Hoe lang mag je WhatsApp-berichten bewaren onder de AVG?

"Hoe lang mogen we die WhatsApp-gesprekken bewaren?" is een vraag die bij veel KMO's pas opduikt nadat de data er al jaren staat — in een CRM, een support-tool, of simpelweg in webhook-logs die niemand ooit opruimt. De AVG geeft geen vast getal, maar wel een duidelijk principe: je mag data niet langer bewaren dan nodig voor het doel waarvoor je ze verzamelde. Dit artikel vertaalt dat principe naar concrete termijnen voor WhatsApp-communicatie.

Let op: dit is algemene informatie, geen juridisch advies. Raadpleeg voor je specifieke situatie een jurist of je DPO.

Het principe: opslagbeperking, geen vast getal

Artikel 5.1.e AVG noemt het de "opslagbeperking" (storage limitation): persoonsgegevens mogen niet langer worden bewaard dan noodzakelijk voor het doel van de verwerking. Er bestaat geen wettelijke tabel met "WhatsApp-berichten: 2 jaar". In plaats daarvan moet je per databron beargumenteren waarom je ze zo lang bewaart als je doet — en dat vastleggen in je verwerkingsregister. Hoe langer de termijn, hoe zwaarder die motivatie moet zijn.

Niet elke WhatsApp-data is gelijk

Het grootste misverstand is dat "WhatsApp-data" één blok is met één termijn. In de praktijk loopt een eenvoudige herinnering via vier verschillende databronnen, elk met een eigen logica:

• Berichtinhoud (de tekst van het bericht zelf, bewaard in jouw systeem of dat van je leverancier): bewaar dit zo lang als nodig voor het doel — meestal de duur van de klantrelatie of transactie, plus een redelijke buffer voor klachten.
• Verzend- en statusmetadata (wanneer verstuurd, afgeleverd, gelezen): nuttig voor debugging en support, maar zelden langer dan 12-24 maanden relevant.
• Opt-in/opt-out-bewijs: dit is de uitzondering — toestemmingsbewijs bewaar je juist zo lang mogelijk, want het is je verdediging als iemand later een klacht indient. Zie ook ons artikel over het bijhouden van een opt-in-logboek.
• Facturatie- en boekhouddata: als een WhatsApp-bevestiging aan een factuur hangt, geldt niet de AVG-opslagbeperking maar de wettelijke boekhoudtermijn (in België en Nederland doorgaans 7 jaar) — die termijn wint.

Een praktische checklist

1. Inventariseer waar WhatsApp-data landt. Niet alleen je eigen database, maar ook CRM, helpdesk-tool, en de webhook-logs van je API-leverancier.
2. Koppel elke bron aan een doel en een termijn. "Support-historiek bewaren we 12 maanden na laatste contact" is een motivatie; "voor altijd, voor de zekerheid" is dat niet.
3. Automatiseer de verwijdering. Een handmatige opruimactie die "ooit" moet gebeuren, gebeurt in de praktijk nooit. Bouw een cron-job of gebruik de retentie-instellingen van je tools.
4. Behandel opt-outs apart. Een STOP-verzoek moet de verzending blokkeren, maar het bewijs dat iemand zich afmeldde bewaar je net langer, niet korter. Onze pipeline verwerkt dit automatisch — zie STOP-berichten automatisch verwerken.
5. Documenteer het in je verwerkingsregister. Een toezichthouder vraagt niet "is 18 maanden goed", maar "waarom 18 maanden" — zorg dat je daar een antwoord op hebt.
6. Vergeet de inzage- en verwijderverzoeken niet. Zelfs binnen je bewaartermijn moet je kunnen reageren op een verzoek van een individu. Hoe dat eruitziet lees je in AVG-inzage- of verwijderingsverzoek over WhatsApp-data.

Wat TextMeFlow al voor je regelt

Een deel van deze opslagbeperking zit al in de infrastructuur in plaats van in jouw to-do-lijst:

• EU-hosting in Parijs: je data verlaat de EU niet, wat de juridische basis voor doorgifte vereenvoudigt.
• Automatische DPA op betaalde plannen: de verwerkersovereenkomst wordt mee ondertekend zodra je overstapt naar een betaald plan, zonder los traject. Meer daarover in onze gids over de verwerkersovereenkomst bij een WhatsApp API.
• Anti-spam pipeline met opt-out-afdwinging: rate limits, risicoscore, STOP-verwerking en quiet hours draaien op API-niveau — zie het volledige anti-spam beleid.

Wat TextMeFlow niet voor je kan beslissen, is hoe lang jij de berichtinhoud in je eigen CRM of ticketsysteem bewaart — dat blijft jouw verwerkingsverantwoordelijkheid als beheerder van die data.

Begin klein

Je hoeft niet in één keer een volledig retentiebeleid uit te schrijven. Begin met de databron waar de meeste persoonsgegevens zitten — meestal je CRM of helpdesk — en zet daar een automatische verwijderregel op. De rest volgt.

Wil je zelf ervaren hoe de anti-spam en opt-out-afhandeling werkt voordat je je eigen retentiebeleid uitschrijft? Start gratis met 50 berichten per maand, voor altijd — geen creditcard nodig.