Rett til sletting
Rett til sletting innebærer at personopplysninger i visse tilfeller skal slettes uten ugrunnet opphold. Retten omtales ofte som retten til å bli glemt, men i praksis handler dette om konkrete vurderinger, dokumenterte rutiner og kontroll på hvorfor opplysningene fortsatt lagres.
Når kan sletting være aktuelt?
Sletting kan være aktuelt når opplysningene ikke lenger er nødvendige for formålet, når samtykke trekkes tilbake, når behandlingen er ulovlig, eller når en protest fører frem. Derfor henger retten tett sammen med lagringsbegrensning, dataminimering og vurderingen av hvorfor opplysningene i det hele tatt ble samlet inn.
Når kan virksomheten beholde opplysningene?
Retten til sletting er ikke absolutt. Andre regler kan pålegge oppbevaring, og virksomheten kan i noen tilfeller trenge opplysningene for å fastsette, gjøre gjeldende eller forsvare rettskrav. Derfor må sletting alltid vurderes konkret, og ikke behandles som en automatisk knapp i systemet.
Hvordan bør virksomheten jobbe?
Virksomheten bør ha sletterutiner, oversikt over systemer og klare frister for periodisk gjennomgang. Et slettingskrav kan også henge sammen med rett til innsyn eller rett til korrigering, og den praktiske informasjonen bør gjenspeiles i personvernerklæringen.
Vanlige feil
- å slette i frontsystemet, men glemme eksportfiler, logger eller integrasjoner
- å mangle faste slettefrister
- å beholde opplysninger “for sikkerhets skyld” uten et reelt behov
Gode sletterutiner gjør personvernarbeidet mer forutsigbart og reduserer mengden data virksomheten må beskytte.