Name: Van der Ent Group
Brand: Van der Ent Group
SKU: Van der Ent Group
Rating: 9.2 (655 reviews)

Een verhuisbedrijf dat jouw fysieke archieven opslaat, verwerkt persoonsgegevens en valt daarmee onder de AVG. Je mag verwachten dat een professionele opslagpartner een verwerkersovereenkomst aanbiedt, de toegang tot de opslag beperkt tot bevoegd personeel, en duidelijke afspraken maakt over bewaartermijnen en vernietiging. Of een verhuisbedrijf AVG-proof werkt, herken je aan certificeringen, transparante procedures en een concrete aanpak voor gegevensbescherming.

In dit artikel beantwoorden we de meest gestelde vragen over AVG-compliant archiefopslag, zodat je precies weet waar je op moet letten bij het kiezen van een opslagpartner.

Welke AVG-verplichtingen gelden voor fysieke archiefopslag?

Fysieke archiefopslag valt onder de AVG zodra de opgeslagen documenten persoonsgegevens bevatten. Dat geldt voor personeelsdossiers, klantcontracten, patiëntendossiers en vrijwel elk zakelijk archief. De organisatie die de documenten aanlevert blijft verantwoordelijk voor de naleving van de AVG; de opslagpartij treedt op als verwerker.

Concreet betekent dit dat je als organisatie moet kunnen aantonen dat de opslag plaatsvindt onder passende beveiligingsmaatregelen. Denk aan fysieke toegangsbeveiliging, registratie van wie toegang heeft gehad, en afspraken over hoe lang documenten bewaard worden. De AVG verplicht je ook om een verwerkingsregister bij te houden, waarin de archiefopslag als verwerkingsactiviteit wordt vermeld, inclusief de naam van de opslagpartner.

Vergeet ook de meldplicht niet: als er een datalek plaatsvindt, bijvoorbeeld door diefstal of brand waarbij persoonsgegevens verloren gaan, moet je dit binnen 72 uur melden bij de Autoriteit Persoonsgegevens. Een goede opslagpartner helpt je dit risico te beperken door preventieve maatregelen, maar de meldplicht ligt altijd bij jou als verwerkingsverantwoordelijke.

Wat is een verwerkersovereenkomst en heb je die nodig bij een verhuisbedrijf?

Een verwerkersovereenkomst is een schriftelijke overeenkomst tussen jou als verwerkingsverantwoordelijke en de partij die namens jou persoonsgegevens verwerkt. Bij archiefopslag door een verhuisbedrijf is zo’n overeenkomst verplicht onder de AVG. Zonder verwerkersovereenkomst loop je als organisatie een serieus juridisch risico.

In de verwerkersovereenkomst leg je minimaal het volgende vast:

Het doel en de aard van de verwerking (in dit geval: opslag van fysieke archieven)
Welke categorieën persoonsgegevens worden opgeslagen
De beveiligingsmaatregelen die de opslagpartner treft
De geheimhoudingsplicht van medewerkers die toegang hebben
Afspraken over wat er met de documenten gebeurt bij beëindiging van de overeenkomst
Het recht om als opdrachtgever audits of inspecties uit te voeren

Een verhuisbedrijf dat professioneel archiefopslag aanbiedt, moet in staat zijn om een verwerkersovereenkomst aan te bieden of te accepteren. Vraag hier altijd expliciet naar. Als een aanbieder hier niet mee bekend is of het aanbod afwijst, is dat een duidelijk signaal dat ze niet de juiste partner zijn voor gevoelige archieven.

Hoe beveiligt een professioneel verhuisbedrijf jouw archieven?

Een professioneel verhuisbedrijf beveiligt fysieke archieven via een combinatie van toegangsbeveiliging, registratie en fysieke bescherming van de opslagruimte. Minimaal verwacht je camerabewaking, een afgesloten en alleen voor bevoegd personeel toegankelijke archiefruimte, en een registratie van wie wanneer toegang heeft gehad.

Goede opslagpartners gaan verder dan het minimum. Denk aan:

Brandwerende en waterbestendige opslagcondities
Klimaatbeheersing voor kwetsbare documenten
Een digitaal registratiesysteem zodat je altijd weet waar een doos of dossier zich bevindt
Gescreend en getraind personeel dat omgaat met vertrouwelijke documenten
Duidelijke procedures bij incidenten, zoals diefstal of brand

Vraag bij een potentiële partner ook naar hun ISO-certificeringen. ISO 9001 (kwaliteitsmanagement) en ISO 14001 (milieumanagement) zijn een goede indicatie van een gestructureerde en verantwoorde bedrijfsvoering. Dat zegt weliswaar niet alles over AVG-compliance, maar het laat zien dat de organisatie gewend is te werken met gedocumenteerde processen en externe audits.

Wat mag een verhuisbedrijf wel en niet doen met jouw archiefdocumenten?

Een verhuisbedrijf mag jouw archiefdocumenten uitsluitend opslaan en beheren in opdracht van jou, en alleen voor het doel dat in de verwerkersovereenkomst is vastgelegd. Het is verboden om documenten te openen, te kopiëren, door te sturen of op enige andere manier te gebruiken buiten die opdracht.

Concreet betekent dit:

Wel toegestaan: opslaan, verplaatsen, retourneren op jouw verzoek, vernietigen volgens afgesproken procedure
Niet toegestaan: inzage in de inhoud van documenten, het doorgeven van informatie aan derden, het bewaren van kopieën na beëindiging van de overeenkomst

Medewerkers van de opslagpartner mogen alleen toegang hebben tot de archieven als dat noodzakelijk is voor hun werkzaamheden. Dit heet het principe van minimale toegang, of in AVG-termen: dataminimalisatie. Een goede opslagpartner legt dit intern vast via autorisatiebeheer en gedragsprotocollen.

Let ook op subverwerkers. Als het verhuisbedrijf een deel van de opslag uitbesteedt aan een derde partij, moet dit expliciet in de verwerkersovereenkomst zijn opgenomen en moet jij als opdrachtgever hiermee hebben ingestemd.

Hoe lang mogen archieven worden opgeslagen en wie is verantwoordelijk voor vernietiging?

Hoe lang archieven bewaard mogen worden, hangt af van de wettelijke bewaartermijnen die gelden voor het type document. De verantwoordelijkheid voor het bepalen van die termijnen ligt bij jou als organisatie; de opslagpartner voert de vernietiging uit op jouw instructie en binnen de afgesproken kaders.

Enkele veelvoorkomende bewaartermijnen:

Fiscale documenten: minimaal 7 jaar
Personeelsdossiers: 2 jaar na uitdiensttreding (sommige onderdelen langer)
Medische dossiers: 20 jaar na de laatste behandeling (Wet op de geneeskundige behandelingsovereenkomst)
Contracten: minimaal 5 jaar na afloop

Na het verstrijken van de bewaartermijn moeten documenten met persoonsgegevens aantoonbaar worden vernietigd. Dat betekent niet in de papiercontainer gooien, maar gecertificeerde vernietiging waarbij een verklaring van vernietiging wordt afgegeven. Die verklaring bewaar je zelf als bewijs van naleving. Een professionele opslagpartner biedt dit als onderdeel van de dienstverlening aan en zorgt dat de vernietiging voldoet aan de normen, zoals NEN-EN 15713 voor veilige documentvernietiging.

Waar moet je op letten bij het kiezen van een AVG-compliant opslagpartner?

Een AVG-compliant opslagpartner herken je aan een combinatie van aantoonbare certificeringen, transparante procedures en de bereidheid om een verwerkersovereenkomst te sluiten. Kies nooit een opslagpartner die niet kan uitleggen hoe ze omgaan met vertrouwelijke documenten.

Controleer bij het selectieproces minimaal de volgende punten:

Verwerkersovereenkomst: Is de partner bereid en in staat om een volledige verwerkersovereenkomst te tekenen?
Toegangsbeveiliging: Wie heeft toegang tot de opslagruimte en hoe wordt dit geregistreerd?
Certificeringen: Beschikt de partner over relevante certificeringen zoals ISO 9001, ISO 14001 of VCA?
Vernietigingsprocedure: Biedt de partner gecertificeerde documentvernietiging met een officiële verklaring?
Incidentprocedure: Wat is het protocol bij een datalek of calamiteit?
Transparantie over subverwerkers: Wordt opslag (deels) uitbesteed en is dit vastgelegd?

Vraag ook naar praktische zaken zoals de mogelijkheid om op afroep documenten te laten retourneren, of er een digitaal overzicht beschikbaar is van wat er is opgeslagen, en hoe de opslagruimte is beveiligd tegen brand en water.

Bij Van der Ent Group bieden wij zakelijke archiefopslag aan in eigen, gecertificeerde opslagfaciliteiten, inclusief de benodigde administratieve ondersteuning voor AVG-compliance. Wil je weten wat wij voor jouw organisatie kunnen betekenen? Neem gerust contact op en we denken graag met je mee.

Veelgestelde vragen

Wat moet ik doen als mijn huidige opslagpartner geen verwerkersovereenkomst wil tekenen?

Als een opslagpartner weigert een verwerkersovereenkomst te tekenen, ben je verplicht om op zoek te gaan naar een andere partner. Zonder verwerkersovereenkomst handel je in strijd met de AVG, wat kan leiden tot boetes van de Autoriteit Persoonsgegevens. Zet de samenwerking niet voort totdat er een geldige overeenkomst is getekend, en documenteer je pogingen om dit te regelen als bewijs van goed gedrag.

Hoe kom ik erachter of mijn bestaande archiefopslag AVG-compliant is?

Begin met een interne audit: controleer of je een getekende verwerkersovereenkomst hebt met je huidige opslagpartner, of de bewaartermijnen per documenttype zijn vastgelegd, en of de opslaglocatie voldoet aan de minimale beveiligingseisen. Vraag je partner ook om een actueel overzicht van hun beveiligingsmaatregelen en eventuele certificeringen. Als er hiaten zijn, pak deze dan zo snel mogelijk aan en leg alle aanpassingen schriftelijk vast.

Wat zijn de risico's als ik mijn archieven niet AVG-compliant opsla?

De risico's zijn zowel juridisch als financieel: de Autoriteit Persoonsgegevens kan boetes opleggen tot 20 miljoen euro of 4% van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. Daarnaast loop je het risico op reputatieschade als er een datalek optreedt en blijkt dat je de basisverplichtingen niet had nageleefd. Ook kunnen betrokkenen, zoals medewerkers of klanten, schadevergoeding eisen als hun persoonsgegevens door nalatigheid zijn blootgesteld.

Moet ik ook rekening houden met de AVG als ik archieven laat ophalen en transporteren door een verhuisbedrijf?

Ja, de AVG-verplichtingen gelden ook tijdens het transport van fysieke archieven. Documenten met persoonsgegevens zijn kwetsbaar op het moment dat ze worden verplaatst, en ook voor dit deel van de dienstverlening moet de verwerkersovereenkomst van toepassing zijn. Zorg ervoor dat het verhuisbedrijf duidelijke procedures heeft voor veilig transport, zoals afgesloten transportmiddelen en een registratie van het vervoer, en dat dit expliciet in de overeenkomst is opgenomen.

Kan ik als kleine organisatie of zzp'er ook te maken krijgen met deze AVG-verplichtingen?

Ja, de AVG maakt geen onderscheid op basis van de omvang van een organisatie. Zodra je persoonsgegevens verwerkt en opslaat, gelden de verplichtingen ook voor kleine bedrijven en zzp'ers. In de praktijk betekent dit dat ook een kleine onderneming die personeelsdossiers of klantcontracten extern opslaat, een verwerkersovereenkomst nodig heeft. Het goede nieuws is dat veel professionele opslagpartners hier standaard in voorzien.

Hoe werkt gecertificeerde documentvernietiging en hoe bewijs ik dat het correct is uitgevoerd?

Gecertificeerde documentvernietiging houdt in dat documenten worden vernietigd door een erkende partij die werkt volgens de NEN-EN 15713-norm, waarbij papier wordt versnipperd tot een veiligheidsklasse die onleesbaar maken garandeert. Na de vernietiging ontvang je een officiële verklaring van vernietiging, die vermeldt welke documenten zijn vernietigd, op welke datum en door wie. Bewaar deze verklaring in je eigen administratie als aantoonbaar bewijs van naleving van de AVG-bewaartermijnen.

Wat moet ik doen als er een datalek plaatsvindt bij mijn opslagpartner?

Bij een datalek bij je opslagpartner geldt dat jij als verwerkingsverantwoordelijke de Autoriteit Persoonsgegevens binnen 72 uur moet informeren, ook al ligt de oorzaak bij de verwerker. Zorg er daarom voor dat je in de verwerkersovereenkomst hebt vastgelegd dat de opslagpartner jou onmiddellijk op de hoogte stelt bij een incident. Documenteer daarna alle stappen die je hebt genomen: de melding, de omvang van het lek, de betrokken personen en de maatregelen die zijn getroffen om herhaling te voorkomen.

AVG-proof archiefopslag: wat mag je verwachten van een verhuisbedrijf?