagbeperking.  Beide beginselen zijn uitwerkingen van de algemene vereisten van noodzakelijkheid en proportionaliteit. De bewaartermijn moet voldoen aan beide vereisten. Zo kan een verwerking van persoonsgegevens op zichzelf proportioneel zijn, maar de daarvoor geldende bewaartermijn niet (ECLI:NL:GHDHA:2023:1262, r.o. 6.19 e.v.).

Terug naar boven

Uitzondering voor onderzoek

Voor wetenschappelijk of historisch onderzoek en statistische doeleinden geldt een uitzondering op de hoofdregel van beperkte bewaartermijnen. In die gevallen mogen persoonsgegevens langer worden bewaard, ook nadat het oorspronkelijke verwerkingsdoel — zoals het uitvoeren van een contract of het leveren van een dienst — is vervallen. Voorwaarde is wel dat de gegevens uitsluitend voor onderzoeksdoeleinden worden bewaard, dat de verlengde bewaring noodzakelijk is en passende technische en organisatorische maatregelen worden getroffen ter bescherming van de rechten en vrijheden van betrokkenen (artt. 5, eerste lid, onder e, en 89, eerste lid, AVG). Onder passende maatregelen (zoals anonimisering of pseudonimisering) kan het verwezenlijken van doeleinden daardoor niet (altijd) worden bereikt.

Terug naar boven

Uitzondering voor archivering

Ook voor archivering in het algemeen belang staat de AVG toe dat persoonsgegevens langer worden bewaard. Hiervoor is geen afzonderlijke wettelijke regeling vereist. Informatie die overheidsorganen ontvangen of opstellen in het kader van de publieke taak valt onder de Archiefwet. Artikel 5 van de Archiefwet 1995 verplicht overheidsorganen om een selectielijst vast te stellen (alle vastgestelde selectielijsten). In deze selectielijsten zijn de bewaartermijnen van documenten vastgelegd, inclusief van de daarin opgenomen persoonsgegevens. Bij het vaststellen van deze termijnen wordt rekening gehouden met de AVG en met de van toepassing zijnde wettelijke bewaartermijnen in sectorale wetgeving. Na het verstrijken van de bewaartermijn worden de documenten vernietigd (afgestemd op de bewaartermijn uit de selectielijst van het betreffende ministerie). Documenten die zijn bestemd voor blijvende bewaring, worden na twintig jaar overgebracht naar het Nationaal Archief of een lokaal of regionaal archief (art. 12 van de Archiefwet 1995). 

Terug naar boven

Modelbepalingen

  • De [verwerkingsverantwoordelijke] bewaart persoonsgegevens (die zij in het kader van [taak] heeft verkregen / bedoeld in [artikel]), (in een vorm die het mogelijk maakt [betrokkene] te identificeren,) niet langer dan / gedurende / tot [termijn] na / gerekend vanaf [gebeurtenis] en wist / vernietigt [persoonsgegevens] na deze termijn (, tenzij een wettelijk voorschrift daaraan in de weg staat).
  • Voor zover bij of krachtens de wet niet anders is bepaald, bewaart [verwerkingsverantwoordelijke] de in [artikel] bedoelde persoonsgegevens gedurende [termijn].
  • Na [termijn] na / gerekend vanaf [gebeurtenis] wist / vernietigt (of anonimiseert) [verwerkingsverantwoordelijke] [persoonsgegevens].

Terug naar boven

Handvatten voor het opstellen van de wettekst en toelichting 

Wettelijk vastleggen van bewaartermijnen

Wettekst

  • Ga na of er al afspraken zijn vastgelegd over het bewaren en vernietigen van de informatie of dat er iets aanvullends (wettelijk) geregeld moet worden. D.w.z. geldt er een bestaande bewaartermijn op grond van de Archiefwet of andere wetgeving? Wordt de bewaartermijn uitgewerkt in lagere regelgeving?

  • Ga na of het mogelijk en wenselijk is om een bewaartermijn vast te leggen. Leg de (noodzakelijke) bewaartermijn bij voorkeur wettelijk vast, zeker waar het gaat om situaties waarin deze (volledig) ontbreekt en aanvullend (wettelijk) geregeld moet worden. Vanuit oogpunt van transparantie en rechtszekerheid acht de AP het in beginsel wenselijk dat de wetgever een bewaartermijn wettelijk bepaalt indien: 

    • het maken van afwegingen in individuele gevallen niet aangewezen of mogelijk is (bijv. getuigschriften afgegeven door verschillende (opleiding)instellingen;
    • een logische bewaartermijn niet onmiskenbaar uit de context voortvloeit (z2019-08065, p. 2-3). 

    Verwerkingsverantwoordelijken hoeven dan niet zelf telkens een eigen - soms lastige - afweging te maken. Wat kan leiden tot onduidelijkheid voor betrokkenen en (grote) verschillen tussen verwerkingsverantwoordelijken (2025-020656, p. 2);

  • Als het mogelijk en wenselijk is om een bewaartermijn vast te leggen in het wetsvoorstel, maak duidelijk: vanaf wanneer de bewaartermijn gaat lopen, wat er gebeurt met de gegevens na afloop van de bewaartermijn en (indien bekend) wie verantwoordelijk is voor controle op de bewaartermijnen;
  • Bij verwerkingen door overheden waar al een wettelijke bewaartermijn is vastgelegd (Archiefwet en onderliggende regelgeving), is het uitgangspunt dat het in principe aan de verwerkingsverantwoordelijke (via selectielijsten) is, tenzij. Het opnemen van een bewaartermijn in een sectorale wet gericht aan een overheid is een uitzondering op deze regel van de Archiefwet. Bekijk in welke gevallen een sectorale bepaling met bewaartermijn nodig of wenselijk kan zijn (zie: Modules bewaartermijnen bepalen over overheden, burgers & bedrijven | Open Overheid). 

Memorie van toelichting

  • Leg (indien van toepassing) duidelijk uit waarom het niet mogelijk of wenselijk is om de bewaartermijn vast te leggen in het wetsvoorstel (z2024-0005280, p. 7). 

    Een voorbeeld hiervan is de verwerking van gezondheidsgegevens door de Inspectie gezondheidszorg en jeugd (IGJ) in het kader van haar toezicht op wetenschappelijk onderzoek met proefpersonen. De wetgever achtte het, zoals onderbouwd in de toelichting, niet mogelijk om op voorhand een indicatie te geven van de bewaartermijn.  De IGJ zal hieraan in de uitvoering nader invulling geven (Kamerstukken II 2020/21, 35587, nr. 4, p. 2-3).

  • Motiveer in de toelichting bij de keuze om (g)een bewaartermijn te regelen dragend, waarom het stellen van een specifieke bewaartermijn voor de (overige) voorzienbare mogelijke verwerkingen niet mogelijk of wenselijk is (bv. persoonsgegevens die bestuursorganen naast een openbaar register aan elkaar verstrekken). Maak onderscheid tussen persoonsgegevens en andere gegevens die worden verwerkt (bv. persoonsgegevens die bestuursorganen zullen verwerken of voor alle gegevensuitwisselingen door deze instanties) (W12.25.00348/III). 

Terug naar boven

Vastleggen in de wet of in lagere regelgeving?

Wettekst

  • Een bewaartermijn kan worden geregeld in de wet zelf of in lagere regelgeving (z2024-0005280, p. 7). Betrek bij deze keuze de aanwijzingen over delegatie uit de Aanwijzingen voor de regelgeving (Ar 2.19 e.v, zie ook: z2019-16933, p. 2).
  • Als de bevoegdheid tot het vaststellen van bewaartermijnen wordt gedelegeerd, geeft de AP – in algemene zin – de voorkeur aan een verplichte delegatiegrondslag boven een facultatieve (z2019-05539, p. 7).
  • De Raad van State adviseert in dat geval de mogelijkheid tot subdelegatie uit te sluiten, omdat zij bewaartermijnen ziet als onderdeel van rechtsbescherming, dat een essentieel en voor de burger ingrijpend onderwerp is dat niet kan worden beschouwd als uitvoering van een regeling (W13.19.0425/III). 

Terug naar boven

Soort bewaartermijn

Wettekst

  • In wet- en regelgeving kunnen drie typen termijnen worden vastgelegd:
  • Let op: de AP beschouwt minimumtermijnen niet als bewaartermijnen in de zin van de AVG, omdat gegevens na het verstrijken ervan nog steeds mogen worden bewaard. De AP adviseert om bij een minimumtermijn ook een maximumtermijn op te nemen (z2019-18174, p. 3).
  • Een maximumtermijn sluit niet uit dat persoonsgegevens eerder moeten worden verwijderd, namelijk zodra de verwerking niet langer noodzakelijk is voor het doel, zoals het verlenen van een dienst. Een maximumtermijn is dan ook geschikt in situaties waarin het moment van beëindiging van de noodzaak per geval kan verschillen, of gevallen waar het primaire doel is bereikt, maar gegevens nog worden bewaard voor specifieke onvoorziene situaties (indienen van een klacht of bezwaar).
  • Met het regelen van de bewaartermijn wordt ook direct de vernietiging van persoonsgegevens geregeld. Regel dus niet iets aparts voor de vernietiging van persoonsgegevens (NB: vernietiging zelf wordt vaak nog geregeld in een verwerkersovereenkomst).
  • Zowel de AP als de Raad van State raden af om de termijn te koppelen aan een laatste wijziging, het laatste gebruik of een laatste verwerking van de gegevens. Een dergelijke koppeling zorgt ervoor dat de termijn telkens opnieuw begint te lopen, wat in de praktijk kan leiden tot een feitelijk onbeperkte bewaartermijn. Dit ondermijnt volgens hen de rechtszekerheid en vergroot het risico dat persoonsgegevens veel langer worden bewaard dan beoogd. Zij adviseren om de start van de bewaartermijn op een vaste, duidelijke en objectief bepaalbare gebeurtenis te bepalen (W04.25.00172/I en 2025-005745, p. 3-4).

Terug naar boven

Duur van de bewaartermijn

Wettekst

  • De duur van de bewaartermijn moet noodzakelijk en evenredig met het doel van de gegevensverwerking (z2023-02100, p. 7). Niet alleen een te lange, maar ook een te korte termijn kan het bereiken van het doel in de weg staan.
  • Differentieer en clausuleer zo nodig in bewaartermijnen, bijvoorbeeld per verwerkingsverantwoordelijken, per categorie persoonsgegevens of per doeleinde (z2024-013712, p. 4-5 en z2023-02100, p. 7).
  • Houd bij het vaststellen van een termijn rekening met onder andere de volgende aspecten:
    • De doeleinden waarvoor de gegevensverwerking noodzakelijk is;
    • Proces of dienst waarin gegevens worden verwerkt (bv. bij vergunningverlening bewaren zolang de vergunning loopt, inclusief de periode van rechtsbescherming);
    • Rechtsbescherming en termijnen uit de Awb (bv. bewaren tot na afloop van bezwaar- en beroepstermijnen en minimaal 1 jaar i.v.m. klachtrecht en eventueel herzieningsverzoeken);
    • Toezicht en handhaving: gegevens moeten beschikbaar zijn voor inspecties, audits of nalevingstoezicht;
    • Technische en organisatorische haalbaarheid: is het uitvoerbaar om gegevens selectief te vernietigen of moet een generieke termijn worden gehanteerd?
    • Internationale en Europese verplichtingen: bepaalde bewaartermijnen kunnen voortvloeien uit EU-richtlijnen of verdragen (bv. financiële regelgeving, NIS2);
    • Publieke verantwoording en transparantie: bewaren kan nodig zijn om beleid of besluiten achteraf te kunnen verantwoorden (bv. o.b.v. de Woo, Archiefwet, art. 68 Grondwet of de Wet op de parlementaire enquête 2008);
    • Categorie persoonsgegevens: hoe gevoeliger de gegevens (bijzonder vs. algemeen), hoe korter de bewaartermijn;
    • Andere soortgelijke bewaartermijnen: ga na of de voorgestelde bewaartermijn aansluit bij gelijksoortige doeleinden;
    • Ketenafhankelijkheid: zijn gegevens bij verschillende instanties nodig in een keten (bv. vergunningverlening, toezicht en bezwaar)?
    • Andere wettelijke taken: worden dezelfde gegevens ook voor andere wettelijke taken gebruikt?
    • Verjaringstermijnen in civiel- en strafrecht (bv. 5 jaar contractueel en 20 jaar bij ernstige delicten).

Memorie van toelichting

Motiveer de lengte van de gekozen bewaartermijn in de toelichting (z2021-12606, p. 6). De AP vindt algemene argumenten of verwijzingen naar vergelijkbare gevallen zonder details, onvoldoende. Naarmate een verwerking gevoeliger of grootschaliger is, stelt de AP hogere eisen aan de motivatie.

Terug naar boven

Uitzonderingen

  • Als een uitzondering wordt gemaakt op de wettelijk voorgeschreven bewaartermijn, dient duidelijk te worden opgeschreven wanneer en waarom de persoonsgegevens langer bewaard mogen worden en onder welke voorwaarden dit is toegestaan. Een voorbeeld hiervan is artikel 7:454, derde lid, BW, waarin staat dat in afwijking van de hoofdregel, dat het medisch dossier 20 jaar moet worden bewaard, het dossier langer mag worden bewaard indien dit uit de zorg van een goed hulpverlener voortvloeit (bv. bij erfelijke aandoeningen of langdurige behandelrelaties).
  • Een verlenging van de wettelijke bewaartermijn moet wettelijk worden geregeld. De Raad van State schreef in een voorlichting in maart 2025 dat de politie de wettelijke bewaartermijnen van politiegegevens niet mag negeren, zelfs niet voor cold case-onderzoeken. Hoewel de minister van Justitie en Veiligheid vroeg naar de randvoorwaarden voor het langer bewaren van deze gegevens, oordeelde de Raad van State dat het op dit moment onaanvaardbaar is om de bewaartermijnen van de wet (na 5 jaar verwijderen, na 10 jaar vernietigen) bewust te overschrijden. Er moet een belangenafweging plaatsvinden voor een wettelijke verlenging van deze termijnen (W16.24.00313/II). 

Terug naar boven

Voorbeelden en literatuur

Voorbeelden uit wetteksten met vastgelegde bewaartermijnen

Zie voor meer informatie:


Terug naar boven

Laatst gewijzigd op: 12-5-2026