HR & AVG

Personeelsdossier vernietigen: wanneer moet het, hoe doet u het en wat vraagt de AVG?

5 juni 2026 · 11 min lezen · DeSnipperaar

Elk bedrijf dat personeel in dienst heeft of heeft gehad, zit op een berg papieren privacygegevens. Arbeidsovereenkomsten, salarisstrookjes, functioneringsgesprekken, kopieën van identiteitsbewijzen, ziekmeldingen, stuk voor stuk documenten die persoonsgegevens bevatten en waaraan de AVG strikte regels koppelt. Niet alleen over hoe lang u ze mag bewaren, maar ook hoe u ze moet vernietigen als de termijn voorbij is. En dat laatste wordt zelden uitgelegd.

Want dáár gaat het mis. Organisaties weten inmiddels aardig wanneer bepaalde dossiers de prullenbak in mogen. Maar wat dan? Een kartonnen doos met oud personeelsmapjes die gewoon bij het oud papier belandt, is een datalek. En dat is een meldplichtige overtreding jegens de Autoriteit Persoonsgegevens (AP).

Deze gids geeft u een compleet antwoord: wanneer moet u vernietigen, hoe, welk beveiligingsniveau is vereist en wanneer u beter uitbesteedt dan zelf knipt.

Wanneer mag en moet u een personeelsdossier vernietigen?

De bewaarplicht voor personeelsgegevens is niet eenduidig, omdat een dossier uit tientallen categorieën documenten bestaat die elk hun eigen termijn kennen. De meest relevante:

Document	Bewaartermijn	Grondslag
Arbeidsovereenkomst, loongegevens	7 jaar na einde dienstverband	Art. 52 AWR (fiscale bewaarplicht)
Kopie identiteitsbewijs	5 jaar na einde dienstverband	Wet LB / Wwft
Arbodossier / verzuimgegevens	2 jaar na uitdiensttreding (via arbodienst)	Wet Verbetering Poortwachter
Functioneringsverslagen, correspondentie	2 jaar na uitdiensttreding	AVG-opslagbeperking
CV / sollicitatiegegevens (afgewezen)	4 weken na afwijzing (max. 6 maanden met toestemming)	AVG art. 5
Kopie-ID voor Wwft (financieel)	5 jaar	Wwft art. 33
Arbodossier met medische blootstelling	20 jaar na functiebeëindiging	Arbowet

De hoofdregel: zodra de maximale bewaartermijn verstreken is, mag u niet alleen vernietigen, u moet het. Zie ook ons artikel fiscale bewaarplicht: 7 jaar en dan? voor de specifieke fiscale kant. De AVG-term hiervoor is vernietigingsplicht, die voortvloeit uit het beginsel van opslagbeperking (art. 5 lid 1e AVG). Bewaren na afloop van de termijn, ook als u ‘het toch niet meer gebruikt’, is een overtreding.

Praktisch betekent dit: zet jaarlijks een vernietigingsmoment in uw agenda, bij voorkeur direct na uw jaarafsluiting of aan het einde van een kwartaal. Koppel dat aan uw uitdiensttredingsdata.

Hoe grondig moet u een personeelsdossier vernietigen?

Dit is het onderdeel dat de meeste werkgevers verkeerd doen. Een document doorscheuren en in de vuilnisbak gooien is geen vernietiging. Het in de papiercontainer naast het kopieerapparaat gooien ook niet. Zelfs een eenvoudige kantoorvernipperaar is in veel gevallen onvoldoende.

De AVG eist in artikel 32 ‘passende technische en organisatorische maatregelen’ om persoonsgegevens te beschermen. Die verplichting eindigt niet bij bewaring, ze geldt tot het moment dat het document fysiek onleesbaar is. In de praktijk kunt u hiervoor terugvallen op de Europese industrienorm DIN 66399, die beveiligingsniveaus voor papiervernietiging definieert:

• P-3: Strip-cut, snippets ca. 2 × 200 mm. Onvoldoende voor persoonsgegevens.
• P-4: Cross-cut, ca. 4 × 40 mm. Acceptabel voor gewone kantoorstukken.
• P-5: Micro-cut, ca. 2 × 15 mm. Vereist voor bijzondere categorieën persoonsgegevens.
• P-6 / P-7: Voor overheids- en geheimhoudingsgevoelige stukken.

Voor personeelsdossiers, die bijna altijd bijzondere persoonsgegevens bevatten (medische gegevens uit het arbodossier, BSN-nummers op loonstrookjes, kopieën van ID-documenten), geldt in de praktijk minimaal DIN 66399 P-5. Een goedkope kantoorvernipperaar haalt dat niveau doorgaans niet.

Zelf vernietigen, wanneer kan het en wanneer niet?

Voor kleine volumes, een handvol mappen per jaar, kunt u overwegen zelf te vernietigen. Maar dan gelden drie voorwaarden:

1. De machine haalt minimaal P-4, bij voorkeur P-5

Controleer het typeplaatje of de verpakking. Goedkope strip-cut apparaten voor thuisgebruik zijn typisch P-2 of P-3.

2. U legt vast wie, wanneer en wat vernietigd heeft

De AVG vraagt niet alleen dat u vernietigt, maar ook dat u kunt aantonen dat u vernietigd heeft. Zonder een logboek of intern document is dat bewijs er niet. Bij een AP-onderzoek bent u dan stuurloos.

3. U betrekt geen bijzondere categorieën persoonsgegevens

Zodra het dossier medische informatie bevat, ook een simpele ziekmeldingsdatum valt hieronder als die herleidbaar is naar een persoon, stijgen de risico's sterk. Een arbodossier met verzuimhistorie hoort thuis in een vernietigingsproces met P-5 en een aantoonbare bewijsketen.

Wat u van uitbesteden mag verwachten

Zodra u kiest voor professionele vernietiging, zijn er vier dingen die u standaard moet vragen:

1. Verzegeld transport

Uw materiaal moet van uw kantoor naar de vernietigingslocatie gaan in een afgesloten container of doos. Onbeveiligde vrachtauto, met dozen die bij meerdere klanten gemengd worden, is niet acceptabel voor bijzondere persoonsgegevens.

2. Vernietiging op DIN P-5

Vraag expliciet naar het certificeringsniveau. Veel dienstverleners standaardiseren op P-4 (goedkoper). Voor personeelsdossiers met medische gegevens, BSN-nummers en ID-kopieën heeft u P-5 nodig.

3. Certificaat van Vernietiging

Na elke opdracht hoort u een certificaat van vernietiging te ontvangen waarop staat: datum, hoeveelheid (kilo's of eenheden), toegepaste DIN-norm en het opdrachtnummer. Bewaar dat certificaat minimaal 5 jaar in uw AVG-dossier. Het is uw bewijs als de AP ooit vragen stelt.

4. Verwerkersovereenkomst

U schakelt een verwerker in. Dat betekent dat u een verwerkersovereenkomst moet afsluiten voordat de eerste doos wordt meegegeven. Zonder getekende VOW bent u zelf in overtreding.

Digitale personeelsdossiers

Veel werkgevers hebben hun personeelsdossiers inmiddels gedigitaliseerd. Goed. Maar ook digitale bestanden moeten aantoonbaar vernietigd worden als de termijn verstrijkt.

Het eenvoudig verwijderen van een bestand en leegmaken van de prullenbak is niet voldoende. De data is dan nog aanwezig op de harde schijf. Pas wanneer u de schijf overschrijft (bij HDD's), of bij SSD's, die een ander opslagmechanisme hebben, de schijf fysiek vernietigt, is de vernietiging onomkeerbaar.

Lees meer over de beperkingen van digitaal wissen in ons artikel SSD's vernietigen: waarom overwriten niet werkt en het verschil tussen wissen en vernietigen in Harde schijf wissen versus vernietigen.

Personeelsdossier vernietigen in 6 stappen

1. Inventariseer uw dossiers. Maak een lijst van alle (ex-)medewerkers en de indiensttredingsdatum. Bereken per document welke termijn geldt.
2. Selecteer wat vernietigd mag worden. Gebruik de tabel bovenaan dit artikel als referentie. Twijfelt u? Vraag uw salarisadministrateur of hr-adviseur.
3. Kies uw methode. Klein volume zonder bijzondere categorieën: P-5 kantoorvernipperaar. Groter volume of gevoelige inhoud: uitbesteden.
4. Teken een verwerkersovereenkomst met uw vernietigingspartij voor de eerste opdracht.
5. Voer de vernietiging uit en ontvang een certificaat.
6. Leg het vast. Noteer in uw privacyregister (het verwerkersregister, vereist door AVG art. 30) wanneer, wat en hoe de vernietiging heeft plaatsgevonden.

Veelgestelde vragen

Mag ik een personeelsdossier gewoon in de papiercontainer gooien?

Nee. Personeelsdossiers bevatten persoonsgegevens en moeten vertrouwelijk worden vernietigd. Onversnipperd in de papiercontainer gooien is een datalek dat u verplicht te melden aan de Autoriteit Persoonsgegevens.

Welk DIN-niveau is vereist voor personeelsdossiers?

In de praktijk minimaal P-4, maar voor dossiers die BSN-nummers, kopieën van identiteitsbewijzen of medische gegevens bevatten is P-5 aanbevolen en bij strikte AVG-interpretatie vereist.

Hoe bewijs ik dat ik het personeelsdossier vernietigd heb?

Met een Certificaat van Vernietiging van een gecertificeerde vernietigingspartij, of met een intern logboek (datum, naam vernieter, hoeveelheid, DIN-niveau) als u zelf vernietigt.

Moet ik de medewerker informeren als ik zijn dossier vernietig?

Dat is niet wettelijk verplicht, maar het is goede praktijk en versterkt de vertrouwensrelatie. Sommige cao's schrijven dit voor.

Wat als een ex-medewerker vraagt om zijn dossier te vernietigen voor de termijn voorbij is?

U kunt hier alleen gehoor aan geven voor gegevens zonder wettelijke bewaarplicht. Fiscale en sociale zekerheidsgegevens moet u bewaren, ook als de medewerker erom vraagt.

Mag ik een oud personeelsdossier voor de zekerheid langer bewaren?

Nee, tenzij er een aantoonbare reden is (lopende rechtszaak, AP-onderzoek). ‘Voor de zekerheid’ is geen AVG-grondslag.

Zijn er gevolgen als ik vergeet te vernietigen?

Ja. Onnodige bewaring van persoonsgegevens is een AVG-overtreding waarvoor de AP een boete kan opleggen. Daarnaast loopt u het risico op een datalek als de gegevens onbedoeld in verkeerde handen vallen.

Conclusie

Het vernietigen van personeelsdossiers is geen administratieve bijzaak, het is een wettelijke verplichting met directe privacy- en aansprakelijkheidsrisico's. De bewaartermijn is het startpunt, de vernietigingsplicht is de eindstreep. Gebruik de tabel en het stappenplan in dit artikel als basis voor uw eigen jaarlijkse vernietigingsronde.

Heeft u grotere volumes, of bevatten uw dossiers medische gegevens of ID-kopieën? Dan is uitbesteden aan een gecertificeerde partij de meest solide keuze, inclusief verwerkersovereenkomst en certificaat.

---

Wilt u weten wat uw personeelsdossiers kosten om te laten vernietigen? Bel ons of vraag een offerte aan via desnipperaar.nl. Binnen 5 minuten heeft u een vaste prijs. Geen verrassingen, geen contract.