Bewaarbeleid voor klantdocumenten: zo stel je het op

Een bruikbaar bewaarbeleid beantwoordt voor elke kopie die je bedrijf bewaart één concrete vraag: waarom moet deze kopie vandaag nog bestaan? Het koppelt daarom niet één termijn aan elk klantdossier, maar legt per kopie het doel, de plek en het moment van verwijderen vast.

Een tijdelijke upload om een aanvraag te controleren is misschien maar een paar dagen nodig. Het contract, de belastingaangifte of het beroepsdossier dat daaruit voortkomt, moet soms veel langer in een officieel systeem blijven. Wie beide kopieën als hetzelfde stuk behandelt, bewaart gevoelige ontvangstbestanden onnodig lang of verwijdert stukken die het bedrijf moet bewaren.

Het beleid scheidt doel, locatie en verwijdermoment. Het noemt ook de persoon die een uitzondering mag goedkeuren.

Begin bij het beginsel van opslagbeperking

De Algemene verordening gegevensbescherming (AVG) noemt geen vast aantal dagen of jaren voor persoonsgegevens. Artikel 5 bepaalt dat persoonsgegevens toereikend, ter zake dienend en beperkt moeten zijn tot wat noodzakelijk is, en dat ze niet langer in identificeerbare vorm worden bewaard dan nodig is voor het doel. De officiële tekst van de AVG noemt deze beginselen minimale gegevensverwerking en opslagbeperking.

De Autoriteit Persoonsgegevens bevestigt dat organisaties zelf bepalen hoe lang ze persoonsgegevens bewaren. In haar uitleg over het bewaren van persoonsgegevens vraagt de AP om de termijnen en de onderbouwing vast te leggen, rekening te houden met wettelijke termijnen uit bijvoorbeeld de belastingwetgeving, en gegevens te vernietigen of te anonimiseren als de termijn voorbij is of ze niet meer nodig zijn.

Andere landen en sectoren hebben hun eigen regels. Fiscale, arbeidsrechtelijke en beroepsmatige verplichtingen en lopende juridische procedures kunnen de bewaartermijn beïnvloeden. Een beleid vervangt geen advies daarover.

Scheid de ontvangstkopie van het officiële dossier

De meeste fouten in bewaarbeleid beginnen bij een onduidelijk woord: "document".

Stel dat een klant een bankafschrift uploadt zodat een boekhouder een bedrag kan controleren. De upload, een download, het werkdocument van de boekhouder en de ingediende aangifte zijn aparte kopieën of stukken. Ze kunnen elk een andere termijn nodig hebben.

De ontvangstkopie erft niet automatisch de termijn van het uiteindelijke dossierstuk. Bewaar haar alleen zolang ze het ontvangstdoel dient, tenzij een vastgelegde verplichting iets anders zegt.

Stel deze vragen voor elk proces:

Voor welk besluit of welke taak is het geüploade bestand nodig?
Welk systeem bevat na afloop van de taak het officiële dossier?
Heeft dat systeem het originele bestand nodig, een afgeleid gegeven, een goedkeuring of alleen de uitkomst?
Welke gebeurtenis bewijst dat het ontvangstdoel is bereikt?
Welke wet, overeenkomst of beroepsregel vereist een langere termijn?
Wie mag verwijderen uitstellen, en op welke grond?

Met deze grens blijft een tijdelijke ontvangstdienst ook echt tijdelijk. Het voorkomt ook dat een team een mailbox of uploadportaal als toevallig archief gaat gebruiken.

Werk met een bewaarwerkblad

Bouw het schema rond bedrijfsprocessen, niet rond bestandstypen. "Pdf" zegt niets over het doel. "Identiteitsbewijs voor het aannemen van een leverancier" zegt veel meer.

Veld	Wat je vastlegt	Voorbeeld
Proces	De taak waarvoor het document binnenkomt	Goedkeuring nieuwe leverancier
Documentcategorie	De nauw omschreven categorie die je opvraagt	Bewijs van rekeninghouderschap
Doel	Waarom het team deze kopie nodig heeft	Betaalgegevens controleren vóór goedkeuring
Grondslag of bevoegdheid	De vastgelegde grondslag voor de verwerking	Overeenkomst, wettelijke verplichting, gerechtvaardigd belang of een andere beoordeelde grondslag
Officieel dossier	Wat na de beoordeling moet blijven	Uitkomst van de goedkeuring in het leverancierssysteem
Ontvangstlocatie	Waar de tijdelijke inzending binnenkomt	Beheerde uploadwerkruimte
Startmoment	Wanneer de bewaartermijn begint te lopen	Tijdstip van geaccepteerde upload
Eindmoment	Wat het doel normaal gesproken afrondt	Leverancier goedgekeurd, afgewezen of verzoek ingetrokken
Normale termijn	Tijd voor beoordeling en afronding	Door de organisatie gekozen werkperiode
Vroeg verwijderen	Wanneer medewerkers het vóór de verwijderdatum weghalen	Beoordeling klaar en geen bewaarblokkade
Eigenaar van uitzonderingen	Rol die verwijderen mag verlengen of pauzeren	Proceseigenaar of juridisch contactpersoon
Reikwijdte van verwijderen	Kopieën en afgeleide bestanden die weg moeten	Origineel, voorbeeldweergaven, links en gevoelige metadata
Bewijs	Niet-gevoelig bewijs dat verwijderen is uitgevoerd	Kenmerk van de inzending, gebeurtenis en tijdstip

De voorbeelden vormen geen juridisch bewaarschema. Ze laten zien hoe gedetailleerd je er een moet opstellen.

Stel het beleid per proces op

1. Breng elke ontvangstroute in kaart

Noteer alle plekken waar klantbestanden binnenkomen: persoonlijke mailboxen, gedeelde mailboxen, webformulieren, uploadportalen, chatapps, gedeelde mappen en fysieke dragers. Neem ook automatische kopieën mee, zoals mailarchieven en mappen die met de cloud synchroniseren.

Begin bij een echt verzoek en volg één bestand van de afzender tot de uiteindelijke verwijdering. Gesprekken met medewerkers brengen vaak een route aan het licht die in de geschreven procedure ontbreekt.

De Amerikaanse Federal Trade Commission raadt aan om na te gaan waar gevoelige informatie binnenkomt en waar die wordt opgeslagen. Haar gids Protecting Personal Information adviseert bedrijven ook om gevoelige informatie alleen te bewaren zolang ze die legitiem nodig hebben, en een schriftelijk bewaarbeleid op te stellen voor stukken die bewaard moeten blijven.

2. Bepaal welke externe eisen gelden

Noteer per proces welke wetten, toezichtregels, overeenkomsten, verzekeringsvoorwaarden, beroepsrichtlijnen en lopende bewaarblokkades van toepassing zijn. Leg de precieze bron vast en de datum waarop je die hebt gecontroleerd. "Dat moet van compliance" is niet genoeg.

Neem geen termijn over uit een ander land of een andere branche. Zelfs binnen één organisatie kunnen belastingdossiers, sollicitaties en identiteitscontroles verschillende regels volgen.

Vraagt de bron alleen om een uitkomst of beperkt bewijs, ga er dan niet van uit dat elk brondocument en elke werkkopie bewaard moet blijven. Stem de reikwijdte af met degene die verantwoordelijk is voor die verplichting.

3. Leg een normale werkperiode vast

Bepaal hoe lang het team normaal gesproken nodig heeft om een inzending te ontvangen, te beoordelen en af te sluiten. Baseer dat op het proces, niet op de beschikbare opslagruimte.

Een product voor tijdelijke ontvangst biedt soms standaardkeuzes zoals 7, 30 of 90 dagen. Dat zijn werkperiodes, geen juridische conclusies. Kies de kortste periode die het werk betrouwbaar dekt. Duurt een taak structureel langer, pas dan het schema of het proces aan in plaats van medewerkers elke inzending te laten verlengen.

Stel de verwijderdatum in zodra het document binnenkomt. Een datum die tijdens de beoordeling zichtbaar is, is makkelijker te beheren dan een belofte om de werkruimte later op te ruimen. Zo werkt ook automatisch verwijderen in Sunset Docs.

4. Bepaal het start- en eindmoment

"30 dagen bewaren" is pas compleet als het beleid zegt wanneer dag één begint. Dat kan de upload zijn, de acceptatie, het sluiten van een dossier, het einde van een contract of het einde van een verslagperiode.

Bij tijdelijke ontvangst werkt een termijn vanaf binnenkomst meestal goed, omdat elke inzending meteen een deadline krijgt. Vroeg verwijderen kan dan volgen op het moment dat het werk klaar is. Een permanent dossierstuk kan onder zijn eigen schema een ander startmoment hebben.

5. Maak vroeg verwijderen de norm

Een verwijderdatum is de uiterste routinematige datum, geen reden om een afgeronde inzending tot de laatste dag te laten staan.

Geef de beoordelaar een duidelijke afsluitende handeling. Voordat de ontvangstkopie wordt verwijderd, legt de beoordelaar de vereiste uitkomst vast of zet het officiële stuk in het goedgekeurde systeem. Daarna kan het tijdelijke materiaal weg.

Dat gaat makkelijker als het oorspronkelijke verzoek gericht was. De gids over dataminimalisatie bij documentverzoeken laat zien hoe je voorkomt dat je materiaal verzamelt dat het team nooit nodig heeft.

6. Beheer verlengingen en bewaarblokkades

Bij een verlenging hoort een nieuwe datum, een reden en iemand die goedkeurt. Vrije tekst helpt beoordelaars, maar zet geen documentinhoud of persoonsgegevens in logregels.

Leg vast welke redenen aanvaardbaar zijn, zoals een aantoonbare vertraging in het onderliggende proces of een vastgelegde juridische bewaarplicht (legal hold). Een opgezegd abonnement, een mislukte betaling of een collega op vakantie mag automatisch verwijderen niet stilletjes stilleggen.

Hebben de meeste inzendingen in een categorie een verlenging nodig, dan klopt de normale termijn niet of zit er een knelpunt in het proces.

7. Bepaal wat verwijderen omvat

Als je alleen de zichtbare regel in de lijst verwijdert, kunnen het originele object, voorbeeldafbeeldingen, tijdelijke afdrukbestanden, actieve links, ingepakte versleutelingssleutels of gevoelige metadata achterblijven. Het beleid noemt deze onderdelen en wijst toe wie voor hun verwijdering verantwoordelijk is.

Back-ups kunnen een eigen rotatieschema volgen. Leg vast hoe lang verwijderde gegevens daar kunnen blijven staan, hoe ze buiten normaal gebruik worden gehouden en wat er gebeurt na het terugzetten van een back-up. De gids over documenten in de cloud veilig verwijderen legt die grens uitgebreid uit.

Voor downloads en screenshots buiten de beheerde werkruimte heb je apart beleid voor apparaten en dossiers nodig. Geen enkel portaal kan een externe kopie wissen die het niet beheert.

Houd een register van uitzonderingen bij

Uitzonderingen moeten genoeg details bevatten om ze te kunnen beoordelen, zonder zelf een nieuw gevoelig dossier te worden.

Leg vast:

Het kenmerk van de inzending of het proces
De oorspronkelijke verwijderdatum
De nieuwe datum of de status van de bewaarblokkade
Een korte gecodeerde reden
De rol die goedkeurde
Het tijdstip van goedkeuring
De volgende beoordelingsdatum bij een blokkade zonder einddatum

Neem geen bestandsnamen, klantnamen of documentinhoud op in het register, tenzij dat echt nodig is en onder een aparte bewaarregel beschermd is.

Ook een blokkade zonder einddatum krijgt een beoordelingsdatum. Die beoordeling dwingt geen verwijdering af. Ze controleert of de reden nog steeds geldt.

Test of het beleid werkt

Een beleid dat alleen op papier bestaat, heeft het bewaren nog niet onder controle.

Volg een paar afgeronde inzendingen door het schema. Controleer de ontvangst, de terugvalroute via e-mail, downloads, afgeleide bestanden en het officiële dossier. Ga na of verwijderen is uitgevoerd en of het overgebleven verwijderingsrecord geen gevoelige inhoud bevat.

Test ook hoe fouten worden afgehandeld. Is de opslag tijdelijk onbereikbaar als een verwijdertaak draait, dan hoort het systeem het veilig opnieuw te proberen in plaats van de taak als voltooid te markeren. Een verlopen of opgezegde werkruimte mag het verwijderschema niet stoppen.

Herzie het schema als een proces, een verplichting of het back-upbeleid van een leverancier verandert, of als een incident een kopie aan het licht brengt die nergens stond.

Een korte beleidsverklaring

De werkregel kan kort zijn:

Elk gevoelig document dat we ontvangen voor tijdelijke beoordeling krijgt bij binnenkomst een vastgelegd doel, een eigenaar en een verwijderdatum. De beoordelaar zet elk stuk dat bewaard moet blijven in het goedgekeurde officiële systeem en verwijdert daarna de tijdelijke kopie, zodra de taak klaar is of uiterlijk op de geplande datum. Voor een verlenging zijn een reden, een goedkeurder en een nieuwe beoordelingsdatum nodig. Verwijderen gaat ook door voor verlopen en opgezegde werkruimtes en voor werkruimtes met een betalingsachterstand. Voor externe downloads gelden het apparaten- en dossierbeleid van de organisatie.

Voeg het uitgewerkte werkblad en de bronverwijzingen toe achter die verklaring. Medewerkers hebben eerst de regel nodig, en de onderbouwing als zich een lastig geval voordoet.

Veelgestelde vragen

Hoe lang moet een bedrijf klantdocumenten bewaren?

Er is geen termijn die voor elk klantdocument geldt. Het antwoord hangt af van het doel, het toepasselijke recht, overeenkomsten, beroepsregels en de vraag of de kopie een tijdelijke ontvangstkopie is of een officieel dossierstuk. Leg per termijn vast waarom je ervoor kiest en beoordeel hem opnieuw als het doel is bereikt.

Verplicht de AVG om na 30 of 90 dagen te verwijderen?

Nee. De AVG vereist dat persoonsgegevens niet langer worden bewaard dan nodig is voor het doel, met ruimte voor toegestane langere bewaring onder passende waarborgen. Er geldt geen algemene termijn van 30 of 90 dagen voor klantdossiers.

Mogen we documenten bewaren voor het geval ze later nog van pas komen?

Een vage mogelijkheid is een zwakke reden om te bewaren. Benoem het concrete toekomstige doel, de grondslag daarvoor en de termijn die het rechtvaardigt. Kan de organisatie niet uitleggen waarom een kopie nodig is, dan moet ze die in de regel verwijderen of anonimiseren, behoudens geldende verplichtingen.

Verwijder je op de verwijderdatum of na een handmatige controle?

Bij grote aantallen gestandaardiseerde inzendingen werkt automatisch verwijderen op de geplande datum het best. Het team kan eerder verwijderen als het werk klaar is. Processen met een echte juridische bewaarplicht hebben een beheerde pauze met beoordeling nodig, geen algemene handmatige wachtrij waarin elk stuk eindeloos blijft staan.

Welk bewijs van verwijdering moet je bewaren?

Bewaar het minimale niet-gevoelige bewijs dat nodig is voor verantwoording, zoals een intern kenmerk, de verwijdergebeurtenis, het tijdstip en de uitkomst. Neem geen bestandsnamen, documentinhoud, identiteit van de afzender of opslagpaden op in het verwijderingsrecord, tenzij een aparte vastgelegde verplichting dat nodig maakt.

Eindigt het bewaarbeleid als je een dienst opzegt?

Nee. Automatisch verwijderen moet doorgaan als een proefperiode afloopt, een betaling mislukt of een werkruimte wordt opgezegd. Een betaalstatus schept geen nieuw doel om gevoelige documenten te bewaren.