Hva sier personopplysningsloven om lagring?

Hva sier personopplysningsloven om lagring?: Oppbevaringstid og sletting

Hva sier personopplysningsloven om lagring fastsetter klare regler for hvor lenge personopplysninger kan oppbevares. Korrekt håndtering reduserer risikoen for brudd på personvern og beskytter individers rettigheter. Det er viktig å følge retningslinjene nøye for å sikre at informasjon ikke lagres unødvendig og for å unngå potensielle konsekvenser.

Utfordringer med å gjennomføre faktiske sletterutiner

Her er den spesifikke feilen jeg nevnte helt i starten: Mange bedrifter sletter data fra hovedsystemet, men glemmer fullstendig at sikkerhetskopiene (backups) fortsatt inneholder de samme personopplysningene i flere år. Dette utgjør en enorm risiko knyttet til lagringstid personopplysninger.

Loven krever informasjonssikkerhet. Dataene må lagres konfidensielt og sikres mot uautorisert tilgang, endring eller tap. Dette krever ofte at opplysningene er passordbeskyttet, kryptert eller tilgangsstyrt. Men sikkerhet betyr også at data skal dø når de skal, i henhold til prinsippet om GDPR lagringsbegrensning.

Den registrerte har rett til innsyn og retting. De har rett til å få vite hvilke opplysninger som er lagret om seg, og kreve feilaktige opplysninger rettet eller slettet. Kravene til når skal personopplysninger slettes er krystallklare. Hvis en kunde krever sletting, og dataene gjenoppstår neste uke fordi noen rullet tilbake en sikkerhetskopi, har bedriften et alvorlig overholdelsesproblem.

Sammenligning av Lagringsgrunnlag

Når du vurderer lagringstid, må du først identifisere hvilket juridisk grunnlag du bruker for å behandle opplysningene.

Samtykke

- Nyhetsbrev og direkte markedsføring

- Gyldig inntil formålet er oppnådd eller kunden trekker samtykket tilbake

- Må slettes umiddelbart når samtykket trekkes

Lovkrav ⭐ (Klart og tydelig)

- Fakturaer, lønnskjøring og pasientjournaler

- Definert av særloven, typisk 5 år for regnskapsdata

- Slettes når den lovpålagte perioden utløper

Legitim interesse

- Sikkerhetslogger og svindelforebygging

- Løpende vurdering av om bedriftens behov veier tyngre enn personvernet

- Krever hyppige revisjoner og dokumentert interesseavveining

Opprydding i inaktive systemer hos konsulentbyrået

Jens, en HR-leder i en mellomstor bedrift i Oslo, slet med frykt for sletting av data som kunne være nødvendig for dokumentasjon senere. De hadde over 200 gigabyte med gamle e-poster, sykemeldinger og kundedialoger fra 2015 liggende på serveren.

Han prøvde først å bare arkivere alt i en skjult mappe for å være på den sikre siden. Resultatet ble et fullstendig uoversiktlig system, og da en tidligere ansatt krevde innsyn i sine data, tok det teamet fire dager å manuelt lete frem riktig informasjon.

Gjennombruddet kom da han innså at denne informasjonen utgjorde en enorm GDPR-risiko, ikke en verdifull ressurs. Han implementerte et system som automatisk slettet alle interne e-poster eldre enn 3 år, med unntak for formelle kontrakter og varslingssaker.

Etter to måneder gikk responstiden på innsynskrav ned fra flere dager til under to timer, og systemytelsen ble betraktelig forbedret. Jens lærte at proaktiv sletting faktisk beskytter bedriften bedre enn å gjemme på alt.