Datatilsynet præciserer krav til sletteprocedurer
Datatilsynet har udsendt nye retningslinjer for sletning af personoplysninger. Det klare udgangspunkt er at når en personoplysning ikke længere er nødvendig, skal denne anonymiseres eller slettes.
Datatilsynet præciserer samtidig at sletning skal ske på en måde så oplysningerne ikke længere er tilgængelige. Kan oplysningerne fortsat tilgås af f.eks. administrator er det ikke en reel sletning.
Den dataansvarlige skal på baggrund af formålet med behandlingen vurdere, hvornår de forskellige personoplysninger skal slettes. Det er vigtigt at huske, at der i flere tilfælde er særlovgivning, der på nogle områder vil påvirke fastsættelsen af fristerne. Dette kunne eksempelvis være bogføringsloven eller hvidvaskningsloven.
Når man skal tage stilling til hvornår det ikke længere er nødvendigt at opbevare personoplysninger, er det først og fremmest formålet med den konkrete behandling, der er relevant at kigge på. For eksempel kan formålet med at opbevare en ansøgning siges at være opfyldt, når stillingen er besat til anden side. Det kan dog stadig være nødvendigt at opbevare ansøgningen i kortere tid herefter, således at processen kan dokumenteres, hvis der skulle opstå en indsigelse fra en ansøger. I forhold til f.eks. straffeattester er det som udgangspunkt ikke nødvendigt at opbevare selve attesten. Formålet er opfyldt, når det er konstateret straffeattesten ikke indeholder bemærkninger. Lønsedler skal derimod opbevares i 5 år jf. bogføringsloven.
Virksomheden skal tage stilling til hvilke procedurer, der skal sikre løbende sletning, herunder hvem der er ansvarlig for sletning, hvordan det sikres at sletning rent faktisk sker og hvordan sletning skal ske på back up/sikkerhedskopier. Det kan være en god ide at tage udgangspunkt i et flow, der er overskueligt og som kan følges fra det tidspunkt den pågældende oplysning når sin slettefrist og til sletningen er foretaget, samtidig med der fastsættes nogle opfølgningsprocedurer.
Den registrerede har en række rettigheder, herunder retten til at blive glemt. Dvs. at den dataansvarlige tillige skal have vedtaget en procedure for en sådan forespørgsel, selvom de i virksomheden fastsatte slettefrister ikke er nået.
Det er vigtigt at slettefristerne ikke alene fastlægges og overholdes, men også at fristerne og deres overholdelse dokumenteres og kontrolleres.
Datatilsynets gode råd
- Tag stilling til slettefrister for de forskellige personoplysninger der behandles, med baggrund i behandlingens formål
- Dokumenter de fastsatte slettefrister
- Vær opmærksom på lovmæssige krav, som kan påvirke slettefristerne
- Fastlæg og dokumenter en procedure for sletning
- Fastlæg og dokumenter en procedure for opfølgning på, at sletningen forløber som forventet
- Tænk sletning ind i behandlingen, så behandlingen indrettes således at eventuelle forskellige slettefrister kan opfyldes på en hensigtsmæssig måde i forhold til systemet, der anvendes
Link til datatilsynets hjemmeside – nyhed om sletning: https://www.datatilsynet.dk/presse-og-nyheder/nyhedsarkiv/2019/jan/sletning-hvorfor-hvornaar-og-hvordan/
