オランダ法におけるデータ保持期間：顧客データをどのくらいの期間保持できますか？

オランダの法律は、顧客データの保管に関して二面的なアプローチをとっている。税法では、財務書類などの業務記録は少なくとも7年間保管しなければならない一方、GDPR（一般データ保護規則）に基づく個人データは、本来の目的のために必要な期間を超えて保管してはならない。

これにより、法的義務の遵守とプライバシー権の尊重の間で慎重なバランスが保たれます。

多くの組織は、さまざまな種類の顧客情報を合法的にどれくらいの期間保管できるかを正確に把握するのに苦労しています。そのルールは、財務記録、従業員データ、あるいは一般的な顧客情報など、扱う情報によって異なります。

一部の保存期間は特定の法律によって定められていますが、その他の保存期間はビジネスニーズに基づいて合理的な決定を下す必要があります。

このガイドでは、オランダにおけるデータ保持を管理する法的枠組みについて説明し、組織に適切な保持スケジュールを決定する方法を示します。

さまざまなデータ タイプに関する法定要件、データ削除を適切に管理する方法、顧客が情報に関して持つ権利について学習します。

オランダ法におけるデータ保持の基本原則

オランダの法律では、顧客データを保持する際に、次の3つの重要な原則に従うことが求められています。データは本来の目的のためにのみ保持すること、必要最小限のデータを収集すること、そしてデータ保持の決定を明確に文書化することです。

個人データ処理における目的制限

個人データは、収集した特定の目的のためにのみ保持することができます。注文処理のために顧客情報を収集した場合、別途マーケティング目的で同意を得ていない限り、そのデータを無期限に保持することはできません。

GDPRでは、データを収集する前に明確な目的を定義することが義務付けられています。その目的が達成された時点で、データを保持する法的根拠も消滅します。

例えば、顧客との取引が完了し、法定保存期間が満了したら、他に正当な目的がない限り、顧客データを削除しなければなりません。

有効な法的根拠なしに古いデータを再利用することはできません。事業状況の変化により、既存の顧客データを新たな目的で使用したい場合は、それが当初の収集目的に準拠しているかどうかを評価するか、新たな同意を得る必要があります。

データ最小化と必要性

目的を達成するために必要な最小限の個人データのみを収集・保管する必要があります。つまり、「後で役に立つかもしれないから」という理由で顧客情報を保管しておくことはできません。

オランダの税法では、財務記録を7年間保管することが義務付けられています。ただし、これはすべての顧客情報を7年間保管できるという意味ではありません。

法律で保管が義務付けられている情報と、他の目的で収集した情報を区別する必要があります。

オランダデータ保護局は、保存されているデータを定期的に確認することを求めています。ご自身に問いかけてみてください。この情報はまだ必要ですか？個人を特定できる形で保管するのではなく、匿名化することはできますか？

答えが「いいえ」の場合、データを削除するか匿名化する必要があります。

透明性と説明責任

データの保存期間を文書化し、その理由を説明する必要があります。オランダデータ保護当局は、この情報の開示を要求し、あなたの決定が妥当かどうかを審査します。

プライバシーステートメントでは、顧客のデータをどれくらいの期間保管するかを明確に伝える必要があります。保管期間が終了した場合、または情報が不要になった場合は、顧客には削除を要求する権利があります。

プライバシーポリシーには、データの保持期間を明確な理由とともに記載する必要があります。これは監査時の保護に役立ち、顧客がデータ取り扱い方法を理解するのに役立ちます。

顧客がデータの保存期間が長すぎると考える場合は、オランダのデータ保護局に苦情を申し立てることができます。

保存期間を規定する法的枠組み

オランダにおけるデータ保持の法的枠組みは、欧州法と国内法を組み合わせたもので、GDPR が基礎を設定し、オランダの法律が特定の要件を追加しています。

アイルランド個人データ保護庁（Autoriteit Persoonsgegevens）は法令遵守を監督する一方、企業は法的義務とデータ保護原則とのバランスを取らなければならない。

GDPRとオランダの実施法

オランダにおけるデータ保持の主な法的根拠は、一般データ保護規則（GDPR）です。GDPRでは、顧客データの具体的な保持期間は規定されていません。

代わりに、個人データを処理する目的に必要な期間を超えて個人データを保持してはならないという原則を定めています。

規則が加盟国に委ねている部分を補完する国内法は、Uitvoeringswet AVG（UAVG）です。UAVGはデータ保持期間を独自に定めるものではなく、刑事法データの処理、監督機関の立場、子どもが同意できる年齢といった事項を規定しています。具体的な年数が定められている場合は、税法、雇用法、医療法、あるいは業界別行動規範など、他の法令に基づいています。

この区分は実際には重要です。規則では、個人データを必要以上に長く保持してはならないと規定しており、特定の法令では、特定の記録をどのくらいの期間保持しなければならないかを規定しています。どちらももう一方の疑問には答えておらず、どちらか一方だけを引用した保持スケジュールは不完全です。

プライバシーポリシーには、データの保持期間を明記し、その理由を説明する必要があります。また、プライバシーに関する声明の中で、データ主体に対し、データの保持期間を通知しなければなりません。

オランダデータ保護機関の役割

オランダの個人情報保護当局（AP）は、データ保持要件を施行する機関です。APは、データ保持期間が処理目的に合理かつ必要かどうかを評価します。

APがデータ処理方法を調査する際、保管期間の正当性を証明する書類を提出する必要があります。APは、正当な理由に基づき、個人データを可能な限り短期間保管しているかどうかを評価します。

保存期間が経過してもデータが削除されない場合、個人はAPに苦情を申し立てることができます。APはこれらの苦情を調査し​​、データ保護法に違反した場合には強制措置を講じる権限を有します。

法定保管義務と自己決定保管義務

オランダ法では、法定の強制的な保存期間と、お客様が独自に決定する保存期間が区別されています。特定の法令によりより長い保存期間が求められる場合、法定の保存期間はGDPRの原則よりも優先されます。

オランダの税法では、財務記録は7年間保管しなければならない。この要件は、GDPRの最小化原則とは関係なく適用される。

従業員データには、情報の種類と目的に応じて、必須の保存期間が異なります。

法定要件のない顧客データについては、処理目的に基づいて適切な保持期間を決定します。未払い請求書の監視、契約の履行、その他の正当なビジネスニーズのために、データがどのくらいの期間必要かを考慮する必要があります。

業界団体は、業界内の一般的な保存期間を概説した行動規範を通じてガイダンスを提供する場合があります。

適切な保存期間の決定

保持期間の設定には、法的義務、運用上のニーズ、GDPRの要件を慎重に評価する必要があります。ビジネス目的を満たすのに十分な期間データを保持しつつ、必要以上に長く保持しないようにバランスを取る必要があります。

合法的な目的と期間の評価

各保持期間を、データを収集した目的に直接関連付ける必要があります。GDPR の目的制限の原則により、顧客データを無期限に保持することはできません。

本来の目的を達成するために、その情報が本当にどれくらいの期間必要かを自問してください。

オランダの税法では、財務記録は通常7年間の保管が義務付けられています。ただし、マーケティング目的のみに使用される顧客連絡先情報は、1～2年しか保存されない場合があります。

各データ カテゴリを個別に評価する必要があります。

法的手続きにより、より長期間の保管が必要になる可能性を検討してください。顧客との紛争が継続中の場合は、問題が解決するまで関連データを保管する必要があるかもしれません。

ただし、目的の期限が切れた場合は、情報を削除するか匿名化する必要があります。

業界団体によっては、特定の業界向けに推奨される保管スケジュールを公開している場合があります。これらのガイドラインは、同業他社が妥当と考える保管スケジュールを判断するのに役立ちます。

オランダのデータ保護当局は、選択した期間が明示された目的に比例しているかどうかを評価します。

保管に関する規定を文書化する

保存期間を記録し、その期間を選択した理由を説明する必要があります。この文書は、オランダのデータ保護当局からデータの保存期間に関する質問を受けた場合、お客様を保護するためのものです。

処理する顧客データの種類ごとに特定の期間を含めます。

社内のデータ保持ポリシーには、すべてのデータカテゴリとそれに対応する保持期間を記載する必要があります。例：

プライバシーステートメントでは、データ主体に対し、情報の保管期間について明確に伝える必要があります。顧客が理解しやすい明確な言葉遣いを心がけてください。

「必要な限り」のような漠然とした表現は、GDPR の透明性要件を満たしません。

業務、法律、ビジネス上のニーズのバランスを取る

保存スケジュールを設定する際には、相反する要求に直面します。運用効率の観点から、すべてのデータを永続的に保存し、簡単にアクセスできるようにすることが望ましい場合があります。

ただし、GDPR では可能な限り短い保存期間が要求されます。

法的義務により、無視できない最低保管期間が定められています。税務記録は、お客様のご希望に関わらず7年間保管する必要があります。

雇用関連データには特定の規則があり、ほとんどの人事情報は雇用終了後 2 年間に制限されています。

ビジネスニーズによっては、直接的な目的を超えてデータを保持することが正当化される場合があります。返品や保証請求に対応するために、購入履歴を保存することも考えられます。

未払いの請求書は監視する必要があり、支払いが行われるまで関連する顧客データを保持する必要があります。

データ主体は、その情報が不要になった場合、または法定期間が終了した場合に削除を要求することができます。

保存されたデータは定期的に確認し、保存期間を過ぎたものは削除する必要があります。自動削除システムを利用することで、手動による監視を必要とせず、コンプライアンスを確保できます。

データタイプ別の法定保存期間の概要

オランダ法では、ビジネスデータの種類ごとに特定の最低保存期間が定められています。税法では、ほとんどの財務記録について7年間の保存期間が定められていますが、雇用データと医療データはそれぞれ独自の期限を持つ別の法的枠組みに従っています。

財務および税務記録

オランダの税法では、ほとんどの財務記録を7年間保管することが義務付けられています。この保管義務は、売買記録、請求書、銀行取引明細書、年次決算書に適用されます。

7 年間の期間は、記録が作成された会計年度の末から始まります。

クレジットカードとデビットカードもこの7年間の要件の対象となります。これには、元帳、仕訳帳、および事業取引を証明する関連書類が含まれます。

日常業務に必要なくなった場合でも、保存期間が終了する前にこれらのレコードを削除または破棄することはできません。

レジ記録とPOSデータも同様に7年間保存する必要があります。税務当局は監査や調査の際にこれらの文書の提出を要求する場合があります。

適切な記録を保持しなかった場合、オランダの税務署から罰金または罰則が科せられる可能性があります。

人事および従業員データ

給与管理は、他の会計書類と同様に7年間の保管義務の対象となり、その期間は雇用終了日ではなく、関連する会計年度末から起算されます。ただし、給与税申告書と身分証明書の写しについては、雇用終了年度末から5年間保管するという、より短い別の規則が適用されます。

これらの書類は、税務上の目的や、賃金や給付金に関する潜在的な紛争のために必要になります。

人事ファイル自体には、法定保存期間は一切定められていません。オランダのデータ保護当局は、雇用終了後2年間をファイル全体の保存期間の目安としていますが、これは法令に基づくものではなく、必要性の原則に基づくものです。

求人応募は個別に、より厳格に扱われます。当局は、不採用となった応募者のデータは選考終了後4週間以内に削除することを求めており、応募者が同意した場合に限り、最長1年間の保管を認めています。応募者のデータを2年間の人事記録期間に組み込むことは、よくある、しかし避けるべき間違いです。

診断書や病気休暇記録は、通常2年後など、より早く破棄される場合もある。

業績評価や懲戒記録は、より短い保存期間で済みます。これらの記録は、雇用関係に関連性がある限りにおいてのみ保存すればよいのです。

従業員が退職した場合、法的訴訟が進行中でない限り、通常は 1 ～ 2 年以内にこれらを削除できます。

医療および医療記録

オランダの医療法では、医療記録は少なくとも20年間保管することが義務付けられています。この長期保管期間は、過去の治療について疑問が生じた場合に、患者と医療提供者の両方を保護するものです。

未成年者に関する記録など、一部の記録はさらに長期間保存する必要がある場合があります。

患者ファイルには、診断情報、治療計画、検査結果、通信などが含まれます。これらは安全に保管し、許可されたスタッフのみがアクセスできるようにする必要があります。

保存期間が終了したら、不正アクセスを防ぐ方法で記録を破棄する必要があります。

薬局の記録も同様の規定の対象となります。以前の指針で言及されていた15年間という期間は、法定保存期間が20年に延長された際に置き換えられたため、15年間という期間を依然として引用している資料は参考にすべきではありません。

医療に関連する保険金請求や請求書記録も、長期間の保管が必要です。

教育および法律文書

教育機関は、文書の種類に応じて一定期間、学生の記録を保管しなければなりません。卒業証書や学位記は公文書法の対象となり、永久に保管する必要があります。

これらの記録は資格を証明するものであり、元の学生が複製を要求することを可能にします。

試験結果と成績は、学生が学業を修了してから少なくとも2年間は保管する必要があります。コース登録と出席記録は通常、学年度終了後1～2年程度と、より短い期間で保管する必要があります。

契約書や通信文書自体には、法定の保存期間は定められていません。判断の基準となるのは、それらから生じる請求権の時効期間です。ほとんどの契約上の請求権については、債権者が請求権および債務者の存在を知った日から5年間が時効期間となり、最長期間は20年です。したがって、契約期間と適用される時効期間を合わせて契約書を保管することは、正当な保管方法であり、監督当局にも説明できます。一方、便宜上一定年数だけを保管することは、正当な保管方法とは言えません。

公正証書は正式な法的証明となるため、永久に保管する必要があります。

データ削除と破棄の管理

保存期間が終了したら、システムから個人データを積極的に削除する必要があります。オランダの法律では、保存期間が経過してもデータを保存しなければならない状況を考慮しつつ、データの削除方法に細心の注意を払い、破棄方法を適切に文書化することが義務付けられています。

削除準備が整ったデータの特定

保存されている顧客データを定期的に確認し、どの情報が保存期間の終了に達したかを特定する必要があります。様々なカテゴリーのデータがいつ収集され、いつ削除対象になったかを追跡するシステムを構築しましょう。

これには、顧客記録、通信、取引の詳細、マーケティングの好みなどが含まれる可能性があります。データベースとファイリングシステムを少なくとも四半期ごとにチェックするスケジュールを作成してください。

多くの組織では、削除日が近づいているデータにフラグを付けたり、保存期間の終了時にアラートを送信したりする自動ツールを使用しています。バックアップサーバーやアーカイブファイルなど、システム全体にわたって顧客データがどこに保存されているかを明確に把握しておく必要があります。

データ処理チームは、異なるデータタイプに適用される保存期間を理解する必要があります。オランダの税法では財務記録は7年間の保存が義務付けられていますが、マーケティング同意データは、関係が継続している間のみ保存が必要となる場合があります。

オランダのデータ保護当局がコンプライアンスを検証できるように、レビュー プロセスを文書化します。

安全かつ法令遵守に準拠した廃棄方法

個人データは、復元不可能な方法で破棄する必要があります。単にファイルをごみ箱に移動したり、データベースのエントリを削除したりするだけでは、オランダの法的要件を満たしません。

デジタルデータの場合は、情報を複数回上書きする安全な削除ソフトウェアを使用するか、ストレージデバイスを物理的に破壊してください。顧客データを含む紙の記録は、クロスカットまたはマイクロカットシュレッダーで裁断する必要があります。

顧客情報を通常のゴミ箱に捨てないでください。大量のデータの場合は、破壊証明書を発行する認定破壊サービスのご利用をご検討ください。

適切な破壊方法は次のとおりです。

• デジタルファイルの安全な削除ソフトウェア
• ハードドライブおよびストレージメディアの物理的な破壊
• 紙文書のクロスカットシュレッディング
• 磁気記憶装置の消磁
• 認定された第三者による破壊サービス（文書付き）

データをいつ、どのように破棄したかを記録してください。オランダデータ保護局は、保存期間終了後に顧客情報を適切に削除したことを証明するよう求める場合があります。

例外処理と法的保留

保存期間が過ぎてもデータを削除できない場合があります。法的手続き、進行中の調査、係争中の紛争などにより、問題が解決するまで関連する顧客データを保存する必要がある場合もあります。

影響を受けるデータについては、通常の削除スケジュールを一時停止する法的保留プロセスを実施する必要があります。削除できないデータとその理由について、各法的保留に関する具体的な詳細を文書化してください。

保留が開始されたら、データ処理チームに直ちに通知し、必要な情報を誤って破棄しないよう注意してください。有効な保留を定期的に確認し、法的根拠が終了した場合は速やかに解除してください。

顧客からの苦情や規制当局からの問い合わせがあった場合も、データ削除義務は一時停止されます。オランダのデータ保護当局に貴社に関する苦情が申し立てられた場合、当局が問題を解決するまで、そのデータを保持する必要があります。

特定のデータが通常の期間を超えてシステム内に残っている理由を明確に記録しながら、これらの例外と、より広範なデータ保持ポリシーのバランスをとってください。

データ主体の権利と組織のコンプライアンス

GDPRに基づき、データを処理する個人には特定の権利があり、その要求には定められた期限内に応じる必要があります。また、組織は適切な文書を保管し、GDPR（欧州個人データ保護庁）が定める監督要件を遵守する必要があります。

消去権およびデータ主体からの要求

データ主体は、保持期間が終了した場合、または当初の目的において情報が不要になった場合、個人データの削除を要求することができます。これらの削除要求には、受領後1ヶ月以内に応答する必要があります。

要求を拒否する場合は、データ主体にその理由を説明する必要があります。また、要求されたデータを削除しない場合は、オランダデータ保護局に苦情を申し立てることもできます。

データ主体は、個人情報が長期間保持されていると考える場合、異議を申し立てる権利を有します。処理が面倒だからといって、これらの要求を無視することはできません。

組織は、データ主体からの要求を処理するための明確なプロセスを確立する必要があります。これには、要求者の身元確認や、法定の保持期間が引き続き適用されるかどうかを確認することが含まれます。

GDPR への準拠を証明するには、すべてのリクエストと応答を文書化する必要があります。

データ保持慣行を通じてGDPRへの準拠を確保する

保存期間を記録し、特定の期間を選択した理由を説明する必要があります。この情報をプライバシーポリシーに記載しておけば、個人情報保護庁（Autoriteit Persoonsgegevens）から問い合わせがあった際に、その理由を示すことができます。

当局は、保管期間が合理的かつ可能な限り短いかどうかを評価します。プライバシーステートメントには、さまざまな種類の個人データを保管する期間を明確に記載する必要があります。

この透明性は、データ主体があなたの慣行を理解するのに役立ちます。また、保存されている個人データを定期的に確認し、保存期間を過ぎた情報を特定する必要があります。

保存期間が終了したら、データを安全に破棄するか、完全に匿名化する必要があります。医療データなどの機密情報の場合は、安全な破棄方法を使用する必要があります。

デジタル システムは、コンプライアンスを維持するために、事前に決められた時間にデータを自動的に削除できます。

当局による報告と監督

英国個人情報保護庁（Autoriteit Persoonsgegevens）は、組織がデータ保持に関するGDPRの要件を遵守しているかどうかを監視します。組織は、データの保持方法を調査し、保持期間と削除手順に関する文書の提出を求めることができます。

お客様は、これらの機関の調査に協力し、要求された情報を提供する義務があります。個人データに関するデータ侵害が発生した場合は、72時間以内にオランダデータ保護局に報告する必要があります。

侵害がデータ主体の権利と自由に重大なリスクをもたらす場合、影響を受けるデータ主体に直接通知する必要があります。これには、差別、詐欺、金銭的損害、評判の毀損などのリスクが含まれます。

所属する業界団体は、業界における標準的なデータ保持期間に関するガイダンスを提供している場合があります。業界で認められた基準に従うことで、コンプライアンス遵守の取り組みを強化できます。

ただし、お客様の特定の状況と法的義務に基づいて適切な保持期間を決定する責任はお客様に残ります。

よくある質問