Als werkgever ben je verplicht een personeelsdossier bij te houden, maar de AVG bepaalt strikt wat je mag vastleggen en hoelang. Er is geen één bewaartermijn voor het hele dossier: die varieert van vier weken voor afgewezen sollicitanten tot zeven jaar voor fiscaal relevante gegevens, met voor de meeste gegevens een richtlijn van maximaal twee jaar na uitdiensttreding. De hoofdregel: je mag persoonsgegevens niet langer bewaren dan noodzakelijk. Daarnaast hebben werknemers rechten — op inzage, een kopie en verwijdering — die je moet respecteren. Dit artikel zet op een rij wat mag, wat moet en wat je moet vernietigen. Het is algemene informatie, geen juridisch advies.
Verplicht dossier, strikte grenzen
Zodra je personeel hebt, ben je verplicht voor elke medewerker een dossier aan te leggen en bepaalde gegevens te bewaren. Tegelijk stelt de Algemene verordening gegevensbescherming (AVG) grenzen aan wat je mag verzamelen en hoelang je het mag houden. Je beweegt dus tussen twee verplichtingen: bewaren wat moet, en vernietigen wat niet langer mag.
De leidende norm uit de AVG is het noodzakelijkheidsbeginsel: je mag persoonsgegevens niet langer bewaren dan noodzakelijk is voor het doel waarvoor je ze hebt verzameld. Zodra dat doel vervalt, moet je de gegevens verwijderen — tenzij een wettelijke bewaarplicht of een lopend geschil het bewaren rechtvaardigt.
De bewaartermijnen op een rij
Omdat de inhoud van een personeelsdossier zo divers is, geldt er niet één termijn. Dit zijn de belangrijkste, als richtlijn:
Maximaal vier weken — sollicitatiegegevens (afgewezen kandidaat). Neem je een sollicitant niet aan, dan moet je alle sollicitatiedocumenten — brief, cv, referenties, een eventuele VOG, assessments — binnen vier weken vernietigen. Wil je de gegevens langer bewaren (bijvoorbeeld voor een toekomstige vacature), dan mag dat alleen met toestemming van de kandidaat, doorgaans tot maximaal een jaar.
Maximaal twee jaar na uitdiensttreding — het merendeel. Voor het grootste deel van de gegevens in een lopend dossier (functioneringsverslagen, correspondentie, kopie arbeidsovereenkomst voor HR-doeleinden) geldt als richtlijn dat je ze tot maximaal twee jaar na het einde van het dienstverband bewaart.
Tot twee jaar na afronding — het re-integratiedossier. Gegevens uit een re-integratietraject mag je tot twee jaar na afronding van dat traject bewaren.
Zeven jaar — fiscaal relevante gegevens. Gegevens die de Belastingdienst nodig kan hebben — denk aan de salarisadministratie en loonbelastinggegevens — vallen onder de fiscale bewaarplicht van zeven jaar. Voor bepaalde loonbelastingdocumenten geldt dat je ze tot vijf jaar na het einde van het dienstverband bewaart.
Let op: bij een lopend conflict of een juridische procedure mag je gegevens langer bewaren, omdat het “doel” — je verdediging — dan nog bestaat. En voor de overheid, gemeenten en het onderwijs kunnen via de Archiefwet afwijkende, vaak langere termijnen gelden.
Wat je niet mag vastleggen
Niet alles wat je weet, mag in het dossier. De meest voorkomende valkuil betreft medische gegevens. Bij ziekteverzuim mag je de voortgang en de gemaakte afspraken vastleggen, maar niet de aard van de ziekte, de diagnose of de behandeling — die informatie hoort exclusief bij de bedrijfsarts. Ook tijdens re-integratie geldt: alleen de gegevens die noodzakelijk zijn voor de re-integratie, niets meer.
Verder mag je geen bijzondere persoonsgegevens (zoals religie, ras, seksuele geaardheid, lidmaatschap van een vakbond) vastleggen, behalve in de strikt afgebakende gevallen waarin de wet dat toestaat.
De AVG-verplichtingen voor de werkgever
De AVG legt je een aantal concrete plichten op rond het dossier.
De informatieplicht: je moet werknemers informeren over het doel van de gegevensverwerking, de bewaartermijn, wie binnen het bedrijf verantwoordelijk is voor gegevensbescherming, of gegevens naar het buitenland gaan, en hoe ze een klacht kunnen indienen of toestemming kunnen intrekken.
De documentatieplicht (verwerkingsregister): bedrijven met 250 of meer medewerkers, of die op grote schaal of structureel persoonsgegevens verwerken, moeten een register bijhouden van hun verwerkingen.
En de plicht tot actueel houden en opschonen: je bent verplicht het dossier up-to-date te houden en verouderde gegevens te verwijderen. Een praktische tip die veel HR-adviseurs geven: plan jaarlijks een vast “schoonmaakmoment” voor de dossiers.
De rechten van de werknemer
Tegenover jouw plichten staan de rechten van je medewerkers, die je moet faciliteren.
Het recht op inzage en kopie: een medewerker mag zijn volledige personeelsdossier inzien en er een kopie van opvragen. Daar moet je aan voldoen, tenzij dat de rechten of vrijheden van anderen zou schaden.
Het recht op correctie: onjuiste gegevens moet je op verzoek herstellen.
Het recht op verwijdering (recht op vergetelheid): je moet gegevens wissen als ze niet langer nodig zijn voor het doel, als de werknemer een gegeven toestemming intrekt, of als er geen wettelijke grondslag meer is voor de verwerking.
De rol van de ondernemingsraad
Privacy op de werkvloer is ook een OR-aangelegenheid. De ondernemingsraad heeft instemmingsrecht bij het invoeren, wijzigen of intrekken van een regeling voor het verwerken van persoonsgegevens — en nadrukkelijk bij systemen die aanwezigheid, gedrag of prestaties van medewerkers volgen, zoals een personeelsvolgsysteem of cameratoezicht. Wil je zulke monitoring invoeren, dan heb je de instemming van de OR nodig.
Wat dit voor jou als werkgever betekent
De praktische les: bewaar bewust en schoon structureel op. Weet per type gegeven welke termijn geldt, vernietig afgewezen sollicitaties binnen vier weken, en houd medische informatie buiten je eigen dossier. Een jaarlijkse opschoonronde en een helder privacybeleid — met de informatieplicht goed geregeld — voorkomen zowel AVG-boetes als de situatie dat je in een ontslagzaak met een rommelig of onrechtmatig dossier staat. Goede dossiervorming en privacy gaan hier hand in hand: het ene beschermt je juridisch, het andere houdt je binnen de wet.
Veelgestelde vragen
Ben ik verplicht een personeelsdossier bij te houden?
Ja, voor elke medewerker, binnen de eisen van de AVG.
Is er één bewaartermijn voor het hele dossier?
Nee. Die varieert van vier weken (afgewezen sollicitanten) tot zeven jaar (fiscale gegevens).
Hoelang mag ik sollicitatiegegevens bewaren?
Maximaal vier weken zonder toestemming; met toestemming van de kandidaat doorgaans tot een jaar.
Hoelang bewaar ik gegevens na uitdiensttreding?
Voor het merendeel geldt als richtlijn maximaal twee jaar; fiscaal relevante gegevens vallen onder langere termijnen (tot zeven jaar).
Mag ik medische gegevens van een werknemer vastleggen?
Nee. Die horen bij de bedrijfsarts; jij legt bij verzuim alleen de voortgang en afspraken vast.
Wat is het noodzakelijkheidsbeginsel?
De AVG-hoofdregel dat je gegevens niet langer bewaart dan nodig is voor het doel waarvoor je ze verzamelde.
Heeft een werknemer recht op inzage in zijn dossier?
Ja, en op een kopie, tenzij dat de rechten van anderen schaadt.
Wat is het recht op vergetelheid?
Het recht van de werknemer om gegevens te laten verwijderen als ze niet langer nodig zijn of de grondslag vervalt.
Moet ik een verwerkingsregister bijhouden?
Ja, bij 250+ medewerkers of bij grootschalige/structurele verwerking van persoonsgegevens.
Mag ik mijn personeel monitoren met een volgsysteem?
Alleen met instemming van de OR en binnen strikte AVG-grenzen; gedrag of prestaties volgen raakt direct de privacy.
Wat moet ik werknemers vertellen over hun gegevens?
Het doel, de bewaartermijn, de verantwoordelijke, eventuele doorgifte naar het buitenland en hoe ze klachten indienen (de informatieplicht).
Mag ik gegevens langer bewaren bij een conflict?
Ja. Bij een lopend geschil of procedure bestaat het doel nog, dus mag je de relevante gegevens bewaren.
Lees ook
- HR en personeelsbeleid: de verplichtingen voor werkgevers in 2026 — het overzicht
- Ziekteverzuim en re-integratie: jouw verplichtingen onder de Wet poortwachter — het re-integratiedossier en medische gegevens
- Arbo en zorgplicht: de RI&E en je verplichtingen rond veiligheid — de rol van de OR
- Ongewenst gedrag en de vertrouwenspersoon: de regels in 2026
- Vind een HR-adviseur of privacyspecialist — dienstverleners in de gids
Bronnen
- Autoriteit Persoonsgegevens — Persoonsgegevens op de werkvloer
- Randstad — Personeelsgegevens en privacy: regels en rechten
- MKB Servicedesk — Bewaartermijn personeelsdossier: dit zijn de regels en Het personeelsdossier en de AVG
- Ondernemen met Personeel — Bewaartermijnen personeelsdossier en werknemersgegevens
Dit artikel hoort bij het onderwerp HR & personeelsbeleid. Bekijk de complete gids en alle artikelen erover.