De AVG noemt geen aantal jaren. De regel is: niet langer dan nodig voor het doel waarvoor je de gegevens verzamelde. Je bepaalt de termijn dus zelf, maar je moet hem kunnen uitleggen en vastleggen. Dit is algemene uitleg, geen juridisch advies.
Een werkbare invulling
| Gegeven | Redenering |
|---|---|
| Contacten die je actief benadert | Bewaren zolang ze op je lijst staan |
| Contacten die jaren niets doen | Opruimen; het doel is uitgewerkt |
| Uitschrijvingen | Het adres bewaren als uitgeschreven, juist om te voorkomen dat je opnieuw mailt |
| Aanmeldbewijs | Bewaren zolang je het contact hebt, plus een redelijke termijn daarna |
| Klik- en openhistorie | Korter dan het contact zelf; oude gedragsdata gebruik je toch niet |
Waarom uitschrijvingen mogen blijven
Dat lijkt tegenstrijdig, maar je bewaart dan minimaal: het adres, met de aantekening dat er niet naar verstuurd mag worden. Dat dient het belang van de betrokkene.
Praktisch
Zet je gekozen termijnen in je privacyverklaring en je verwerkingsregister, en ruim daadwerkelijk op. Een termijn die je opschrijft maar nooit uitvoert, is slechter dan geen termijn. Zie Hoe vaak moet ik mijn lijst opschonen?