GDPR kräver att personuppgifter inte sparas längre än nödvändigt, och ni måste motivera varje retentionstid och dokumentera den. Det finns inga universella tidsgränser, bara tidsfrister som ni själva kan försvara. Börja med att kartlägga data, koppla varje kategori till ett ändamål, fastställa tidsfrister, dokumentera bedömningen och automatisera gallringen.
Kort sagt:
- Ni behöver koppla varje datakategori till ett tydligt ändamål, utse ansvarig och ange granskningspunkt samt händelsen som startar gallringsfristen, och dokumentera bedömningen.
- Bygg automatisk gallring i systemen och ge säkerhetskopior, e-postkopior och användarloggar egna frister; kontrollera att återställning inte återför raderade uppgifter.
- Anonymisering får ersätta radering endast när uppgifterna inte längre går att återknyta till personer; testa metoden och dokumentera resultatet innan ni förlitar er på den.
- Vid tillsyn ska ni kunna visa motiveringen till varje frist i registerförteckningen; lagkrav, forskning, arkiv och säkerhetsbehov kan motivera längre lagring efter dokumenterad bedömning.
Innehållsförteckning
- Vad säger GDPR och tillsynsmyndigheterna om lagringsbegränsning?
- Så fastställer och motiverar du retentionstider steg för steg
- Vad bör en retentionspolicy innehålla?
- Så genomför du policyn i systemen: automatisering, backups och loggar
- Särskilda situationer: HR-data, arkiv, forskning och lagkrav
- Dokumentation, revision och hur ni visar efterlevnad vid tillsyn
- Praktisk mall: retentionsschema och checklista
- Vad minskar tillsynsrisken snabbast?
- Så hjälper vi dig att komma igång med retentionspolicyn
- Vanliga frågor
- Källor
Vad säger GDPR och tillsynsmyndigheterna om lagringsbegränsning?
Kärnan finns i artikel 5(1)(e) i dataskyddsförordningen: personuppgifter får inte förvaras i en form som möjliggör identifiering längre än vad som behövs för ändamålet. Förordningen anger inga fasta tidsfrister. Ansvaret att bestämma och motivera dem ligger hos er som personuppgiftsansvarig.
EDPB:s riktlinjer 4/2019 går längre. De anger att lagringstiden ska begränsas till vad som är absolut nödvändigt och att radering eller anonymisering ska vara standardbeteendet. I riktlinjernas fulltext framgår att ni ska ha interna rutiner för radering och anonymisering, automatisera där det går och ta hänsyn till backups, loggar och dataflöden. Anonymisering är alltså ett giltigt alternativ till radering, förutsatt att den faktiskt håller.
IMY kräver att ni dokumenterar lagringstiderna och motiveringen bakom dem. Det hör till ansvarsskyldigheten och är en del av registerförteckningen enligt artikel 30. Nödvändighet är inte en subjektiv bedömning: när en rättslig skyldighet upphör får ni inte behålla uppgifterna utan ett nytt, motiverat ändamål.
Så fastställer och motiverar du retentionstider steg för steg
Gå igenom varje datakategori för sig. En generell tidsfrist för “kunddata” håller sällan vid tillsyn.
- Kartlägg kategorierna. Lista vilka personuppgifter ni behandlar och i vilka system de finns.
- Koppla till ändamål. Varje kategori ska höra till ett tydligt syfte i registerförteckningen.
- Inventera skyldigheter. Se vilka lagkrav, till exempel bokföringslagen, och vilka affärsbehov som påverkar hur länge uppgifterna måste finnas kvar.
- Pröva nödvändighet och proportionalitet. Fråga vad som händer om uppgiften raderas tidigare, och dokumentera svaret.
- Bestäm tidsintervall och ansvar. Sätt en konkret frist, en granskningspunkt och en namngiven ansvarig för gallringen.
Tänk också på vad som ofta glöms bort:
- Temporära filer, e-post och kopior i molntjänster
- Användarloggar och spårningsdata, som behöver egna motiverade tidsfrister
- Uppgifter som sparas “för framtida behov” utan ny motivering, vilket IMY:s grundprinciper inte tillåter
Vill du ha fördjupning om avvägningarna finns vår artikel om hur länge man får spara personuppgifter.
Vad bör en retentionspolicy innehålla?
En användbar policy är kort nog att följas och konkret nog att kontrolleras. Följande delar bör finnas med:
- Syfte, tillämpningsområde och definitioner
- Roller och ansvar för personuppgiftsansvarig, dataskyddsombud och systemägare
- Ett retentionsschema med datakategori, rättslig grund, tid och åtgärd efter utgång
- Rutiner för granskning, undantag och registrerades rättigheter, till exempel begäran om radering
Schemat är policyns hjärta. Ett kort utdrag visar principen:
| Datakategori | Rättslig grund | Åtgärd efter utgången tid |
|---|---|---|
| Kundavtal | Avtal | Radera eller anonymisera |
| Bokföringsunderlag | Rättslig förpliktelse | Radera när lagkravet upphört |
| Användarloggar | Berättigat intresse | Radera eller anonymisera |
Tidsfristerna fyller ni i utifrån er egen bedömning, eftersom förordningen inte anger dem. Mer om uppbyggnaden finns i vår genomgång av policy och schema i praktiken.
Så genomför du policyn i systemen: automatisering, backups och loggar
En policy som bara finns som dokument skyddar ingen. IMY:s praxis visar att gallring måste byggas in i arbetsflödena, med tydlig ansvarsfördelning och teknisk automation. EDPB talar om inbyggt dataskydd: radering ska vara standard, inte en manuell engångsinsats.
- Inför automatisk gallring i de system där danat skapas, så att fristen räknas från en definierad händelse.
- Sätt en egen retentionstid för backupkopior och reglera vid återställning att raderade uppgifter inte återinförs.
- Ge loggar och spårningsdata separata tidsfrister och pröva om de kan anonymiseras.
- Testa att anonymiseringen verkligen är oåterkallelig innan ni förlitar er på den.
Proffstips: Kör regelbundna kontroller: radera en testpost och sök sedan efter spår i backuper, loggar och exporter. Resultatet visar var gallringen har luckor.
Särskilda situationer: HR-data, arkiv, forskning och lagkrav
Lagstadgade krav styr ofta tidsfristen, men bara för de uppgifter som lagen faktiskt omfattar. Dokumentera vilken bestämmelse som ligger bakom varje frist. GDPR medger undantag för arkiv, forskning och rättsliga skyldigheter, men de måste vara proportionerliga och lagstödda. Kompletterande svensk lagstiftning, lag (2018:218), kan påverka vilka undantag som är acceptabla.
- HR-uppgifter: särskild försiktighet och tydlig motivering, särskilt för känsliga uppgifter. Vår guide om lagringstider inom HR går igenom vanliga kategorier.
- Forskning och arkiv: anonymisering eller särskilda undantag kan vara tillämpliga, men kräver en dokumenterad bedömning.
- IT-säkerhet: längre loggbevaring kan vara motiverad, men behovet ska vägas mot integriteten och ges en egen, uttalad frist.
Dokumentation, revision och hur ni visar efterlevnad vid tillsyn
Vid tillsyn räcker det inte med en generell policy. Ni måste kunna visa varför en viss frist valts för en viss kategori och hur beslutet dokumenterats. Knyt därför varje retentionstid till en bedömning i registerförteckningen.
- Genomför regelbundna granskningar och logga resultaten av era gallringstester
- Ställ krav på personuppgiftsbiträden i avtal och kontrollera deras gallringsrutiner
- Spara underlag för varje undantag från huvudregeln
Konsekvenserna av brister är reella. IMY:s korrigerande befogenheter innebär att bristande gallringsrutiner kan leda till varningar, förelägganden eller i allvarliga fall sanktioner.
Vanliga brister vid tillsyn är policy utan genomförande samt glömda kopior och loggar. Tillsyn mot stora myndigheter visar att just bristande rutiner för användarloggar ofta leder till kritik. Läs mer om dokumentationens roll inom dataskydd.
Praktisk mall: retentionsschema och checklista
Här är ett schema ni kan anpassa. Tidsfristerna är medvetet utelämnade, eftersom de ska följa av er egen bedömning och av tillämplig lag.
| Datakategori | Rättslig grund | Åtgärd efter utgången tid |
|---|---|---|
| Kunduppgifter | Avtal | Radera eller anonymisera |
| Räkenskapsinformation | Rättslig förpliktelse | Radera när skyldigheten upphört |
| Personaldata | Avtal och rättslig förpliktelse | Radera eller arkivera enligt bedömning |
| Webb- och systemloggar | Berättigat intresse | Radera eller anonymisera |
| Marknadsföringsregister | Samtycke | Radera vid återkallat samtycke |
Använd sedan den här checklistan vid införandet:
- Utse ansvarig för varje datakategori och system
- Konfigurera automatisk gallring och dokumentera inställningarna
- Testa radering, inklusive backuper och loggar, och spara resultatet
- För in motiveringen i registerförteckningen
- Planera återkommande revision och uppdatera schemat när ändamål ändras
Vad minskar tillsynsrisken snabbast?
Enligt vår erfarenhet ger två saker snabbast effekt: automatiserad gallring och en namngiven ansvarig per datakategori. Det vanligaste misstaget är ett hyllvärmardokument som ingen följer. Därnäst kommer glömda loggar och motiveringar som är för tunna för att tåla en granskning. Prioritera dokumentation och teknisk automation tillsammans. Det sänker både risken vid tillsyn och den administrativa bördan.
— Jesper
Så hjälper vi dig att komma igång med retentionspolicyn
Att hålla ordning på tidsfrister, motiveringar och ansvar i kalkylblad blir snabbt ohållbart. I vår plattform samlar du registerförteckningen, motiveringarna per kategori och uppföljningen på ett ställe, och vårt juridiska team hjälper dig att göra tidsfristerna försvarbara. Det blir enklare att visa vid tillsyn varför varje frist valts. Se våra abonnemang eller boka juridisk rådgivning, så börjar vi med era datakategorier.
Vanliga frågor
Måste man spara data i sju år?
Nej, GDPR anger ingen universell frist. Andra lagkrav kan påverka hur länge vissa uppgifter ska sparas, men det beror på vilka uppgifter och regler som gäller. För övriga uppgifter avgör ändamålet, och ni måste kunna motivera tiden.
Hur länge får personuppgifter sparas enligt GDPR?
Så länge de behövs för det ändamål de samlades in för, enligt artikel 5(1)(e). När ändamålet upphör ska uppgifterna raderas eller anonymiseras, om inte en rättslig skyldighet eller ett nytt, motiverat ändamål finns.
Vad krävs för en GDPR-anpassad retentionspolicy?
Policyn ska ange syfte, roller, ett retentionsschema och rutiner för granskning och undantag. Varje frist ska motiveras och dokumenteras i registerförteckningen, och gallringen ska kunna genomföras och testas i era system.
Räcker det att anonymisera i stället för att radera?
Ja, EDPB räknar anonymisering som ett giltigt alternativ, men bara om den inte går att återställa. Ni bör därför testa anonymiseringens effektivitet och dokumentera resultatet.
