Bewaartermijnen

[#1]

Organisaties moeten de persoonsgegevens van hun medewerkers een tijd bewaren, dit mag niet langer zijn dan de termijn dat men deze gegevens nog nodig heeft.

Werkgevers bepalen zelf hoe lang zij de persoonsgegevens bewaren, in de AVG wordt geen concrete bewaartermijn genoemd. In verschillende andere wetten is wel sprake van bewaartermijnen waaraan werkgevers zich moeten houden.

Fiscale bewaarplicht

De fiscale bewaartermijn is normaal gesproken 7 jaar. Voor het bepalen van de start van de bewaartermijn gebruikt men de actuele waarde van een gegeven voor de bedrijfsvoering. Zolang gegevens actueel blijven, horen zij bij de administratie. 

Alle gegevens over de organisatie die men ontvangt of vastlegt (op papier of digitaal) horen bij de administratie. Van de meeste gegevens is duidelijk dat ze bij de administratie horen en fiscaal van belang zijn. Zoals de gegevens uit financiële of logistieke systemen. 

Voor andere gegevens, bijvoorbeeld uit persoonlijke informatiesystemen zoals e-mail en agenda, is minder duidelijk dat ze onder de bewaarplicht vallen. Deze moet men bewaren voor zover ze van belang kunnen zijn voor de belastingheffing

Volgens de wettelijke bepalingen moet men boeken, bescheiden en gegevensdragers die voor de belastingheffing van belang zijn, bewaren zoals men ze heeft ontvangen. In de originele staat, dus de primaire vastlegging van de brongegevens.

Digitale bewaarplicht

Onder voorwaarden mag men gegevens van het ene opslagmedium naar een andere overbrengen. Bijvoorbeeld het scannen van een papieren document of de inhoud van een cd-rom naar een USB-stick. Hiervoor gelden de voorwaarden dat:

• de conversie juist en volledig gebeurt,
  • de geconverteerde gegevens gedurende de gehele bewaartermijn beschikbaar zijn,
  • gegevens binnen redelijke tijd te reproduceren, leesbaar te maken en te controleren zijn.

Indien men voldoet aan bovengenoemde voorwaarden dan hoeft men de originele documenten niet meer te bewaren. De digitale versie zal dan de plaats innemen van het origineel.

Wat als men niet voldoet aan de bewaarplicht? 

Voldoet men niet aan de bewaarplicht, dan kan dit gevolgen hebben voor de bewijspositie. De inspecteur kan een informatiebeschikking uitreiken. Als die onherroepelijk vaststaat, kan dit leiden tot omkering en verzwaring van de bewijslast. Dat betekent dat de werkgever moet aantonen dat de belastingaanslag niet klopt. Aannemelijk maken is dan niet meer voldoende.

Persoonsgegevens vernietigen

Men moet de persoonsgegevens die men verwerkt periodiek controleren. Als de bewaartermijn van persoonsgegevens voorbij is, of niet meer noodzakelijk voor gebruik, dan moet men de gegevens vernietigen. De gegevens anonimiseren kan ook.

Bij vernietigen van de persoonsgegevens moet men  zorgvuldig met de persoonsgegevens omgaan. Dat betekent dat men goed moet stilstaan bij de manier waarop men de gegevens vernietigt. Zeker als het om gevoelige informatie gaat, zoals medische gegevens. 

In de bijlage (PDF of Excel) zie je een schema van de verschillende bewaartermijnen.