Sådan etablerer du sletning og opbevaring i overensstemmelse med GDPR

Sletning og opbevaring i praksis: Formål, principper og ansvar

GDPR er EU's databeskyttelsesforordning. Den gælder, når en privat virksomhed i Danmark behandler personoplysninger. Behandling omfatter at indsamle, registrere og videregive – og at slette – oplysninger om fx kunder eller ansatte. I Danmark supplerer databeskyttelsesloven GDPR, og Datatilsynet fører tilsyn med, at reglerne overholdes, og vejleder om, hvordan man lever op til dem.

Reglerne er bevidst fleksible. Du kender din virksomhed bedst og skal selv vurdere, hvilke personoplysninger du har behov for, til hvilke formål, og hvor længe det er nødvendigt at gemme dem. Der findes ikke et centralt skema med opbevaringsfristen for en given oplysningstype. Datatilsynet afviser direkte myten om, at GDPR kan fortælle, hvornår personoplysninger skal slettes – det afhænger af den konkrete behandling.

To regelsæt mødes i opbevaringsspørgsmålet. GDPR sætter grænsen for, hvor længe du må gemme, når ingen anden lov siger noget andet. Opbevaringspligter i anden lovgivning går forud: Følger det fx af bogføringsloven, at du skal gemme personoplysninger, må du ikke slette dem, så længe du er forpligtet til at opbevare dem.

Slettepolitikken skal derfor bygges oven på en liste over, hvilke opbevarings- og sletteforpligter der gælder for netop dine behandlinger.

Kortlæg behandlinger, formål og oplysningstyper

Start med at skrive ned, hvilke behandlinger virksomheden har. Fortegnelsen over behandlinger er et af de dokumentationskrav, der fremhæves i GDPR-sammenhæng, og et arbejdsredskab, når slettefristerne skal fastsættes. For hver behandling bør det fremgå, hvilke typer personoplysninger der behandles, formålet og det retlige grundlag.

Det retlige grundlag – hjemlen – afhænger af to ting: typen af personoplysninger og den situation, der gør behandlingen nødvendig. Der findes seks behandlingsgrundlag, og samtykke er kun ét af dem.

Behandlingen kan fx være nødvendig for at opfylde en kontrakt med den registrerede, fx i et ansættelsesforhold, eller for at opfylde en retlig forpligtelse i anden lov, eksempelvis hvidvaskloven eller bogføringsloven. En aftale mellem den dataansvarlige og en tredjemand kan ikke danne grundlag for behandlingen.

Forskellen mellem almindelige og følsomme personoplysninger har betydning for hjemlen, og databeskyttelsesloven har desuden særlige regler blandt andet om CPR-numre. Notér derfor i fortegnelsen, om der behandles følsomme oplysninger eller CPR-numre.

Notér også, hvilke systemer oplysningerne ligger i: typisk kundedatabasen, nyhedsbrevsværktøjet, lønsystemet, regnskabsprogrammet og enkelte medarbejderes gemte kopier i mail eller på fildrev.

Fastlæg opbevaringsfrister ud fra nødvendighed – ikke faste GDPR-grænser

Databeskyttelsesreglerne indeholder ikke faste grænser for, hvor længe personoplysninger må opbevares. Du fastsætter fristen ud fra formålet, og Datatilsynets pejlemærke er spørgsmålet: »Hvorfor har jeg stadig brug for oplysningerne?« Så længe du kan svare fornuftigt på det, kan du opbevare oplysningerne.

Du har et vist råderum ved vurderingen. Datatilsynet skriver, at du i langt de fleste tilfælde ikke skal være nervøs for, at tilsynet vil være uenig i en slettefrist, du har fastsat.

Fastlæg derfor frister, der matcher den enkelte behandling og det forløb, oplysningerne indgår i – hvor længe et kundeforhold kan give anledning til nye henvendelser, hvor længe en markedsføringstilladelse skal kunne dokumenteres – frem for én fælles frist for hele virksomheden.

Nogle oplysninger må du ikke slette efter GDPR alene. Bogføringsloven kræver, at regnskabsmateriale opbevares i 5 år fra udgangen af det regnskabsår, materialet vedrører, og i den periode må oplysningerne ikke slettes.

Lovbestemte opbevaringsperioder bør stå i slettepolitikken med angivelse af hjemlen, så en medarbejder ikke sletter af vane – eller undlader at slette af vane.

Forskelle mellem lovbestemte og GDPR-baserede opbevaringsfrister

Etabler rutiner, ansvar og systemunderstøttelse for løbende sletning

Fristerne bliver først efterlevet, når de omsættes til rutiner. For hver behandling i fortegnelsen bør det stå, hvem der er ansvarlig for at slette i systemet, hvornår fristen regnes fra (fx sidste aktivitet eller udgangen af et regnskabsår), og hvordan sletningen registreres.

Sletningen skal kunne dokumenteres efterfølgende. Datatilsynet gør det klart, at hvis du har rutiner, der sikrer løbende sletning, har du ikke pligt til løbende at gennemgå samtlige dokumenter for at overveje, om enkeltstående oplysninger er nødvendige at gemme.

Sigt derfor efter faste, gentagne processer, hvor fristen beregnes og håndhæves i systemet, frem for manuel gennemgang af alle dokumenter.

Teknisk understøttelse letter arbejdet: Mange fagsystemer og nyhedsbrevsværktøjer kan sætte slettefrister på poster og konti eller gøre opmærksom på inaktive kunder. Kontrollér ved valg og vedligeholdelse af systemer, om oplysningerne faktisk kan slettes – også i back-up og hos underleverandører – og om sletningen kan logges.

I skal også indgå særlige databeskyttelsesaftaler med jeres databehandlere og føre tilsyn med dem.

Fordele og ulemper ved manuel vs. automatisk sletning

Håndter anmodninger om sletning efter Artikel 17

Den registrerede kan kræve sletning, når en betingelse i artikel 17 er opfyldt. Det gælder, når oplysningerne ikke længere er nødvendige for de formål, de blev indsamlet til. Det gælder også, når den registrerede trækker sit samtykke tilbage, og der ikke findes andre juridiske grunde til at behandle dem.

Sletning kan også kræves, når den registrerede gør indsigelse mod behandlingen, og der ikke er legitime grunde til at fortsætte – eller når indsigelsen gælder direkte markedsføring. Det samme gælder, når oplysningerne er behandlet ulovligt.

Sletning kan desuden kræves, når det er nødvendigt for at opfylde en juridisk forpligtelse efter EU-lovgivning eller national lovgivning, og når oplysningerne er indsamlet i forbindelse med udbud af informationssamfundstjenester direkte rettet mod børn.

Retten er ikke absolut. Datatilsynet understreger i sine myter om GDPR, at man fx ikke bare kan bede Skattestyrelsen om at slette, hvad de har registreret om en.

Afvis derfor ikke en anmodning mundtligt: Vurder den mod de konkrete betingelser, og dokumentér vurderingen.

Processen skal være på plads, før anmodningen kommer. Der skal være en lettilgængelig metode for den registrerede til at indgive sin sletningsanmodning og retningslinjer for at identificere de personoplysninger, der knytter sig til vedkommende, samt for hvem der svarer.

Oplysningerne skal slettes uden unødig forsinkelse, og der skal svares inden for en måned fra modtagelsen af anmodningen, medmindre sagen er særligt kompleks, hvor fristen kan forlænges. Er oplysningerne videregivet til tredjeparter, skal disse informeres om sletningen.

Dokumentér politik, fortegnelse og tekniske/organisatoriske tiltag

Dokumentationen skal vise, hvad I gør, og hvorfor. Kravene omfatter blandt andet, at I fører fortegnelse, og at I dokumenterer, at principperne for god databehandling efterleves.

I skal dokumentere passende tekniske og organisatoriske foranstaltninger, oplyse kunder og ansatte om, hvordan deres data behandles, og kunne bevise efterlevelse, fx når der anvendes samtykke eller databehandlere.

Kravet om særlige aftaler om databeskyttelse med databehandlere og tilsynet med dem hører også til dokumentationsbunken, ligesom databeskyttelse gennem design og databeskyttelse gennem standardindstillinger.

Et af de største krav er at kunne dokumentere, at personoplysninger behandles efter reglerne. Slettepolitik og instrukser bør derfor være en del af den samlede dokumentation og knyttet direkte til fortegnelsens behandlinger.

Man bliver som udgangspunkt ikke godkendt eller får tilladelse af Datatilsynet; kun i meget få tilfælde skal der indhentes tilladelse til behandling af personoplysninger. Normalt er det den enkelte dataansvarliges egen opgave at sikre efterlevelsen.

»Vi er godkendt af Datatilsynet« er derfor ikke dokumentation for, at sletning og opbevaring lever op til reglerne.

Checkliste: Sikkerhed og efterlevelse i sletning og opbevaring

Praktiske eksempler: markedsføring, kundeforhold og bogføring

En kunde henvender sig, fordi hun ønsker at blive frameldt markedsføring fra virksomheden. Kunden har dermed trukket sit samtykke til markedsføring tilbage, og Datatilsynets eksempel er klart: Kontaktoplysningerne slettes fra listen over modtagere af nyhedsbrevet, da der ikke længere er lov til at behandle oplysningerne til det formål.

Kontrollér i samme omgang, om kunden optræder på andre lister, der bruges til samme formål, så sletningen ikke stopper i ét system.

Er et kundeforhold afsluttet, og er oplysningerne ikke længere nødvendige for de formål, de blev indsamlet til, skal oplysningerne slettes. Spørgsmålet »Hvorfor har jeg stadig brug for oplysningerne?« er her det praktiske filter: Kan du ikke svare på det, er der grundlag for sletning – medmindre en opbevaringspligt eller et andet behandlingsgrundlag holder oplysningerne tilbage.

Regnskabsmateriale skal opbevares i 5 år fra udgangen af det regnskabsår, materialet vedrører, efter bogføringsloven, og i den periode må oplysningerne ikke slettes. Når perioden udløber, vurderes materialet efter nødvendighedskravet, og oplysningerne slettes, medmindre anden lovgivning eller en konkret hjemmel kræver, at de bevares.

En registreret kan ikke få slettet oplysninger, der er omfattet af en opbevaringspligt i lov.

Vigtige tal og regler i dansk GDPR-praksis

Implementér og hold ved lige: Træning, kontrol og Datatilsynets vejledning

Rutinerne lever kun, hvis nogen ejer dem. Udpeg en ansvarlig for hver behandling eller hvert system i fortegnelsen, og sæt faste datoer for opfølgning.

Ved opfølgningen kontrolleres det, at sletningerne faktisk er gennemført, at de fastsatte frister stadig holder, og at fortegnelse og politikker afspejler de systemer, der faktisk bruges.

Medarbejderne skal kunne finde og bruge procedurerne: hvor henvendelser om sletning modtages, hvem der svarer inden for fristen, hvordan oplysninger slettes i det enkelte system, og hvem der må undtage, når der gælder en opbevaringspligt. Instruksen bør være kort og knyttet til de systemer, den enkelte medarbejder arbejder i.

Er du i tvivl om en slettefrist eller om en konkret anmodning, kan Datatilsynet kontaktes på [email protected] eller telefon 33 19 32 00. Datatilsynet peger samtidig på, at din brancheorganisation typisk kan hjælpe med at besvare konkrete spørgsmål til netop din virksomheds håndtering af GDPR.

Vedligeholdelsen består i praksis i at gentage arbejdsgangen, når noget ændrer sig: opdater behandlingsfortegnelsen, tilpas fristen, opdater sletterutinen, og informér de medarbejdere, det berører.

Trin til etablering af sletning og opbevaring i overensstemmelse med GDPR