02 mei
Ondanks dat aan het eind van de maand de AVG in werk treedt, is er bij bedrijven nog veel onduidelijkheid. De overheid probeert daar wat aan te doen, maar er blijven nog veel vragen. Zoals over de bewaartermijn waarover gesproken wordt. Hoe lang mag die nu zijn? Voor de één is namelijk een maand al te lang, voor de ander is 40 jaar geen uitzondering.
Dit klinkt misschien als een extreem voorbeeld, maar niet is minder waar. Een begrafenisondernemer sprak over deze termijn tijdens een van de voorlichtingspresentaties over de AVG die wij houden. In deze branche worden namelijk veel persoonsgegevens verwerkt. Denk maar aan alle informatie die op een overlijdensakte moet staan (niet alleen van de overleden persoon – die overigens niet meer onder de AVG valt - maar ook van de nabestaanden). De vraag van deze ondernemer had niet zozeer met de overlijdensakte te maken, maar wel met andere persoonlijke gegevens zoals de rouwkaart waarop allerlei familiebanden zijn vermeld.
Het voorbeeld dat hij aanhaalde, had te maken met familiegeschiedenis. ‘Als er iemand is overleden, dan gaan we kijken of we eerder met iemand van deze familie te maken gehad hebben, om de begrafenis persoonlijker te maken.’ In het archief dat de begrafenisondernemer heeft, zitten persoonlijke gegevens van soms 30 of 40 jaar oud, bijvoorbeeld de rouwkaart van partner of ouders. Mag hij die straks nog bewaren, of moet het archief (deels) vernietigd worden?
Onduidelijk
De overheid geeft hier geen duidelijk antwoord op. Volgens de Autoriteit Persoonsgegevens mogen gegevens niet langer bewaard worden dan noodzakelijk. “Organisaties bepalen zelf hoe lang zij persoonsgegevens bewaren. Hierbij kijken zij naar hoe lang de gegevens nodig zijn voor het doel waarvoor deze zijn verzameld of worden gebruikt.”
In artikel 5 van de AVG is te lezen dat ‘persoonsgegevens voor langere perioden opgeslagen mogen worden, voor zover de persoonsgegevens louter met het oog op archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of statistische doeleinden worden verwerkt overeenkomstig artikel 89, lid 1, mits de bij deze verordening vereiste passende technische en organisatorische maatregelen worden getroffen om de rechten en vrijheden van de betrokkene te beschermen ("opslagbeperking")’.
Hoe noodzakelijk persoonlijke gegevens zijn, en hoe ‘redelijk’ een bewaartermijn dan is, wordt dus bij de markt neergelegd. De argumentatie voor de bewaartermijn wordt leidend. Dat laat veel ruimte voor interpretatie en de vraag is dan ook hoe de Autoriteit hier toezicht op kan gaan houden. Ben je in overtreding of nalatig als je een (ingescande) zolder vol van dit dossiers hebt (uiteraard achter slot en grendel)? Dit soort vragen spelen op dit moment veel bij partijen die bezig zijn met de AVG. Elke organisatie gaat anders met deze ‘spelregels’ om. Helaas wordt het wachten op jurisprudentie voordat er werkelijk duidelijkheid gaat komen (en ook dat zal dan weer discutabel zijn, want elke situatie is toch weer anders).
Wij adviseren voor dit soort zaken vooral een praktische benadering van de AVG. Belangrijk is dat je vastlegt waaróm je bepaalde keuzes hebt gemaakt zoals een langere bewaartermijn van persoonsgegevens.