Sletting av personopplysninger etter GDPR: rutiner for små bedrifter

To plikter du må skille mellom

Du har to selvstendige plikter. Den ene er å slette opplysninger av eget tiltak når formålet er nådd, uten at noen ber om det. Den andre er å svare den som krever sletting etter artikkel 17. Begge krever systemer og rutiner, ikke bare en ansatt som husker det.

Datatilsynet er tydelig på at virksomheter må ha systemer og rutiner som sikrer at sletting faktisk blir gjennomført, og at de må vurdere dette av eget tiltak. Det betyr at du ikke kan vente på en henvendelse. Du må vite hvilke opplysninger du har, hvor de ligger, og hvor lenge de skal ligge der. Hovedguiden vår om regler for nettsider og netthandel viser hvordan dette henger sammen med de andre kravene du har som bedrift.

Når folk søker på sletting av personopplysninger GDPR, er det ofte retten til å bli glemt de har hørt om. Den er reell, men ikke absolutt. Du kan beholde opplysninger når du har et rettslig grunnlag for det, men du må kunne forklare hvorfor. Opplysninger som er behandlet ulovlig, for eksempel uten behandlingsgrunnlag, skal derimot slettes.

Makulering gjelder mer enn papir

Makulering brukes ofte om papir, men prinsippet er det samme digitalt: opplysningene skal gjøres utilgjengelige og ikke kunne gjenopprettes av noen som ikke skal ha dem. For papir betyr det makulering med krysskutter, eller en avtale med en makuleringsleverandør som gir deg kvittering. En papirkurv under skrivebordet er ikke sletting.

Digitalt er saken mer sammensatt. Sletter du en kunde i kundesystemet, kan opplysningene fortsatt ligge i e-post, i logger, i en eksportfil på en medarbeiders maskin og i sikkerhetskopier. Sletting kan derfor innebære flere tiltak: sletting i kildesystemet, rydding i delte mapper, avtalt levetid på logger og en sikkerhetskopirutine der opplysningene forsvinner når rotasjonen har gått sin gang. Du skal kunne forklare hvordan opplysningene blir utilgjengelige eller ikke lenger identifiserbare.

Bruk leverandørene aktivt. Har du bookingsystem, nettbutikkplattform eller regnskapsprogram, må det stå i databehandleravtalen hvor lenge de oppbevarer data og hvordan de sletter dem når avtalen tar slutt. Sjekk dette før du signerer, ikke etterpå. Deler du opplysninger med samarbeidspartnere, gjelder egne regler, og du finner mer i artikkelen om datadeling etter GDPR.

Når du ikke skal slette

Retten til sletting faller bort når opplysningene må oppbevares for å oppfylle en rettslig plikt i lov eller forskrift. Regnskapsmateriale og arkivverdige dokumenter er typiske eksempler. Et annet er helseopplysninger som skal bevares etter pasientjournalloven. Du kan heller ikke slette opplysninger du trenger for å oppfylle en avtale med personen.

I praksis betyr dette at du sjelden sletter alt om en kunde. Du sletter det du ikke lenger har grunnlag for, og beholder det du er pålagt å ha. Svaret til kunden bør si hva som er slettet, og hva som er beholdt og med hvilken begrunnelse. Da viser du at du har vurdert saken, ikke bare avvist den.

Vær ekstra oppmerksom på sensitive personopplysninger etter GDPR. De krever eget behandlingsgrunnlag, og du bør ha særlig kontroll på hvor de ligger og hvor lenge de blir liggende.

Slik håndterer du en henvendelse om sletting

En forespørsel trenger ikke komme i et skjema. Den kan komme på e-post, i en kommentar eller muntlig i butikken. Rutinen bør være den samme: registrer dato, identifiser personen, finn ut hvilke opplysninger saken gjelder, og vurder om noe må beholdes. Du kan be om det du trenger for å identifisere personen, men ikke mer. Svar skriftlig.

Fristen er uten ugrunnet opphold, og senest innen en måned fra forespørselen kom inn. Fristen er ikke en sovepute. Er saken sammensatt, svarer du likevel innen fristen og forklarer hva som skjer videre og når kunden kan vente et endelig svar.

Når du sletter, skal du også underrette mottakere som har fått opplysningene utlevert, slik at de kan gjøre det samme. Det følger av artikkel 17 sammen med plikten til å varsle om sletting og begrensning av behandling. I små virksomheter blir dette ofte glemt, særlig der opplysninger er sendt til regnskapsfører, markedsbyrå eller underleverandør. Lag en fast vane for å sjekke dette før du kvitterer ut saken.

Rutiner som gjør sletting sporbar

Lag en sletteliste. En enkel tabell med system, hvilke opplysninger det gjelder, formål, oppbevaringstid og hvem som er ansvarlig, dekker det meste for en liten bedrift. Gå gjennom listen jevnlig, og alltid når du bytter system eller inngår nye avtaler.

Sørg for at sletting skjer der opplysningene faktisk kommer inn. Skjemaer på nettsiden, chat, påmeldingslister, informasjonskapsler og analyserør er typiske steder der personopplysninger samles uten at noen har tenkt på lagringstid. Informasjonskapsler på nettsiden har egne regler om samtykke som henger sammen med dette. En nettside med ryddige skjemaer og tydelig samtykke gjør det enklere å holde oversikt over hva som samles inn og hvor lenge det blir liggende.

Dokumenter svarene du gir. En logg med dato, hva som ble bedt om, hva du gjorde og hvem som utførte det, er verdifull hvis noen klager senere eller Datatilsynet stiller spørsmål. Har du et personvernombud, er det naturlig at denne personen eier rutinen og holder den oppdatert.

Sist, men ikke minst: opplæring. De fleste feil skjer når en ansatt lagrer en kundeliste lokalt fordi det er praktisk i øyeblikket. Forklar hvorfor det ikke er greit, og gi et enkelt alternativ som løser den samme oppgaven. Vil du se hvordan dette kan se ut i praksis, kan du booke en demo hos Nettsaga.

Vanlige spørsmål

Må jeg slette alle opplysninger om en kunde som ber om det?

Nei. Du skal slette det du ikke lenger har grunnlag for å behandle. Opplysninger du må oppbevare for å oppfylle en rettslig plikt, eller for å oppfylle en avtale, kan beholdes. Forklar kunden hva som er slettet og hva som er beholdt.

Hvor raskt må jeg svare på en forespørsel om sletting?

Uten ugrunnet opphold, og senest innen en måned fra forespørselen kom inn. Svar skriftlig og fortell hva du har gjort, eller hvorfor du ikke kan slette.

Hva betyr makulering av personopplysninger?

At opplysningene gjøres utilgjengelige og ikke kan gjenopprettes. For papir betyr det makulering, for digitale data sletting i systemet, rydding i logger og en sikkerhetskopirutine som gjør at opplysningene forsvinner over tid.

Gjelder retten til sletting også sikkerhetskopier?

Opplysningene skal ikke leve videre bare fordi de ligger i en sikkerhetskopi. I praksis løses det med rotasjon, slik at opplysningene forsvinner når kopien skiftes ut. Du bør kunne forklare hvordan dette skjer hos deg og hos leverandørene dine.

Må jeg slette opplysninger når en kunde sier opp avtalen?

Som hovedregel ja, når behandlingen var basert på avtalen og det ikke finnes et annet grunnlag for å behandle opplysningene. Opplysninger du er pålagt å ta vare på etter lov, beholdes.