Hvor lang tid må man opbevare persondata?

Persondata: Hvor længe må du gemme dine oplysninger? En guide til opbevaring og sletning

I en digital tidsalder, hvor data flyder frit, er det afgørende at forstå reglerne omkring opbevaring af persondata. Spørgsmålet “Hvor længe må jeg gemme personlige oplysninger?” er ikke simpelt, og der findes ikke et entydigt svar. Databeskyttelsesloven fastsætter nemlig ikke en specifik dato for, hvornår data skal slettes. I stedet er princippet, at du kun må opbevare persondata så længe, der er et sagligt behov for det – og ikke længere.

Behovet i centrum:

Kernen i problematikken er altså behovet. Hvad skal du bruge dataene til? Og er det behov fortsat til stede? Det er afgørende, at du som dataansvarlig kan argumentere for, hvorfor du opbevarer specifikke persondata. Dette kræver en nøje vurdering af de formål, du indsamlede dataene til, og om disse formål stadig er relevante.

Hvad er et “sagligt behov”?

Hvad der udgør et sagligt behov er kontekstafhængigt. Det kan eksempelvis være nødvendigt at opbevare data for at:

• Opfylde lovkrav (f.eks. bogføringsloven).
• Overholde kontraktlige forpligtelser.
• Dokumentere historikken i en sag (f.eks. en personalesag, som Datatilsynet har anerkendt som et legitimt formål).
• Forfølge eller forsvare retskrav.

Eksempler fra virkeligheden:

Lad os se på et par eksempler:

• Kundedata: En webshop skal opbevare kundedata så længe det er nødvendigt for at behandle ordrer, håndtere reklamationer og yde kundeservice. Når kundeforholdet er afsluttet, og der ikke længere er en saglig grund til at opbevare dataene (f.eks. fordi reklamationsperioden er udløbet), skal dataene slettes.
• Personalesager: Som arbejdsgiver kan du have et legitimt behov for at opbevare data om medarbejdere, så længe det er nødvendigt for at dokumentere personalesagen og overholde gældende lovgivning. Datatilsynet har tidligere fremhævet vigtigheden af at kunne dokumentere historikken i en personalesag som et sagligt formål.

Slet, når behovet ophører:

Når behovet for at opbevare persondata er ophørt, er du forpligtet til at slette eller anonymisere dataene. Anonymisering betyder, at dataene gøres uigenkendelige, så de ikke længere kan knyttes til en specifik person.

Risikoen ved unødvendig opbevaring:

At opbevare persondata unødvendigt længe er ikke blot i strid med databeskyttelsesloven, det øger også risikoen for databrud og misbrug af oplysningerne. Jo mere data du opbevarer, desto større er skaden, hvis der sker et sikkerhedsbrud.

Konklusion:

Opbevaring af persondata er en balancegang mellem behovet for at bruge dataene og retten til privatliv. Der findes ingen faste slettefrister, men princippet er klart: Opbevar dataene så længe, der er et sagligt behov – og slet dem, når behovet forsvinder. Vær opmærksom på, at vurderingen af, hvad der udgør et sagligt behov, kan variere fra sag til sag. Det er derfor vigtigt at dokumentere dine overvejelser og sikre, at du har en klar politik for opbevaring og sletning af persondata. Det er den bedste måde at sikre, at du overholder databeskyttelsesloven og respekterer den enkeltes ret til privatliv.