Lagringstid och GDPR
![This post thumbnail](/assets/img/GDPR-lagringstid.jpg)
GDPR-regler kopplade till lagring och radering av personuppgifter är mycket enkla: det är kort sagt olagligt att lagra personuppgifter längre än vad som är nödvändigt för behandlingsändamålet. Men betyder det då att man kan lagra data så länge man känner det som nödvändigt, och att man aldrig kan tas på det?
Nödvändig lagringstid
Det är sant att du själv definierar vad som är en nödvändig lagringstid för de personuppgifter du behandlar. Men du måste också specificera lagringstiden i registerförteckningen. Det innebär att för alla behandlingar du har måste du ange hur lång tid du ska lagra data. Detta måste vara ett konkret tidsintervall i veckor/månader/år, vilket betyder att du inte kan skriva "så länge som nödvändigt". Detta beror på att du alltid måste ta ställning till hur länge det är nödvändigt att lagra alla personuppgifter du behandlar. Du måste också kunna dokumentera att behovet av att lagra data så länge du vill är verkligt. Du kan inte skriva att du lagrar data i 10 år om du inte kan dokumentera ett verkligt behov. Här måste du också balansera ditt företags behov mot användarens/kundens integritetsbehov. I de flesta fall är det så att ju äldre dataen är desto mindre relevant är den för företaget, och på en viss punkt är det klart att företagets behov är mindre än hänsynen till den registrerade kundens/användarens integritet.
Raderingsrutiner och kontroll
Du bör också kunna visa kontroll- och raderingsrutiner som säkerställer att personuppgifter raderas när det behövs enligt företagets registerförteckning. Den bästa rutinen är självklart att implementera automatiserade raderingsrutiner, men det är inte ett krav, raderingsrutiner kan också vara manuella.
Anonymisering är ett alternativ till radering
Ett alternativ till att radera personuppgifter är anonymisering, men det är viktigt att processen att anonymisera data faktiskt gör data 100% anonyma. Många har en feluppfattning om att det räcker att radera identifierande data, men det är långt ifrån tillräckligt. Läs mer om anonymisering och pseudonymisering här.
Hur länge kan man lagra personuppgifter?
I tabellen nedan har vi skapat några exempel på vad vi anser vara en acceptabel lagringstid. Men kom ihåg att du måste göra din egen bedömning för ditt företag.
Syfte | Kommentar | Lagringstid |
---|---|---|
Personuppgifter som endast behandlas för utskick av nyhetsbrev och erbjudanden. | Typisk e-postlista där besökare har anmält sig till ett nyhetsbrev. | Raderas omedelbart efter att mottagaren har avregistrerat sig från nyhetsbrevet. |
Klickdata från webb, app och e-post för analysändamål. | Loggfiler eller data i system för webbanalys (som till exempel Google Analytics eller Matomo) | Två år |
Kunddata som används för administration av kundförhållanden (kundtjänsthenvändelser etc.). | System som används för kundsupport. | Tre år efter den senaste kundinteraktionen |
Leverans av produkter och tjänster (bokförda försäljningar). | Bokföringslagen har en rad krav på lagringsskyldighet, så här är radering inte direkt. Vårt råd är att du pratar med din redovisningspartner för att klargöra vilka data som kan raderas eller överskrivas när. | Det beror på |