Behandlingsregler

[ OSS oversigt ] [ Behandlingsregler ]

 

Jeg er i tvivl om hvornår personoplysninger skal slettes?

I forbindelse med planlægning af en behandling af personoplysning skal man tage stilling hvornår indsamlede oplysninger skal slettes. I nogle tilfælde opstår spørgsmålet først når oplysningerne har været registreret i flere år.

Det er et af de grundlæggende principper i databeskyttelsen, at man skal undgå dataophobning, og det er i persondataloven fastsat at indsamlede personoplysninger ikke må opbevares længere end det tidsrum der er nødvendigt af hensyn til de formål, hvortil oplysninger behandles (§5 stk. 4 – se omtale i vejledningen s. 13 – 14).

Der er således ikke i Persondataloven en fast slettefrist, eller en generel regel om at personoplysninger skal slettes efter et bestemt antal år.

Paragraf 5. stk. 4 er – ligesom de fleste af persondatalovens paragraffer – udformet som en retlig standard, der kun giver generelle retningslinjer for hvordan personoplysninger skal behandles (se vejledningen s. 10). Det er ikke muligt generel at beskrive, hvornår oplysningerne skal slettes. Det må afgøres i den enkelte situation. Endvidere kan den retlige standard være nærmere fastlagt af Datatilsynet.

Hvornår personoplysningerne skal slettes skal vurderes i forhold til behandlingens formål. Oplysningerne skal slettes når de ikke længere er nødvendige i forhold til formålet med behandlingen. Kravet om at oplysningerne skal være nødvendige angiver en skærpet betingelse. Det er således ikke nok, at den dataansvarlige finder det hensigtsmæssigt, mest sikkert, informativt eller lignende.

Som led forberedelsen af en behandling af personoplysninger skal den dataansvarlige – ud fra behandlingens formål – fastsætte en slettefrist. Spørgsmålet om hvornår personoplysninger skal slettes kan således ikke opstå efter nogle år.

I praksis vil det ofte være sådan at oplysningerne skal slettes når den dataansvarlige ikke længere har pligt til at opbevare dem.

Slettefristen kan være en følge af lovgivning som er grundlag for behandlingen. Inden for den offentlige sektor er forskellige retsregler som hovedregel grundlag behandlingen og for hvornår oplysningerne skal slettes (eller overføres til arkiv). I private virksomheder kan f.eks. bogføringsloven have betydning. I følge denne skal regnskabsmateriale opbevares i 5 år fra udgangen af det regnskabsår materiale vedrører.

Formål

Ved planlægning af en behandling af personoplysninger skal den dataansvarlige beskrive formålet med behandlingen. Hermed etableres det grundlag, som der må tages udgangspunkt i når slettefristen skal fastlægges. For at formålet kan være styrende for behandlingen skal det være beskrevet præcist. Indsamling af personoplysninger kan kun ske til udtrykkeligt angivne og saglige formål (se vejledningen s. 12 – 13).

Praksis og vejledning fra Datatilsynet
Datatilsynet har ikke truffet afgørelse om sletning i konkrete sager.

Ved anmeldelse af en behandling til Datatilsynet skal det angives hvornår oplysningerne senest vil blive slettet. Det vil sige, at der skal være fastlagt en slettefrist allerede ved planlægning af en behandling.

I Justitsministeriets bekendtgørelser om undtagelse for pligten til anmeldelse af visse behandlinger hedder det om sletning

• at oplysningerne kan opbevares sålænge, det er nødvendigt af hensyn til varetagelse af de formål, hvortil oplysningerne behandles. Oplysninger skal herefter slettes eller overføres til arkiv efter reglerne i arkivlovgivningen

• at den dataansvarlige skal fastsætte tidspunktet for sletning af oplysningerne.

Den dataansvarlige er ansvarlig!
Det er den dataansvarlige som er ansvarlig for at behandlingen af personoplysninger er lovlig og som sikre sig at formålet er klart formuleret og eventuelle tvivlsspørgsmål bliver afklaret.

Senest opdateret 7.7.2003

[ OSS oversigt ] [ Behandlingsregler ]