Det kan blive dyrt ikke at slette gamle persondata

Personoplysninger må opbevares så længe, som I har et sagligt formål med fortsat at opbevare dem. Når I ikke længere har det, skal oplysningerne slettes. En ny sag fra Datatilsynet viser, hvor vigtigt det er at have styr på sletning af gamle persondata.

Datatilsynet gennemførte et tilsynsbesøg i en virksomhed, der driver en bogklub. I forbindelse med besøget kom det frem, at virksomheden opbevarede oplysninger om udmeldte medlemmer i en såkaldt ”passiv database”. Der var ikke fastsat frister og procedurer for sletning af oplysninger i databasen, og oplysninger om 395.000 personer havde ligget i databasen i mere end 10 år, efter at de havde meldt sig ud. Datatilsynet indstiller nu virksomheden til en bøde på 1 mio. kr.

Vigtigt at have frister og procedurer for sletning af personoplysninger

Personoplysninger må opbevares så længe, som I har et sagligt formål med fortsat at opbevare dem. Når I ikke længere har det, skal oplysningerne slettes.

For at sikre, at personoplysninger ikke opbevares for længe, skal virksomheden fastsætte procedurer og instrukser for sletning.

Når I fastsætter slettefrister, skal de overholdes. Der er flere eksempler på, at Datatilsynet har politianmeldt virksomheder for ikke at overholde deres egne slettefrister. Sørg derfor for, at I kan overholde fristerne. Nedskrevne procedurer og frister kan også tjene som dokumentation for sletning.

Datatilsynet har udarbejdet en udmærket Vejledning om Sletning af personoplysninger, som kan gøre dig klogere på sletning. Hvis du har 12 minutter, kan du også lytte til Datatilsynets podcast om sletning.

Bøderne for overtrædelse af GDPR

I denne liste kan du se Datatilsynets bødepåstande i de politianmeldte sager. Nogle af sagerne har været for retten. Der er eksempler på, at Domstolene har fundet formildende omstændigheder i sagerne og har idømt en langt mindre bøde end den, Datatilsynet påstod. Disse sager er dog anket til landsretten. F.eks. endte sagen mod IDdesign med en bøde på 100.000 kr., selvom bødepåstanden lød på 1,5 mio. kr.