Hvor lenge er det lov å lagre personopplysninger?

Lagring av personopplysninger: Lovkrav vs sletting

Forståelsen av hvor lenge er det lov å lagre personopplysninger er avgjørende for å unngå brudd på personvernregler. Mange bedrifter feiler ved å blande egne antakelser med faktiske krav. Det er viktig å skille mellom data som må oppbevares av lovmessige årsaker og informasjon som skal slettes når formålet er fullført.

Hvor lenge er det lov å lagre personopplysninger?

Lagring av personopplysninger styres ikke av en fast tidsfrist, men av formålet de ble samlet inn for. Når formålet er nådd og du ikke lenger har et lovlig grunnlag for å beholde informasjonen, skal den slettes eller anonymiseres.

Prinsippet om formålsbegrensning

Virksomheter er selv ansvarlige for å ha rutiner som sikrer at data ikke blir liggende unødvendig lenge. Du kan ikke beholde opplysninger «for sikkerhets skyld» eller i tilfelle de kan bli nyttige senere. Data må ha en spesifisert hensikt, og når denne hensikten er oppfylt, er lagringsbehovet som regel over.

Det er en vanlig misforståelse at man kan lagre informasjon så lenge man ønsker. Sannheten er at jo lenger du lagrer personopplysninger, desto større blir risikoen hvis noe skulle skje med databasen. Sletting er ikke bare et krav - det er en sikkerhetsstrategi.

Når lovverk overstyrer sletting

I mange tilfeller finnes det særlovgivning som krever at du oppbevarer data, selv om det opprinnelige formålet er fullført. Oppbevaringsplikt regnskapsloven er et godt eksempel hvor bilag og regnskapsmateriale må lagres i 3 år og 6 måneder, eller inntil 5 år avhengig av dokumenttype.^[2] Dette er en oppbevaringsplikt som trumfer det generelle ønsket om sletting.

Arbeidsforhold er et annet område med spesifikke krav. Informasjon knyttet til pensjon og lønn må ofte oppbevares i 5 år.^[3] For helseopplysninger er det pasientjournalforskriften som gjelder, hvor oppbevaringstiden defineres av behovet for å kunne gi forsvarlig helsehjelp. Det er fort gjort å blande disse kravene. Mange bedrifter jeg har hjulpet med rutiner, har slitt med å skille mellom hva som må lagres og hva de tror de må lagre.

Hvordan praktisere god lagringsbegrensning

For å lykkes med sletterutiner personvern bør du kartlegge hvilke kategorier av opplysninger virksomheten behandler. Lag en oversikt som kobler hver datatype til enten et formål eller et spesifikt lovkrav. Dette skaper forutsigbarhet.

Når tidsfristen er ute, må slettingen skje effektivt. For mange IT-systemer betyr dette automatisert sletting, noe som fjerner risikoen for menneskelige feil. Hvis du er i tvil om en opplysning fortsatt er nødvendig, er svaret ofte at sletting av personopplysninger er riktig fremgangsmåte.

Lagringsregimer i praksis

Kundeopplysninger (Generelle)

• Så lenge kundeforholdet varer + rimelig tid etterpå
• GDPR (Formålsbegrensning)

Regnskapsdata

• Minimum 5 år (jf. Bokføringsloven)
• Bokføringsloven

Jobbsøkerdata

• Kortest mulig (etter endt rekrutteringsprosess)
• GDPR (Samtykke/Behandlingsgrunnlag)

Utfordringen med utløpte kundeforhold hos Bedrift X

Bedrift X, en mellomstor tjenesteleverandør i Oslo, beholdt kundeopplysninger i 10 år etter at kundeforholdet opphørte 'i tilfelle de kom tilbake'. Systemet var rotete og inneholdt titusenvis av inaktive profiler.

De prøvde å slette alt manuelt en gang i året, men det tok tre dager med ekstraarbeid hver gang. De glemte ofte å slette e-postlister, noe som skapte frustrasjon og risiko.

Vendepunktet kom da de innså at kostnadene ved sikker lagring av ubrukt data oversteg verdien av de potensielle kundene. De automatiserte prosessen ved å markere kundeforhold som 'avsluttet' i CRM-systemet, som automatisk utløste sletting etter 2 år.

Etter ett år med nye rutiner, reduserte de datavolumet sitt med 40%. Resultatet ble lavere lagringskostnader og betydelig mindre bekymring rundt personvernkontroller.

Denne informasjonen er kun til utdanningsformål og erstatter ikke juridisk rådgivning. Personvernlovgivning kan være kompleks og avhengig av din virksomhets spesifikke situasjon. Konsulter en juridisk ekspert eller Datatilsynet for konkrete råd om din virksomhets etterlevelse.