Een bewaarbeleid kiezen

De vraag onder "hoe lang moeten we dit bewaren"

Het beginsel van opslagbeperking uit de AVG (art. 5, lid 1, onder e) zegt dat persoonsgegevens moeten worden bewaard "niet langer dan voor de doeleinden waarvoor de persoonsgegevens worden verwerkt noodzakelijk is." Dat is een echte wettelijke verplichting, welk kanaal u ook draait — maar "noodzakelijk" definieert zichzelf niet, en een bedrijf dat vanaf nul een kanaal opzet, moet dit vertalen naar echte getallen vóór dag één, niet nadat een auditor ernaar vraagt. Het kader hieronder is hoe u over die vertaling kunt nadenken; hoe Provoxis het heeft geïmplementeerd is één uitgewerkt voorbeeld, niet het enige juiste antwoord.

De uitkomst van een zaak zou moeten bepalen hoe lang deze wordt bewaard, niet één blanket-termijn

De fout die u moet vermijden, is één bewaartermijn kiezen en die op alles toepassen wat via het kanaal binnenkomt. Een zaak die achteraf helemaal niets met het kanaal te maken blijkt te hebben, heeft niet dezelfde bewaartermijn nodig als een gegronde bevinding, en een gegronde bevinding die nog onder een lopende juridische of disciplinaire procedure valt, heeft weer een andere behandeling nodig — bewijs verwijderen dat een bedrijf wettelijk verplicht is te bewaren, is een veel groter probleem dan het een paar maanden eerder dan ideaal verwijderen. Een degelijk bewaarontwerp begint met de vraag wat de uitkomst van een zaak daadwerkelijk impliceert voor hoe lang het dossier nog relevant is, niet met het kiezen van één getal voor elke zaak.

Een redelijke algemene vorm, onafhankelijk van een specifieke leverancier:

• Buiten reikwijdte — een kwestie die eigenlijk niet iets was dat dit kanaal had moeten behandelen. Een korte bewaartermijn is verdedigbaar; er is weinig doorlopend doel gediend met lang bewaren.
• Een gegronde zaak zonder lopende procedure — bewaard voor een betekenisvolle, meerjarige periode, lang genoeg om nuttig te zijn als dossier als hetzelfde patroon zich herhaalt of later een claim wordt ingediend, kort genoeg dat het niet standaard voor onbepaalde tijd wordt bewaard.
• Een zaak onder actieve of redelijkerwijs te verwachten juridische of disciplinaire procedure — voor onbepaalde tijd bewaard, of in ieder geval totdat die procedure daadwerkelijk is afgerond, en in de tussentijd nooit onderworpen aan automatische verwijdering. Dit is waar de eigen uitzondering van de AVG op het recht op gegevenswissing voor "de instelling, uitoefening of onderbouwing van een rechtsvordering" (art. 17, lid 3, onder e) rechtstreeks relevant wordt — zie het onderdeel over legal hold hieronder voor hoe dat per zaak wordt toegepast, bovenop welk schema de andere niveaus ook volgen.

Hoe Provoxis dit vandaag heeft geïmplementeerd

De eigen standaardinstellingen van Provoxis volgen precies die vorm. Wanneer een behandelaar een zaak sluit, registreert hij de uitkomst (Gegrond, Gedeeltelijk gegrond, Ongegrond, of Extern doorverwezen) en, afzonderlijk, welke bewaartermijn van toepassing is — de twee staan los van elkaar, dus een Ongegronde zaak kan nog steeds in dezelfde termijn vallen als een Gegronde:

• Buiten reikwijdte — 60 dagen bewaard na sluiting, daarna in aanmerking voor automatische verwijdering.
• Standaard — de standaardinstelling voor een gegronde zaak zonder lopende procedure. De termijn hangt af van het geregistreerde land van uw account: waar de nationale wet van dat land ter uitvoering van de richtlijn een specifieke termijn vaststelt, gebruikt Provoxis die — wij vonden in de EU termijnen variërend van 3 maanden (Cyprus) tot 5 jaar (onder meer Italië), waarbij Duitsland en Polen beide op 3 jaar uitkomen. Waar de wet van een land geen specifieke termijn vaststelt, geldt standaard 5 jaar. In beide gevallen komt de zaak na afloop van de termijn in aanmerking voor automatische verwijdering.
• Disciplinaire of juridische procedure — voor een zaak waarbij de procedure nog loopt. Voor onbepaalde tijd bewaard; nooit automatisch verwijderd. De enige manier om van deze termijn af te komen, is dat een behandelaar de zaak heropent zodra de procedure daadwerkelijk is afgerond, en bij het opnieuw sluiten een andere termijn kiest.

De termijnen voor "Buiten reikwijdte" en "Disciplinaire of juridische procedure" liggen vast en gelden op dezelfde manier voor elk bedrijf dat vandaag Provoxis gebruikt; de Standaardtermijn wordt automatisch afgeleid van het geregistreerde land van uw account, in plaats van iets dat u zelf instelt. Dat is een bewuste uitgangspositie, geen tekortkoming: de standaardinstellingen — inclusief het landspecifieke cijfer — zijn gebouwd om vanaf het moment dat een kanaal live gaat aan het opslagbeperkingsbeginsel te voldoen, in plaats van een bedrijf zelf vanaf nul een eigen schema te laten ontwerpen voordat het op dag één compliant kan zijn. Als uw eigen redenering ergens anders op uitkomt dan deze specifieke getallen, is dat een legitieme uitkomst van het zelf toepassen van het kader hierboven — het kader is belangrijker dan het precies laten overeenkomen met de cijfers van Provoxis.

De overrule die elk kader nodig heeft: legal hold

Welk schema u ook kiest, geautomatiseerde verwijdering die onbeheerd doorloopt tegen een zaak onder actieve of redelijkerwijs te verwachten juridische procedure, zou een echt probleem zijn, geen loutere ongemak — en de uitzondering van art. 17, lid 3, onder e AVG bestaat precies daarom, zodat bewaring het standaardschema kan overrulen wanneer dat gebeurt. Bij Provoxis stelt een beheerder een bewaarplicht in — een reden is verplicht, en deze wordt gelogd — en de zaak wordt volledig uitgesloten van automatische verwijdering, ongeacht in welke termijn deze zich daadwerkelijk bevindt. Het opheffen van een bewaarplicht vereist ook een reden en wordt op dezelfde manier gelogd; pas als deze is opgeheven, valt de zaak weer onder het beheer van haar eigen termijn.

Overigens kan een tenant-beheerder de gegevens van een zaak ook handmatig op verzoek wissen — om bijvoorbeeld een verzoek tot gegevenswissing van een betrokkene te verwerken dat niet onder de uitzondering voor rechtsvorderingen valt. Dat is volledig geblokkeerd zolang een juridische bewaarplicht actief is: de bewaarplicht moet eerst expliciet worden opgeheven, zelf een gelogde actie, zodat een bewaarplicht nooit stilletjes kan worden omzeild met een handmatige verwijdering.

Juridische basis

• Art. 5, lid 1, onder e, AVG — het opslagbeperkingsbeginsel: persoonsgegevens niet langer bewaard dan noodzakelijk voor het doel waarvoor ze werden verwerkt.
• Art. 17, lid 3, onder e, AVG — de uitzondering op het recht op gegevenswissing voor de instelling, uitoefening of onderbouwing van een rechtsvordering, de basis voor legal hold die automatische verwijdering overrulet. De officiële Nederlandse tekst noemt hier alleen instelling, uitoefening en onderbouwing; de Afdeling bestuursrechtspraak van de Raad van State heeft verduidelijkt dat, in lijn met de andere taalversies van de AVG, ook verdediging tegen een rechtsvordering hieronder valt.