荷兰法律规定的数据保留期限：您可以保留客户数据多长时间？

荷兰法律对客户数据的保存采取双重标准。根据税法，财务文件等商业记录必须至少保留七年，而根据《通用数据保护条例》（GDPR） ，个人数据的保存时间不得超过实现其预期目的所需的时间。

这样便能在履行法律义务和尊重隐私权之间取得微妙的平衡。

许多机构难以确切了解他们可以合法存储不同类型的客户信息多长时间。相关规定因所处理的信息类型而异，例如财务记录、员工数据或一般客户信息。

有些数据保留期限由特定法律规定，而有些则需要您根据业务需要做出合理的决定。

本指南解释了荷兰的数据保留法律框架，并向您展示如何为您的组织确定适当的保留计划。

您将了解不同数据类型的法定要求、如何正确管理数据删除以及您的客户对其信息享有的权利。

荷兰法律规定的数据保留核心原则

荷兰法律要求您在保留客户数据时遵循三个关键原则：您只能将数据用于其原始目的，收集必要的最低数据量，并清楚地记录您的保留决定。

个人数据处理的目的限制

您只能将个人数据用于收集时所指定的特定目的。如果您收集客户信息是为了处理订单，则除非您已获得客户另行同意，否则您不得无限期地将这些数据用于营销目的。

GDPR 要求您在收集任何数据之前明确定义其用途。当该用途终止时，您保留数据的法律依据也随之终止。

例如，一旦完成客户交易且法定保留期限到期，除非存在其他合法目的，否则您必须删除他们的数据。

没有合法依据，您不能擅自挪用旧数据。如果您的业务情况发生变化，您希望将现有客户数据用于新的用途，则需要评估此举是否符合最初的数据收集目的，或者需要重新征得客户的同意。

数据最小化和必要性

您必须仅收集和保留实现目的所需的最低限度个人数据。这意味着您不能仅仅因为“以防万一”而保留客户信息。

荷兰税法要求您保留财务记录七年。但这并不意味着您可以保留所有客户信息七年。

你需要将依法必须保留的物品与为其他目的收集的物品分开。

荷兰数据保护局希望您定期审查存储的数据。请问问自己：您还需要这些信息吗？您能否将其匿名化，而不是以可识别的形式保存？

如果答案是否定的，则必须删除或匿名化数据。

透明度和问责制

您必须记录数据保留期限并解释选择这些期限的原因。荷兰数据保护局可以要求您提供这些信息，并评估您的决定是否合理。

您的隐私声明必须明确告知客户您将保留其数据多长时间。一旦保留期限到期或您不再需要他们的信息，他们有权要求删除其数据。

您应在隐私政策中明确记录数据保留期限并给出充分理由。这既能保护您在审计期间免受处罚，也能帮助客户了解您的数据处理方式。

如果客户认为您保留他们的数据时间过长，他们可以向荷兰数据保护局提出投诉。

规范数据保留期限的法律框架

荷兰的数据保留法律框架结合了欧洲和国家立法，其中 GDPR 奠定了基础，荷兰法律增加了具体要求。

意大利个人数据保护局负责监督合规情况，而企业则必须在法定义务和数据保护原则之间取得平衡。

GDPR和荷兰实施法案

《通用数据保护条例》（GDPR）是荷兰数据保留的主要法律依据。但它并未规定客户数据的具体保留期限。

相反，它确立了这样一条原则：您不得将个人数据保留超过处理该数据所需的时间。

荷兰数据保护法 (DGIA) 在国家层面实施 GDPR。该法与 GDPR 协同运作，共同规范您如何处理个人数据。

《数据保护集体法》（Verzamelwet Gegevensbescherming）最近修订了《数据保护法》（DGIA）及相关数据保护法律，以确保与当前的隐私标准保持一致。

您的隐私政策必须记录您的数据保留期限，并说明您选择这些期限的原因。您还必须在隐私声明中告知数据主体您将保留其数据多长时间。

荷兰数据保护局的作用

荷兰个人数据保护局 (Autoriteit Persoonsgegevens，简称 AP) 是荷兰的数据保护机构，负责执行数据保留要求。AP 会评估您的数据保留期限是否合理且对您的数据处理目的而言是否必要。

当亚太地区执法部门调查您的数据处理方式时，您必须提供文件证明您的数据保留期限合理。该部门会评估您是否在满足合法需求的前提下，尽可能缩短个人数据的保留时间。

如果数据保留期限届满后您仍未删除相关人员的数据，他们可以向澳大利亚数据保护局 (AP) 投诉。AP 有权调查这些投诉，如果您违反数据保护法，AP 将采取强制措施。

法定留存义务与自主留存义务

荷兰法律区分了法定的强制性数据保留期限和用户自行设定的保留期限。当特定法律法规要求更长的存储期限时，法定数据保留期限优先于GDPR原则。

根据荷兰税法，财务记录必须保存七年。无论是否遵循GDPR最小化原则，此项要求均适用。

员工数据的强制保留期限因信息类型和用途而异。

对于没有法律规定的客户数据，您可以根据处理目的决定适当的保留期限。您必须考虑监控未结发票、履行合同或其他合法业务需求所需的数据保留期限。

行业组织可能会通过行为准则提供指导，其中概述了您所在行业的常见数据保留期限。

确定合适的保存期限

设定数据保留期限需要仔细评估法律义务、运营需求和 GDPR 要求。您必须在满足业务目的的同时，避免数据保留时间过长，从而找到平衡点。

评估合法目的和期限

您需要将每个数据保留期限与收集数据的目的直接关联起来。GDPR 的目的限制原则意味着您不能无限期地保留客户数据。

问问自己，你真正需要这些信息多久才能达到最初的目的。

根据荷兰税法，财务记录通常需要保存七年。但是，仅用于营销的客户联系方式可能只需要保存一到两年。

您应该分别评估每个数据类别。

考虑法律诉讼是否可能需要更长时间的数据保留。如果客户纠纷仍在进行中，您可能需要保留相关数据直至问题解决。

但是，一旦用途到期，您必须删除或匿名化这些信息。

行业组织有时会发布针对特定行业的推荐数据保留期限。这些指南可以帮助您了解同行业其他公司认为合理的保留期限是多少。

荷兰数据保护局会评估您选择的期限是否与您声明的目的相称。

政策中关于保留的记录

您必须记录数据保留期限并解释选择这些期限的原因。如果荷兰数据保护局对您的做法提出质疑，这份文件可以保护您的权益。

为每种类型的客户数据设定具体的时间范围。

您的内部数据保留策略应列出所有数据类别及其对应的保留期限。例如：

您的隐私声明必须告知数据主体您将保留其信息多长时间。请使用客户能够理解的清晰语言。

诸如“只要有必要”之类的模糊措辞不符合 GDPR 的透明度要求。

平衡运营、法律和业务需求

制定数据保留策略时，您会面临各种相互冲突的需求。从运营效率的角度来看，为了便于访问，可能需要永久保留所有数据。

但是，GDPR 要求尽可能缩短数据保留期限。

法律规定了最低保存期限，您不能忽视。无论您的个人意愿如何，税务记录必须保存七年。

与雇佣相关的数据有特定的规定，大多数人事信息仅限于雇佣关系结束后的两年内。

出于业务需要，数据保留的合理性可能超出其直接用途。例如，您可能需要保留购买记录以处理退货或保修索赔。

未结发票需要监控，这意味着要保留相关的客户数据，直到收到付款为止。

如果您不再需要数据主体的信息，或者法定期限已过，数据主体可以请求删除数据。

您应定期审查存储的数据，并删除超过保留期限的数据。自动删除系统有助于确保合规性，无需人工监督。

按数据类型划分的法定保留期限概述

荷兰法律对不同类型的商业数据规定了具体的最低保存期限。税法要求大多数财务记录保存七年，而雇佣和医疗保健数据则遵循不同的法律框架，并有各自的时间限制。

财务和税务记录

根据荷兰税法，您必须将大部分财务记录保存七年。这项保存义务适用于采购和销售记录、发票、银行对账单和年度账目。

七年期限从记录产生所在的财政年度结束之日算起。

您的信用卡和借记卡账户也需遵守这七年的保存期限要求。这包括账簿、日记账以及能够证明您业务交易的佐证文件。

即使您不再需要这些记录用于日常运营，您也不能在保留期限结束前删除或销毁这些记录。

收银机记录和销售点数据必须保存七年。税务机关在审计或调查期间可以要求提供这些文件。

如果您未能妥善保存记录，可能会面临荷兰税务局的处罚或罚款。

人力资源和员工数据

员工薪资记录必须在员工离职后保留七年。这包括工资单、税务表格和养老金缴款记录。

您需要这些文件用于税务目的以及可能出现的工资或福利纠纷。

人事档案的保存要求因数据类型而异。基本的雇佣记录，例如合同和求职申请，应在员工离职后保存两年。

医疗证明和病假记录通常两年后即可销毁。

绩效考核和纪律处分记录的保存期限较短。您只需在它们与雇佣关系仍然相关时才应保留这些记录。

员工离职后，通常可以在一到两年内删除这些记录，除非有法律诉讼正在进行中。

医疗保健和医疗档案

根据荷兰医疗保健法，医疗记录必须至少保存20年。如此长的保存期限可以在对既往治疗产生疑问时，保护患者和医疗服务提供者的权益。

有些记录，例如涉及未成年人的记录，可能需要保存更长时间。

患者档案包含诊断信息、治疗方案、检验结果和信函往来。您必须妥善保管这些档案，并确保只有授权人员才能访问。

保存期限届满后，您必须以防止未经授权的访问的方式销毁记录。

药房对处方记录也遵循类似的规定。这些记录必须保存15年，以便追踪用药历史并防止出错。

与医疗保健相关的保险索赔和账单记录也需要延长保存期限。

教育和法律文件

教育机构必须根据文件类型保存学生记录的特定期限。毕业证书和学位证书受《公共记录法》管辖，必须永久保存。

这些记录可以证明资格，并允许往届学生申请补办。

考试成绩和分数应在学生完成学业后至少保留两年。课程注册和出勤记录通常只需保留较短时间，大约在学年结束后一到两年。

合同和协议等法律文件必须保存至合同期满后七年。法院文件和与律师的往来信函应在诉讼程序进行期间以及结束后至少保存20年。

公证契约需要永久保存，因为它们是正式的法律证明。

管理数据删除和销毁

一旦数据保留期限到期，您必须主动从系统中删除个人数据。荷兰法律要求您谨慎处理数据删除方式，并妥善记录销毁方法，同时还要考虑到即使数据保留期限已过，也必须保留数据的情况。

识别准备删除的数据

您需要定期审查存储的客户数据，以确定哪些信息已超过保留期限。建立一个系统，跟踪不同类别数据的收集时间和何时符合删除条件。

这可能包括客户记录、往来信函、交易详情和营销偏好。制定一个至少每季度检查一次数据库和文件系统的计划。

许多组织使用自动化工具来标记即将到期的数据或发送保留期限到期的警报。您应该维护一份清晰的客户数据存储位置清单，涵盖所有系统，包括备份服务器和存档文件。

您的数据处理团队必须了解不同数据类型适用的保留期限。根据荷兰税法，财务记录需要保存七年，但营销许可数据可能只需在合作关系存续期间保留即可。

记录您的审查过程，以便荷兰数据保护局能够核实您的合规性。

安全合规的销毁方法

您必须以无法恢复的方式销毁个人数据。仅仅将文件移至回收站或删除数据库条目不符合荷兰法律要求。

对于数字数据，请使用可多次覆盖信息的安全删除软件，或物理销毁存储设备。包含客户数据的纸质记录需要使用十字切割或微型切割碎纸机进行销毁。

切勿将客户信息丢弃在普通垃圾桶中。对于大量数据，请考虑使用经认证的销毁服务，并获得销毁证明。

适当的销毁方法包括：

• 用于安全删除数字文件的软件
• 对硬盘和存储介质进行物理销毁
• 纸质文件的交叉式碎纸
• 磁存储设备的消磁
• 经认证的第三方销毁服务，并提供相关文件。

请记录您销毁数据的时间和方式。荷兰数据保护局可能会要求您证明，在数据保留期限到期后，您已妥善删除了客户信息。

处理例外情况和法律保留

有时即使数据保留期限已过，您也无法删除数据。法律诉讼、正在进行的调查或未决纠纷都要求您保留相关的客户数据，直至事件终结。

您必须实施法律保留流程，暂停受影响数据的正常删除计划。请记录每项法律保留的具体细节，包括哪些数据不能删除以及原因。

当数据冻结生效时，请立即通知您的数据处理团队，以免他们误销毁必要信息。定期审查有效的数据冻结状态，并在法律依据终止时及时解除冻结。

客户投诉或监管机构的问询也会暂停数据删除义务。如果有人向荷兰数据保护局投诉您的组织，您必须保留他们的数据，直到该机构解决此事为止。

在制定这些例外情况时，应与您更广泛的数据保留政策相平衡，同时保持清晰的记录，说明为什么某些数据会在正常期限之外保留在您的系统中。

数据主体权利和组织合规性

根据《通用数据保护条例》(GDPR)，您处理其数据的个人享有特定权利，您必须在规定的时间内回应他们的请求。您的组织还必须妥善保存相关文档，并遵守荷兰个人数据保护局 (Autoriteit Persoonsgegevens) 制定的监管要求。

删除权和数据主体请求

数据主体可以在数据保留期限届满或不再需要将信息用于其原始目的时，请求删除其个人数据。您必须在收到此类删除请求后一个月内作出回应。

如果您拒绝该请求，则需要向数据主体解释您的理由。如果您未能按要求删除数据，数据主体还可以向荷兰数据保护局提出投诉。

数据主体有权提出异议，如果他们认为您保留其信息的时间过长。您不能仅仅因为处理这些请求不方便就忽略它们。

贵组织应制定清晰的数据主体请求处理流程。这包括核实请求者的身份，并检查是否存在任何仍然适用的法定数据保留期限。

您必须记录所有请求和您的回复，以证明您符合 GDPR 规定。

通过数据保留措施确保符合 GDPR 要求

您需要记录数据保留期限，并解释选择特定期限的原因。请将此信息包含在您的隐私政策中，以便在数据保护局 (Autoriteit Persoonsgegevens) 询问时，您可以向其解释您的理由。

监管机构将评估您的数据保留期限是否合理且尽可能短。您的隐私声明必须明确说明您保留不同类型个人数据的时长。

这种透明度有助于数据主体了解您的做法。您还应定期检查存储的个人数据，以识别已超过保留期限的信息。

数据保留期限结束后，您必须安全地销毁数据或将其完全匿名化。对于医疗数据等敏感信息，您需要使用安全的销毁方法。

数字系统可以按预定时间自动删除数据，以帮助保持合规性。

当局的报告和监督

意大利个人数据保护局 (Autoriteit Persoonsgegevens) 负责监督各组织是否遵守 GDPR 关于数据保留的要求。他们可以调查您的做法，并要求您提供数据保留期限和删除程序的相关文件。

您必须配合他们的调查并提供他们要求的信息。如果您遇到涉及个人数据的数据泄露事件，必须在72小时内向荷兰数据保护局报告。

如果数据泄露对受影响的数据主体的权利和自由构成高风险，您还需要直接通知他们。这包括歧视、欺诈、经济损失或声誉损害的风险。

您的行业组织可能会提供关于本行业标准保存期限的指导。遵循公认的行业标准有助于您履行合规义务。

但是，您仍需根据自身具体情况和法律义务确定适当的保存期限。

常见问题