Retting og sletting i GDPR
Virksomheter som behandler personopplysninger må sørge for at opplysningene er korrekte, oppdaterte og ikke lagres lenger enn nødvendig. Derfor er rutiner for retting og sletting en viktig del av GDPR-arbeidet.
Retting betyr at feil eller ufullstendige opplysninger korrigeres. Sletting betyr at opplysninger fjernes når det ikke lenger finnes et gyldig formål eller behandlingsgrunnlag for å lagre dem.
Når må personopplysninger rettes?
Hvis en virksomhet blir kjent med at personopplysninger er feil, bør de rettes uten unødvendig opphold. Det gjelder både når kunden, ansatte eller andre registrerte ber om retting, og når virksomheten selv oppdager feilen.
Eksempler kan være feil kontaktinformasjon, feil adresse, utdatert e-postadresse eller feil opplysninger i et kunderegister.
Når må personopplysninger slettes?
Personopplysninger skal ikke lagres lenger enn nødvendig. Sletting kan være aktuelt når formålet er oppfylt, når samtykke trekkes tilbake, når opplysningene er behandlet ulovlig, eller når den registrerte har rett til sletting etter regelverket.
Samtidig kan virksomheten i noen tilfeller ha plikt eller saklig behov for å lagre opplysninger lenger, for eksempel på grunn av bokføring, avtaleoppfølging eller rettskrav. Derfor bør sletting alltid vurderes opp mot formål og regelverk.
Lag en praktisk rutine
- Avklar hvem som mottar og vurderer forespørsler.
- Finn ut hvilke systemer opplysningene finnes i.
- Vurder om opplysningene skal rettes, slettes eller begrenses.
- Dokumenter hva som er gjort.
- Gi tydelig svar til den registrerte.
Rutinen bør henge sammen med protokollen over behandlingsaktiviteter, slik at virksomheten vet hvilke systemer og leverandører som berøres.
Husk leverandører og databehandlere
Hvis personopplysninger ligger hos en leverandør, må også leverandøren kunne bistå med retting og sletting. Dette bør være regulert i databehandleravtalen. Det er ikke nok å slette i ett system hvis opplysningene fortsatt ligger aktivt i andre løsninger.
Vanlige feil
En vanlig feil er å mangle oversikt over hvor opplysningene faktisk er lagret. En annen feil er å beholde gamle kunde- eller ansattopplysninger fordi «de kan være nyttige senere». GDPR krever at lagringen har et reelt formål og gyldig grunnlag.