Een verwijderbeleid dat werkt zonder functionaris gegevensbescherming

Artikel 5 lid 1 sub e AVG verlangt dat persoonsgegevens niet langer in een vorm die identificatie mogelijk maakt worden bewaard dan voor het doel noodzakelijk is. Dat is het beginsel van opslagbeperking, en het is de enige privacyplicht die vanzelf wordt geschonden: wie niets doet, schendt haar met elke dag een stukje meer.

Daar komt artikel 5 lid 2 bij, de verantwoordingsplicht. Je moet de naleving niet alleen realiseren maar ook kunnen aantonen. Samen levert dat precies op wat een verwijderbeleid is: een schriftelijk antwoord op de vraag wanneer welke gegevens waarom verdwijnen. De opzet hieronder is een oriëntatie – welke termijnen in jouw markt gelden en hoe ze in een concreet geval over elkaar heen liggen, klaren de toezichthouder, je boekhouder of een jurist.

In de meeste kleine bedrijven bestaat er een feitelijke wisregel, ze staat alleen nergens opgeschreven: er wordt gewist als een systeem wisselt, als een map te vol wordt of als iemand er uitdrukkelijk om vraagt. Alle drie die aanleidingen hebben hetzelfde probleem – ze hebben niets te maken met het doel van de gegevens.

Het doel is de enige klok die de verordening kent. Artikel 17 lid 1 sub a formuleert het als wisplicht: zijn de gegevens voor de doeleinden waarvoor ze zijn verzameld niet langer nodig, dan moeten ze onverwijld worden gewist. Die plicht bestaat ongeacht of iemand ernaar vraagt. Het recht op vergetelheid is de keerzijde, niet de voorwaarde.

Precies daarom is een verwijderbeleid geen formalisme maar een ontlasting. Het beantwoordt één keer wat anders bij elk geval opnieuw wordt bediscussieerd, en het laat zich tonen. Eén pagina volstaat. Ze heeft vier kolommen en per soort gegevens één regel.

Wat er niet in hoort: meningen over hoe lang "men dat nu eenmaal doet". Elke regel heeft een reden nodig, en die reden is ofwel een doel dat je kunt benoemen, ofwel een plicht die iemand kan opzoeken.

Zo ziet de pagina eruit. De voorbeeldregels passen op een dienstverlenend bedrijf; de termijnen van de tweede groep hangen af van het nationale belasting- en handelsrecht en staan hier bewust zonder getal.

De derde kolom maakt het werk, de vierde maakt het verschil. Een klok zonder aanleiding gaat nooit lopen: "drie jaar" is pas een regel als erbij staat vanaf wanneer. En de aanleiding moet een gebeurtenis zijn die in je gegevens zichtbaar is – de laatste afspraak staat in de agenda, het einde van een relatie daarentegen nergens. Daarom is "laatste afspraak plus termijn" de praktischere formulering.

Iemand vraagt om verwijdering. Het klantenbestand kun je wissen – de facturen niet, want daarvoor loopt een fiscale of handelsrechtelijke bewaartermijn. Wat nu?

De verordening heeft dat geval voorzien. Artikel 17 lid 3 sub b zondert verwerkingen uit van de wisplicht voor zover ze noodzakelijk zijn om te voldoen aan een wettelijke verplichting die op jou rust. Sub e zondert daarnaast uit wat nodig is voor de instelling, uitoefening of onderbouwing van een rechtsvordering. Het antwoord luidt dus niet "kan niet", maar: voor dat ene doel blijft het, voor alle andere niet.

De praktische naam daarvoor is beperking van de verwerking. Artikel 4 punt 3 definieert die als het markeren van opgeslagen gegevens met als doel de toekomstige verwerking te beperken. Overweging 67 noemt de wegen: overbrengen naar een ander systeem, blokkeren voor gebruikers, tijdelijk van een website verwijderen – en de eis dat de beperking in het systeem onmiskenbaar zichtbaar is.

Voor jouw bedrijf betekent dat concreet: het record verlaat het actieve bestand. Het duikt niet meer op in het zoeken naar afspraken, niet in de nieuwsbrief, niet in de statistiek. Het ligt in het factuurarchief, toegankelijk voor de administratie en voor het geval van een controle, en het wordt gewist zodra de termijn is afgelopen. Die scheiding is de kern van een werkend verwijderbeleid.

Daarvan te onderscheiden is artikel 18 AVG: daar heeft de betrokkene zelf het recht om in vier genoemde gevallen om beperking te vragen – bijvoorbeeld terwijl wordt onderzocht of betwiste gegevens juist zijn. Dat is een recht van de andere kant, geen vervanging van je eigen wisplicht. Beide gebruiken dezelfde technische maatregel om een verschillende reden.

Een verwijdering die alleen de hoofddatabase bereikt, is er geen. Vier plekken worden stelselmatig over het hoofd gezien:

1. Papier. Intakeformulieren, briefjes bij de balie, uitgeprinte afsprakenlijsten. Ze vallen onder dezelfde regels en hebben een eigen aanleiding nodig.
2. Kopieën in nevensystemen. De nieuwsbrieflijst, de spreadsheet voor de kerstkaarten, de export die iemand ooit voor een analyse heeft getrokken.
3. Back-ups. Die laten zich niet zinvol afzonderlijk opschonen. De gebruikelijke weg: de verwijdering werkt meteen in het productiesysteem, de back-up valt weg via zijn eigen bewaarcyclus, en die cyclus staat in het beleid benoemd.
4. Dienstverleners. Wie voor jou verwerkt, moet de verwijdering meevoltrekken. Artikel 28 lid 3 sub g verlangt precies dat in het contract: na afloop van de dienst wissen of teruggeven, inclusief bestaande kopieën.

Een woord over anonimiseren, omdat dat vaak als uitweg wordt genoemd. Wordt een record zo veranderd dat er geen persoon meer aan te koppelen is, dan is het geen persoonsgegeven meer – de verordening grijpt niet meer aan, en analyses blijven mogelijk. Dat is een nette weg voor statistiek. Ze vraagt wel om echte onherleidbaarheid; een verwijderde achternaam bij een behouden klantnummer is pseudonimisering (artikel 4 punt 5) en blijft persoonsgegeven.

Waar facturen toch al door het systeem worden gearchiveerd, lost punt drie van de lijst zich bijna vanzelf op – de garagesoftware scheidt bijvoorbeeld de opdracht en het factuurarchief, in plaats van beide in dezelfde weergave te houden.

Een verwijderbeleid dat alleen bestaat, is een document. Een verwijderbeleid dat draait, heeft drie dingen nodig – en geen daarvan is bewerkelijk.

Een moment. Eén keer per jaar, het liefst gekoppeld aan iets dat toch al plaatsvindt. Een uur volstaat: regels langslopen, vervallen soorten gegevens wissen, de datum noteren. Die datum is je bewijs op grond van artikel 5 lid 2.

Een verantwoordelijke. Eén met naam genoemde persoon, niet "het team". In een bedrijf met vijf mensen is dat meestal degene die ook de software beheert.

Een regel voor nieuwkomers. Elke nieuwe soort gegevens krijgt bij het aanmaken een regel in het beleid – niet later. Dat is het punt waarop beleid veroudert: niet door fouten, maar door nieuwe velden die niemand heeft nagetrokken.

Waar je software termijnen zelf kent, gebruik ze. Automatisch wissen is superieur aan een regel die iemand zich moet herinneren. Waar het ontbreekt, is dat ene uur per jaar de eerlijke vervanging – aanzienlijk beter dan het voornemen om "doorlopend op te ruimen", dat in de praktijk niemand inlost.