Lagringstid etter GDPR: hvor lenge kan du lagre personopplysninger?

Ingen felles frist, men et krav om noe konkret

Prinsippet om lagringsbegrensning står i personvernforordningen artikkel 5(1)(e), og det er kort og godt ulovlig å oppbevare personopplysninger lengre enn det som er nødvendig for formålet med behandlingen. Det gjelder også data du ikke lenger bruker aktivt, men som blir liggende i et gammelt fagsystem, i en delt mappe eller i en innboks fra 2019.

Mange leser fraværet av en fast frist som fritt skjønn. Det er nesten motsatt. Fordi loven ikke gir svaret, må du gi det selv, skriftlig, og kunne vise det fram hvis en kunde ber om innsyn eller tilsynet spør.

Derfor hører lagringstiden hjemme i behandlingsprotokollen som et konkret intervall i uker, måneder eller år. Formuleringen «så lenge som nødvendig» beskriver prinsippet, men er ikke en lagringstid, og gir deg ingenting å styre etter når noe skal slettes.

Lagringstid er ett av flere grunnkrav til en nettside som samler inn opplysninger. Du finner helheten i Regler for nettsider og netthandel: komplett guide for bedrifter.

Slik finner du lagringstiden for hver behandling

Start med å skrive formålet presist. «Kundedatabase» er for vagt til å gi en frist. «Ordrehistorikk for reklamasjon og regnskap» er konkret nok til at du kan si noe om hvor lenge opplysningene trengs.

Finn deretter behandlingsgrunnlaget, og sjekk om andre regler krever at du oppbevarer materialet. Samtykke, avtale og rettslig plikt gir ulike svar, og en lovpålagt plikt til å ta vare på noe veier tyngre enn ditt eget ønske om å ha historikken tilgjengelig.

Vurder risikoen begge veier. Hva skjer hvis du sletter for tidlig og ikke kan svare på en reklamasjon? Hva skjer hvis du beholder for lenge og sitter på opplysninger du ikke har grunnlag for? Del gjerne opp i aktiv bruk og arkiv, slik at markedsføringssystemet kan ha kortere frist enn det regnskapsmessige sporet.

Skriv ned konklusjonen med dato, hvem som vurderte den, og når den skal tas opp igjen. Da har du noe å svare med, og noe å endre når virksomheten vokser.

Lovpålagt oppbevaring går foran

Noen opplysninger må du beholde fordi annen lovgivning krever det, for eksempel regnskapsmateriale. GDPR er ikke til hinder for slik oppbevaring, men du skal kunne vise hvilken plikt som gjelder og hva den omfatter.

Når den lovpålagte perioden er ute, slår lagringsbegrensningen inn igjen. Da bør du ha en rutine for hva som faktisk skjer med materialet, og ikke bare en antakelse om at noen rydder en gang.

Sletting er et eget arbeidssteg, ikke noe som skjer av seg selv. Se Sletting og makulering av personopplysninger etter GDPR for hvordan du gjør det forsvarlig, også for papir. En perm med besøkslister fra 2019 i en skuff er personopplysninger den dagen noen åpner skuffen.

Logger, informasjonskapsler og data fra nettsiden

Logging er et sikkerhetstiltak etter artikkel 32, og skal blant annet gjøre det mulig å spore uautoriserte oppslag. Da må lagringstiden være lang nok til at loggen faktisk kan brukes til det den er ment for. Du må derfor både fastsette et formål med loggen og en lagringstid som passer til formålet, ikke bare velge det korteste som er mulig.

Det finnes ingen fast frist for besøkslogger. I praksis legges ordinær besøkslogg ofte på et sted mellom 30 og 90 dager, og kortere hvis formålet er smalt. Uansett bør slettingen være automatisert, slik at fristen ikke avhenger av at noen husker den.

Informasjonskapsler har egne regler for levetid og samtykke. En statistikk-kapsel som lever i to år, men som du bare trenger i tre måneder, er et dårlig valg. Les mer i Informasjonskapsler på nettsiden: dette sier reglene.

Henvendelser fra kontaktskjema, chat og e-post er ofte den største udokumenterte haugen. Bestem hvor lenge en henvendelse skal ligge etter at den er besvart, og hva som skjer hvis kunden senere trekker et samtykke.

Vanlige feil og en enkel rutine

Den vanligste feilen er å beholde alt «for sikkerhets skyld». Det er ikke et formål. En annen er å ha fristen på papiret, men ingen teknisk eller praktisk handling som utløser sletting.

Glemte systemer er nummer tre: en gammel nettside, en testkopi av kundelisten, en leverandør som fortsatt lagrer data for deg. Hvem som svarer for hva mellom deg og leverandøren bør være avklart, se Behandlingsansvarlig og databehandler etter GDPR: hvem er hvem?. Husk også at datadeling med andre krever eget grunnlag, se Datadeling etter GDPR: hva er lov?.

En rutine som holder i praksis har tre ting: en navngitt ansvarlig, faste gjennomganger av listen over behandlinger, og sletting som er automatisert der systemet tillater det. Logg at slettingen er gjort, slik at du kan vise den senere.

Mye av dette kan løses teknisk, i skjemaene, i informasjonskapslene og i samtykkeløsningen. På Nettsagas tjenesteside kan du se hvordan det henger sammen, og du kan booke en demo hvis du vil gå gjennom oppsettet ditt.

Vanlige spørsmål

Hvor lenge kan jeg lagre kundedata etter GDPR?

Det finnes ingen fast frist. Du kan lagre opplysningene så lenge de er nødvendige for formålet, og må i tillegg sjekke om andre regler krever at du beholder dem. Du skal kunne vise en konkret lagringstid og vurderingen bak den.

Kan jeg lagre personopplysninger for sikkerhets skyld?

Nei, ikke uten et formål. Å ta vare på data «i tilfelle» er ikke et behandlingsgrunnlag. Logging som sikkerhetstiltak er et eksempel på et formål du kan begrunne, men da skal også lagringstiden for loggen være vurdert.

Må jeg slette en gammel papirbesøksbok?

Ja. Papir er også personopplysninger, og lagringsbegrensningen gjelder. Når formålet med besøksregistreringen er oppfylt, skal opplysningene slettes eller makuleres, og det bør finnes en rutine for det.

Hva skjer hvis jeg skriver «så lenge som nødvendig» i behandlingsprotokollen?

Da har du beskrevet prinsippet, men ikke oppfylt kravet om en lagringstid. Behandlingsprotokollen skal ha et konkret intervall i uker, måneder eller år for hver behandling.

Gjelder lagringstid også for logger og statistikk på nettsiden?

Ja. Logger, statistikk og informasjonskapsler er behandlinger som skal ha hvert sitt formål og sin egen lagringstid, og levetiden bør settes i systemet slik at den ikke avhenger av manuell opprydding.