GDPR
GDPR och datalagring: vad är rätt lagringstid?
Guide till lagringstider enligt GDPR: fastställ ändamålsbaserade lagringstider, dokumentera ROPA, radera eller anonymisera när uppgifterna inte längre behövs och minska juridiska risker och säkerhetsrisker.
GDPR och datalagring: vad är rätt lagringstid?
När det gäller personuppgifter är mer inte alltid bättre. Enligt dataskyddsförordningen (GDPR) kan du utsätta ditt företag för risken att bryta mot reglerna om du behåller personuppgifter längre än nödvändigt.
Vad är lagringstid enligt GDPR?
Lagringstid avser den period som ett företag lagrar personuppgifter innan de raderas, anonymiseras eller arkiveras. GDPR utgår från ett ändamålsbaserat synsätt, vilket innebär att du bara får behålla personuppgifter:
- Så länge det är nödvändigt för att uppfylla det ändamål de samlades in för.
- Inte längre än vad som behövs, även om de lagras på ett säkert sätt.
- Om skälet till att du samlade in uppgifterna inte längre gäller måste du radera eller anonymisera dem.
Finns det en lagringsgräns i GDPR?
GDPR kräver att:
”Personuppgifter ska förvaras i en form som gör det möjligt att identifiera de registrerade endast så länge som det är nödvändigt.” — Artikel 5.1 e, GDPR
Så fastställer du GDPR-kompatibla lagringstider
Organisationer bör ta fram en policy för lagring av personuppgifter som beskriver:
- Varför uppgifterna samlas in
- Hur länge de sparas
- När och hur de granskas eller raderas
- Rutiner för radering eller anonymisering
- Vem som ansvarar för att reglerna följs
Din förteckning över behandling av personuppgifter (ROPA) bör spegla lagringstiderna.
Risker med att spara data för länge
- Säkerhetsrisk: Mer data innebär större konsekvenser vid ett dataintrång.
- Regelrisk: Brott mot GDPR:s principer.
- Böter: Upp till 20 miljoner euro eller 4 % av den globala omsättningen.
Lagringstid och användarens samtycke
Om du förlitar dig på användarens samtycke:
- Ange en tydlig utgångstid (till exempel 12–24 månader).
- Förnya samtycket för att kunna fortsätta behandlingen efter den tiden.
- Radera eller anonymisera data om samtycket återkallas eller har gått ut.
CMP:er (plattformar för samtyckeshantering) hjälper dig att tillämpa tidsbegränsad samtyckesspårning.
Sammanfattning
För att följa GDPR:
- Behåll bara data så länge som det behövs.
- Dokumentera dina motiv för lagringstiderna.
- Granska och rensa regelbundet bort inaktuella register.
En tydlig policy för lagring av personuppgifter är avgörande för efterlevnad av integritetsreglerna, för förtroendet och för att minska riskerna.
Källor
- Artikel 5.1 e – lagringsminimering
- EDPB:s riktlinjer om lagringsminimering
- CNIL:s bästa praxis: lagring av personuppgifter
Var det här till hjälp?Tack för att du berättade.
