Bewaartermijnen: waarom de CNIL niet in termijnen denkt maar in levenscycli

Eén gegeven, drie levens

De actieve basis is de tijd die nodig is om het doel te bereiken dat de verzameling rechtvaardigde. Daar zijn de gegevens toegankelijk in de directe werkomgeving van de operationele diensten: HR bij een werving, de commerciële dienst bij een klant. Het voorbeeld van de CNIL is de afgewezen kandidaat, van wie de gegevens maximaal twee jaar worden bewaard, tenzij om wissing wordt verzocht.

De tussentijdse archivering begint wanneer het dossier gesloten is. De gegevens dienen het doel niet meer, maar behouden een administratief belang — het afhandelen van een mogelijk geschil — of beantwoorden aan een wettelijke plicht: factuurgegevens worden tien jaar bewaard op grond van het wetboek van koophandel, ook als de persoon geen klant meer is. In die fase mogen ze alleen incidenteel en gemotiveerd worden geraadpleegd, door specifiek gemachtigde personen.

De definitieve archivering betreft alleen verwerkingen met het oog op archivering in het algemeen belang. Anders dan de actieve basis zijn de laatste twee fasen niet vanzelfsprekend: hun noodzaak wordt per verwerking beoordeeld, en voor elke fase moet een selectie onder de gegevens worden gemaakt.

De zin die iedereen overslaat

“Is de tussentijdse archivering noodzakelijk en gerechtvaardigd, dan moet een scheiding met de actieve basis worden doorgevoerd.” Die scheiding is fysiek — de gegevens worden overgebracht naar een eigen archiefbestand dat alleen voor gemachtigden toegankelijk is — of logisch: de gegevens blijven waar ze zijn maar worden geïsoleerd door een beperking van de rechten waardoor ze ontoegankelijk worden voor wie er geen belang meer bij heeft. Een register dat tien jaar bewaring opgeeft terwijl de gegevens in het CRM staan, zichtbaar voor het hele verkoopteam, beschrijft geen tussentijdse archivering: het beschrijft tien jaar actieve basis, en dat is iets anders en zelden te rechtvaardigen.

• Hetzelfde gegeven kan tot twee verschillende verwerkingen met twee verschillende termijnen behoren: het in de ene archiveren of wissen verhindert niet het verdere gebruik in de andere.
• Waar een tekst de termijn vastlegt, geldt die — art. L3243-4 van het Franse arbeidswetboek verplicht de werkgever een duplicaat van de loonstrook vijf jaar te bewaren.
• De kaders van de CNIL betreffen zorg buiten onderzoek, gezondheidsonderzoek, de sociale en medisch-sociale sector en personeelsbeheer. Zij noemen alleen de meest voorkomende verwerkingen: een verwerking die ontbreekt is geen verwerking zonder termijn.
• De in de kaders verzamelde bepalingen betreffen enkel het nationale recht: een vennootschap die in meerdere staten gevestigd is moet de andere toepasselijke wetgevingen nagaan.

De praktische gids van de CNIL is opgesteld met de Franse interministeriële archiefdienst, juist omdat de AVG en het erfgoedwetboek niet hetzelfde zeggen en een overheidsinstantie beide moet volhouden. Voor verwerkingen zonder wettelijk vastgelegde termijn biedt de gids een analyseraster dat bij het doel begint — en dat geldt voor de meeste verwerkingen: precies het werk dat het referentiekader niet voor u doet.