Bewaartermijnen per sector: hoelang bewaar je persoonsgegevens in HR, retail en accountancy?

Een van de meest gestelde vragen van Nederlandse mkb-bedrijven is: "Hoe lang moet ik persoonsgegevens eigenlijk bewaren?" De AVG geeft daar geen kant-en-klaar antwoord op. In plaats daarvan vereist de wet dat je zelf een bewaartermijn vaststelt en die kunt onderbouwen. Dat is het opslagbeperkingsbeginsel uit Artikel 5(1)(e) AVG.

Maar Nederlandse sectorwetgeving voegt daar een extra laag aan toe. Voor sommige gegevenssoorten geldt een wettelijke minimumtermijn. Voor andere geldt een maximum. En soms strijden de AVG en de belastingwetgeving om voorrang. Dit artikel geeft je sector-specifieke antwoorden voor HR, retail en accountancy, met directe verwijzingen naar de relevante wetten.

Waarom verschillen bewaartermijnen per sector?

De AVG bepaalt dat je persoonsgegevens niet langer mag bewaren "dan noodzakelijk is voor de doeleinden waarvoor de persoonsgegevens worden verwerkt." Dat is een principe, geen getal. De termijn hangt af van het doel van de verwerking.

Nederlandse sectorwetgeving vult dat principe in met concrete termijnen. De Algemene wet inzake rijksbelastingen (AWR) verplicht bedrijven financiële administratie 7 jaar te bewaren. Dat geldt ook als de AVG op zichzelf kortere bewaring zou toestaan. De termijn van de belastingdienst wint. Omgekeerd gelden voor medische dossiers op grond van de Wet op de geneeskundige behandelingsovereenkomst (Wgbo) bewaarverplichtingen van 20 jaar, ook als het doel allang voorbij is.

De uitdaging voor mkb-bedrijven is dat een enkel personeelsdossier meerdere gegevenssoorten bevat, elk met een andere wettelijke grondslag en een andere termijn. Een goed verwerkingsregister helpt je die termijnen per verwerkingsactiviteit bij te houden.

Bewaartermijnen in HR

Sollicitatiegegevens

De sollicitatieprocedure eindigt op het moment dat je een kandidaat aanneemt of afwijst. Vanaf dat moment mag je de gegevens van afgewezen kandidaten maximaal 4 weken bewaren. Die termijn is gebaseerd op het AVG-proportionaliteitsbeginsel: het doel van de verwerking (selectie voor de openstaande vacature) is voorbij.

Wil je een kandidaat langer in aanmerking houden voor toekomstige vacatures? Dan heb je expliciete toestemming nodig van de kandidaat zelf. Met die toestemming mag je maximaal 1 jaar bewaren. Na afloop verwijder je het volledige cv en houd je alleen naam, contactgegevens en een beknopte profielnotitie bij.

Zonder toestemming geldt na 4 weken een harde verwijderplicht.

Arbeidscontract en personeelsdossier

Gedurende het dienstverband bewaar je het volledige personeelsdossier. Na uitdiensttreding geldt op grond van Artikel 28 van de Wet op de loonbelasting (Wet LB) een bewaarplicht van 2 jaar. De werkgever moet zijn loonadministratie en aanverwante personeelsgegevens gedurende die periode beschikbaar houden voor de Belastingdienst.

Let op: onderdelen van het personeelsdossier die ook onder de salarisadministratie vallen, hebben een langere bewaartermijn. Die volgt dan niet de Wet LB maar de AWR (zie hieronder).

Salarisadministratie

Salarisstroken, vakantieoverzichten, onkostendeclaraties en alle andere loonrelevante documenten vallen onder de fiscale bewaarplicht van Artikel 52 van de AWR. De termijn is 7 jaar, te rekenen vanaf 1 januari van het jaar volgend op het boekjaar waarop de gegevens betrekking hebben.

Dit geldt ook voor de persoonsgegevens die in die documenten voorkomen. Je kunt niet de financiele gegevens bewaren en de bijbehorende naam en het BSN-nummer al na 2 jaar wissen.

Ziekmeldingen en re-integratie

Op grond van de Wet verbetering poortwachter moet je ziekmeldingen en re-integratiedossiers 2 jaar bewaren na het einde van het ziekteverzuim of het re-integratietraject. Die termijn is nodig voor eventuele arbeidsrechtelijke procedures en controle door het UWV.

Belangrijk: als werkgever mag je geen medische diagnoses of ziektebeelden opslaan. Je bewaart alleen de feitelijke melding (datum en duur van verzuim) en de stappen in het re-integratieproces. Medische informatie blijft bij de bedrijfsarts.

Bewaartermijnen in retail

Klantgegevens en aankoophistorie

Voor klantgegevens in een webshop of winkel bestaat geen wettelijke minimumtermijn. De AVG vereist proportionaliteit: bewaar zolang de klantrelatie actief is en een redelijke periode daarna voor klantenservice, retourafhandeling en garantieclaims. Gangbare praktijk is de relatietermijn plus maximaal 2 jaar na de laatste aankoop.

Voor leden van een loyaliteitsprogramma geldt: bewaar gedurende de looptijd van het programmalidmaatschap plus 1 jaar na opzegging.

Na die termijnen moet je actief verwijderen. Passief laten staan is een AVG-overtreding.

Ordergegevens (fiscaal)

Ook al verwijder je een klantprofiel na 2 jaar, de bijbehorende ordergegevens moeten 7 jaar bewaard blijven op grond van Artikel 52 AWR. Facturen, betalingsoverzichten en orderbevestigingen bevatten persoonsgegevens (naam, adres, betaalgegevens) die je voor de Belastingdienst moet kunnen overleggen.

De praktische oplossing: scheid marketingdata van fiscale administratie. Verwijder de marketingprofielen na 2 jaar. Bewaar de fiscale orderrecords in een afgeschermd archiefsysteem voor de volle 7 jaar.

Camerabeelden

Voor cameratoezicht in een retailomgeving geldt als richtlijn van de Autoriteit Persoonsgegevens een maximale bewaartermijn van 4 weken. Er is geen specifieke wet die deze termijn voorschrijft, maar de AP hanteert dit als norm bij toezicht.

Als er een specifiek incident heeft plaatsgevonden waarvoor de beelden bewijsmateriaal zijn, mag je de relevante beelden bewaren voor de duur van het onderzoek of de juridische procedure. Bewaar in dat geval alleen de relevante fragmenten, niet alle beeldmateriaal.

Bewaartermijnen in de accountancy

Facturen en financiële administratie

Facturen, inkooporders, bankafschriften en alle andere financieel-administratieve documenten moeten op grond van Artikel 52, lid 1 AWR minimaal 7 jaar worden bewaard. De termijn gaat in op 1 januari van het jaar volgend op het boekjaar. Een factuur uit november 2025 moet dus bewaard worden tot en met 31 december 2032.

Alle persoonsgegevens in die documenten, zoals klant- en leveranciersnamen, adressen en btw-nummers, vallen onder dezelfde termijn. Je kunt ze niet eerder anonimiseren.

Jaarrekeningen

Jaarrekeningen vallen onder een langere bewaarplicht dan de overige financiële administratie. Op grond van Artikel 10 van BW Boek 2 geldt een bewaartermijn van 10 jaar vanaf de datum van vaststelling. Dit is een harde wettelijke minimumtermijn voor alle rechtspersonen die verplicht een jaarrekening moeten opstellen.

Belastingaangiften

Belastingaangiften en de bijbehorende onderbouwende documentatie vallen eveneens onder de 7-jaarstermijn van de AWR. Dit omvat ook btw-aangiften, vennootschapsbelasting en de bijbehorende specificaties.

Clientdossiers

Voor accountantskantoren en administratiekantoren geldt een bewaartermijn van 7 jaar na het afsluiten van de opdracht. Dat is de standaard fiscale bewaarplicht.

Let op: als de accountant op grond van de Wet ter voorkoming van witwassen en financieren van terrorisme (Wwft) een ongebruikelijke transactie heeft gemeld, gelden specifieke bewaarverplichtingen voor de daarmee verband houdende dossieronderdelen.

Overzichtstabel: bewaartermijnen op een rij

| Gegevenstype | Sector | Bewaartermijn | Wettelijke grondslag | |---|---|---|---| | Sollicitatiegegevens | HR | Max. 4 weken (1 jaar met toestemming) | AVG proportionaliteit | | Salarisadministratie | HR | 7 jaar | AWR art. 52 | | Personeelsdossier (na uitdiensttreding) | HR | 2 jaar | Wet LB art. 28 | | Ziekmeldingen | HR | 2 jaar | Wet verbetering poortwachter | | Klantgegevens | Retail | Relatie + max. 2 jaar | AVG art. 5(1)(e) | | Ordergegevens | Retail | 7 jaar | AWR art. 52 | | Camerabeelden | Retail | Max. 4 weken | AP richtlijn | | Facturen | Accountancy | 7 jaar | AWR art. 52 | | Jaarrekeningen | Accountancy | 10 jaar | BW Boek 2 art. 10 |

Wat als je te lang bewaart?

Het opslagbeperkingsbeginsel uit Artikel 5(1)(e) AVG bepaalt dat persoonsgegevens "niet langer worden bewaard in een vorm die het mogelijk maakt de betrokkenen te identificeren, dan noodzakelijk is voor de doeleinden waarvoor de persoonsgegevens worden verwerkt." Te lang bewaren is een schending van de AVG, ook als je een wettelijke minimumtermijn hebt nageleefd.

De Autoriteit Persoonsgegevens heeft dataminimalisatie opgenomen in haar handhavingsprioriteiten voor 2026. Dat geldt ook voor het respecteren van bewaartermijnen. Bedrijven die geen bewaartermijnen hebben vastgesteld, of die data passief laten staan na het verstrijken van de termijn, lopen reeel handhavingsrisico.

De verantwoordingsplicht uit Artikel 5(2) AVG vereist bovendien dat je kunt aantonen dat je de juiste termijn hanteert. "We bewaren het voor de zekerheid" is geen juridische onderbouwing. Je hebt een gedocumenteerde termijn nodig, per verwerkingsactiviteit, met de wettelijke grondslag erbij.

In ComplianceHive voeg je per verwerkingsactiviteit een bewaartermijn toe met de wettelijke grondslag. Zo voldoe je direct aan de verantwoordingsplicht. Bekijk het verwerkingsregister of ga aan de slag met je volledige AVG-compliance. Meer weten over wat er in een retentiebeleid hoort? Lees dan ook ons artikel over het opstellen van een GDPR data retention policy.