De soorten kopieën eerst uit elkaar halen
Het woord back-up wordt gebruikt voor verschillende bestanden: herstelkopieën, replicaties, exports, archieven en testdatabases. Een dagelijks raadpleegbaar archief is functioneel iets anders dan een afgesloten herstelkopie voor calamiteiten. Noem een actieve kopie daarom niet gemakshalve back-up om een verwijderverzoek uit te stellen.
Maak zichtbaar welke systemen kopieën maken, waar deze staan, wie toegang heeft en hoe lang zij behouden blijven. Ook een leverancier kan eigen herstelmechanismen hebben. Zonder deze inventaris is een belofte over verwijdering nauwelijks controleerbaar en kan een vergeten export de gehele afhandeling ondermijnen.
Technische moeite is geen algemene uitzondering
Artikel 17 AVG kent specifieke voorwaarden en uitzonderingen voor gegevenswissing. De enkele stelling dat de software geen individuele verwijdering uit een back-up ondersteunt, is geen zelfstandige wettelijke vrijstelling. Beoordeel welke maatregelen de rechten van betrokkenen daadwerkelijk beschermen en of de inrichting moet worden aangepast.
Een noodzakelijke back-upcyclus vraagt een onderbouwde duur en beveiligde toegang. Kopieën mogen niet tussendoor als handig historisch klantenbestand worden gebruikt. Als individuele wissing niet direct uitvoerbaar is, moeten de resterende verwerking, beperkingen en geplande verwijdering zorgvuldig worden beoordeeld en uitgelegd. Een onbeperkte technische wachtkamer is geen passende standaardoplossing.
Een herstelactie die een verwijderd account terugbrengt
Na een storing zet een webshop een database van twee weken eerder terug. In die periode zijn zeven verwijderverzoeken afgehandeld. Zonder aanvullende controle verschijnen de profielen opnieuw en worden oude e-mailvoorkeuren weer actief. Het probleem zit niet alleen in het bestaan van de back-up, maar in het ontbreken van een herstelprocedure die latere verwijderingen respecteert.
Een passend herstelproces houdt het teruggezette systeem eerst afgeschermd, past relevante verwijderingen opnieuw toe en controleert gekoppelde diensten voordat het weer beschikbaar komt. Het team documenteert wie deze stap uitvoert en welke controle bevestigt dat de zeven profielen niet opnieuw in productie worden gebruikt.
Een minimaal verwijderregister als technische maatregel
Om verwijderingen na herstel opnieuw toe te passen kan een beperkte registratie nodig zijn. Die bevat alleen wat nodig is om de betreffende gegevens te herkennen en de actie uit te voeren. Een volledig gekopieerd klantdossier onder de naam verwijderregister werkt het doel juist tegen.
Bepaal een passende identificator, grondslag, toegangsbeperking en bewaartermijn voor deze registratie. Bewaar haar niet langer dan nodig voor de relevante herstelvensters en eventuele verantwoording. Houd rekening met veranderende sleutels of samengevoegde accounts: een onbruikbare identificator geeft schijnzekerheid wanneer het systeem na herstel de verkeerde records verwijdert.
De verwerker moet zijn herstelcyclus kunnen uitleggen
Vraag een leverancier naar de duur van back-ups, uitfasering van oude media, toegangsrechten en de mogelijkheid om verwijderingen na herstel te herhalen. Een algemene verklaring dat gegevens veilig zijn, zegt niet wanneer zij verdwijnen. De afspraken uit artikel 28 AVG over verwijdering of teruggave moeten aansluiten op de technische praktijk.
Als meerdere subverwerkers kopieën bewaren, moet de hoofdverwerker die keten kunnen beheersen. Controleer welke bevestiging beschikbaar komt bij beëindiging van de dienst en welke wettelijke bewaarplicht eventueel een beperkte uitzondering rechtvaardigt. Een commercieel gewenst archief is niet hetzelfde als een wettelijke verplichting.
Eerlijk communiceren over actieve data en herstelkopieën
De reactie aan de betrokkene onderscheidt wat direct uit actieve systemen is verwijderd en welke resterende gegevens eventueel nog tijdelijk in afgeschermde herstelkopieën aanwezig zijn. Benoem de relevante waarborgen en termijn of concrete criteria. Gebruik geen bevestiging dat alles overal definitief weg is als de eigen beheerder dat niet kan onderbouwen.
Deze uitleg vervangt de juridische beoordeling van het verwijderverzoek niet. Eerst moet duidelijk zijn wat daadwerkelijk moet worden gewist en welke uitzondering eventueel geldt. De algemene afweging staat bij het recht op verwijdering; deze pagina behandelt de specifieke uitvoeringsproblemen van herstelkopieën.
Een periodieke herstelproef maakt de afspraak toetsbaar
Test met geschikte fictieve gegevens of een verwijderactie behouden blijft na terugzetten van een oudere versie. Controleer ook zoekindexen, caches en gekoppelde applicaties die opnieuw kunnen synchroniseren. De proef moet aantonen dat de technische maatregel werkt, zonder echte persoonsgegevens onnodig te verspreiden.
Leg afwijkingen vast met een verantwoordelijke en herstelactie. Bij een nieuwe back-upleverancier of langere bewaarronde moet de beoordeling worden herhaald. Zo blijft gegevenswissing onderdeel van bedrijfscontinuïteit en wordt een geslaagde technische restore niet ongemerkt een terugkeer van gegevens die de organisatie had moeten verwijderen.
Bronnen bij dit onderwerp
- EUR-Lex — Algemene verordening gegevensbeschermingGeraadpleegd op 2026-09-13