Dokumenthåndtering: krav til opbevaring og sletning i danske virksomheder

Hvad skal virksomheden opbevare og slette – og hvorfor?

GDPR er EU's databeskyttelsesregler og gælder, når private danske virksomheder behandler personoplysninger. Datatilsynet definerer behandling bredt: Når du som virksomhed indsamler, registrerer, videregiver eller sletter personoplysninger om fx kunder eller ansatte, skal du overholde GDPR. Opbevaring og sletning er derfor ikke et isoleret IT-spørgsmål, men to sider af samme behandlingsbegreb, som virksomheden skal kunne styre og dokumentere.

Kravene gælder personoplysninger, dvs. oplysninger der kan knyttes til en person. Dokumenter uden personoplysninger er som udgangspunkt ikke omfattet. Der er dog udvidelser: Efter databeskyttelsesloven gælder loven og forordningen også for behandling af oplysninger om virksomheder m.v., når behandlingen udføres for kreditoplysningsbureauer; oplysninger om afdøde er omfattet i 10 år efter dødsfaldet.

I praksis indeholder mange danske virksomhedsdokumenter personoplysninger: e-mails til og fra kunder, aftaler med navngivne kontaktpersoner, HR-sager og mødereferater med deltagerlister. Dokumenthåndteringen bør derfor tage udgangspunkt i, hvor personoplysningerne faktisk findes i dokumenter og systemer – ikke i en opdeling mellem "personalesager" og "alt andet".

De danske regler, der konkret stiller krav, er databeskyttelsesforordningen og databeskyttelsesloven. Databeskyttelsesloven supplerer og gennemfører databeskyttelsesforordningen, jf. lovens § 1. Ved siden af GDPR gælder bogføringsloven for regnskabsmateriale.

De centrale GDPR-bestemmelser for opbevaring og sletning er artikel 5, stk. 1, litra e, om opbevaringsbegrænsning, artikel 17 om retten til sletning og artikel 28 om databehandleraftaler, der også styrer sletning hos leverandører.

Hvilke dokumenter er omfattet af kravene?

Databeskyttelseslovens § 1, stk. 2, fastlægger anvendelsesområdet: Loven og databeskyttelsesforordningen omfatter al behandling af personoplysninger, der helt eller delvis sker ved automatisk databehandling, og anden ikkeautomatisk behandling af personoplysninger, der er eller vil blive indeholdt i et register. Undtaget er tilfældene i forordningens artikel 2, stk. 2, litra b-d, og lovens § 3.

To betingelser afgør, om et dokument er omfattet: Der skal være personoplysninger i det, og behandlingen skal enten være helt eller delvis automatisk – fx i et kundesystem, lønsystem eller e-mailarkiv – eller oplysningerne skal indgå i et register. For papirdokumenter betyder det, at løse noter uden for et register falder udenfor, mens oplysninger i et ordnet sags- eller personalekartotek er omfattet.

Typiske dokumenter er kundeaftaler med kontaktoplysninger, HR-sager og ansættelsesdokumenter, e-mails, databaser som CRM- og supportsystemer samt mødereferater med deltagerlister. Listen er eksempler, ikke en udtømmende juridisk opregning; vurderingen følger det enkelte dokuments indhold og placering, ikke dokumenttypen.

Til opbevaringsspørgsmålet hører en vigtig sidebemærkning: Efter § 1, stk. 3, går regler om behandling af personoplysninger i anden lovgivning, der ligger inden for forordningens rammer for særregler, forud for databeskyttelseslovens egne regler. Sektorspecifik lovgivning kan derfor i praksis sætte grænsen for, hvor længe en dokumenttype må eller skal opbevares.

Bogføringslovens § 3 definerer regnskabsmateriale, der skal opbevares digitalt i mindst 5 år. Det omfatter registreringer, transaktionssporet, beskrivelser af bogføringen og af systemer til opbevaring og fremfindelse, aftaler om elektronisk dataudveksling, bilag og anden dokumentation, oplysninger nødvendige for kontrolsporet, regnskaber og revisionsprotokoller.

Opbevaringsperiode: Formålet bestemmer – ikke en fast facitliste

GDPR indeholder ingen generel opbevaringsfrist. Kravet står i forordningens artikel 5, stk. 1, litra e, om opbevaringsbegrænsning: Personoplysninger skal opbevares, så det ikke er muligt at identificere de registrerede i længere tid end nødvendigt til formålet. Når oplysningerne ikke længere er nødvendige, skal de slettes eller anonymiseres.

Datatilsynet siger, at du kender din egen virksomhed bedst, og at du derfor er bedst til at vurdere, hvilke personoplysninger du har behov for at behandle for at drive forretningen. Virksomheden skal også selv vurdere, til hvilke formål personoplysninger behandles, og hvor længe det er nødvendigt at gemme dem.

Datatilsynet kalder GDPR fleksible regler og forklarer hvorfor: At virksomheden selv skal vurdere og sikre overholdelsen skal ikke skabe usikkerhed, men at sikre den nødvendige fleksibilitet til at favne de mange forskellige brancher og virksomheder. Samme billede ses i privatlivspolitikker: Hvor længe personoplysninger opbevares, afhænger af formålet med behandlingen.

Fremgangsmåden er derfor: Fastlæg formålet for hver behandling, vurder om de enkelte oplysninger er nødvendige for formålet, og sæt en opbevaringsperiode, der matcher nødvendigheden. For hver behandling bør I samtidig tjekke, om anden lovgivning fastsætter en opbevaringspligt eller -frist, som efter § 1, stk. 3, kan gå forud for jeres egen vurdering.

Bogføringsloven fastsætter en konkret frist: Regnskabsmateriale skal opbevares i 5 år fra udgangen af det regnskabsår, materialet vedrører, medmindre en længere frist følger af andre bestemmelser. Fristen regnes i nogle tilfælde fra året, hvor posten udgår af regnskabet, fx for balanceposter som deposita eller anlæg.

For regnskabsmateriale gælder også krav om digital opbevaring i mindst 5 år og løbende sikkerhedskopier. Virksomheder med mange transaktioner skal tage daglige sikkerhedskopier. Der skal udarbejdes en procedure for regnskabsmateriale.

For HR-dokumenter giver Datatilsynets vejledning om ansættelsesforhold konkrete holdepunkter. Der er som udgangspunkt ingen pligt til at opbevare oplysninger om ansøgere, der ikke blev tilbudt en stilling, og perioden skal være så kort som muligt. Oplysninger om tidligere medarbejdere må opbevares, så længe der er et administrativt behov, fx ved lønkrav, pension eller arbejdsskader.

Enkelte dokumenttyper har en lovbestemt slettefrist: Billedoptagelser fra tv-overvågning til kriminalitetsforebyggende formål skal slettes senest 30 dage efter optagelsen, jf. tv-overvågningslovens § 4 c.

Opbevarings- og slettefrister i danske virksomheder

Forskelle mellem GDPR og bogføringsloven i dokumenthåndtering

Vigtige regler og frister i dokumenthåndtering

Sletning: Hvornår skal oplysningerne væk?

Datatilsynet tager direkte hul på en af myterne om GDPR: "GDPR kan fortælle os, hvornår personoplysninger skal slettes". Svaret er nej – det afhænger altid af den konkrete behandling. Sletterutinen skal derfor bygge på virksomhedens egen vurdering af formål og nødvendighed, ikke på en generel slettefrist, man kan slå op.

Når formålet er opfyldt, og der ikke er et andet retsgrundlag eller en anden lovbestemt opbevaringspligt, der kræver, at oplysningerne bliver liggende, bør slettepolitikken tage stilling til, om oplysningerne fortsat er nødvendige. Den bør også beskrive, hvordan de håndteres – herunder om de kan slettes eller anonymiseres.

I praksis er sletning sjældent én handling i ét system: Samme oplysninger kan ligge i et primærsystem, i e-mail, i backups og i arkiverede sagsmapper. En brugbar sletterutine bør derfor beskrive, hvor en given oplysning findes, og hvordan den fjernes eller anonymiseres på hvert af disse steder.

Sletning skal også ses i lyset af de registreredes rettigheder i forordningens kapitel III: indsigt, berigtigelse, sletning, begrænsning af behandling, dataportabilitet og indsigelse. Det kræver, at virksomheden kan finde en bestemt persons oplysninger på tværs af dokumenter og systemer, når der kommer en henvendelse.

Artikel 17 giver den registrerede ret til at få sine oplysninger slettet, fx når de ikke længere er nødvendige til formålet. Artikel 17, stk. 3, rummer en række undtagelser fra retten til sletning.

En anmodning om sletning skal besvares uden unødig forsinkelse og senest en måned efter modtagelsen. Ved komplicerede anmodninger kan fristen forlænges med yderligere to måneder.

Praktisk konsekvens: Gør sletning til en planlagt handling med fast kadence i stedet for noget, der sker, når nogen husker det. Noter for hver behandling, hvornår sletningen skal ske, hvem der udfører den, og hvilke datakilder den omfatter – så både opbevaringsperioden og den faktiske sletning kan dokumenteres.

Slettepligten er knyttet til, at oplysningerne ikke længere er nødvendige for formålet, medmindre en anden lovbestemt opbevaringspligt gælder. Bogføringslovens 5-årsfrist er et eksempel på en sådan pligt: Regnskabsmateriale skal opbevares digitalt i mindst 5 år og må først slettes efter fristen.

Dokumentation: Sådan viser I, at opbevaring og sletning er under kontrol

Databeskyttelsesforordningen fik virkning fra den 25. maj 2018. Ifølge Dansk Industri betyder det, at alle virksomheder skal kunne dokumentere, at de behandler persondata i overensstemmelse med reglerne. I værste fald kan virksomheder straffes med store bøder, hvis de ikke kan dokumentere, at de lever op til reglerne. Du skal derfor have styr på, hvilke data du behandler, og hvor de lagres og flyttes hen.

Dokumentationen kan bygges op om fire spørgsmål: Hvilke personoplysninger behandler vi? Hvor opbevares de? Hvor flyttes de hen – internt mellem systemer og eksternt til leverandører og databehandlere? Og hvordan slettes de igen? Datakortlægning eller procesafdækning besvarer de første spørgsmål, mens fortegnelsen over behandlingsaktiviteter samler resultatet i et format, der kan fremvises.

Der findes færdige værktøjer. Dansk Industri stiller skabeloner og vejledninger til rådighed for medlemmer – blandt andet om databehandleraftaler, procesafdækning og dokumentation af databehandlingsaktiviteter – og DI anbefaler at starte med at skabe overblik over persondatabehandlingen, hvis det mangler.

En konkret struktur findes i offentliggjorte privatlivspolitikker, hvor hver behandlingssituation beskriver formål, kategorier af personoplysninger, retsgrundlag og opbevaringsperiode. De samme fire oplysninger kan genbruges internt på hver behandlingsaktivitet i jeres dokumentation og danne grundlag for både opbevarings- og slettepolitikken.

Bogføringsloven kræver, at der udarbejdes en procedure for regnskabsmateriale. Sikkerhedskopien skal være digital og opdateres løbende.

Praktisk dokumenthåndtering: Politik, ansvar og rutiner

Lav en skriftlig opbevarings- og slettepolitik med udgangspunkt i jeres dokumentation af behandlingsaktiviteter. Politikken skal være konkret nok til, at medarbejderne kan se, hvad der gælder for den enkelte dokumenttype og behandling, og den bør hænge sammen med oplysningerne i privatlivspolitikken og interne instrukser.

Tildel ansvar eksplicit: Hvem ejer og opdaterer politikken, hvem godkender opbevaringsperioder for nye behandlinger, hvem sletter i de enkelte systemer, og hvem svarer registrerede? Uden navne eller roller på de fire funktioner bliver politikken typisk et dokument uden effekt i systemerne.

Etabler rutiner, der følger politikken: Sletning som planlagt opgave pr. behandling, revision med faste intervaller og en fast procedure for at opdatere politikken, når I tager nye systemer, formål eller leverandører i brug. Tjek også, om anden lovgivning fastsætter opbevaringspligt for den enkelte dokumenttype, jf. databeskyttelseslovens § 1, stk. 3 – den frist skal ind i politikken, uanset hvad jeres egen nødvendighedsvurdering peger på.

Brug databehandleraftaler som styringsværktøj. Kravene til aftalens indhold står i forordningens artikel 28, og aftalen skal blandt andet sikre, at databehandleren sletter eller tilbageleverer alle personoplysninger, når servicen ophører. Dansk Industri stiller skabeloner og vejledninger om databehandleraftaler til rådighed for medlemmer.

I politikken skal bogføringslovens 5-årsfrist for regnskabsmateriale indgå som en fast opbevaringspligt. Samme politik bør skelne mellem personoplysninger, hvor formålet styrer, og regnskabsmateriale, hvor loven sætter en minimumsfrist.

Hvor får danske virksomheder hjælp?

Datatilsynet står for den offentlige vejledning. Tilsynet oplyser, at du altid kan få vejledning af Datatilsynet. Det driver et univers for små virksomheder med grundlæggende GDPR-materiale om begreberne, om hvad en personoplysning er, og om forskellen mellem dataansvarlig og databehandler. Materialet dækker også GDPR-myter – heriblandt myten om, at GDPR kan fortælle, hvornår personoplysninger skal slettes.

Datatilsynet peger samtidig på, at brancheorganisationen typisk kan hjælpe med konkrete spørgsmål til netop din virksomheds GDPR-håndtering. Tilsynet har også udgivet vejledninger om de registreredes rettigheder og om databeskyttelse i ansættelsesforhold.

Dansk Industri tilbyder medlemmer konkrete værktøjer: Efter login kan medlemmer frit downloade skabeloner og vejledninger om blandt andet databehandleraftaler, procesafdækning og dokumentation af databehandlingsaktiviteter. DI har også udarbejdet oversigter og korte gennemgange af forordningens regler for virksomheder.

Lovgrundlaget kan læses i sin fulde form: Databeskyttelsesloven supplerer og gennemfører databeskyttelsesforordningen og findes på retsinformation.dk. DI bemærker samtidig, at forordningen har direkte virkning i Danmark, så der som udgangspunkt ikke må være anden dansk lovgivning, der regulerer behandling af personoplysninger i samme omfang.