Når skal man slette personopplysninger?

Når skal man slette personopplysninger: Sletteplikt

Å forstå når skal man slette personopplysninger er avgjørende for å overholde personvernreglene. Mange virksomheter risikerer unødig eksponering ved å lagre data for lenge. Ved å identifisere korrekt slettefrist sikrer du samsvar og minimerer risikoen for brudd på personvernforordningen. Lær de grunnleggende prinsippene for å håndtere data korrekt og beskytte informasjonen.

Når skal man slette personopplysninger?

Det er ikke alltid enkelt å vite nøyaktig når lagringsbehovet opphører. Spørsmålet om når skal man slette personopplysninger har sjelden ett enkelt svar, da det ofte avhenger av både formålet med behandlingen og gjeldende lovverk. Hovedregelen er at data ikke skal lagres lenger enn det som er strengt nødvendig for å oppnå formålet de ble samlet inn for.

Forståelsen av når dette behovet faktisk utløper er en utfordring mange virksomheter står overfor. Det handler ikke bare om å trykke på sletteknappen, men om å ha en ryddig prosess for å skille mellom data som må beholdes av hensyn til lovkrav, og data som utgjør en unødvendig risiko.

Når inntrer sletteplikten?

Sletting skal i utgangspunktet skje så snart formålet med behandlingen er oppfylt. Hvis du har samlet inn informasjon for å gjennomføre et salg, har du ikke lenger et saklig behov for å beholde personopplysningene etter at kundeforholdet er avsluttet og reklamasjonstiden er utløpt. Faktisk viser undersøkelser at virksomheter som systematisk sletter unødvendige data, kan redusere risikoen for datalekkasjer betydelig. ^[1]

Det er også viktig å huske på tilfeller der den registrerte trekker tilbake sitt samtykke. I slike situasjoner må behandlingen av opplysningene opphøre umiddelbart, med mindre det finnes andre rettslige grunnlag for videre lagring. Dette er en sentral del av personvernlovgivningen som mange dessverre fortsatt er usikre på.

Retten til å bli glemt

Når en person krever sine opplysninger slettet, har du plikt til å etterkomme dette med mindre det foreligger tungtveiende legitime grunner til å beholde dem. Dette er kjent som retten til å bli glemt. Det er likevel viktig å skille mellom sletteplikt GDPR og lovpålagt arkivering; du kan ikke slette bilag som regnskapsloven pålegger deg å oppbevare i 5 år, selv om kunden ber om det.

Unntak fra sletteplikten

Selv om formålet med behandlingen er over, finnes det unntak som tillater eller pålegger deg å oppbevare data. Lovpålagt arkivering er det mest vanlige unntaket, der for eksempel regnskapslovgivningen trumfer personvernets sletteplikt GDPR. I tillegg kan data lagres for statistikk- eller forskningsformål dersom de behandles i allmennhetens interesse.

I min erfaring med implementering av slike rutiner, oppstår ofte usikkerheten når bedrifter frykter å slette data som kan vise seg å bli nødvendig i en fremtidig tvist. Det er lov å lagre informasjon som er nødvendig for å forsvare rettskrav, men dette må dokumenteres godt. Man kan ikke bare beholde alt i tilfelle.

Sletting vs. Arkivering

Sletting av data

• Umiddelbart når formålet er oppfylt

• Krav i personvernforordningen

• Fjerne unødvendig risiko og overholde lagringsbegrensning

Lovpålagt arkivering

• Etter faste lovbestemte tidsfrister (f.eks. 5 år)

• Regnskapsloven, bokføringsloven

• Dokumentasjon for myndigheter (f.eks. Skatteetaten)

Sletting i en mellomstor norsk bedrift

En IT-bedrift i Oslo slet med enorme mengder utdaterte kundedata som hopet seg opp i CRM-systemet over 5 år. De var livredde for å slette feil informasjon, så de beholdt alt 'i tilfelle'. Dette skapte kaos i kundestøtte og unødvendig datalagringskostnad.

De prøvde først å manuelt gå gjennom hver fil, men ga opp etter to uker fordi det var altfor tidkrevende og de var fortsatt usikre på hva som var lov å slette. Frustrasjonen var total i ledergruppen.

Løsningen kom da de innførte en automatisk policy som slettet kundedata automatisk 12 måneder etter at kontrakten var avsluttet, unntatt bilag som måtte arkiveres i 5 år. Det tok tre måneder å få alle systemene til å snakke sammen.

Resultatet? De fjernet en stor andel av de unødvendige personopplysningene, reduserte lagringskostnadene merkbart årlig,^[2] og økte effektiviteten i CRM-systemet merkbart. De lærte at automatiserte sletterutiner er det eneste som faktisk fungerer over tid.

Denne informasjonen er kun ment for veiledning og utgjør ikke juridisk rådgivning. Personvernlovgivning er kompleks og kan variere basert på den enkelte virksomhets situasjon. Kontakt Datatilsynet eller en advokat for konkrete råd knyttet til din virksomhet.