GDPR har ingen fast frist. Art. 5, stk. 1, litra e, tillader ikke, at oplysninger kan knyttes til en person længere, end formålet kræver. Tallene kommer fra andre love eller fra jeres egen begrundelse. Søger nogen på “GDPR 5 år” eller “GDPR 10 år”, leder de derfor efter et tal, som ikke står i forordningen. Hvor længe man må gemme personoplysninger, afhænger af kategorien, og oversigten her viser, hvor svaret kommer fra.
Oversigten
- Regnskabsmateriale · Hvor længe: 5 år efter regnskabsårets afslutning · Hvor det står: Bogføringsloven § 12
- Registreret arbejdstid · Hvor længe: 5 år efter den periode, gennemsnittet beregnes over · Hvor det står: LBK 982/2024 § 4 b, stk. 3
- Tidligere medarbejdere · Hvor længe: Efter administrativt behov · Hvor det står: Datatilsynets ansættelsesvejledning, afsnit 3.2
- Ansøgere, der ikke blev ansat · Hvor længe: Så kort som muligt, ingen fast periode · Hvor det står: Ansættelsesvejledningen, afsnit 2.3
- Kunder og kundesager · Hvor længe: Ingen fast frist, I begrunder selv · Hvor det står: Art. 5, stk. 1, litra e
- Mulig tvist · Hvor længe: Efter en vurdering, 3 år er den almindelige forældelsesfrist · Hvor det står: Forældelsesloven § 3, stk. 1, art. 17, stk. 3, litra e
- TV-overvågning mod kriminalitet · Hvor længe: Senest 30 dage efter optagelsen, med undtagelser · Hvor det står: TV-overvågningsloven § 4 c, stk. 4 og 5
- Bevis for samtykke til markedsføring · Hvor længe: Indtil to år efter sidste brug · Hvor det står: Forbrugerombudsmandens spamvejledning, afsnit 11.3
Oversigten er ikke udtømmende. Brancheregler, overenskomster og kontrakter kan give andre frister, og de skal slås op for jeres område.
Pligter, rettesnore og jeres eget skøn
Tallene i tabellen er forskellige slags. Forskellen afgør, hvad I kan skrive som begrundelse.
Bogføringsloven og arbejdstidsreglerne er pligter. I skal gemme materialet, så begrundelsen er loven. Pligten dækker det materiale, loven nævner, og den bærer ikke hele kundemappen, selvom fakturaen ligger i den.
Forældelsesfristen er en rettesnor. Datatilsynet skriver, at forældelsesfrister efter omstændighederne har betydning for, hvor længe det er sagligt at opbevare oplysninger. Loven giver ingen ret til at gemme alt i tre år, og der kan gælde længere frister for bestemte krav, fx 10 år for lån efter § 6. Spørgsmålet er derfor, hvilket krav der realistisk kan komme, og hvilke oplysninger I ville bruge. En verserende sag står anderledes, for art. 17, stk. 3, litra e, lader jer beholde det, der er nødvendigt for at forsvare et retskrav.
Resten er jeres skøn, og her skal I selv sætte tallet. Der er ingen facitliste for kundeoplysninger. Tre spørgsmål får jer langt.
- Hvad bruger vi oplysningen til?
- Hvornår er det formål opfyldt?
- Findes der en lov eller et realistisk krav, som giver grund til at beholde den længere?
Svaret kan variere inden for samme mappe. Fakturaen følger bogføringsloven, mens noter om kundens private forhold i samme sag kan slettes tidligere.
Ansatte og ansøgere
For tidligere medarbejdere bruger Datatilsynet ordene administrativt behov. Tilsynet nævner dokumentation af ansættelsesforløbet, fx ved lønkrav, pension og arbejdsskader. Ved afskedigelse kan der være behov for oplysninger til et muligt retskrav. Ansættelseskontrakten følger samme vurdering, og ordet behov skal oversættes til en periode i slettepolitikken.
Hos ansøgere har arbejdsgiveren som udgangspunkt ingen pligt til at gemme noget, men det kan være sagligt at beholde relevante oplysninger i en vis periode for at kunne dokumentere forløbet. I to tilsyn, som Datatilsynet offentliggjorde i 2021, var perioder på tre måneder og på op til 24 måneder i orden. Begge byggede på en vurdering af, hvor længe forløbet skulle kunne dokumenteres, så tallene er eksempler på en begrundelse og ingen norm. Vil I gemme en ansøgning til en senere stilling, kræver det samtykke og oplysning om perioden.
Sådan bliver svaret brugbart
En frist hjælper først, når den står et sted og virker.
Begynd med de kategorier, hvor I er i tvivl, og skriv tre ting for hver: hvad, hvor længe og fra hvilken hændelse. Fristen skal også kunne læses af de personer, det handler om, for art. 13, stk. 2, litra a, kræver, at de får perioden eller kriterierne at vide. Selve dokumentet er beskrevet i slettepolitik, og hvem der beslutter fristerne, står i sletning som ledelsesbeslutning. Kan systemet ikke slette, så se systemet kan ikke slette. Beder en person om sletning, gælder ret til sletning.
Papir følger samme princip, når det indgår i et register, fx en mappe sorteret efter navn. Forordningen beskriver ingen bestemt makulering, så kravet følger af art. 32 om passende sikkerhed. Skriv metoden ind sammen med fristen.
Står I med mange kategorier uden svar, er det en god opgave at få set igennem, før I vælger en løbende løsning. Det kan en GDPR-gennemgang bruges til.
Det skal I lade være med
- At bruge 5 år som fast svar · den frist hører til bogføring og arbejdstid.
- At gemme alt, fordi noget kan blive nyttigt · det strider mod art. 5, stk. 1, litra e.
- At gemme den samlede sag efter fakturaens frist · pligten følger materialet.
- At skrive “så længe det er nødvendigt” · ingen kan følge det.
Det skal I kræve af den eksterne
- ☐ En kilde eller en skrevet begrundelse for hver frist.
- ☐ Tydelig forskel på pligter, rettesnore og jeres eget skøn.
- ☐ Rådgivning om tvivlstilfælde, mens ledelsen fastsætter fristerne.
- ☐ Stikprøver, der viser, om fristerne holdes i systemerne.
Kilder
- Forordning (EU) 2016/679, dansk tekst: art. 2, stk. 1, art. 5, stk. 1, litra e, art. 13, stk. 2, litra a, art. 17, stk. 3, litra e, og art. 32.
- Bogføringsloven, lov nr. 700 af 24. maj 2022: § 12.
- LBK nr. 982/2024 om arbejdstid: § 4 b, stk. 3.
- Forældelsesloven, LBK nr. 1238/2015: § 3, stk. 1, og § 6.
- TV-overvågningsloven, LBK nr. 182 af 24/2 2023: § 4 c, stk. 4 og 5.
- Datatilsynet: Vejledning om databeskyttelse i ansættelsesforhold: afsnit 2.3 og 3.2.
- Datatilsynet: Spørgsmål og svar og nye afgørelser om rekruttering, 28/5 2021.
- Forbrugerombudsmanden: Vejledning om spamforbuddet, 2021: afsnit 11.3.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Ret til sletning · TV-overvågning i virksomheden
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
