Recht op vergetelheid en bestanden delen: wat je moet weten

AVG Artikel 17 (recht op vergetelheid) verplicht platforms voor het delen van bestanden en hun klanten om persoonsgegevens op verzoek binnen één maand te verwijderen, inclusief kopieën bij subverwerkers en in back-ups, tenzij een specifieke uitzondering van toepassing is. Voor bestandsoverdrachten betekent dit dat je een verwijderingsmechanisme nodig hebt dat elke opslaglaag bereikt — hot objectopslag, CDN-caches, cold back-ups en downstreamontvangers die het bestand hebben gedownload. Diensten met automatisch verloop na 7–30 dagen verwerken de meeste verwijderingsverzoeken standaard; diensten die bestanden voor onbepaalde tijd bewaren, hebben een gedocumenteerde en testbare verwijderingsworkflow nodig.

Wat Artikel 17(1) werkelijk vereist

Artikel 17(1) noemt zes gronden die verwijdering activeren: gegevens zijn niet langer noodzakelijk voor het oorspronkelijke doel (a), de betrokkene trekt toestemming in (b), de betrokkene maakt bezwaar op grond van Artikel 21 en er is geen zwaarder wegende gerechtvaardigde grond (c), data is onrechtmatig verwerkt (d), wettelijke verplichting tot verwijdering (e), en kinderdata verzameld op grond van Artikel 8(1) (f). Voor het delen van bestanden domineren (a) en (b). Het standaard "noodzakelijk voor het doel"-venster voor een klantlevering is de projectduur plus een korte staart voor geschillenbeslechting — zelden meer dan 12 maanden.

De termijn van één maand voor reacties

Artikel 12(3) geeft verwerkingsverantwoordelijken één maand om te reageren op een verzoek van een betrokkene, verlengbaar met twee maanden voor complexe gevallen met kennisgeving aan de betrokkene. Dat is de reactietermijn, geen technische verwijdertermijn. Maar als je drie weken na ontvangst nog handmatig bestanden verwijdert via JIRA-tickets, loop je het risico te laat te zijn. Diensten met API-gedreven verwijdering — DELETE /transfers/{id} die 204 retourneert — laten je de termijn halen zonder overwerk. Bouw de verwijderingsoproep in je AVG-verzoekintakeformulier zodat die automatisch afgaat wanneer een ticket wordt goedgekeurd.

Back-ups, caches en het "cascade"-probleem

Een bestand verwijderen uit primaire opslag verwijdert het niet uit de back-up van gisteren, de CDN-edge-cache van vorige week of de laptop van de ontvanger. De EDPB-richtlijnen over Artikel 17 (gepubliceerd 2019, herzien 2022) accepteren dat back-ups kunnen achterlopen maar vereisen een gedocumenteerd verwijderingsschema — doorgaans volledige rotatie binnen 90 dagen — en een toezegging dat back-updata niet wordt hersteld naar actieve systemen. Voor CDN-caches moeten invalidatieoproepen (Cloudflare's purge API, AWS CloudFront invalidation) onderdeel zijn van de verwijderingspipeline. Voor ontvangerexemplaren: informeer op grond van Artikel 17(2) en documenteer de kennisgeving.

Linkvervaldatum als structurele verwijdering

De schoonste nalevingsroute is geen bestanden te bewaren langer dan nodig. Diensten gebouwd rond kortlevende links — SwissTransfer bij 30 dagen, Firefox Send bij 1–7 dagen voor het sloot, WeTransfer Free bij 7 dagen, HexaTransfer bij 7 dagen — verwijderen automatisch ongeacht of iemand erom heeft gevraagd. Dit is "privacy by design" op grond van Artikel 25: de standaard minimaliseert bewaring. Als je een overdrachtstool bouwt of kiest: standaard vervaldatum onder 30 dagen maakt de meeste verwijderingsverzoeken irrelevant omdat het bestand er al niet meer is.

Uitzonderingen op grond van Artikel 17(3)

Artikel 17(3) noemt vijf uitzonderingen: vrijheid van meningsuiting (a), wettelijke verplichtingen inclusief bewaarregels (b), volksgezondheidsbelang (c), archivering voor publiek belang, wetenschappelijk of historisch onderzoek (d), en vaststelling of verdediging van rechtsvorderingen (e). Bij het delen van bestanden komen (b) en (e) voor. Een PDF-contract gedeeld met een klant kan zeven jaar bewaard moeten worden op grond van btw-regelgeving of tien jaar op grond van het handelswetboek — documenteer de bewaarwet, pseudonimiseer waar mogelijk en verwijder niet op verzoek. Documenteer de weigering schriftelijk met rechtmatige grondslag.

Cryptografische verwijdering voor manipulatievaste opslag

Sommige opslagsystemen (onveranderlijke objectopslag, WORM-back-ups, bepaalde blockchain-aangrenzende archieven) kunnen data fysiek niet overschrijven. Cryptografische verwijdering — het vernietigen van de versleutelingssleutel zodat versleutelde tekst onherstelbaar wordt — wordt door ENISA en de EDPB geaccepteerd als equivalent aan verwijdering voor AVG-doeleinden, mits het cijfer sterk is (AES-256-GCM of beter) en de sleutel goed was beveiligd. Diensten die per-bestand of per-overdrachtssleutels gebruiken, kunnen verwijdering uitvoeren door de sleutel te verwerpen, waardoor versleutelde tekst achterblijft die niemand kan ontsleutelen. Dit is sneller dan het overschrijven van terabytes en werkt op onveranderlijke systemen.

Verwijderingslogboeken en de verantwoordingsplicht

Artikel 5(2) vereist dat verwerkingsverantwoordelijken naleving kunnen aantonen. Verwijderingslogboeken zijn je bewijs. Registreer voor elke verwijdering: verzoekdatum, betrokkene-identificator, ticketreferentie, getroffen systemen (primaire opslag, back-ups, CDN, ontvangerslijst), verwijderingsmethode (API-oproep, sleutelvernietiging, overschrijven), tijdstempel van voltooiing en uitvoerder. Zes maanden bewaring van het logboek zelf is een gebruikelijke basislijn. Sommige aanbieders stellen een "Bevestiging recht op vergetelheid"-PDF ter beschikking die je aan de betrokkene kunt doorsturen. Hoe dan ook: bewaar het papiertraject zo lang als toezichthoudende autoriteitsonderzoeken aannemelijk zijn — doorgaans drie jaar.

Gedeelde mappen en downstreamontvangers

Een bestand gestuurd naar vijf ontvangers leeft in vijf mailboxen plus vijf lokale harde schijven. Artikel 17(2) vereist dat verwerkingsverantwoordelijken redelijke stappen nemen — inclusief technische maatregelen — om andere verwerkingsverantwoordelijken die de data verwerken te informeren dat verwijdering is gevraagd. "Redelijk" schaalt met risico. Voor een openbare samenvatting gestuurd naar 50 journalisten is "redelijk" vrijwel nul. Voor een medisch rapport gestuurd naar drie specialisten is het een e-mail aan elk met het verzoek te verwijderen. Registreer de kennisgevingen; de verplichting is inspanning, geen succes.

Kinderdata en strengere drempels

Op grond van Artikel 17(1)(f) krijgen persoonsgegevens verzameld van kinderen op grond van Artikel 8(1) — waarbij ouderlijke toestemming vereist was voor informatiesamenlevingsdiensten — voorkeursbehandeling bij verwijdering. Als het bestandsoverdrachtplatform een marketingcampagne uitvoerde waarbij contactgegevens van kinderen werden verzameld (ongebruikelijk maar niet onmogelijk), moeten verwijderingsverzoeken worden ingewilligd zonder de gebruikelijke afweging. Nationale wetten verlagen de Artikel 8-leeftijdsdrempel in sommige lidstaten (13 in Zweden en het VK, 15 in Frankrijk, 16 in Duitsland). Aanbieders die zich richten op de onderwijsmarkt hebben workflows nodig die verzoeken van ouders namens minderjarigen verwerken.

Verwijdering automatiseren met je overdrachtstool

Het efficiënte patroon is één API-endpoint dat, gegeven een gebruikersidentificator, alle overdrachten waarbij die gebruiker betrokken is (als afzender of ontvanger-e-mail) opsomt, ze verwijdert over primaire en cachelagen, CDN-edges invalideert, back-upsuppressie activeert en een nalevingskwitantie uitgeeft. Tresorit, Proton Drive en Box Enterprise bieden varianten hiervan. Het model van HexaTransfer — automatisch verloop na 7 dagen met client-side versleuteling — vereenvoudigt het probleem: de meeste bestanden zijn al weg wanneer verzoeken binnenkomen, en resterende versleutelde tekst is nutteloos zonder de sleutel die de gebruiker bezit.

Ontwerp voor verwijdering eerst en het recht op vergetelheid lost zichzelf op. Probeer het op hexatransfer.com — gratis, zonder account, tot 10 GB.