De samenwerking met een cliënt stopte drie jaar geleden, maar zijn papieren dossiers staan nog steeds in de archiefkast en de digitale mappen draaien rustig mee op de server. Mag je die gegevens nog bewaren? En als de bewaartermijn is verstreken, hoe vernietig je ze op een GDPR-conforme manier zonder dat de fiscus later aan je deur klopt? Dit artikel legt je stap voor stap uit hoe je een vernietigingsprotocol voor cliëntdossiers opzet dat juridisch klopt en in de praktijk werkt.

Wanneer mag je eigenlijk beginnen met vernietigen?

Veel boekhoudkantoren bewaren dossiers veel te lang uit voorzichtigheid. Begrijpelijk, maar het botst met het GDPR-principe van opslagbeperking: persoonsgegevens mogen niet langer worden bewaard dan strikt noodzakelijk. Tegelijk mag je ook niet te vroeg beginnen met vernietigen, want fiscale en vennootschapsrechtelijke verplichtingen leggen minimumtermijnen op.

De praktische vuistregel: de langste termijn wint. Pas als zowel de GDPR-minimalisatieverplichting als de wettelijke bewaarplicht is vervuld, mag je vernietigen. Concreet ziet dat er zo uit voor de meest voorkomende documenttypes:

  • Facturen en boekhoudkundige stukken: 7 jaar fiscale bewaarplicht (te rekenen vanaf 1 januari van het jaar na het boekjaar).
  • Loonfiches en sociale documenten: 5 tot 7 jaar, afhankelijk van het type document en de bevoegde instantie.
  • Vennootschapsrechtelijke stukken zoals jaarrekeningen, notulen en aandeelhoudersregisters: 10 jaar.
  • Klantencorrespondentie zonder boekhoudkundige waarde: geen wettelijke minimumtermijn, dus toepassing van GDPR-minimalisatie zodra de cliëntrelatie eindigt.

De trigger die de termijn start, verschilt per documenttype. Voor een factuur is dat de datum van het document. Voor een definitieve aanslag is dat de datum van de aanslag zelf. Zorg dat je dit per categorie vastlegt, want een globale benadering leidt gegarandeerd tot fouten.

Stap 1: Inventariseer en categoriseer alle cliëntdossiers

Begin met een documentregister. Dat is een overzicht van alle documenttypes die je kantoor verwerkt, met per type de toepasselijke bewaartermijn, de juridische grondslag en de triggerdatum. Denk aan facturen, bankafschriften, belastingaangiften, loonfiches, contracten, correspondentie en interne notities. Dit register vormt de basis van je hele vernietigingsprotocol voor cliëntdossiers als boekhouder die GDPR-conform wil werken.

Stap 2: Stel een vernietigingsschema op

Koppel elke categorie in je register aan een concrete vernietigingsdatum. Dat klinkt eenvoudig, maar in de praktijk vraagt het nauwkeurigheid. Neem als voorbeeld een zelfstandige cliënt wiens samenwerking in maart 2019 eindigde. De facturen uit 2018 vallen onder de 7-jaarsfiscale termijn, die loopt tot en met 31 december 2025. Die stukken mogen dus in principe vernietigd worden. Maar als er ook vennootschapsrechtelijke documenten in het dossier zitten, geldt de 10-jaarsgrens en moet je wachten tot eind 2028.

Leg in je schema ook vast wie verantwoordelijk is voor de opvolging. Automatische herinneringen in je dossiersysteem helpen om niets over het hoofd te zien.

Stap 3: Voer een pre-vernietigingscontrole uit

Voordat je iets vernietigt, check je drie zaken. Ten eerste: zijn er openstaande geschillen waarbij het dossier als bewijsmateriaal kan dienen? Ten tweede: loopt er een boekenonderzoek of heeft de fiscus een bewaarplicht opgelegd? Ten derde: zijn er bezwaarprocedures of rechtszaken die de termijn kunnen stuiten? Als een van deze situaties speelt, stel je de vernietiging uit tot de situatie is opgelost. Documenteer die beslissing in je dossier.

Stap 4: Kies en documenteer de vernietigingsmethode

De methode hangt af van de aard van het document.

Voor papieren dossiers gebruik je een gecertificeerde papierversnipperaar (minimaal veiligheidsniveau P-4 voor vertrouwelijke documenten) of je schakelt een externe shredderservice in. In dat laatste geval moet de verwerker een verwerkersovereenkomst tekenen en een bewijs van vernietiging afleveren. Bewaar dat bewijs minstens de duur van de kortste bewaarplicht die op die stukken van toepassing was.

Voor digitale dossiers is een eenvoudige delete niet voldoende. Veilig wissen conform erkende normen zoals NEN 7510 of ISO 27001 is de standaard. Let op: vergeet back-ups en cloudopslag niet. Als het dossier in een cloudtoepassing staat, controleer dan of de clouddienst een bevestiging van verwijdering kan leveren en of retentieperiodes in de cloud correct zijn ingesteld.

Stap 5: Stel een vernietigingsverslag op

Na elke vernietigingsronde maak je een verslag. Minimale inhoud: de datum van vernietiging, een beschrijving van de vernietigde stukken (documenttype, periode, betrokken cliënt of cliëntgroep), de toegepaste methode, de naam van de verantwoordelijke persoon binnen het kantoor en de gegevens van een eventuele externe verwerker. Dit verslag bewaar je zelf, ook al zijn de dossiers vernietigd. Het is je bewijs dat je GDPR-conform hebt gehandeld als de Gegevensbeschermingsautoriteit ooit vragen stelt.

Stap 6: Verwerk de vernietiging in je verwerkingsregister

Op grond van artikel 30 AVG moet je een register van verwerkingsactiviteiten bijhouden. Na vernietiging sluit of pas je de betreffende vermelding aan. Voeg een notitie toe met de vernietigingsdatum en verwijzing naar het vernietigingsverslag. Zo blijft je register accuraat en aantoonbaar up-to-date. Verwijder de vermelding niet volledig: de registratie van de vroegere verwerking is zelf geen persoonsgegeven en vormt een nuttig audit-spoor.

Stap 7: Informeer de betrokken cliënten

In de meeste gevallen volstaat een duidelijke clausule in je privacyverklaring die de bewaartermijnen en de vernietigingsprocedure beschrijft. Een actieve kennisgeving aan individuele cliënten is doorgaans niet verplicht, tenzij je bij aanvang van de samenwerking specifieke beloften hebt gedaan over hoe lang je gegevens bewaart. Controleer dus je privacyverklaring: beschrijft die de categorieën van documenten, de bewaartermijnen en de gehanteerde vernietigingsmethode? Is dat niet het geval, dan is dit het moment om dat recht te zetten.

Bijzondere situaties

Drie scenario’s vragen extra aandacht.

Cliënt is failliet: de curator kan bewaarbevelen uitvaardigen. Neem contact op met de curator voor je vernietigt en documenteer zijn of haar instructies.

Cliëntrelatie overgedragen aan een collega-kantoor: spreek duidelijk af welk kantoor verantwoordelijk is voor de dossiers en de latere vernietiging. Leg dit vast in de overdrachtsovereenkomst, inclusief een verwerkersovereenkomst of gezamenlijke verwerkersafspraken als persoonsgegevens van werknemers in het spel zijn.

Dossier bevat persoonsgegevens van derden: loonfiches en personeelsdocumenten bevatten gegevens van werknemers van je cliënt. Die werknemers zijn zelf ook betrokkenen in de zin van de GDPR. Zorg dat je vernietigingsprotocol ook die documenten expliciet afdekt en dat de bewaartermijn (sociale wetgeving) correct is toegepast.

Borg het protocol in je privacybeleid

Een vernietigingsprotocol heeft pas waarde als het structureel is ingebed. Koppel het aan je bestaande kwaliteitsprocedures, of dat nu ISO 9001-procedures zijn of kantoorinterne werkafspraken. Stel een jaarlijkse reviewcyclus in, bij voorkeur in het eerste kwartaal zodat je de nieuwste cliëntdossiers meteen correct categoriseert. Wijs intern een eigenaar aan voor het protocol, bij voorkeur de privacy-verantwoordelijke of de kantoorpartner die ook het verwerkingsregister beheert. Zonder een concreet aanspreekpunt verwatert het protocol al na één personeelswissel.

Wie een vernietigingsprotocol eenmaal heeft opgezet, hoeft er daarna weinig meer aan te doen. Je begint bij een correct documentregister, werkt via een gestructureerd vernietigingsschema naar een gedocumenteerde verwijdering en sluit af met een update van je verwerkingsregister en privacyverklaring. Dat geeft je een concrete basis als de Gegevensbeschermingsautoriteit of een cliënt vragen stelt over hoe jij met hun gegevens omgaat.