28 januari, 2026
Tijdens meerdere, en ja bijna alle, security assessments zien we hetzelfde patroon: data wordt langer bewaard dan toegestaan. Of het nu gaat om klantdata, medewerkersdata of leveranciersdata. Daarmee worden vaak contracten, SLA’s, wetgeving en interne policies overtreden.
En precies daar raakt dit aan de praktijk van Privacy/GDPR: een AVG bewaartermijn is pas waardevol als je hem niet alleen opschrijft, maar ook kunt afdwingen. Anders blijft data liggen “voor later” of gewoon omdat niemand eigenaar is.
Gaat jouw organisatie slim om met privacygevoelige gegevens van klanten en medewerkers? Bekijk onze pagina Privacy/GDPR. We kijken graag mee om deze complexe materie te vertalen naar praktische stappen voor jouw organisatie.
Op papier is het logisch: data komt binnen, wordt verwerkt, gedeeld waar nodig, en wordt verwijderd of gearchiveerd volgens afspraken.
In de praktijk zien we juist dit:
En zodra het daar staat, verliest de organisatie grip: wie gebruikt het, waar gaat het heen, wanneer verdwijnt het?
Bij hergebruik voor analytics of AI zien we zelfs dat data niet wordt geanonimiseerd, omdat dat “te veel tijd kost”.
Te lang bewaren klinkt onschuldig, maar in de praktijk zien we dat het leidt tot:
Hoe langer je persoonsgegevens bewaart dan nodig, hoe groter de impact als er iets misgaat. En hoe lastiger het wordt om aan te tonen dat je je data governance op orde hebt.
De kern is meestal slecht data-lifecyclemanagement.
Soms is de reden ongemakkelijk eerlijk: data wordt bewaard “voor de business”, bijvoorbeeld voor betere beslissingen, toekomstige kandidaten of modeltraining.
Maar net zo vaak is het simpeler: het blijft liggen. Per ongeluk. Uit gemak. Of omdat niemand eigenaar is.
Bewustwording helpt, maar het is geen control. Als processen en tooling het “makkelijk” maken om data te downloaden, te delen en te laten liggen, dan gebeurt het ook.
Daarom hoort een AVG bewaartermijn altijd samen te gaan met:
Je hebt controls nodig die gedrag sturen:
Dit ondersteunt ook dataminimalisatie (AVG): je bewaart en gebruikt niet meer persoonsgegevens dan nodig.
Als je bij meerdere vragen twijfelt, is de kans groot dat er verborgen risico zit.
Een werkbare aanpak is meestal:
Als je wilt weten waar persoonsgegevens te lang blijven liggen, begin dan met inzicht in datalocaties, bewaartermijnen en de controls die ontbreken.
We kunnen meekijken naar jullie AVG bewaartermijnen, het verwerkingsregister en de praktische inrichting van dataretentie en DLP.
Zo lang als nodig is voor het doel waarvoor je de gegevens hebt verzameld. Daarna moet je verwijderen, anonimiseren of aantoonbaar archiveren volgens afspraken. In de praktijk betekent dit: per datacategorie een onderbouwde AVG bewaartermijn vastleggen en kunnen uitleggen waarom die termijn passend is.
Door per categorie te kijken naar: het doel van verwerking, wettelijke of contractuele verplichtingen (bijv. fiscale of arbeidsrechtelijke termijnen), interne policies en het risico bij langer bewaren. Koppel vervolgens een eigenaar aan de dataset en leg de bewaartermijn vast in beleid en werkinstructies, zodat het niet afhankelijk is van individuele keuzes.
Ja, in de praktijk hoort dit daar thuis. Het verwerkingsregister is de plek waar je per verwerking vastlegt welke persoonsgegevens je verwerkt, met welk doel, wie betrokkenen zijn, en welke bewaartermijnen of criteria je hanteert. Als bewaartermijnen los zweven van het register, wordt naleving en aantoonbaarheid lastig.
Een bewaartermijn gaat over hoe lang je persoonsgegevens actief beschikbaar houdt voor een doel. Archiveren is bewaren onder striktere voorwaarden (beperkte toegang, duidelijke reden, vaak voor bewijs of compliance). Back-ups zijn bedoeld voor herstel na incidenten, niet als “extra archief”. In de praktijk gaat het vaak mis als back-ups of exports ongemerkt de facto een onbeperkte bewaartermijn worden.
Door bewaartermijnen te koppelen aan eigenaarschap en ze technisch af te dwingen. Denk aan dataretentie met automatische opschoning per datacategorie en locatie, periodieke reviews op gedeelde mappen en exports, en DLP/endpoint-controls om te voorkomen dat persoonsgegevens naar lokale opslag of onbeheerde locaties verdwijnen. Zonder die controls blijft het vaak bij een papieren afspraak.
De meeste impact zie je met een combinatie van:
Als je wilt, kijken we mee waar persoonsgegevens in de praktijk blijven hangen, welke bewaartermijnen je hanteert en welke controls ontbreken. Je krijgt een helder overzicht van de grootste risico’s en de meest effectieve verbeterstappen rond dataretentie, DLP en eigenaarschap.
