Hvordan fastsetter du oppbevaringspolicyen for dokumenter etter GDPR?
En oppbevaringspolicy betyr en skriftlig frist for hver dokumenttype, og en sletting som faktisk skjer.
Kort svar
- Lag en oversikt over dokumenttypene som inneholder personopplysninger.
- For hver type fastsetter du en oppbevaringstid og grunnlaget for den: en lovpålagt plikt eller en dokumentert berettiget interesse.
- Når fristen går ut, merkes dokumentet for sletting eller anonymisering, og en ansvarlig bekrefter. Det skjer ikke «når noen husker det».
- Hver sletting føres i en logg, slik at du kan vise at prinsippet om lagringsbegrensning er fulgt.
Hva lovverket sier (kort)
- Personvernforordningen (GDPR) art. 5 nr. 1 bokstav e: lagringsbegrensning. Personopplysninger oppbevares bare så lenge formålet krever.
- GDPR art. 17: retten til sletting gjelder ikke der oppbevaring er pålagt ved lov.
- Bokføringsloven § 13: fem år for årsregnskap, spesifikasjoner og bokført dokumentasjon, og tre år og seks måneder for visse andre kategorier, regnet fra utgangen av regnskapsåret. Sjekk gjeldende tekst på lovdata.no.
- Øvrige dokumenter, for eksempel CV-er fra søkere som ikke fikk jobben, har ingen lovfestet frist i bokføringsloven. Fastsett en frist ut fra formålet, og dokumenter vurderingen.
- Arkivplanen er dokumentet der disse fristene faktisk skrives ned.
Praktiske eksempler
- CV-er fra kandidater som ikke fikk jobben: kort frist satt av virksomheten, ofte 6–12 måneder, med forhåndsinformasjon til kandidaten.
- En tidligere ansatt ber om sletting: mappen kan ikke slettes fullt ut, fordi lønnsspesifikasjoner har en lovpålagt frist.
- Adgangsloggen for lokalene har en frist på noen måneder, og slettes deretter etter bekreftelse fra en ansvarlig.
- En virksomhet med 300 dokumenttyper reduserer listen til 42 kategorier med egen frist og automatiserer resten.
Vanlige feil
- Policyen finnes på papir, men ingen faktisk sletting er gjort.
- Enhver sletteforespørsel godtas, også for dokumenter med lovpålagt frist.
- Sikkerhetskopiene beholder data som allerede er slettet fra hovedsystemet.
- Det finnes ingen dokumentasjon på slettingen, og da kan ikke etterlevelsen vises.
- Fristene settes «for sikkerhets skyld» til 30 år for alt, noe som bryter prinsippet om lagringsbegrensning.
Slik hjelper 4docs deg
- Oppbevaringstid satt per dokumenttype, med grunnlaget notert ved siden av.
- Varsel før utløp, slik at en ansvarlig bekrefter slettingen.
- Sletting eller anonymisering ved frist, ført i registeret, også for vedlagte filer.
- Registeret over slettinger er dokumentasjon overfor tilsynsmyndigheten.