Opbevaringsperiode og GDPR

GDPR-reglerne vedrørende opbevaring og sletning af personoplysninger er meget enkle: Det er ulovligt at opbevare personoplysninger længere end nødvendigt for behandlingsformålet. Men betyder det så, at man kan opbevare data så længe, som man føler, det er nødvendigt, og at man aldrig vil blive taget for det?

Nødvendig opbevaringsperiode

Det er korrekt, at du selv definerer, hvad der er den nødvendige opbevaringsperiode for de personoplysninger, du behandler. Men du skal også specificere opbevaringsperioden i behandlingsprotokollen. Det betyder, at du for alle behandlinger skal oplyse, hvor lang tid du vil opbevare dataene. Dette skal være et konkret tidsinterval i uger/måneder/år, og du kan ikke skrive "så længe det er nødvendigt". Det skyldes, at du altid skal tage stilling til, hvor længe det er nødvendigt at opbevare alle personoplysninger, du behandler. Du skal også kunne dokumentere, at behovet for at opbevare dataene i den ønskede periode er reelt. Du kan ikke skrive, at du opbevarer data i 10 år, hvis du ikke kan dokumentere et reelt behov. Her skal du også afveje din virksomheds behov mod brugerens/kundens behov for databeskyttelse. I de fleste tilfælde er det sådan, at jo ældre dataen er, jo mindre relevant er den for virksomheden, og på et tidspunkt er det klart, at virksomhedens behov er mindre vigtigt end hensynet til brugerens/kundens databeskyttelse.

Sletningsprocedurer og kontrol

Du bør også kunne dokumentere kontrol- og sletningsprocedurer, der sikrer, at personoplysninger slettes i henhold til din virksomheds behandlingsprotokol. Den bedste rutine er selvfølgelig at implementere automatiserede sletningsprocedurer, men det er ikke et krav, da sletningsprocedurer også kan være manuelle.

Anonymisering er et alternativ til sletning

Et alternativ til sletning af personoplysninger er anonymisering, men det er vigtigt, at processen med at anonymisere dataene faktisk gør dataene 100% anonyme. Nogle har en misforståelse om, at det er tilstrækkeligt at slette identificerende data, men det er langt fra nok. Læs mere om anonymisering og pseudonymisering her.

Hvor længe kan personoplysninger opbevares?

I tabellen nedenfor har vi angivet nogle eksempler på, hvad vi mener er en acceptabel opbevaringsperiode. Men husk, at du selv skal foretage din egen vurdering for din virksomhed.