Rett til sletting, ofte kalt «retten til å bli glemt», gir den registrerte rett til å kreve at personopplysninger slettes uten ugrunnet opphold når nærmere bestemte vilkår er oppfylt. Retten følger av artikkel 17 i personvernforordningen (GDPR). Den er ikke absolutt: sletting kan kreves på seks bestemte grunnlag, men flere unntak – blant annet lovpålagt oppbevaring og rettskrav – kan gå foran. Virksomheten må derfor vurdere hvert slettekrav konkret opp mot grunnlagene og unntakene, og svare innen én måned.
Denne artikkelen forklarer når retten til sletting gjelder, når den ikke gjelder, hvordan retten henger sammen med prinsippet om lagringsbegrensning, og hvilke feil virksomheter oftest gjør. Personvernforordningen gjelder i Norge gjennom personopplysningsloven og EØS-avtalen.
Når har man rett til sletting?
Artikkel 17 nr. 1 angir seks grunnlag der den registrerte kan kreve sletting:
- Opplysningene er ikke lenger nødvendige for formålet de ble samlet inn for.
- Den registrerte trekker tilbake samtykket som behandlingen bygget på, og det finnes ikke annet rettslig grunnlag.
- Den registrerte protesterer mot behandlingen etter artikkel 21, og det foreligger ikke tungtveiende berettigede grunner som går foran.
- Opplysningene er behandlet ulovlig.
- Sletting er nødvendig for å oppfylle en rettslig forpliktelse.
- Opplysningene er samlet inn i forbindelse med informasjonssamfunnstjenester tilbudt barn.
Foreligger ett av disse grunnlagene, og ingen unntak gjelder, skal opplysningene slettes uten ugrunnet opphold. Sletteplikten omfatter alle kopier og speilinger – ikke bare hovedbasen – noe som forutsetter at virksomheten vet hvor opplysningene finnes, via sin behandlingsprotokoll.
Hva innebærer «retten til å bli glemt» på nett?
Har den behandlingsansvarlige offentliggjort opplysningene, pålegger artikkel 17 nr. 2 en utvidet plikt: virksomheten skal, med rimelige tiltak og hensyn til tilgjengelig teknologi og kostnad, informere andre behandlingsansvarlige som behandler opplysningene, om at den registrerte krever sletting av lenker, kopier og reproduksjoner. Dette er kjernen i «retten til å bli glemt» slik EU-domstolen utviklet den for søkemotorer.
Når gjelder retten til sletting ikke?
Artikkel 17 nr. 3 gjør flere viktige unntak. Sletting kan nektes så langt behandlingen er nødvendig for:
- Ytrings- og informasjonsfriheten.
- Å oppfylle en rettslig forpliktelse eller utføre en oppgave i allmennhetens interesse.
- Folkehelsehensyn.
- Arkivformål i allmennhetens interesse, vitenskapelig eller historisk forskning eller statistikk.
- Å fastsette, gjøre gjeldende eller forsvare rettskrav.
I norsk praksis er lovpålagt oppbevaring det vanligste unntaket. Bokføringsloven krever oppbevaring av regnskapsmateriale, og en rekke særlover setter minimums oppbevaringstider. Slike opplysninger kan ikke slettes på krav før den lovpålagte perioden er utløpt, men bør da isoleres og ikke brukes til andre formål. Skillet mellom «må oppbevares» og «brukes videre» er praktisk viktig: at noe må lagres for regnskap, betyr ikke at det kan brukes til markedsføring.
Hva er forholdet mellom sletting og lagringsbegrensning?
De to henger tett sammen, men er ikke det samme. Lagringsbegrensning etter artikkel 5 er en plikt virksomheten har til å slette av eget tiltak når opplysningene ikke lenger trengs. Retten til sletting etter artikkel 17 er en rettighet den registrerte kan påberope. En virksomhet som har gode slettefrister og faktisk følger dem, får langt færre slettekrav, fordi opplysningene allerede er borte når formålet er oppfylt.
Rett til sletting i praksis
Et gyldig slettekrav skal besvares innen én måned, på samme måte som et innsynskrav. Avslår man, skal den registrerte få vite hvorfor og informeres om retten til å klage til Datatilsynet. Sletter man, bør slettingen dokumenteres – både for å vise etterlevelse og for å kunne bekrefte overfor den registrerte at kravet er oppfylt.
Hva betyr det at sletting skal skje «uten ugrunnet opphold»?
Sletteplikten inntrer straks vilkårene er oppfylt, men gjennomføringen kan i praksis kreve noe tid – særlig når opplysninger ligger i flere systemer, hos databehandlere og i sikkerhetskopier. «Uten ugrunnet opphold» betyr så raskt som praktisk mulig, med samme ytterfrist på én måned som for øvrige rettigheter. For sikkerhetskopier godtar Datatilsynet at sletting kan skje ved neste ordinære rotasjon av backup, forutsatt at opplysningene i mellomtiden ikke gjenopprettes til aktiv bruk. Det avgjørende er at virksomheten har en dokumentert prosess for hvordan sletting faktisk gjennomføres i alle lag – ikke bare i produksjonsbasen. En sletteplan knyttet til prinsippet om lagringsbegrensning gjør denne prosessen forutsigbar og etterprøvbar.
Vanlige feil
- Å tro at sletteretten er absolutt. Unntakene i artikkel 17 nr. 3, særlig lovpålagt oppbevaring og rettskrav, kan gå foran.
- Å slette for mye. Sletter man opplysninger som må oppbevares etter bokføringsloven, bryter man en annen lov. Skill mellom sletting og isolering.
- Å glemme kopiene. Sletting omfatter backup, logger og speilinger. Uten oversikt slettes bare hovedbasen.
- Å ikke svare i tide. Også avslag på slettekrav må gis innen én måned med begrunnelse.
- Å forveksle sletting og anonymisering. Reell anonymisering kan være et alternativ til sletting, men bare hvis opplysningene faktisk ikke lenger kan knyttes til en person.
Ofte stilte spørsmål
Kan man alltid kreve at opplysninger slettes?
Nei. Retten gjelder bare når ett av de seks grunnlagene i artikkel 17 nr. 1 foreligger, og den kan nektes når ett av unntakene i nr. 3 gjelder – for eksempel lovpålagt oppbevaring, rettskrav eller ytringsfrihet. Hvert krav må vurderes konkret.
Hva med opplysninger vi må oppbevare etter bokføringsloven?
Slike opplysninger kan ikke slettes på krav før den lovpålagte oppbevaringstiden er utløpt. De bør da isoleres slik at de bare brukes til det lovpålagte formålet, og slettes når perioden er over. Lovpålagt oppbevaring er et av de vanligste grunnlagene for å avslå et slettekrav i Norge.
Hvor lang tid har man på å slette?
Uten ugrunnet opphold og senest innen én måned fra kravet ble mottatt, med samme mulighet for forlengelse på to måneder ved komplekse forespørsler som for innsyn. Både gjennomføring av sletting og eventuelt avslag med begrunnelse skal skje innen fristen.
Må vi varsle andre om at opplysningene er slettet?
Har opplysningene vært utlevert til databehandlere eller andre mottakere, må disse informeres om slettekravet, slik at også de sletter, med mindre det viser seg umulig eller krever en uforholdsmessig innsats. Er opplysningene offentliggjort, gjelder den utvidede plikten i artikkel 17 nr. 2 til å informere andre behandlingsansvarlige som behandler dem. Den registrerte har dessuten rett til å få vite hvilke mottakere som er informert, dersom vedkommende ber om det.
Kan man nekte sletting fordi opplysningene ligger i sikkerhetskopier?
Nei, men gjennomføringen kan tilpasses. Opplysningene skal fjernes fra aktive systemer straks, mens sletting i sikkerhetskopier kan skje ved neste rotasjon. Så lenge opplysningene i mellomtiden er isolert og ikke gjenopprettes til bruk, anses plikten oppfylt. Å beholde opplysningene i backup i det uendelige uten en sletterutine er derimot ikke akseptabelt.
Konklusjon
Retten til sletting er sterk, men ikke ubetinget. Den registrerte kan kreve sletting på seks grunnlag, men lovpålagt oppbevaring, rettskrav og ytringsfrihet kan gå foran. Nøkkelen er å vurdere hvert krav konkret, skille mellom sletting og lovpålagt isolering, og huske at sletting omfatter alle kopier. Virksomheter som allerede følger prinsippet om lagringsbegrensning og sletter av eget tiltak, får både færre krav og en enklere håndtering. Koble slettefristene til behandlingsprotokollen og dokumenter hver sletting.
Denne artikkelen gir generell informasjon om artikkel 17 og utgjør ikke juridisk rådgivning.