Hvor lenge kan data lagres?

Hvor lenge kan data lagres? Tidsfrister og regler

Hvor lenge kan data lagres avhenger av formålet med informasjonen og gjeldende lovkrav. Regelverket balanserer hensynet til sletting mot andre rettslige forpliktelser som regnskapsføring. Forståelse av disse tidsfristene sikrer at virksomheten overholder retningslinjene og unngår unødvendig lagring av personopplysninger.

Hva sier regelverket om lagringstid for data?

Lagring av data og personopplysninger er ikke noe en virksomhet fritt kan avgjøre på egen hånd. Det finnes sjelden én generell tidsfrist som gjelder for alt, ettersom hvor lenge kan data lagres avhenger av både lovlig hjemmel og det legitime formålet innsamlingen var basert på. Kort sagt tillater regelverket at du oppbevarer opplysninger så lenge det er strengt nødvendig for formålet, og det er forbudt å beholde data lenger enn det.

Formål og lovhjemmel som styringsverktøy

Når en virksomhet samler inn informasjon, må formålet defineres klart. Så lenge behandlingen aktivt bidrar til dette formålet, kan dataene beholdes. Men her er haken: mange lagrer data fordi det kan være kjekt å ha i fremtiden, noe som bryter direkte med prinsippet om lagringsbegrensning i gdpr.

Konkrete eksempler på lagringstider i praksis

Praktiske retningslinjer og bransjestandarder opererer med ulike tidsfrister basert på hva informasjonen brukes til. For eksempel blir kundedata knyttet til kundeservice og administrasjon ofte slettet omtrent tre år etter siste kundeinteraksjon, mens rene nyhetsbrevlister skal slettes umiddelbart når mottakeren melder seg av.^[1] Webanalyse- og loggfiler oppbevares typisk i rundt to år for å forstå trafikkmønstre.

Konflikten med bokføringsloven

Det oppstår ofte en skvis mellom slettekrav og andre rettslige forpliktelser. Bokføringsloven krever at primærdokumentasjon, som kvitteringer og regnskapsmateriale, lagres i fem år etter regnskapsårets slutt.^[2] Dette betyr at selv om en kunde ber om sletting, kan virksomheten være lovpålagt å beholde visse finansielle transaksjonsdata. Lovkrav gir imidlertid ikke frikort til å lagre mer enn det regler for sletting av data krever.

Hvordan etablere gode sletterutiner?

Å vite hvor lenge kan personopplysninger lagres er bare halve jobben; det kreves også at rutiner fungerer i praksis. Virksomheter bør ha en oppdatert behandlingsprotokoll som viser nøyaktig hvilke data som finnes, hvorfor de lagres, og når må du slette personopplysninger. Dessverre slurver mange med opprydding i gamle e-poster og sikkerhetskopier, noe som kan føre til brudd på personvernforordningen. Anonymisering kan være et godt alternativ til sletting, men det krever at dataene gjøres fullstendig uidentifiserbare.

Oversikt over vanlige lagringstider etter formål

Ulike typer data har ulike behov og krav til oppbevaringstid i en virksomhet.

Markedsføring og nyhetsbrev

• Samtykke fra brukeren
• Slettes umiddelbart ved avelding
• Automatisert fjerning fra e-postlister

Kundeforhold og support

• Berettiget interesse og avtale
• Typisk tre år etter siste interaksjon
• Gjennomgang av CRM-systemer

Regnskap og bilag ⭐ (Lovpålagt)

• Bokføringsloven
• Fem år etter regnskapsårets slutt
• Sikker elektronisk oppbevaring

Ryddesjau i nettbutikken til Kari

Kari drev en liten nettbutikk og oppdaget at hun lagret kundedata helt fra oppstarten 7 år tidligere, uten noen fastslettet rutine.

Hun innså at dette utgjorde en risiko, men forsøket på å slette manuelt skapte full forvirring i gamle backupløsninger.

Etter en gjennomgang delte hun dataene inn etter formål: nyhetsbrev ble koblet til automatisk sletting, mens fakturaer ble beholdet i fem år.

Nettbutikken fikk orden på rutinene, og Kari slapp å bekymre seg for uønskede reaksjoner fra tilsynsmyndighetene.