GDPR ja tietojen säilytys: mikä on oikea säilytysaika?

Henkilötietojen kohdalla enemmän ei ole aina parempi. Yleisen tietosuoja-asetuksen (GDPR) mukaan henkilötietojen säilyttäminen tarpeettoman pitkään voi asettaa yrityksesi vaatimustenvastaisuuden riskiin.

---

Mitä tietojen säilytys tarkoittaa GDPR:n mukaan?

Tietojen säilytyksellä tarkoitetaan aikaa, jonka yritys säilyttää henkilötietoja, ennen kuin ne poistetaan, anonymisoidaan tai arkistoidaan. GDPR noudattaa tarkoitussidonnaista lähestymistapaa, eli henkilötietoja saa säilyttää vain:

• niin kauan kuin se on tarpeen sen tarkoituksen toteuttamiseksi, jota varten ne kerättiin.
• ei pidempään kuin on tarpeen, vaikka tiedot olisi tallennettu turvallisesti.
• jos tietojen keräämisen peruste ei ole enää voimassa, tiedot on poistettava tai anonymisoitava.

---

Onko GDPR:ssä säilytysajan enimmäisrajaa?

GDPR edellyttää, että:

”Henkilötiedot on säilytettävä muodossa, josta rekisteröity on tunnistettavissa, ainoastaan niin kauan kuin on tarpeen.” — GDPR:n 5 artiklan 1 kohdan e alakohta

---

Näin määrität GDPR:n mukaiset säilytysajat

Organisaatioiden tulisi laatia tietojen säilytyskäytäntö, jossa kuvataan:

• miksi tietoja kerätään
• kuinka kauan niitä säilytetään
• milloin ja miten ne tarkastetaan tai poistetaan
• poistamisen tai anonymisoinnin prosessit
• kuka vastaa noudattamisen valvonnasta

Käsittelytoimien selosteesi (ROPA) tulisi vastata säilytysaikoja.

---

Tietojen liian pitkän säilyttämisen riskit

• Tietoturvariski: Mitä enemmän tietoa, sitä suuremmat vaikutukset tietomurrosta.
• Sääntelyriski: GDPR:n periaatteiden vastainen toiminta.
• Sakot: Jopa 20 miljoonaa euroa tai 4 % maailmanlaajuisesta liikevaihdosta.

---

Säilytys ja käyttäjän suostumus

Jos tietojenkäsittely perustuu käyttäjän suostumukseen:

• Määritä selkeä voimassaoloaika (esim. 12–24 kuukautta).
• Uusi suostumus, jotta käsittelyä voi jatkaa sen jälkeen.
• Poista tai anonymisoi tiedot, jos suostumus peruutetaan tai vanhenee.

CMP-ratkaisut (suostumustenhallintaratkaisut) auttavat valvomaan määräaikaista suostumusten seurantaa.

---

Loppupäätelmä

GDPR-vaatimusten noudattamiseksi:

• Säilytä tietoja vain niin kauan kuin on tarpeen.
• Dokumentoi säilytysaikojen perustelut.
• Tarkasta ja poista vanhentuneet tiedot säännöllisesti.

Selkeä tietojen säilytyskäytäntö on olennainen osa tietosuojan noudattamista, luottamusta ja riskien vähentämistä.

---

Lähteet

• Article 5(1)(e) — Storage Limitation
• EDPB Guidelines on Storage Limitation
• CNIL Best Practices: Data Retention