Sletning af personoplysninger er et af de grundlæggende krav, som vi skal leve op til for at respektere de registreredes rettigheder, når vi behandler deres oplysninger, og for at overholde GDPR. Ved fastsættelse af slettefrister og implementering af sletning skal vi sikre os, at personoplysningerne i vores systemer ikke er tilgængelige i længere tid end nødvendigt. 

Hvilke skridt skal jeg tage for at leve op til GDPR's krav om sletning?

For at sikre, at kravene om sletning efterleves, bør du som minimum gennemføre disse tre skridt:

1. Fastsæt og dokumenter frister for, hvornår personoplysninger, som indgår i de forskellige behandlingsaktiviteter i de forskellige systemer, skal slettes.
2. Fastlæg og dokumenter en procedure for sletningen i de forskellige systemer.
3. Fastlæg og dokumenter en procedure for opfølgning på, at sletning er forløbet som forventet.
   
   

Læs mere herunder.

Fastsættelse af slettefrister

Databeskyttelsesforordningen (GDPR) indeholder i artikel 5 en række grundlæggende principper for behandling af personoplysninger, som vi altid skal leve op til.

Af grundprincippet om opbevaringsbegrænsning i artikel 5, stk. 1, litra e, fremgår, at personoplysninger skal opbevares på en sådan måde, at det ikke er muligt at identificere de registrerede i et længere tidsrum end det, der er nødvendigt til de formål, hvortil de pågældende personoplysninger behandles.

Det betyder, at når personoplysninger ikke længere er nødvendige, skal de som udgangspunkt slettes eller anonymiseres.

De enkelte dataansvarlige myndigheder og virksomheder har derfor pligt til at vurdere og fastlægge, hvornår personoplysningerne skal slettes.

Ved vurderingen bør den dataansvarlige dels være opmærksom på lovmæssige krav, som kan påvirke slettefristerne, dels foretage en vurdering af, hvor længe det er nødvendigt at have oplysningerne for at opfylde formålene med behandlingen.

Den datansvarlige skal således fastsætte frister for, hvornår personoplysninger, som indgår i de forskellige behandlingsaktiviteter i de forskellige systemer, skal slettes.

Dokumentation af slettefristerne

De dataansvarlige myndigheder og virksomheder skal dokumentere de slettefrister, der fastlægges for de forskellige behandlingsaktiviteter og systemer. Dette følger af kravet om ansvarlighed i databeskyttelsesforordningens artikel 5, stk. 2.

Dokumentation af de fastlagte slettefrister kan f.eks. ske i de fortegnelser, som organisationen fører i medfør af databeskyttelsesforordningens artikel 30​​​​​, eller du kan anvende en anden løsning til at dokumentere, hvornår og hvordan I sletter. Det er vigtigt, at organisationen beslutter sig for, hvordan dette skal håndteres, så der opbygges dokumentation, der omfatter alle behandlingsaktiviteter og systemer. Der vil ofte være brug for en retningslinje eller vejledning vedrørende sletning for at understøtte, at sletning bliver håndteret i organisationen. 

Procedurer for sletning

​​​​​​​​​​​​​​De dataansvarlige bør desuden sikre sig, at der er taget stilling til, hvilke procedurer der skal følges, når personoplysninger skal slettes fra de enkelte systemer.
​​​​​​​

Jeg anbefaler, at alle dataansvarlige fastlægger og dokumenterer de procedurer for sletning, der skal inkorporeres i de løsninger, som anvendes ved behandling af personoplysninger.

Opfølgning på sletning

Det er vigtigt, at myndigheder og virksomheder ikke stoler blindt på, at sletteprocedurerne fungerer, og at personoplysninger bliver slettet planmæssigt uden fejl.

For at sikre at slettekørsler er udført korrekt, og at der ikke fortsat opbevares personoplysninger, der burde have været slettet, bør de dataansvarlige myndigheder og virksomheder implementere en procedure for opfølgning på sletning.

Jeg anbefaler derfor, at de dataansvarlige myndigheder og virksomheder fastlægger og dokumenterer procedurer for opfølgning på, at sletning er forløbet som forventet. Disse procedurer skal medvirke til at sikre, at de valgte sletteprocedurer virker, og at der ikke fortsat opbevares personoplysninger, der burde have været slettet. ​​​​​​​

Opfølgning på sletning vil ligeledes hjælpe med tidligt at identificere personoplysninger, som burde have været slettet, men som mod forventning ikke er blevet det.

.........................................

Dette er en informationstekst, som fremhæver centrale elementer vedrørende en problemstilling. Teksten kan ikke stå alene som rådgivning men bør suppleres med viden om regler og praksis og efter behov professionel rådgivning.