De advocaat wil de e-mails “bewaren voor het geval dat”. De DPO wil ‘minimaliseren’. IT wil “de gedeelde server niet verzadigen”. Resultaat: geen geschreven regel, dozen van vijftig gigabyte en e-discovery die een fortuin kost – of het per ongeluk verwijderen van bewijsmateriaal.
Het behoud van gehoste e-mails - Exchange, IMAP, berichten opgenomen in gedeeld delen, Google Workspace of suite met een host - is een evenwicht tussen sectorale wettelijke verplichtingen, GDPR-minimalisatie en technische capaciteit. Een ‘verdedigbare’ term is een term die je aan een auditor kunt uitleggen en automatisch kunt toepassen – en niet een term die je hebt gekopieerd van een algemene juridische blog.
Classificeer voordat u een duur instelt
Dezelfde mailserver bevat facturen en contracten – langdurig bewaard, soms wel tien jaar in de boekhouding; HR en disciplinair — specifieke duur, beperkte toegang; klantenondersteuning — vaak korter als het eenmaal is voorgeschreven; nieuwsbrieven — dagen tot maanden.
Zonder classificatie is de algehele bewaring ofwel te lang voor de AVG, ofwel te kort voor rechtszaken.
| Categorie | Benader | Gemeenschappelijk instrument |
|---|---|---|
| Huidig | Bewaartermijn 12–36 maanden | Quotum plus opschonen |
| Bewijswaarde | Aparte juridische archivering | Archief WORM |
| Kortstondig | 90 dagen | Automatische regel |
“We verwijderen nooit” is geen beleid – het is een risico.
Maak het beleid van toepassing op de host
Gedeeld / IMAP: quota's, scripts opschonen, indien nodig handmatig exporteren naar archief. Beheerde berichtenuitwisseling: bewaarbeleid per map of compliancelabel. Cloudmigratie: wettelijke bewaring versus automatisch opschonen; wees voorzichtig met lokale Outlook- of Thunderbird-kopieën.
Document in het AVG-register: duur per categorie, wettelijke basis, hulpmiddel, verantwoordelijke. Link met Legal Archiving voor bewijsstromen.
Veelvoorkomende fouten
Uniforme zuivering zonder upstream-archivering. Gedeelde boxen zonder eigenaar. Geen export vóór vertrek van de medewerker. Host die de server zonder waarschuwing recycleert - verlies van bewijsmateriaal.
Vereist van de e-mailserviceprovider: e-mailback-up, configureerbare retentie, standaardexport – PST, mbox, API –, EU-lokalisatie indien nodig.
Pilot op een doos vóór generalisatie
Test de regel vóór de wereldwijde implementatie dertig dagen lang op een pilot-mailbox: controleer of er geen berichten met bewijskracht worden verwijderd, of de export werkt en of gebruikers het nieuwe beleid begrijpen. Pas de duur en categorieën aan voordat u deze uitbreidt naar de hele organisatie.
De top: afwezigheid of chaos
Beslis en ga vooruit zonder blinde vlek
Organiseer een juridische workshop plus IT om een tabel met categorieën, duur en hulpmiddelen te maken, implementeer deze maand een pilotregel op een testbox, raadpleeg de overzicht om e-mailaanbiedingen te vergelijken en stem deze vervolgens af met IP-adresbehoud voor de bijbehorende logs.
Veelgestelde vragen
Welke wettelijke duur?
Variabel afhankelijk van de inhoud: facturering, HR, ondersteuning, marketing. Classificeer berichten op categorie voordat u één algemene bewaartermijn instelt die ofwel te lang is voor de AVG, ofwel te kort voor rechtszaken.
Automatische hostopschoning?
Ja als de tool dit toestaat: quota's, Exchange- of IMAP-regels. Bescherm feeds die elders zijn gearchiveerd of onder wettelijke bewaring vallen voordat u een algemene automatische opschoning activeert.
Voor onbepaalde tijd bewaren?
Moeilijk te verdedigen tegen de AVG zonder gedocumenteerde wettelijke basis per categorie. Minimalisatie vereist een evenredige duur en bewijs dat de zuivering daadwerkelijk plaatsvindt.
Wie is verantwoordelijk?
U stelt het beleid in als gegevensbeheerder. De mailserviceprovider voert het opschonen en archiveren uit volgens de DPA – met technisch bewijs dat de regels werken.
Een volwassen e-mailbeleid past in een tabel – niet in een doos die groeit tot de volgende paniek.