Hoelang bewaar je een klokkenluidersmelding? Zo zit het volgens de EU-richtlijn

Cover: Hoelang bewaar je een klokkenluidersmelding? Zo zit het volgens de EU-richtlijn

Een melding die je te lang bewaart is net zo riskant als een melding die je te vroeg wist — beide raken je audit. Want zodra een onderzoeker, toezichthouder of rechter vraagt hoe lang je een klokkenluidersmelding hebt vastgehouden, heb je maar één kans om het juiste antwoord te geven. Dat maakt de vraag hoelang bewaar je een klokkenluidersmelding niet alleen een juridische verplichting, maar ook een van de meest onderschatte risico's in elke klokkenluidersprocedure.

De EU-richtlijn 2019/1937 geeft een duidelijk kader, maar laat tegelijk ruimte voor interpretatie. Wie de regels naast de AVG legt, merkt dat bewaren en wissen geen losse handelingen zijn — het is een doorlopende discipline. In dit artikel loods ik je door de vier vragen die je écht moet beantwoorden: wat de richtlijn voorschrijft, hoe dat samenhangt met de AVG, hoe je het archief praktisch inricht, en welke fouten je bij het wissen of bewaren van dossiers vermijdt.

Wat zegt de EU-klokkenluidersrichtlijn over bewaartermijnen

De kernbepaling zit in artikel 18 van EU richtlijn 2019/1937. Daarin staat dat meldingen niet langer bewaard mogen worden dan strikt noodzakelijk is om de toepasselijke wetgeving na te leven. Voor klachten en meldingen die buiten de reikwijdte van die wetgeving vallen, is de hoofdregel: bewaar ze niet langer dan nodig om te beoordelen of er een onderzoeksplicht ontstaat — en wis ze daarna.

In de praktijk vertaalt de retentietermijn klokkenluidersmelding zich tot drie herkenbare fases:

Ontvangst en triage (maximaal 7 dagen): een ontvangstbevestiging binnen zeven dagen aan de melder is verplicht.
Beoordeling en onderzoek: zodra een melding ontvankelijk is verklaard, loopt de termijn door tot een gemotiveerd besluit.
Nazorg en archivering: na afronding van het onderzoek geldt een proportionaliteitstoets — wat is nog nodig voor verdediging, verantwoording of wettelijke rapportage?

Belangrijk detail: lidstaten mogen in hun nationale omzetting striktere bewaartermijnen opleggen. In Nederland kun je dus niet "EU-conform" als excuus gebruiken als de Wet bescherming klokkenluiders (Wbk) of de Wabpz-eisen zwaarder wegen. Dat maakt de vraag hoelang bewaar je een klokkenluidersmelding altijd tweeledig: je moet zowel de richtlijn als de nationale laag raadplegen.

Drie vuistregels uit artikel 18

Bewaar niet langer dan nodig voor het doel van de melding.
Na afronding van het onderzoek: data-minimalisatie is leidend.
Toegang tot oude dossiers moet beperkt blijven tot geautoriseerde personen — need to know in plaats van nice to know.

Wie zich aan die drie regels houdt, ligt bij een audit al snel goed.

Hoe verhoudt de bewaarplicht zich tot de AVG

De AVG is geen tegenhanger van de klokkenluidersrichtlijn, maar een aanvulling. Beide wetten raken namelijk hetzelfde dossier, alleen vanuit een ander vertrekpunt. Waar de richtlijn procedurele waarborgen eist rond meldingen, eist de AVG eerlijke verwerking en minimale opslag van persoonsgegevens.

De AVG bewaartermijn melding wordt in de praktijk bepaald door drie artikelen:

Artikel 5(1)(e): opslagbeperking — gegevens mogen niet langer worden bewaard dan noodzakelijk.
Artikel 6: rechtsgrond — meestal een wettelijke verplichting of gerechtvaardigd belang.
Artikel 17: recht op gegevenswissing, tenzij een uitzondering geldt.

En dáár zit de echte wrijving. Een melder kan via de AVG vragen om verwijdering van zijn of haar gegevens, terwijl jij als organisatie de dossierplicht van de klokkenluidersrichtlijn moet respecteren. De oplossing: anonimiseer het anonimiteit dossier melder zodra het onderzoek is afgerond. De uitkomst blijft bewaard, de persoonsgegevens verdwijnen — en beide wetten zijn gerespecteerd.

Praktisch protocol

Documenteer per dossier de gekozen bewaargrondslag.
Stel automatische verloopdata in je case-managementsysteem in (bijvoorbeeld 24 maanden na sluiting, daarna automatisch wissen).
Evalueer jaarlijks of oude dossiers nog een gerechtvaardigde reden hebben om te blijven staan.

Wie de twee regimes los van elkaar leest, bouwt ongemerkt een archief dat bij geen enkele toezichthouder standhoudt. Door ze in één workflow te combineren, voorkom je dubbele boekhouding — en dubbele uitleg bij audits.

Praktische stappen voor archivering in je case management

Infographic: Praktische stappen voor archivering in je case management Theorie is mooi, maar de meeste organisaties struikelen bij de implementatie. Daarom hieronder een concreet stappenplan dat je vandaag nog kunt inrichten.

Stap 1 — Classificeer binnenkomende meldingen

Zodra een melding binnenkomt, label je deze direct met een van de volgende statussen:

Ontvankelijk — vereist nader onderzoek, langere bewaartermijn (typisch 24 maanden).
Niet-ontvankelijk — geen onderzoeksplicht, wissen binnen 30–90 dagen.
Doorverwezen — overgedragen aan autoriteit (Inspectie, AP, OM); dossier na overdracht minimaliseren.

Stap 2 — Koppel een harde einddatum

Elke melding krijgt een vastgelegde vervaldatum. Niet "binnen afzienbare tijd", maar een concrete datum die zichtbaar is in het dossieroverzicht. Dat dwingt tot periodieke review — zonder review groeit elk archief vanzelf dicht.

Stap 3 — Log alle toegang

Audit-trail is alles. Wanneer iemand een dossier opent, aanpast of exporteert, moet dat vastliggen met tijdstip en reden. Dat voorkomt niet alleen datalekken, het bewijst ook dat je in control bent. Een auditor die om een toegangsoverzicht vraagt, krijgt dat binnen enkele seconden — niet na drie dagen speurwerk.

Stap 4 — Pas anonimisatie toe bij afronding

Het is verleidelijk om dossiers "voor de zekerheid" langer te bewaren, maar dat is precies wat de AVG verbiedt. Zodra een zaak is afgesloten:

Verwijder directe identificeerders (naam, e-mail, telefoonnummer).
Vervang deze door pseudoniemen of verwijs naar een anoniem feitenrelaas.
Bewaar alleen wat strikt nodig is voor verantwoording of wettelijke rapportage.

Stap 5 — Test je retentiebeleid jaarlijks

Een bewaartermijn die je nooit test, is een bewaartermijn die faalt. Voer eenmaal per jaar een audit uit op een willekeurig steekproefdossier en controleer of de werkelijke verwijderdatum overeenkomt met het beleid. Het kost een middag, het bespaart een boete.

Wie deze vijf stappen combineert, bouwt een archief dat bij controle standhoudt — zonder dat het onderzoek of de melder in gevaar komt.

Veelgemaakte fouten bij het wissen of bewaren van dossiers

Ook ervaren compliance-teams glijden uit op punten die vooraf logisch lijken. De volgende vier fouten komen in vrijwel elke audit weer terug.

Fout 1 — Oneindige bewaring uit voorzorg

"We bewaren alles voor het geval het later nog nodig is." Die zin hoor je vaker dan je denkt, en is precies de redenering waar de AVG een streep door haalt. Voorzorg is geen rechtsgrond.

Fout 2 — Bewaren in e-mail in plaats van in het case-systeem

Een melder mailt je, je zet het in een Outlook-map "vertrouwelijk". Twee jaar later is die map vol, niemand weet meer wie wat heeft gelezen, en je audit-trail is verdwenen. Alles moet in het centrale systeem — e-mails zijn welkome aanvulling, maar nooit de bron.

Fout 3 — Geen onderscheid tussen onderzoeksdossier en archiefstuk

Onderzoekdossiers bevatten namen, verklaringen, bewijsstukken. Archiefstukken bevatten besluiten en beleidsmatige lessen. Door deze niet te scheiden, wis je óf te veel óf te weinig.

Fout 4 — Vergeten van de melder te informeren

Transparantie is niet optioneel. De melder heeft recht te weten hoelang bewaar je een klokkenluidersmelding, welke gegevens worden opgeslagen, en wanneer verwijdering plaatsvindt. Zonder die informatie schend je zowel de AVG-informatieplicht als het vertrouwen dat een klokkenluider in jou stelt.

Wie deze vier valkuilen vermijdt, wint het vertrouwen van melders, het vertrouwen van toezichthouders, en het vertrouwen van zijn eigen auditcommissie.

Veelgestelde vragen

Hoe lang mag je een klokkenluidersmelding maximaal bewaren?

De EU-richtlijn 2019/1937 schrijft voor: niet langer dan strikt noodzakelijk. In de praktijk kom je uit op 24 maanden na afronding van het onderzoek voor ontvankelijke meldingen, en 30–90 dagen voor niet-ontvankelijke dossiers. Controleer altijd of je nationale wetgeving strenger is.

Wanneer moet je een klokkenluidersmelding wissen?

Zodra het onderzoek is afgerond, de wettelijke rapportageverplichting is voldaan én er geen lopende juridische procedure meer is. Daarna geldt data minimalisation: bewaar alleen het anonieme feitenrelaas en het besluit, verwijder persoonsgegevens actief.

Mag een melder om verwijdering vragen via de AVG?

Ja, maar het recht op gegevenswissing onder artikel 17 AVG kan worden beperkt als er een wettelijke bewaarplicht is. In dat geval bewaar je het dossier in geanonimiseerde vorm, en leg je uit waarom volledige verwijdering niet mogelijk is.

Hoe waarborg je de anonimiteit van het dossier melder?

Scheid persoonsgegevens van feiten zodra het onderzoek is afgerond. Gebruik pseudoniemen, bewaar identiteitsgegevens apart met versleuteling, en beperk toegang tot need-to-know. Controleer jaarlijks of de scheiding nog stand houdt.

Wat is het verschil tussen de klokkenluidersrichtlijn en de AVG?

De richtlijn regelt hoe je met meldingen omgaat (procedure, termijnen, ontvangstbevestiging). De AVG regelt welke persoonsgegevens je mag verwerken en bewaren. Samen vormen ze het kader voor zowel rechtsbescherming van de melder als dataminimalisatie voor de organisatie.

Een audit-bestendig klokkenluidersarchief is geen kwestie van meer papier of langere bewaarlijsten — het is een kwestie van strakke discipline. Door de EU-richtlijn, de AVG en je interne case management als één systeem te benaderen, voorkom je zowel datalekken als bewijskwetsbaarheid. Wacht niet tot een toezichthouder of onderzoeker langskomt om te ontdekken waar je archief lekt. Open een gratis 14-daagse proef en richt je archivering vandaag audit-bestendig in.