Dataretentiebeleid: hoe lang mogen en moeten organisaties data bewaren?
Elke keer dat je belt, een website bezoekt of een berichtje stuurt, ontstaat er data. Niet per se de inhoud van je gesprek, maar wel gegevens erover: wie belde wie, hoe lang, vanaf welke locatie, op welk moment. Dataretentiebeleid is de verzameling regels die bepaalt hoe lang zulke gegevens bewaard mogen of moeten blijven, en wanneer ze verwijderd moeten worden. Het klinkt saai en bureaucratisch, maar het bepaalt in de praktijk hoeveel van je digitale leven ergens op een server blijft staan, soms jarenlang, soms voor altijd.
Een vergelijking maakt het concreet. Denk aan een hotel dat gastenboeken bijhoudt. Sommige hotels bewaren die administratie een paar maanden en gooien ze dan weg. Andere bewaren alles tien jaar, "voor het geval dat". Dataretentiebeleid is de digitale versie van die keuze, maar dan met wettelijke verplichtingen, technische systemen en, steeds vaker, uitspraken van rechters die bepalen wat wel en niet mag. Het raakt telecombedrijven, techbedrijven, ziekenhuizen, banken en overheden, en het ligt al jaren midden in het spanningsveld tussen privacy en opsporing.
Wat is het precies?
Dataretentiebeleid bestaat meestal uit drie onderdelen: welke gegevens worden verzameld, hoe lang ze bewaard blijven, en wat er daarna mee gebeurt (verwijderen, anonimiseren of archiveren). Bij telecomgegevens gaat het vaak om metadata: wie met wie belde of mailde, wanneer, hoelang en vanaf welke locatie. De inhoud van het gesprek zelf valt daar meestal niet onder, maar metadata kan al heel veel onthullen over iemands leven, contacten en gewoontes.
Bij bedrijven en overheidsinstanties gaat het breder: klantgegevens, transactiegeschiedenis, logbestanden van websitebezoek, personeelsdossiers. Voor elk type gegeven kan een andere bewaartermijn gelden, vastgelegd in een zogeheten bewaartermijnenschema of retentieschema.
Technisch gezien wordt dit meestal geautomatiseerd. Systemen krijgen regels ingebouwd die data na een bepaalde periode automatisch wissen of anonimiseren, zodat menselijke fouten of nalatigheid minder snel tot te lange opslag leiden. Google introduceerde in 2019 bijvoorbeeld een functie waarmee gebruikers locatiegeschiedenis en zoekactiviteit automatisch na 3, 18 of 36 maanden laten verwijderen.
Belangrijk is het onderscheid tussen twee soorten regels. Aan de ene kant staan wettelijke bewaarplichten: verplichtingen om gegevens juist wél een bepaalde periode te bewaren, bijvoorbeeld voor de fiscus of voor opsporingsdiensten. Aan de andere kant staat het principe van opslagbeperking uit privacywetgeving: gegevens mogen niet langer bewaard worden dan noodzakelijk voor het doel waarvoor ze zijn verzameld. Die twee principes botsen regelmatig, en daar draait het grootste deel van het maatschappelijke debat om.
Wat wil men ermee bereiken?
Voorstanders van bewaarplichten, meestal opsporingsdiensten en ministeries van justitie, willen dat gegevens beschikbaar blijven voor strafrechtelijk onderzoek. Een verdachte van een misdrijf kan pas maanden later in beeld komen, en dan is het waardevol als telecomgegevens over die periode nog bestaan. Zonder bewaarplicht, zo is de redenering, verdwijnt bewijsmateriaal voordat onderzoekers er gebruik van kunnen maken.
Voorstanders van strikte opslagbeperking, vaak privacyorganisaties, juristen en de Europese privacytoezichthouders, wijzen erop dat grootschalige, ongerichte bewaarplichten neerkomen op massasurveillance van een hele bevolking, ook van mensen die nergens van verdacht worden. Hoe langer en breder data bewaard blijft, hoe groter het risico op datalekken, misbruik en function creep: gegevens die voor het ene doel zijn verzameld, worden later voor iets heel anders gebruikt.
Voor gewone bedrijven speelt een derde motief: risicobeperking. Data die je niet meer hebt, kan ook niet lekken, gestolen worden of tegen je gebruikt worden in een rechtszaak. Een goed doordacht retentiebeleid is daarom ook gewoon praktisch risicomanagement, los van de juridische verplichting.
Voorbeelden uit de praktijk
De Europese Dataretentierichtlijn (2006/24/EG) verplichtte telecom- en internetaanbieders in de hele EU om verkeers- en locatiegegevens tussen de zes maanden en twee jaar te bewaren, met het oog op de bestrijding van zware criminaliteit. Het Europese Hof van Justitie verklaarde deze richtlijn in april 2014 echter ongeldig, in de zaak Digital Rights Ireland, omdat de richtlijn te weinig waarborgen bood tegen misbruik en een te grote inbreuk vormde op de privacy van vrijwel de gehele bevolking.
In Nederland gold sinds 2009 de Wet bewaarplicht telecommunicatiegegevens, die providers verplichtte gegevens tot een jaar te bewaren. De rechtbank Den Haag zette deze wet in maart 2015 buiten werking, direct als gevolg van de Europese uitspraak van een jaar eerder.
In de zaak Tele2 Sverige, besloten door het Hof van Justitie in december 2016, werd bevestigd dat ook nationale wetten geen algemene en ongerichte bewaarplicht mogen opleggen. Alleen gerichte bewaring, bijvoorbeeld gekoppeld aan een concrete dreiging of specifieke groep, kan onder voorwaarden door de beugel.
In oktober 2020 herbevestigde het Hof in de zaak La Quadrature du Net dit principe, maar liet het wel ruimte voor lidstaten om bij een ernstige bedreiging van de nationale veiligheid tijdelijk wél algemeen te laten bewaren, onder rechterlijk toezicht.
Op bedrijfsniveau is de komst van de Algemene Verordening Gegevensbescherming (AVG) in mei 2018 een keerpunt geweest. Artikel 5 van de AVG legt het beginsel van opslagbeperking wettelijk vast: persoonsgegevens mogen niet langer bewaard worden dan noodzakelijk. Veel organisaties moesten daardoor voor het eerst formele bewaartermijnenschema's opstellen.
Hoe ver is de techniek?
Dataretentiebeleid is grotendeels een juridisch en organisatorisch vraagstuk, geen technologie die "volwassen" wordt zoals een chip of een medicijn. Toch is er wel degelijk een technische kant die zich ontwikkelt. Geautomatiseerde tools voor data-lifecycle-management, die gegevens op basis van vooraf ingestelde regels laten verlopen, archiveren of anonimiseren, zijn de afgelopen tien jaar sterk verbeterd en worden inmiddels breed toegepast bij grote clouddiensten en databeheerplatforms.
Een blijvend obstakel is dat veel organisaties hun eigen data niet goed genoeg in kaart hebben. Gegevens staan verspreid over meerdere systemen, back-ups, e-mailarchieven en spreadsheets, waardoor een retentieregel op papier makkelijker is dan in de praktijk consequent uitvoeren. Onderzoeken van privacytoezichthouders, waaronder de Nederlandse Autoriteit Persoonsgegevens, laten zien dat het naleven van bewaartermijnen nog vaak een zwak punt is bij organisaties.
Op wetgevend niveau is de discussie evenmin afgerond. Na de uitspraken van het Hof van Justitie hebben de Europese Commissie en lidstaten gezocht naar een nieuwe, juridisch houdbare vorm van gerichte bewaarplicht. In 2023 richtte de Europese Commissie een "High-Level Group on access to data for effective law enforcement" op, die moet uitzoeken hoe opsporingsdiensten toegang tot data kunnen krijgen binnen de grenzen die het Hof heeft gesteld. Een nieuwe, definitieve Europese regeling is er nog niet.
Wie werken eraan?
Op juridisch niveau bepalen vooral het Hof van Justitie van de Europese Unie en de Europese Commissie de kaders waarbinnen bewaarplichten mogen bestaan. Nationale toezichthouders, in Nederland de Autoriteit Persoonsgegevens, houden toezicht op de naleving van de AVG-regels over opslagbeperking door bedrijven en overheidsinstanties.
De European Data Protection Board (EDPB), waarin alle nationale privacytoezichthouders van de EU samenwerken, publiceert richtlijnen over hoe bewaartermijnen in de praktijk moeten worden toegepast. Privacyorganisaties zoals het Nederlandse Bits of Freedom en het Europese netwerk European Digital Rights (EDRi) volgen wetgevingsvoorstellen kritisch en procederen soms mee in rechtszaken over bewaarplichten.
Aan de andere kant van het debat zetten ministeries van justitie en politiediensten in de lidstaten zich in voor nieuwe, juridisch houdbare vormen van gegevensbewaring ten behoeve van opsporing. Techbedrijven als Google, Microsoft en Meta ontwikkelen intussen hun eigen retentietools en -instellingen, deels om aan de AVG te voldoen en deels om gebruikers meer controle te geven over hun eigen data.