AVG-proof documenten opbergen betekent: persoonsgegevens bewaren op een manier dat alleen bevoegde mensen er bij kunnen. In de praktijk gaat dat over afgesloten kasten, een vaste opbergroutine en een duidelijke clean desk policy. Doe je dat niet, dan loop je als bedrijf het risico op een datalek, en de bijbehorende boetes of reputatieschade.
Kort samengevat:
- Documenten met persoonsgegevens horen altijd in een afgesloten kast
- Een clean desk policy verkleint de kans op onbedoelde inzage
- Niet alle documenten hoeven even lang bewaard te blijven, een bewaarschema helpt
- De juiste kantoormeubelen maken AVG-compliance een stuk eenvoudiger in de dagelijkse praktijk
Wat zegt de AVG over het opbergen van documenten?
De Algemene Verordening Gegevensbescherming (AVG), in Europa ook bekend als de GDPR, verplicht organisaties om persoonsgegevens te beveiligen tegen ongeoorloofde toegang. Dat geldt ook voor fysieke documenten.
Concreet betekent dit dat je maatregelen moet nemen om te voorkomen dat iemand zonder toestemming een dossier kan inzien. Denk aan een sollicitant die in de wachtkamer zit terwijl op het bureau van je collega personeelsdossiers openliggen. Of een pakketbezorger die even door je kantoor loopt en een factuur met klantgegevens ziet liggen.
De Autoriteit Persoonsgegevens (AP) hanteert het principe van 'passende technische en organisatorische maatregelen'. Wat 'passend' is, hangt af van de gevoeligheid van de gegevens en de omvang van je organisatie. Maar als basisregel geldt: hoe gevoeliger het document, hoe beter het beveiligd moet zijn.
Welke documenten vallen hieronder?
- Personeelsdossiers (loonstroken, contracten, beoordelingen)
- Klantgegevens met naam, adres of financiële informatie
- Medische of gezondheidsgegevens
- Offertes en facturen met persoonsgegevens
- Identiteitsbewijzen of BSN-nummers
Algemene bedrijfsdocumenten zonder persoonsgegevens vallen hier doorgaans niet onder, maar het is wel verstandig om ook die gestructureerd op te bergen.
Welke documenten horen in een afgesloten kast?
Niet elk document heeft hetzelfde beschermingsniveau nodig. Het helpt om een onderscheid te maken in drie categorieën:
Categorie 1: Altijd afgesloten bewaren
Dit zijn documenten met bijzondere persoonsgegevens, zoals medische informatie, BSN-nummers of strafrechtelijke gegevens. Deze horen in een afgesloten kast of dossierkast, bij voorkeur met een cijfer- of sleutelslot. Toegang mag alleen voor aangewezen medewerkers.
Categorie 2: Afgesloten buiten werktijd
Denk aan reguliere personeelsdossiers, klantcontracten en facturen met NAW-gegevens. Overdag kunnen deze toegankelijk zijn voor de juiste afdeling, maar aan het einde van de werkdag horen ze in een gesloten kast. Een archiefkast met slot is hiervoor de meest gebruikte oplossing.
Categorie 3: Gestructureerd maar niet per se afgesloten
Algemene zakelijke documenten zonder persoonsgegevens. Denk aan interne presentaties, handleidingen of niet-vertrouwelijke correspondentie. Wel is het zinvol om ook deze gestructureerd te bewaren, een goed ingerichte kantooromgeving helpt medewerkers automatisch de juiste gewoontes aan te nemen.
Als je twijfelt in welke categorie een document valt, kies dan voor meer beveiliging. Het kost weinig extra moeite en beschermt je organisatie.
De rol van kantoormeubelen bij AVG-compliance
De inrichting van je kantoor speelt een grotere rol bij AVG-compliance dan de meeste ondernemers beseffen. Wij merken dat al jaren: bedrijven investeren in beleid en procedures, maar vergeten dat de fysieke werkplek het beleid moet ondersteunen.
Concreet: als je medewerkers geen afgesloten kast hebben op hun afdeling, gaan ze documenten ergens anders opbergen, of helemaal niet. Goed meubilair verlaagt de drempel voor het juiste gedrag.
Dossierkasten en archiefkasten met slot
Een dossierkast of archiefkast met slot is de meest directe oplossing voor het veilig bewaren van fysieke documenten. Let bij de keuze op:
- Slottype: Een sleutelslot is eenvoudig en betrouwbaar. Een cijferslot biedt meer flexibiliteit (geen sleutelkwestie), maar vraag je af hoe je de codes beheert bij personeelswisseling.
- Brandwerendheid: Voor cruciale originelen, zoals contracten of notariële stukken, is een brandwerende kast of kluis het overwegen waard.
- Capaciteit: Hoeveel lopende dossiers heb je? Houd rekening met groei. Een te kleine kast wordt snel een rommelige kast.
- Toegankelijkheid: Wie heeft toegang? Als meerdere medewerkers de kast gebruiken, werkt een centraal sleutelbeheer beter dan ieder zijn eigen sleutel.
Bij de keuze van de juiste kast helpt ons artikel over de juiste kantoorkast kiezen je verder.
Kantoorkasten voor de werkvloer
Naast specifieke archiefkasten zijn er ook bredere kantoorkasten die geschikt zijn voor documentopslag op de werkvloer. Denk aan kantoorkastjes bij werkplekken of kasten in een open kantoorruimte. Ook hier geldt: als er persoonsgegevens in bewaard worden, kies dan voor een uitvoering met slot.
Een bijkomend voordeel van vaste, afgesloten opbergplekken: het houdt je kantoor overzichtelijk en werkplekken leeg aan het einde van de dag. Dat sluit naadloos aan op een clean desk policy.
Clean desk policy en AVG: waarom ze onlosmakelijk verbonden zijn
Een clean desk policy houdt in dat medewerkers hun bureau aan het einde van de dag leeg en opgeruimd achterlaten. Geen losse papieren, geen post-its met wachtwoorden, geen openliggende dossiers.
Dit klinkt als een kwestie van netheid, maar er zit een directe AVG-component aan. Een document dat openligt, kan worden ingezien door schoonmaakpersoneel, bezoekers of collega's van andere afdelingen. Dat telt juridisch als onbedoelde toegang tot persoonsgegevens, en kan een datalek zijn.
Lees meer over hoe je dit concreet invoert in ons artikel over clean desk policy op kantoor.
Hoe ondersteun je een clean desk policy praktisch?
- Zorg voor voldoende opbergcapaciteit bij elke werkplek
- Geef medewerkers een persoonlijk ladenblok of lockerkastje
- Maak duidelijk welke documenten 's avonds in welke kast horen
- Voer bij voorkeur een vast checkmoment in aan het einde van de dag
De combinatie van beleid én de juiste meubelen werkt aantoonbaar beter dan beleid alleen. Als je nadenkt over een complete kantoorinrichting die AVG-compliance ondersteunt, helpen we je graag verder via onze kantoorinrichting adviespagina.
Bewaarplicht en vernietiging: hoelang bewaar je wat?
AVG-proof werken gaat niet alleen over veilig opbergen, maar ook over hoe lang je documenten bewaart. De AVG schrijft voor dat je persoonsgegevens niet langer mag bewaren dan noodzakelijk voor het doel waarvoor ze zijn verzameld.
Voor papieren documenten betekent dit dat je een bewaarschema nodig hebt. Dat hoeft niet ingewikkeld te zijn, maar het moet er zijn.
Algemene vuistregels voor bewaarplicht (geen rechtsadvies, raadpleeg een adviseur voor je specifieke situatie):
- Salarisadministratie: doorgaans zeven jaar (fiscale bewaarplicht)
- Personeelsdossiers: veelal twee jaar na uitdiensttreding, sommige onderdelen langer
- Klantfacturen: zeven jaar voor de Belastingdienst
- Sollicitatiedocumenten van afgewezen kandidaten: zo kort mogelijk, veelal vier weken tenzij de kandidaat toestemming gaf voor langer
Na de bewaartermijn moet je documenten met persoonsgegevens op een veilige manier vernietigen. Gewoon in de prullenbak gooien is niet voldoende. Gebruik een papiervernietiger of een gecertificeerde vernietigingsdienst.
Een handige aanpak: verdeel je archiefkasten in 'lopend archief' en 'te vernietigen' vakken. Zo weet iedereen meteen wat de status is van een document.
Praktische stappen om AVG-proof te werken op kantoor
Hieronder een stappenplan dat je direct kunt gebruiken, ongeacht de grootte van je organisatie.
Stap 1: Breng in kaart welke fysieke documenten je hebt. Loop alle afdelingen langs en noteer welke papieren documenten er aanwezig zijn. Categoriseer ze op gevoeligheid.
Stap 2: Controleer je huidige opbergmiddelen. Heb je voor alle gevoelige documenten een afgesloten kast beschikbaar? Zo niet, bepaal dan welke kasten je nodig hebt en waar.
Stap 3: Stel een bewaarschema op. Koppel aan elke documentsoort een bewaartermijn. Leg dit vast in een eenvoudig document dat iedereen kan raadplegen.
Stap 4: Voer een clean desk policy in. Stel de regel in, maak er een gewoonte van en zorg dat medewerkers weten waarom het belangrijk is, niet alleen als verplichting, maar als bescherming voor henzelf en de klant.
Stap 5: Regel sleutelbeheer. Wie heeft welke sleutel of code? Leg dit vast. Bij vertrek van een medewerker: update meteen de toegangsrechten.
Stap 6: Plan periodieke controles in. Een jaarlijkse check of je opbergsysteem nog klopt met je actuele werkwijze is geen overkill. Bedrijven groeien, processen veranderen, je archief moet meegroeien.
Wil je weten welke kantoorkasten het best passen bij jouw situatie? Bekijk ons assortiment kantoorkasten voor veilige documentopslag of kom langs in onze showroom om de opties in het echt te zien.
Veelgestelde vragen
Moeten alle documenten op kantoor in een afgesloten kast?
Nee, niet alle documenten. Alleen documenten met persoonsgegevens of vertrouwelijke bedrijfsinformatie vereisen een afgesloten opbergplek. Algemene interne stukken zonder persoonsgegevens hebben dat niet per se nodig, maar een gestructureerde opbergplek is altijd verstandig.
Wat is het verschil tussen een archiefkast en een dossierkast?
Beiden zijn bedoeld voor de opslag van documenten, maar een dossierkast is vaak ingericht voor hangmappen of ordners per persoon of project, terwijl een archiefkast meer gericht is op langetermijnopslag van grote hoeveelheden documenten. Beide zijn verkrijgbaar met slot voor AVG-proof gebruik.
Is een clean desk policy wettelijk verplicht onder de AVG?
Een clean desk policy is niet letterlijk verplicht in de AVG-tekst, maar de AVG vereist wel 'passende organisatorische maatregelen' om persoonsgegevens te beschermen. Een clean desk policy is een van de meest effectieve maatregelen en wordt door de Autoriteit Persoonsgegevens gezien als goede praktijk.
Hoe lang moet ik personeelsdossiers bewaren?
Dit verschilt per onderdeel van het dossier. Als vuistregel geldt dat de meeste gegevens twee jaar na uitdiensttreding bewaard mogen worden, maar salarisgegevens vallen onder de fiscale bewaarplicht van zeven jaar. Raadpleeg een HR-adviseur of jurist voor je specifieke situatie.
Mag ik persoonsgegevens ook digitaal opbergen in plaats van op papier?
Ja, digitale opslag is toegestaan en biedt soms betere beveiligingsmogelijkheden (versleuteling, toegangsrechten). De AVG maakt geen onderscheid tussen fysiek en digitaal. Beide moeten beveiligd zijn. In de praktijk werken de meeste kantoren hybride: een combinatie van papier en digitaal.
Wat doe ik als ik een datalek ontdek door een openliggend document?
Meld het intern bij je privacy-verantwoordelijke of functionaris voor gegevensbescherming (FG). Afhankelijk van de ernst van het lek moet je het binnen 72 uur melden bij de Autoriteit Persoonsgegevens. Leg altijd vast wat er is gebeurd en welke maatregelen je hebt genomen.
Over de auteur
Ruben Visser is sinds 2020 projectadviseur voor kantoor- en projectinrichting.
