Hvor lenge kan personopplysninger lagres?

Hvor lenge kan personopplysninger lagres? Frister

Hvor lenge kan personopplysninger lagres avhenger av formålet med behandlingen og eventuelle lovpålagte oppbevaringskrav. Opplysningene skal slettes eller anonymiseres når de ikke lenger er nødvendige, med mindre annet følger av særskilt lovgivning som bokføringsregler eller dokumentasjonskrav ved rettskrav.

Hvor lenge kan personopplysninger lagres?

Personopplysninger skal ikke lagres lenger enn det som er nødvendig for formålet de ble samlet inn for. Når formålet er oppnådd, skal de i utgangspunktet slettes eller anonymiseres, men det finnes ingen fast generell tidsfrist i lovverket.

Det kan være forvirrende å navigere i krav om oppbevaring. Mange spør seg om de må slette alt med en gang, men svaret avhenger helt av hva opplysningene brukes til og hvilke særskilte lover som gjelder for din virksomhet.

Hvorfor er lagringstid så komplisert?

Det er lett å tro at sletting er en enkel prosess, men her må man ofte balansere motstridende krav. På den ene siden har du dataminimering og lagring - prinsippet om at vi ikke skal sitte på mer data enn vi må. På den andre siden har du lovpålagte arkiveringskrav som tvinger oss til å beholde dokumentasjon i flere år. Denne spenningen gjør at virksomheter ofte velger å beholde data lenger enn nødvendig av ren frykt for å bryte loven.

Sannheten er at det sjelden finnes ett svar som passer alle. Lagringstiden dikteres ofte av spesiallovgivning fremfor personvernforordningen alene. Å forstå forskjellen på hva som er nødvendig for drift og hva som er pålagt ved lov, er nøkkelen til gode sletterutiner personopplysninger.

Veiledende tidsfrister for vanlige formål

Selv om det ikke finnes én felles frist, har forvaltningen og rettspraksis etablert noen faste rammer for de mest vanlige situasjonene:

oppbevaring av regnskapsmateriale: Bokføringsloven krever at regnskapsmateriale som lønnsslipp, bilag og fakturaer oppbevares i 3 år og 6 måneder eller 5 år, avhengig av dokumenttype. Adgangskontroll: Logger fra nøkkelkort og pinkoder bør som hovedregel slettes automatisk etter 90 dager. Arbeidsforhold: Opplysninger i personalmappen skal slettes når de ikke lenger er nødvendige, men ved en oppsigelse kan data av hensyn til rettskrav oppbevares i 5 år. Kameraovervåking: Opptak skal slettes eller anonymiseres når formålet er oppnådd, og slettes automatisk etter maksimalt 7 dager med mindre spesielle hendelser har inntruffet.

Sletting versus anonymisering: Hva bør du velge?

Mange tror at sletting er den eneste utveien, men anonymisering er et fullverdig alternativ når du trenger statistikk eller historisk innsikt uten å identifisere individer. Anonymisering betyr at du fjerner koblingen til enkeltpersoner slik at dataene ikke lenger kan spores tilbake til dem. Dette er teknisk krevende, men det frigjør deg fra mange av kravene i lagringstid personopplysninger gdpr.

Når du anonymiserer, må du være helt sikker på at det ikke er mulig å re-identifisere personen gjennom kombinasjon med andre datasett. Dersom anonymiseringen er tilstrekkelig, kan informasjonen beholdes for statistikk- og analyseformål uten at den lenger regnes som personopplysninger.

Sammenligning av lagringsstrategier

Valg av lagringsstrategi avhenger av om du trenger historisk innsikt eller kun operasjonelle data.

Full sletting

Når formålet er fullført og ingen analyse er nødvendig

Høyest mulig grad av beskyttelse

Anonymisering

Statistikk, trender og historisk analyse

Dataene er ikke lenger personopplysninger

Erfaring fra en mellomstor IT-bedrift: Fra kaos til kontroll

En mellomstor IT-bedrift i Oslo oppdaget at de hadde lagret logger fra kundeservice i over 10 år. De var redde for å slette noe i tilfelle en gammel reklamasjon skulle dukke opp, men endte opp med en enorm sikkerhetsrisiko.

De prøvde først en enkel manuell gjennomgang, men det tok uker og resultatet ble upålitelig. Det var lett å gå seg vill i mapper og arkiv.

Vendepunktet kom da de implementerte automatiske sletterutiner basert på dokumenttype. De lagde en enkel tabell der hver kategori fikk en definert levetid, for eksempel 5 år for personalmappe og 90 dager for adgangskontroll.

Etter 6 måneder hadde de slettet over 4 terabyte med unødvendige data. Dette reduserte ikke bare risikoen for GDPR-brudd betraktelig, men gjorde også systemene deres raskere og mer ryddige.