Beveiliging

Clean desk policy en vernietiging: voorbeeldbeleid voor kantoor

28 juni 2026 · 9 min lezen · DeSnipperaar

Een opgeruimd bureau is meer dan netjes. Het is een van de simpelste en goedkoopste maatregelen tegen datalekken. Een vergeten loonstrook op een bureau, een klantdossier dat blijft liggen, een usb-stick naast het toetsenbord, allemaal risico's die een clean desk policy wegneemt. Toch blijft het bij veel organisaties bij een goede bedoeling, omdat er geen vastgelegd beleid is en geen duidelijke route naar vernietiging.

In dit artikel leest u wat een clean desk policy inhoudt, waarom het onder de AVG verstandig is, hoe u het invoert en handhaaft, plus hoe u het koppelt aan veilige vernietiging. U vindt bovendien een kant-en-klaar voorbeeldbeleid dat u direct kunt overnemen en aanpassen.

Waarom een clean desk policy?

De meeste datalekken zijn geen spectaculaire hacks maar alledaagse slordigheden. Een document blijft op de printer liggen, een bezoeker leest mee op een onbeheerd scherm, of een opgeruimde stapel belandt onversnipperd bij het oud papier. Een clean desk policy pakt precies die situaties aan. Het zorgt ervoor dat vertrouwelijke informatie aan het eind van de dag uit het zicht is en dat er een vaste plek is voor wat vernietigd moet worden.

De AVG noemt een clean desk policy niet bij naam, maar vraagt in artikel 32 wel om passende technische en organisatorische maatregelen. Een opgeruimd bureau is zo'n organisatorische maatregel, eenvoudig in te voeren en goed uit te leggen aan een auditor. Hoe het past in het bredere geheel leest u in AVG-eisen voor het MKB.

Wat de AVG precies vraagt

Een clean desk policy staat niet als zodanig in de AVG, maar sluit wel direct aan op twee artikelen. Artikel 5 vraagt om opslagbeperking, u bewaart persoonsgegevens niet langer dan nodig. Artikel 32 vraagt om passende technische en organisatorische maatregelen om die gegevens te beschermen. Een opgeruimd bureau en een afgesloten vernietigingsbak zijn precies zulke maatregelen, eenvoudig in te voeren en goed uit te leggen aan een auditor.

Gaat het mis, bijvoorbeeld doordat een stapel documenten onversnipperd bij het oud papier belandt, dan is dat een datalek. Een ernstig datalek meldt u binnen 72 uur bij de Autoriteit Persoonsgegevens. Een vaste werkwijze rond opruimen en vernietigen voorkomt dat het zover komt.

Wat regelt een clean desk policy?

Een goed beleid legt vast dat vertrouwelijke informatie niet onbeheerd in het zicht ligt en regelt waar stukken eindigen. Het beleid stopt dus niet bij opruimen, maar wijst ook de route naar vernietiging aan. De kern bestaat uit een paar afspraken over bureaus, schermen, datadragers en de vernietigingsbak. Die kern is simpel, maar juist daardoor makkelijk vol te houden in de praktijk.

Voorbeeldbeleid om over te nemen

Kopieer onderstaand voorbeeld en pas het aan op uw organisatie.

Clean desk policy [organisatie]

1. Aan het einde van elke werkdag is het bureau leeg. Documenten met persoonsgegevens of bedrijfsgevoelige informatie liggen niet onbeheerd in het zicht.

2. Vertrouwelijke documenten die weg mogen, gaan in de afgesloten vernietigingsbak, niet in de prullenbak of bij het oud papier.

3. Datadragers zoals usb-sticks en externe schijven worden opgeborgen in een afsluitbare kast.

4. Schermen worden vergrendeld bij het verlaten van de werkplek.

5. Documenten worden direct na het printen opgehaald en niet onbeheerd bij de printer gelaten.

6. De vernietigingsbakken worden periodiek opgehaald en vernietigd door een gecertificeerde partij, met certificaat.

7. Bij vragen of incidenten is [verantwoordelijke / functionaris gegevensbescherming] het aanspreekpunt.

Voor welke organisaties is het belangrijk?

Een clean desk policy is voor elke organisatie verstandig, maar onmisbaar waar veel persoonsgegevens op papier langskomen. Denk aan een hr-afdeling met loonstroken, een administratiekantoor met klantdossiers, een zorgpraktijk met medische gegevens of een advocatenkantoor met vertrouwelijke stukken. Hoe gevoeliger de informatie, hoe belangrijker dat niets onbeheerd op een bureau blijft liggen. Maar ook in een gewoon kantoor met af en toe een offerte of factuur loont een opgeruimde werkplek, al was het maar voor de professionele indruk naar bezoekers.

Hoe voert u het in?

Een beleid op papier verandert nog geen gedrag. Vier stappen maken het verschil tussen een document in een la en een echt opgeruimd kantoor.

1. Communiceer het beleid. Leg kort uit waarom het er is, niet alleen wat moet. Mensen houden zich beter aan een regel die ze begrijpen.
2. Maak het makkelijk. Plaats een afgesloten vernietigingsbak op een logische plek, bijvoorbeeld bij de printer en de receptie. Drempel weg, naleving omhoog.
3. Neem het op in de onboarding. Nieuwe medewerkers krijgen het beleid bij hun start, zodat het vanaf dag een normaal is.
4. Doe af en toe een steekproef. Een korte ronde aan het eind van de dag laat zien of het werkt, zonder een controlecultuur te creeren.

Welk DIN-niveau heeft u nodig?

De vernietigingsbak op kantoor is pas zo veilig als het niveau waarop de inhoud wordt vernietigd. De norm DIN 66399 legt dat vast in niveaus.

Niveau	Snippergrootte	Geschikt voor
P-2	Stroken	Algemeen drukwerk zonder gegevens
P-4	Kleine snippers	Documenten met persoonsgegevens
P-5	Zeer kleine snippers	BSN, medische en bijzondere gegevens

Voor gewone kantoorstukken is P-4 het werkbare minimum. Werkt u met bijzondere persoonsgegevens, dan is P-5 aangewezen. Een open papierbak haalt geen enkel niveau, een aparte bak met professionele ophaal wel.

Van bureau naar vernietiging

Het sluitstuk van een clean desk policy is de vernietigingsroute. Plaats aparte bakken in plaats van open papierbakken, zie het verschil in locked consoles versus open bakken. Een open bak nodigt uit tot meelezen of meenemen, een afgesloten console met eenrichtingssleuf niet.

Laat de inhoud periodiek ophalen en vernietigen. Wie raakt het materiaal onderweg aan? Dat leest u in chain of custody. Hoe vaak u laat ophalen hangt af van uw volume, de afweging staat in recurring vernietiging of eenmalig. Na elke ophaal hoort u een certificaat van vernietiging te ontvangen dat u in uw AVG-dossier bewaart.

Wat levert een clean desk policy op?

De winst is groter dan een net kantoor. U verkleint de kans op datalekken, want vertrouwelijke stukken liggen niet meer rond. U bent beter voorbereid op een audit, omdat u een concrete maatregel kunt laten zien. En u straalt professionaliteit uit naar bezoekers en klanten, die zien dat u zorgvuldig met gegevens omgaat. Voor de medewerkers zelf geeft een opgeruimde werkplek bovendien rust en overzicht.

Een voorbeeld uit de praktijk

Stel, een accountantskantoor krijgt een onaangekondigd bezoek van een potentiele klant. In een kantoor zonder clean desk policy liggen op verschillende bureaus dossiers open, met namen, bedragen en soms een kopie van een identiteitsbewijs. De bezoeker ziet dat in een oogopslag. In een kantoor met een clean desk policy ligt er niets. De indruk die de klant meeneemt is professioneel en betrouwbaar. Er is geen enkel risico op onbedoelde inzage. Datzelfde geldt voor schoonmakers, koeriers en monteurs die buiten kantooruren binnenkomen. Hetzelfde geldt voor de avondploeg en voor flexkrachten die maar kort op de werkplek zitten.

Een opgeruimd bureau en uw reputatie

Een clean desk policy is niet alleen een interne maatregel, ook bezoekers merken het. Een klant, sollicitant of leverancier die binnenkomt bij een kantoor vol open dossiers, krijgt onbedoeld inzage in gevoelige informatie en vormt zich meteen een beeld. Een opgeruimde werkplek straalt het tegenovergestelde uit, namelijk dat u zorgvuldig met gegevens omgaat. Voor een organisatie die op vertrouwen draait, is dat een klein detail met een groot effect. Het kost niets extra, maar versterkt de professionele indruk bij iedereen die over de vloer komt. Datzelfde geldt voor het vertrouwen van uw eigen medewerkers, die zien dat de organisatie privacy serieus neemt.

Clean desk policy bij thuiswerken

Sinds veel mensen deels thuiswerken, eindigt vertrouwelijk papier steeds vaker op de keukentafel. Een clean desk policy houdt daar rekening mee. Spreek af dat medewerkers thuis een afsluitbare lade of kast gebruiken voor papier met persoonsgegevens. Dat papier gooien zij niet bij het eigen oud papier maar nemen zij mee naar kantoor voor veilige vernietiging. Voor wie volledig digitaal werkt, geldt hetzelfde principe voor het scherm. Vergrendel het apparaat bij het verlaten van de werkplek, ook thuis, zodat huisgenoten of bezoekers niet meelezen. Zo blijft het beleid werken, ongeacht waar iemand die dag zit.

Wat als het misgaat? Een datalek op kantoor

Stel, een medewerker ruimt aan het eind van de dag een bureau op en gooit een stapel papier met klantgegevens in de gewone prullenbak. De schoonmaak voegt het bij het oud papier en de container staat de volgende ochtend open op straat. Iemand neemt de stukken mee. Dat is een datalek, ook al was de bedoeling juist om op te ruimen. Een clean desk policy met een afgesloten vernietigingsbak maakt zo'n vergissing vrijwel onmogelijk, want het papier verdwijnt meteen op de juiste plek. U beoordeelt bij zo'n incident of een melding nodig is, maar met een vaste route komt het zelden zo ver.

Kosten en proces: wat kunt u verwachten?

Een vernietigingsbak met periodieke ophaal is voor een organisatie geen grote uitgave. U betaalt een vaste prijs per ophaal, vooraf bekend, zonder voorrijkosten binnen 20 km van Amsterdam. Wij plaatsen een of meer aparte bakken op kantoor en legen die periodiek, bijvoorbeeld per maand of per kwartaal, afgestemd op hoeveel papier u produceert. De inhoud wordt op het afgesproken DIN-niveau vernietigd en gerecycled, met een certificaat binnen enkele werkdagen.

Praktische tips voor invoering

• Plaats aparte bakken op logische plekken, bij de printer en de receptie.
• Maak het onderdeel van de onboarding, zodat nieuwe medewerkers het meteen weten.
• Vergrendel schermen standaard bij het verlaten van de werkplek.
• Laat de bakken periodiek ophalen en bewaar het certificaat.
• Denk aan thuiswerkers, die hun papier meenemen naar kantoor.

Veelgemaakte fouten

• Wel opruimen, niet vernietigen. Een opgeruimde stapel bij het oud papier is alsnog een datalek.
• Open bakken gebruiken. Zonder afsluiting blijft vertrouwelijk papier toegankelijk.
• Het beleid niet uitleggen. Een regel zonder reden wordt slecht nageleefd.
• Thuiswerken vergeten. Ook op de keukentafel horen vertrouwelijke stukken niet open te liggen.

Veelgestelde vragen

Wat is een clean desk policy?

Een afspraak dat medewerkers hun bureau aan het eind van de dag leeg en opgeruimd achterlaten, zonder vertrouwelijke documenten in het zicht. Het verkleint de kans op datalekken en onbevoegde inzage.

Is een clean desk policy verplicht onder de AVG?

Niet met naam, maar de AVG vraagt in artikel 32 om passende organisatorische maatregelen. Een clean desk policy is een eenvoudige en effectieve maatregel die daaraan bijdraagt.

Hoe koppel je een clean desk policy aan vernietiging?

Plaats afgesloten vernietigingsbakken op kantoor en laat de inhoud periodiek ophalen en vernietigen met een certificaat. Zo eindigt elk vertrouwelijk document veilig.

Geldt een clean desk policy ook bij thuiswerken?

Ja. Ook thuis horen vertrouwelijke documenten niet open te liggen. Maak afspraken over een afsluitbare lade en het meenemen van papier voor vernietiging op kantoor.

Hoe handhaaf je een clean desk policy?

Door het beleid te communiceren, het op te nemen in de onboarding en af en toe een steekproef te doen. Een aparte bak bij elke werkplek maakt naleving makkelijk.

Welk DIN-niveau is nodig voor de vernietigingsbak?

Voor gewone kantoorstukken is DIN 66399 P-4 het werkbare minimum. Voor bijzondere persoonsgegevens zoals BSN of medische gegevens is P-5 aangewezen.

Is papier in de gewone prullenbak een datalek?

Als het persoonsgegevens bevat en onversnipperd wordt weggegooid, kan dat een datalek zijn. Een afgesloten vernietigingsbak voorkomt dat.

Conclusie

Een clean desk policy is een goedkope, zichtbare maatregel die direct bijdraagt aan uw informatiebeveiliging. Neem het voorbeeld hierboven over, leg uit waarom het er is, plaats afgesloten vernietigingsbakken en regel een periodieke ophaal met certificaat. Zo verandert een goede bedoeling in een opgeruimd kantoor waar elk vertrouwelijk document veilig eindigt. Een aparte bak, een korte uitleg en een periodieke ophaal, veel meer is er niet voor nodig om er een gewoonte van te maken.

---

Vernietiging structureel regelen voor uw kantoor? Vraag een offerte aan via desnipperaar.nl of bekijk onze ophaalservice voor papier. Binnen 5 minuten heeft u een vaste prijs.

Meer uit onze kennisbank: Beveiligingsbedrijven: screening en rapporten vernietigen, Callcenters: gespreksopnames en klantdata vernietigen en Schoonheidssalons: clientgegevens vernietigen.

Ook interessant: Installatiebedrijven: klantgegevens vernietigen.