GDPR ja henkilötietojen säilytysajat – mitä organisaation pitää määritellä?

Henkilötietoja ei saa säilyttää varmuuden vuoksi. GDPR edellyttää, että henkilötietojen säilytysaika tai sen määrittelyperusteet on päätetty etukäteen ja sidottu todelliseen käyttötarkoitukseen.

Käytännössä tämä on yllättävän usein kohta, jossa organisaatiot epäröivät. Tietoja kertyy moniin järjestelmiin, poistokäytännöt vaihtelevat ja vastuut jäävät epäselviksi.

Mitä GDPR edellyttää¶

Säilytysaikojen osalta keskeinen lähtökohta on säilytyksen rajoittamisen periaate. Henkilötietoja saa säilyttää vain niin kauan kuin se on tarpeen siihen tarkoitukseen, jota varten tiedot on kerätty.

Organisaation pitää siis pystyä vastaamaan ainakin seuraaviin kysymyksiin:

• mitä henkilötietoja säilytetään
• mihin tarkoitukseen niitä säilytetään
• kuinka kauan säilytys kestää
• millä perusteella säilytysaika on määritelty

Miksi säilytysajat jäävät usein epäselviksi¶

Yleinen ongelma on se, että tiedot elävät useissa eri järjestelmissä, mutta säilytysajat on kuvattu vain yleisellä tasolla tietosuojaselosteessa tai sisäisessä ohjeessa. Silloin käytännön toteutus ei välttämättä vastaa dokumentaatiota.

Toinen haaste on se, että samaan tietoryhmään voi liittyä useita perusteita. Esimerkiksi asiakkuuteen, sopimusvastuisiin, kirjanpitoon ja mahdollisiin oikeudellisiin vaateisiin liittyvät tarpeet voivat vaikuttaa säilytysaikaan eri tavoin.

Miten säilytysajat kannattaa määritellä¶

Aloita käyttötarkoituksesta¶

Säilytysaika pitää johtaa siitä, miksi tietoa käsitellään. Jos käyttötarkoitus muuttuu tai päättyy, myös säilytysaikaa pitää arvioida uudelleen.

Tunnista lakisääteiset velvoitteet¶

Osa tiedoista on säilytettävä lakien nojalla tietyn ajan. Tällöin säilytysaika ei perustu ainoastaan organisaation omaan harkintaan.

Varmista toteutus järjestelmissä¶

Dokumentti ei yksin riitä. Tarvitaan myös käytännön prosessi tai tekninen ratkaisu, jolla tiedot poistetaan, anonymisoidaan tai arkistoidaan hallitusti.

Mitä hyvä käytäntö näyttää¶

Hyvä säilytysaikojen hallinta tarkoittaa, että organisaatio pystyy yhdistämään seuraavat asiat samaan kokonaisuuteen:

• tietoryhmät ja käsittelytoimet
• oikeusperusteet ja käyttötarkoitukset
• säilytysajat tai niiden määrittelyperusteet
• vastuuhenkilöt ja käytännön poistoprosessit

Kun nämä ovat yhdessä paikassa, säilytysaikojen hallinta ei jää irralliseksi taulukoksi vaan osaksi jatkuvaa tietosuojatyötä.

Lue myös Google Analyticsin tietosuojariskeistä →