Lagringsbegrensning er ett av de grunnleggende personvernprinsippene, og det innebærer at personopplysninger ikke skal lagres lenger enn nødvendig for formålene de behandles for. Prinsippet følger av artikkel 5 nr. 1 bokstav e i personvernforordningen (GDPR). Når formålet er oppfylt, skal opplysningene slettes eller anonymiseres – uten at den registrerte trenger å be om det. Lagringsbegrensning er derfor en aktiv plikt for virksomheten, ikke bare en rettighet den enkelte kan påberope. Kravet forutsetter at man fastsetter konkrete slettefrister for hver kategori opplysninger og faktisk gjennomfører slettingen.
Denne artikkelen forklarer hva lagringsbegrensning innebærer, hvordan man fastsetter forsvarlige slettefrister, hvordan lovpålagt oppbevaring spiller inn, når anonymisering er et alternativ til sletting, og hvilke feil som er vanligst. Personvernforordningen gjelder i Norge gjennom personopplysningsloven og EØS-avtalen.
Hva innebærer prinsippet om lagringsbegrensning?
Artikkel 5 nr. 1 bokstav e krever at opplysninger «oppbevares i en form som gjør det mulig å identifisere de registrerte i ikke lengre enn nødvendig for formålene». Kjernen er koblingen til formålet: så lenge opplysningene trengs for det formålet de ble samlet inn for, kan de lagres. Når formålet er oppfylt, skal de slettes. Prinsippet henger dermed tett sammen med formålsbegrensning og dataminimering – man skal ikke samle inn mer enn nødvendig, og ikke beholde det lenger enn nødvendig.
Prinsippet er ikke oppfylt ved å skrive «vi lagrer så lenge det er nødvendig» i en personvernerklæring. Datatilsynet er tydelig på at den behandlingsansvarlige skal fastsette frister for sletting eller gjennomføre periodiske gjennomganger, og ta stilling til hvor lang tid en eventuell anonymiseringsprosess vil ta. Ansvarlighetsprinsippet i artikkel 5 nr. 2 innebærer at virksomheten må kunne dokumentere at fristene finnes og følges.
Hvordan fastsetter man en slettefrist?
En slettefrist utledes av formålet, ikke omvendt. Spør: hvor lenge trenger vi disse opplysningene for å oppnå formålet? For et kundeforhold vil det typisk være kundeforholdets varighet pluss en periode for eventuelle rettskrav; for en jobbsøknad som ikke fører fram, en kort periode etter avslag; for markedsføringssamtykke, til samtykket trekkes tilbake. Fristene samles i en sletteplan knyttet til behandlingsprotokollen, der hver kategori opplysninger får en konkret frist eller et konkret slettekriterium.
Lovpålagt oppbevaring: når man må lagre lenger
Lagringsbegrensning betyr ikke at man alltid skal slette raskest mulig. Flere lover pålegger minimums oppbevaringstider som går foran. Bokføringsloven krever oppbevaring av regnskapsmateriale i som hovedregel fem år; enkelte dokumenter må oppbevares lenger. Skatte-, arbeidsmiljø- og hvitvaskingsregelverket setter egne frister. Så lenge en lovpålagt oppbevaringsplikt løper, er nettopp den plikten det rettslige grunnlaget og formålet for videre lagring.
Det avgjørende skillet er mellom oppbevaring og bruk. At regnskapsbilag må oppbevares i fem år etter bokføringsloven, betyr ikke at opplysningene kan brukes til markedsføring eller analyse i denne perioden. Opplysninger som bare oppbevares av lovpålagte grunner, bør isoleres slik at de utelukkende brukes til det lovpålagte formålet, og slettes når perioden er over. Dette er også kjernen i grensen mot retten til sletting: lovpålagt oppbevaring er et gyldig grunnlag for å avslå et slettekrav.
Er anonymisering et alternativ til sletting?
Ja. Prinsippet krever ikke nødvendigvis sletting, men at opplysningene ikke lenger skal kunne knyttes til en person lenger enn nødvendig. Reell anonymisering – der det ikke lenger er mulig å identifisere personen, verken direkte eller indirekte – tar opplysningene ut av forordningens virkeområde og kan brukes til statistikk og analyse. Men terskelen er høy: pseudonymiserte opplysninger, der en nøkkel fortsatt kan gjenopprette identiteten, regnes fremdeles som personopplysninger og må slettes ved fristens utløp.
Lagringsbegrensning i praksis
Det største praktiske problemet er ikke å fastsette frister, men å faktisk gjennomføre slettingen. Opplysninger hoper seg opp i gamle systemer, backup, e-postarkiver, regneark og logger. En sletteplan uten teknisk gjennomføring er bare et dokument. Datatilsynet forventer periodiske gjennomganger som fanger opp opplysninger som har passert fristen, og at slettingen dokumenteres.
Hvordan bygge en praktisk sletteplan?
En sletteplan tar utgangspunkt i behandlingsprotokollen og gir hver kategori opplysninger en konkret frist eller et konkret slettekriterium. For hver behandling angis: hvilke opplysninger, hvor lenge, hvilket grunnlag oppbevaringstiden bygger på, og hvordan slettingen teknisk gjennomføres. Skill tydelig mellom opplysninger med lovpålagt oppbevaringstid (som regnskapsmateriale) og opplysninger som skal slettes når det operative formålet er oppfylt. Planen bør også dekke sikkerhetskopier, logger og e-postarkiv, som er de vanligste stedene opplysninger overlever fristen. Til slutt fastsettes et intervall for periodisk gjennomgang, slik at planen faktisk følges opp og ikke blir liggende som et ubrukt dokument. En sletteplan som bare beskriver frister uten å angi hvem som gjennomfører slettingen og når, ender som regel med at opplysninger blir liggende langt utover fristen.
Vanlige feil
- «Så lenge det er nødvendig» som slettefrist. Dette er ingen frist. Angi konkrete perioder eller kriterier for hver kategori.
- Å forveksle oppbevaringsplikt og bruksrett. Lovpålagt oppbevaring gir ikke rett til å bruke opplysningene til nye formål.
- Å glemme backup og logger. Slettefrister må omfatte alle lagringssteder, ikke bare produksjonsbasen.
- Å stole på pseudonymisering. Pseudonymiserte opplysninger er fortsatt personopplysninger og må slettes ved fristens utløp.
- Å lage sletteplan uten å gjennomføre den. Uten periodiske gjennomganger blir planen et papir uten virkning.
Ofte stilte spørsmål
Hvor lenge kan man lagre personopplysninger?
Så lenge det er nødvendig for formålet de ble samlet inn for. Det finnes ingen fast maksimalfrist i forordningen; fristen utledes av formålet. Når formålet er oppfylt, skal opplysningene slettes eller anonymiseres, med mindre en lovpålagt oppbevaringsplikt krever videre lagring.
Må man ha en skriftlig sletteplan?
Ansvarlighetsprinsippet i artikkel 5 nr. 2 krever at virksomheten kan dokumentere at slettefrister finnes og følges. I praksis betyr det en skriftlig sletteplan, gjerne knyttet til behandlingsprotokollen, samt dokumentasjon på at slettingen faktisk gjennomføres.
Hva med opplysninger vi må oppbevare etter bokføringsloven?
De skal oppbevares i den lovpålagte perioden – som hovedregel fem år for regnskapsmateriale – men bør isoleres slik at de bare brukes til det lovpålagte formålet. Når perioden er utløpt, skal de slettes. Lovpålagt oppbevaring er et gyldig grunnlag for både videre lagring og for å avslå et slettekrav.
Kan vi lagre personopplysninger «i tilfelle vi trenger dem senere»?
Nei. Å beholde opplysninger for et hypotetisk fremtidig formål bryter både formålsbegrensningen og lagringsbegrensningen. Behandlingen må ha et fastsatt, uttrykkelig og berettiget formål, og opplysningene skal slettes når det formålet er oppfylt. Ønsker man å bruke opplysninger til et nytt formål, må det vurderes særskilt om det nye formålet er forenlig med det opprinnelige.
Konklusjon
Lagringsbegrensning er en aktiv plikt: virksomheten skal slette eller anonymisere opplysninger av eget tiltak når formålet er oppfylt, ikke vente på at noen ber om det. Fastsett konkrete slettefrister utledet av formålet, respekter lovpålagt oppbevaring uten å bruke opplysningene videre, og gjennomfør slettingen faktisk – også i backup og logger. Godt gjennomført lagringsbegrensning reduserer både regelrisiko og angrepsflate, og gjør retten til sletting enklere å oppfylle. Knytt sletteplanen til behandlingsprotokollen og gjennomgå den periodisk.
Denne artikkelen gir generell informasjon om artikkel 5 og utgjør ikke juridisk rådgivning.