Hvor lang tid må man gemme data?

Hvor lang tid må man gemme data? Formål og 5 års reglen

At forstå hvor lang tid må man gemme data er afgørende for korrekt håndtering af personoplysninger i enhver virksomhed. Opbevaring uden et klart formål fører til overtrædelse af gældende lovgivning omkring dokumentation. Læs videre for at sikre, at jeres sletteprocedurer stemmer overens med de lovmæssige krav.

Hvor lang tid må man gemme data?

Spørgsmålet om, hvor længe man må opbevare personoplysninger, kan virke uoverskueligt, da svaret afhænger af både formål, branche og specifikke lovkrav. Der er ikke én universel tidsfrist, der gælder for alle typer informationer.

De generelle principper ifølge databeskyttelsesforordningen

Ifølge Datatilsynet fastsætter gdpr regler for sletning af data ikke en bestemt, generel tidsfrist for sletning^[1] af data. Man må som udgangspunkt gemme data, så længe det er nødvendigt for det formål, de blev indsamlet til. Når dette formål ikke længere er til stede, skal oplysningerne slettes eller anonymiseres.

Hvad siger lovgivningen om specifikke data?

Selvom GDPR ikke opstiller faste tidsfrister, kræver anden lovgivning ofte, at virksomheder gemmer oplysninger i et bestemt tidsrum. bogføringsloven opbevaring af regnskabsmateriale er et godt eksempel på dette, da regnskabsmateriale, fakturaer og bilag skal gemmes i 5 år fra udgangen af det pågældende regnskabsår.^[2] Personalesager: Oplysninger om tidligere medarbejdere kan gemmes, så længe det er nødvendigt af hensyn til dokumentation - typisk et par måneder til et år efter fratrædelse, eller væsentligt længere ved verserende sager eller arbejdsulykker. Jobansøgninger: Uopfordrede eller afviste jobansøgninger bør som udgangspunkt slettes hurtigt efter, at rekrutteringen er afsluttet, medmindre ansøgeren har givet samtykke til opbevaring af jobansøgninger regler.

Sådan sikrer du korrekt sletning i virksomheden

At navigere mellem reglerne kræver faste interne procedurer. Hvis du har en bestemt type data eller en helt konkret situation i minde, er det en god idé at vurdere formålet skridt for skridt. Manglende overblik over slettefrister efter gdpr er en af de hyppigste årsager til ufordelagtige sager med tilsynsmyndighederne.

Overblik over opbevaringsfrister for forskellige datatyper

Regnskabsmateriale

- Skattekontrol og finansiel dokumentation

- Bogføringsloven

- 5 år fra udgangen af det pågældende regnskabsår

Personalesager

- Beskyttelse mod eventuelle ansættelsestvister

- GDPR og dokumentationspligt

- Kort efter fratrædelse, medmindre der er verserende sager

Jobansøgninger

- Beskyttelse af ansøgerens privatliv

- Datatilsynets vejledninger

- Hurtig sletning efter rekruttering (medmindre der foreligger samtykke)

Virksomheden der glemte at slette gamle ansøgninger

En mellemstor handelsvirksomhed modtog i flere år uopfordrede jobansøgninger via mail og gemte dem i en fællesmappe uden faste procedurer for sletning.

Under et internt tjek opdagede ledelsen, at de lå inde med CV'er og personfølsomme oplysninger på kandidater, der havde søgt for over tre år siden.

Virksomheden indførte straks en fast rutine, hvor alle ansøgninger slettes senest 30 dage efter, at den aktuelle stilling er besat, og uopfordrede ansøgninger slettes medmindre der indhentes et eksplicit samtykke.

Tiltaget betød, at virksomheden bragte sig i overensstemmelse med gældende databeskyttelsesregler og undgik risikoen for klager og potentielle gebyrer.