Hoe lang moet je personeelsdossiers bewaren in de EU: bewaartermijnen voor HR-data
Er bestaat geen enkele EU-brede bewaartermijn voor HR-dossiers. Elke categorie wordt bepaald door een andere wet, en de twee foutmodi wijzen precies de andere kant op. Bewaar je data te lang, dan schend je het beginsel van opslagbeperking. Vernietig je te vroeg, dan schend je een fiscale of arbeidsrechtelijke verplichting.
Dit is een werkbare naslag voor de meest voorkomende HR-categorieen, de gebruikelijke bewaartermijn en de regel die die termijn bepaalt. Zie de getallen als richtlijn. De exacte termijn ligt vast in nationaal recht en verschilt per lidstaat.
Waarom bewaren een tweezijdige verplichting is
Bewaren is een tweezijdige verplichting: een ondergrens die het belasting- en arbeidsrecht stelt, en een bovengrens die de AVG stelt. De meeste mensen zien alleen de ondergrens. Die zegt: bewaar dossiers minstens zo lang. De bovengrens is het deel dat wordt vergeten.
Artikel 5(1)(e) is het beginsel van opslagbeperking. Persoonsgegevens mogen niet langer in een identificeerbare vorm worden bewaard dan noodzakelijk is. Een personeelsdossier dat je tien jaar na iemands vertrek bewaart zonder juridische grond, is een overtreding. Ook als niemand er ooit in heeft gekeken. Een bewaarschema gaat dus niet alleen over het doorstaan van een belastingcontrole. Het gaat over op tijd vernietigen, elke keer weer, en kunnen aantonen dat je dat hebt gedaan.
HR-bewaartermijnen in één oogopslag
De tabel hieronder geeft gebruikelijke EU-marges. Nationaal recht gaat er in beide richtingen boven.
| HR-categorie | Gebruikelijke bewaartermijn | Wat de termijn bepaalt |
|---|---|---|
| Loonadministratie en loonbelastinggegevens | 5 tot 10 jaar | Nationaal belastingrecht (bijvoorbeeld de Nederlandse Belastingdienst met 7 jaar, Duitse gegevens onder de Abgabenordnung en GoBD) |
| Arbeidscontracten en wijzigingen | Looptijd plus 2 tot 7 jaar | Verjaringstermijnen voor arbeids- en contractvorderingen |
| Algemeen personeelsdossier (niet-fiscale delen) | 2 tot 5 jaar na uitdiensttreding | Opslagbeperking plus nationale HR-richtlijnen |
| Sollicitatiegegevens, afgewezen kandidaten | 4 weken tot 12 maanden | Termijnen voor discriminatievorderingen en toestemming |
| Arbeidstijd- en verlofregistraties | 2 tot 4 jaar | Arbeidstijdenrichtlijn zoals nationaal geimplementeerd |
| Ziekteverzuim- en bedrijfsgezondheidsgegevens | Kort voor administratie, lang voor blootstelling | Arbo-wetgeving, regels voor bijzondere categorieen gegevens |
| Registraties van bedrijfsongevallen | 5 jaar tot enkele decennia | Arbeidsomstandighedenwetgeving |
| Pensioen- en dienstjarengegevens | Tot ruim na pensionering | Pensioen- en socialezekerheidsrecht |
De categorieen die mensen laten struikelen
Sollicitatiegegevens van afgewezen kandidaten. Dit is de kortste termijn en tegelijk de meest genegeerde. Zonder toestemming is het venster kort. De Nederlandse richtlijn van de Autoriteit Persoonsgegevens wijst op ongeveer vier weken. Met toestemming van de kandidaat is tot een jaar gebruikelijk, zodat je hem later voor een andere functie kunt benaderen. Duitse werkgevers bewaren vaak ongeveer zes maanden vanwege het vorderingsvenster onder het Allgemeines Gleichbehandlungsgesetz. Bewaar je het cv van een afgewezen sollicitant jarenlang “voor het geval dat”, dan zit je vrijwel zeker over de grens.
Ziekteverzuim en gezondheidsgegevens. Dit zijn bijzondere categorieen gegevens onder artikel 9. HR hoort het minimum te bewaren dat nodig is om verzuim en loon te administreren, geen diagnoses. De administratieve registratie is kortlevend. Blootstellings- en bedrijfsgezondheidsgegevens zijn de uitzondering en kunnen een zeer lange bewaartermijn hebben, omdat een gezondheidsvordering pas decennia later kan opduiken.
Het personeelsdossier is niet één geheel. In één dossier zit een loonadministratie die je jaren moet bewaren, naast beoordelingsnotities die je allang had moeten vernietigen. Het dossier als één geheel behandelen is precies hoe organisaties tegelijk te lang én te kort bewaren. Splits het per categorie en geef elke categorie zijn eigen klok.
Bewaartermijn en legal hold
Een bewaartermijn bepaalt wanneer data mag worden vernietigd. Een legal hold gaat daaroverheen. Tussen die geplande momenten kan ook het recht op vergetelheid op verzoek een vervroegde vernietiging afdwingen. Is een document relevant voor een rechtszaak, een toezichtsonderzoek of een geschil, dan moet je de vernietiging opschorten totdat de zaak is afgerond. Ook als de normale bewaartermijn al is verlopen. Data vernietigen die onder een bewaarplicht valt, is spoliatie, en dat wordt veel zwaarder opgevat dan data iets te lang bewaren. Een werkbaar bewaarschema heeft altijd een hold-mechanisme dat de klok kan bevriezen. Lees WORM-opslag en legal hold voor hoe dit op de opslaglaag wordt afgedwongen.
Een bewaarschema bouwen dat standhoudt
Een schema dat een audit doorstaat, heeft vier eigenschappen:
- Categorie, geen dossier. Elke bewaarregel hangt aan een categorie gegevens, niet aan een map of een persoon.
- Een benoemde rechtsgrond. Elke termijn verwijst naar de wet of het doel die de termijn bepaalt, zodat je die kunt verantwoorden.
- Een automatische klok. Vernietiging wordt door het schema in gang gezet, niet doordat iemand eraan denkt. Opslagbeperking gaat het vaakst mis door stilzitten, niet door een besluit.
- Een hold die voorrang heeft. Het schema kan voor specifieke dossiers onder een legal hold worden opgeschort en hervat zodra de hold wordt opgeheven.
Het algemene beeld van documentbewaring in de EU, over facturen, contracten en compliance-dossiers heen, staat in EU-bewaartermijnen voor documenten. Dit artikel spitst het toe op het HR-dossier.
Hoe SealDoc omgaat met bewaring van HR-dossiers
SealDoc koppelt aan elk beschermd bestand een bewaarstatus en legt elke wijziging in die status vast als een hashgekoppeld auditspoor met tijdstempel. Het toekennen van een bewaartermijn, het vrijgeven ervan als de klok afloopt, en het plaatsen of opheffen van een legal hold worden elk weggeschreven naar een append-only auditspoor met een RFC 3161-tijdstempel. Zo is de geschiedenis van de bewaring van een bestand zelf auditbaar.
Dat is van belang omdat opslagbeperking een verantwoordingsplicht is, niet alleen een operationele taak. Vraagt een toezichthouder waarom een dossier nog bestaat, of waarom het is vernietigd, dan is het antwoord een gedateerde vastlegging van het besluit in plaats van een aanname. Bereikt een bestand het einde van zijn bewaartermijn en wordt het vrijgegeven voor vernietiging, dan levert SealDoc een Legal Evidence Pack en een certificaat dat de tijdlijn eerlijk documenteert, inclusief de mate van zekerheid achter elke stap. Dat is het mechanisme achter verantwoorde vernietiging: vernietiging die haar eigen bewijs met zich meedraagt.
Dit alles draait op EU-infrastructuur zonder Amerikaanse hyperscaler in de keten. Zo wordt de bewaarvastlegging zelf geen kwestie van grensoverschrijdende doorgifte.