Direct antwoord · AVG
Bewaartermijn en opslagbeperking
De AVG noemt zelf geen vaste bewaartermijnen. Persoonsgegevens mogen niet langer worden bewaard in een vorm waarmee mensen te identificeren zijn dan nodig is voor de doelen waarvoor ze worden verwerkt (artikel 5 lid 1 onder e, opslagbeperking). Langer bewaren mag alleen voor archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of statistiek, met passende waarborgen. De organisatie bepaalt dus per doel hoe lang zij gegevens nodig heeft en moet kunnen aantonen dat zij zich daaraan houdt (artikel 5 lid 2). Zij vertelt betrokkenen hoe lang de gegevens worden bewaard, of welke criteria die termijn bepalen (artikel 13 lid 2 onder a). Zijn de gegevens niet langer nodig, dan worden ze gewist (artikel 17 lid 1 onder a), tenzij de organisatie ze nodig heeft om een wettelijke verplichting na te komen (artikel 17 lid 3 onder b). Het Hof van Justitie oordeelde in Digi dat gegevens die naar een testdatabase zijn gekopieerd, daar niet langer mogen staan dan nodig is voor het testen en herstellen van fouten.
Dit stelt u zelf vast
- Voor welk doel worden de gegevens bewaard, en geldt er een wettelijke bewaarplicht?
Wetsartikelen
- art. 5 lid 1 onder e AVG Opslagbeperking: niet langer bewaren dan nodig voor de doelen.
- art. 5 lid 2 AVG Verantwoordingsplicht: naleving kunnen aantonen.
- art. 13 lid 2 onder a AVG Informeren over de bewaartermijn of de criteria daarvoor.
- art. 17 lid 1 onder a en lid 3 onder b AVG Wissen als de gegevens niet langer nodig zijn, behalve bij een wettelijke verplichting.
Rechtspraak
- Digi (HvJ EU, C-77/21, ECLI:EU:C:2022:805, 2022-10-20)Dictum 2: opslagbeperking verzet zich tegen bewaren in een testdatabase langer dan nodig voor het testen en herstellen van fouten.
