Lagringstid och GDPR

GDPR-regler kopplade till lagring och radering av personuppgifter är mycket enkla: det är kort sagt olagligt att lagra personuppgifter längre än vad som är nödvändigt för behandlingsändamålet. Men betyder det då att man kan lagra data så länge man känner det som nödvändigt, och att man aldrig kan tas på det?

Nödvändig lagringstid

Det är sant att du själv definierar vad som är en nödvändig lagringstid för de personuppgifter du behandlar. Men du måste också specificera lagringstiden i registerförteckningen. Det innebär att för alla behandlingar du har måste du ange hur lång tid du ska lagra data. Detta måste vara ett konkret tidsintervall i veckor/månader/år, vilket betyder att du inte kan skriva "så länge som nödvändigt". Detta beror på att du alltid måste ta ställning till hur länge det är nödvändigt att lagra alla personuppgifter du behandlar. Du måste också kunna dokumentera att behovet av att lagra data så länge du vill är verkligt. Du kan inte skriva att du lagrar data i 10 år om du inte kan dokumentera ett verkligt behov. Här måste du också balansera ditt företags behov mot användarens/kundens integritetsbehov. I de flesta fall är det så att ju äldre dataen är desto mindre relevant är den för företaget, och på en viss punkt är det klart att företagets behov är mindre än hänsynen till den registrerade kundens/användarens integritet.

Raderingsrutiner och kontroll

Du bör också kunna visa kontroll- och raderingsrutiner som säkerställer att personuppgifter raderas när det behövs enligt företagets registerförteckning. Den bästa rutinen är självklart att implementera automatiserade raderingsrutiner, men det är inte ett krav, raderingsrutiner kan också vara manuella.

Anonymisering är ett alternativ till radering

Ett alternativ till att radera personuppgifter är anonymisering, men det är viktigt att processen att anonymisera data faktiskt gör data 100% anonyma. Många har en feluppfattning om att det räcker att radera identifierande data, men det är långt ifrån tillräckligt. Läs mer om anonymisering och pseudonymisering här.

Hur länge kan man lagra personuppgifter?

I tabellen nedan har vi skapat några exempel på vad vi anser vara en acceptabel lagringstid. Men kom ihåg att du måste göra din egen bedömning för ditt företag.