GDPR og arkivering: hva du kan ta vare på, og hva du må slette

Hva GDPR sier om arkivering

Artikkel 5.1.b slår fast at personopplysninger kan samles inn for ett formål, og senere viderebehandles til arkivformål i allmennhetens interesse. Slik viderebehandling regnes altså ikke som uforenlig med det opprinnelige formålet. Arkivverket formulerer det slik at GDPR legger til rette for at personvern og arkiv kan kombineres på en effektiv og sikker måte.

For private virksomheter betyr dette at du har adgang til å bevare personopplysninger i eget arkiv til arkivformål i allmennhetens interesse. Du må ikke slette alt du ikke lenger bruker aktivt, men du må kunne forklare hvorfor opplysningene står der, hva de skal brukes til, og hvem som har tilgang. Det er forskjellen mellom et arkiv og et lager.

Vil du ha oversikt over hvilke plikter som gjelder nettsiden og netthandelen din, finner du dem samlet i regler for nettsider og netthandel: komplett guide for bedrifter. Der ligger personvern, informasjonskapsler og vilkår i samme løp.

Europakommisjonens ekspertgruppe på arkiv, European Archives Group, har laget en felles veileder om GDPR for arkivbevarende institusjoner. Den er nyttig hvis du vil ha mer dybde i hvordan arkivformål vurderes i praksis.

Arkivloven gjelder ikke alle, men ryddighet gjelder alle

Arkivloven retter seg først og fremst mot offentlige organ, som har plikt til å holde arkiv og avlevere materiale. Er du en liten privat bedrift, er du ikke automatisk underlagt de samme pliktene. Men du har andre grunner til å ta vare på dokumentasjon: bokføringsregler, avtaler, garantier, dokumentasjon i en tvist, og behovet for å kunne svare kunder i ettertid.

Spørsmålet om arkivloven og GDPR blandes ofte sammen. Regelverkene svarer på ulike ting. Arkivloven handler om hva som skal bevares og hvordan arkivet holdes i orden. GDPR handler om hvordan personopplysninger kan behandles, uavhengig av om de ligger i et arkiv eller i et aktivt system. Der begge gjelder, må du oppfylle begge.

Det praktiske svaret er en behandlingsprotokoll. Den skal vise hvilke kategorier av personopplysninger du behandler, hvorfor, hvor de ligger, hvor lenge de blir liggende, og hvem som har tilgang. Uten denne blir sletting og innsyn tilfeldig, og du kan ikke vise at du har kontroll.

Papirarkivet er også personopplysninger

GDPR skiller ikke mellom digitalt og papirbasert. En perm med personalmapper, sykmeldinger eller signerte kontrakter inneholder personopplysninger på lik linje med en database, og kravene til tilgang og sletting gjelder like fullt.

Tiltak som faktisk monner: låsbare skap med navngitt nøkkelansvarlig, en liste over hvilke permer som finnes og hva de inneholder, utlevering bare mot kvittering, og faste makuleringsrutiner. Skal du kvitte deg med papir, må det makuleres eller destrueres slik at innholdet ikke kan leses.

Den vanligste fallgruven er at papirarkivet ikke er med i oversikten i det hele tatt. Det blir stående i et skap etter at noen har sluttet, eller det blir med i flyttelasset. Da har du personopplysninger du ikke vet om, og et innsynskrav blir vanskelig å besvare. Sett navn på en arkivansvarlig og ta en gjennomgang av alle skap og permer.

Sletting, sperring og sluttdato for hver kategori

Sluttdato bør settes per kategori, ikke per dokument. Du trenger ikke vite nøyaktig hva som skal skje med hvert enkelt papir, men du bør vite at personalmapper, henvendelser fra nettsiden, opptak fra kundeservice og korrespondanse i enkeltsaker har hver sin levetid.

Sperring er et nyttig alternativ når sletting ikke er riktig. Da beholder du opplysningene, men begrenser tilgangen og bruker dem ikke til annet enn det bestemte formålet, for eksempel å dokumentere et krav som kan komme senere. Sperring krever like mye disiplin som sletting: du må vite hvor dataene ligger og hvem som kan åpne dem.

Når en ansatt slutter, er det en fast sjekkliste: avslutt kontoer, flytt personalmappen til et begrenset arkiv eller slett den hvis det ikke finnes grunnlag for å beholde, fjern tilgang til fellesmapper og systemer, og skriv ned hva som ble gjort. Det siste punktet hopper folk ofte over, og det er nettopp det du trenger hvis du får spørsmål senere.

GDPR i drift: årshjul for etterlevelse viser hva som bør inn i hvilken måned, slik at gjennomgang av tilganger, sletting og behandlingsprotokoll blir en fast rutine og ikke et prosjekt.

En enkel arkivplan på én side

Du trenger ikke et stort system. Start med å liste opp alle steder der personopplysninger finnes: e-post, regnskap, fagsystem, CRM, permer, telefoner og skjemaer på nettsiden. De fleste finner flere steder enn de trodde.

Gi hver kategori tre opplysninger: formål, levetid og eier. Formålet forklarer hvorfor opplysningene finnes, levetiden sier når de skal slettes eller sperres, og eieren er den personen som faktisk følger det opp. Uten en navngitt eier blir planen liggende.

Tilgang er neste steg. Spør for hver kategori hvem som trenger den for å gjøre jobben sin, og fjern resten. Kryptering og tilgangsstyring hjelper lite hvis ti personer har nøkkel til alt. GDPR og kryptering: hva kreves? går gjennom hva som er rimelig å kreve, og hva som bare blir kostbart.

Testen til slutt: hvis en kunde ber om innsyn i dag, klarer du å finne alt dere har om vedkommende, både digitalt og på papir, innen rimelig tid? Klarer du ikke det, er ikke arkivet under kontroll, uansett hvor pent det ser ut. Hvor alvorlig et brudd vurderes, avhenger av type og omfang, og GDPR-bøter i Norge og bøtenivå gir et bilde av hvordan myndighetene ser på saker.

På nettsiden er det ofte skjemaene som lager mest arkiv. Vet du ikke hvilke felt som samles inn og hvor svarene havner, blir arkivet større enn planlagt. Nettsaga lager nettsider der skjemaer, samtykke og informasjonskapsler er dokumentert fra starten. Vil du se hvordan det ser ut i praksis, kan du book en demo.

Vanlige spørsmål

Gjelder GDPR for papirarkivet vårt?

Ja. Personopplysninger er omfattet uansett format, så permer med personalmapper eller kundeavtaler må ha tilgangskontroll, sletting og oversikt på samme måte som et digitalt system.

Kan vi beholde opplysninger etter at kunden har bedt om sletting?

Retten til sletting er ikke absolutt. Behandling til arkivformål i allmennhetens interesse kan gi grunnlag for å beholde, men du må kunne forklare formålet og begrense tilgangen. Er du i tvil, skriv ned vurderingen.

Hvor lenge kan vi oppbevare personalmapper?

Det finnes ingen generell fasit. Skill mellom dokumentasjon du må ha, som lønn og kontrakt, og opplysninger som mister grunnlaget når noen slutter. Sett en sluttdato per kategori og skriv den ned.

Hva er forskjellen på arkivloven og GDPR?

Arkivloven handler om plikt til å holde og avlevere arkiv, og retter seg først og fremst mot offentlige organ. GDPR handler om hvordan personopplysninger kan behandles, og gjelder alle som behandler slike opplysninger.

Må vi slette alt før vi avleverer til et arkiv?

Nei. Arkiveringsinstitusjoner tar imot arkiv med personopplysninger og gjør egne vurderinger av hva som kan bevares. Snakk med institusjonen tidlig, så slipper du å makulere materiale som skulle vært tatt vare på.