Lagringsminimering innebär att personuppgifter inte får finnas kvar i identifierbar form längre än vad som behövs för de ändamål som motiverar behandlingen. Principen finns i artikel 5.1 e GDPR. Den kräver inte samma lagringstid för alla uppgifter, men organisationen måste kunna förklara varför olika uppgifter fortfarande behövs och se till att beslutade begränsningar fungerar i praktiken.
Gallring är arbetet med att avlägsna information enligt fastställda regler. I en digital verksamhet handlar det ofta om att radera uppgifter i flera sammanhängande system, hantera exporter och förhindra att gamla kopior återförs till aktiv användning. En frist i ett dokument är därför bara början. Den här guiden visar hur rättsliga krav, verksamhetsbehov och teknisk radering kan kopplas ihop utan att hela register får en omotiverad standardtid.
Utgå från ändamålet, inte från lagringsutrymmet
GDPR artikel 5 knyter tiden till varför uppgifterna behandlas. Billig lagring, möjlighet till framtida analys eller en allmän känsla av att information kan bli användbar är inte i sig tillräckliga skäl. Organisationen behöver identifiera ett konkret ändamål och bedöma hur länge uppgifterna behövs för det.
Samma uppgift kan förekomma i flera sammanhang. En kunds adress kan behövas i en order för leverans, i en faktura som räkenskapsinformation och i en separat marknadsföringslista. Att fakturan måste bevaras innebär inte automatiskt att marknadsföringsprofilen får sparas lika länge. Bedöm varje användning och anpassa tillgången när ett aktivt ändamål upphör.
IMY:s svar om hur länge uppgifter får sparas bekräftar att GDPR inte anger en allmän fast lagringstid. I praktiken kan organisationen behöva en bestämd period, ett tydligt kriterium eller en kombination. Kriteriet måste vara möjligt att tillämpa, exempelvis att en viss dokumentkategori gallras en viss tid efter att ett identifierbart ärende avslutats.
Skilj mellan bevarandekrav och tillåten lagring
Ett lagstadgat bevarandekrav kan innebära att vissa uppgifter måste sparas även när den ursprungliga kund- eller anställningsrelationen har upphört. Andra situationer innebär att fortsatt lagring kan vara tillåten för ett konkret behov utan att lagen kräver den. Skillnaden avgör hur organisationen ska motivera perioden och vad som behöver omprövas.
Beskriv därför inte varje preskriptionstid som en obligatorisk lagringstid. Att ett rättsligt anspråk skulle kunna väckas inom en viss period innebär inte automatiskt att varje uppgift om alla personer måste sparas under hela perioden. Identifiera vilka uppgifter som behövs för att fastställa, göra gällande eller försvara ett relevant anspråk, och vilken rättslig grund som gäller för den fortsatta behandlingen.
En välgrundad gallringsregel anger både vilket material som omfattas och varför. Formuleringen ”sparas på grund av lagkrav” bör följas av den aktuella bestämmelsen och en avgränsning av handlingarna. Om den verkliga grunden i stället är ett dokumenterat verksamhetsbehov ska detta framgå. Det blir annars svårt att pröva en begäran om radering eller att förklara varför en tid har ändrats.
Bokföringslagens sju år: räkna från rätt tidpunkt
Huvudregeln i 7 kap. 2 § bokföringslagen innebär att räkenskapsinformation ska bevaras till och med det sjunde året efter utgången av det kalenderår då räkenskapsåret avslutades. Om räkenskapsåret slutar under 2026 innebär huvudregeln bevarande till och med den 31 december 2033. Klockan räknas alltså inte generellt från fakturadatum, kundens sista kontakt eller en anställds sista arbetsdag.
Avgränsningen till räkenskapsinformation är lika viktig som tidsberäkningen. Underlag som behövs för bokföringen kan omfattas, men det betyder inte att hela CRM-systemet, varje e-posttråd eller hela personalakten automatiskt ska sparas i sju år. Identifiera de faktiska underlagen och skilj dem från arbetskopior och information som behövts för andra ändamål.
Bokföringslagen kräver inte heller att varje gammalt pappersoriginal alltid måste behållas under hela perioden. Enligt den sedan 2024 gällande lydelsen av 7 kap. 6 § får material förstöras efter att informationen överförts till annat material, under lagens villkor om att överföringen inte innebär risk för att informationen förändras eller försvinner. Bevarandet av informationen ska därför skiljas från bevarandet av det ursprungliga mediet.
Kontrollera överföringens kvalitet och tillgänglighet innan någon originalhantering ändras. Ett foto som inte återger hela underlaget eller en fil som senare inte går att öppna är inte ett tillräckligt resultat. Beakta även särskilda regler och möjliga undantag i den aktuella verksamheten. Gallringsbeslut ska utgå från den lag som gäller för informationen, inte från en allmän föreställning om att alla affärsdokument har samma frist.
Personal och rekrytering behöver flera regler
I personal- och rekryteringsprocesser behandlas uppgifter för skilda ändamål. Underlag om en sökandes meriter, utbetalad lön och arbetsanpassning bör inte ges en gemensam lagringstid enbart för att de finns hos HR. Hälsouppgifter och andra särskilt skyddsvärda uppgifter kräver också en bedömning av vilka personer som behöver ha tillgång under den tid materialet bevaras.
När en rekrytering avslutas behöver organisationen avgöra vilket underlag som fortfarande behövs, exempelvis för att hantera en konkret invändning eller ett möjligt rättsligt anspråk. Fristen beror på de rättsregler och omständigheter som är relevanta, inte på en universell tvåårsregel i GDPR. Att behålla ansökningar för framtida rekrytering är ett separat ändamål som måste bedömas och förklaras för de berörda.
För tidigare anställda kan vissa uppgifter behöva finnas kvar för bokföring, intyg eller rättsliga krav samtidigt som andra uppgifter inte längre behövs. Ordna åtkomsten efter det kvarvarande ändamålet. Att ett begränsat underlag behövs för att utfärda ett intyg motiverar inte automatiskt att tidigare chef, hela HR-gruppen och externa konsulter fortsätter ha tillgång till all dokumentation.
Liknande avgränsningar finns i andra branscher. En fastighetsmäklares GDPR-arbete behöver skilja underlag med särskilda bevarandekrav från kontaktlistor och material som bara används för marknadsföring. Sektorsregler ska identifieras konkret innan en generell rutin för kunduppgifter används.
Offentliga arkiv kräver en egen prövning
För myndigheter och vissa andra organ har arkivlagen betydelse. Arkiven ska bland annat tillgodose rätten att ta del av allmänna handlingar, rättskipningens och förvaltningens informationsbehov samt forskningens behov. Gallring måste bedömas enligt de tillämpliga arkivreglerna och besluten; en verksamhetsenhet kan inte utan vidare radera en allmän handling med hänvisning till att den inte längre behöver den i sitt dagliga arbete.
Arkivlagen innebär samtidigt inte att varje allmän handling måste bevaras för alltid. I 10 § finns regler om gallring och vilka hänsyn som ska tas. Andra lagar eller förordningar kan innehålla avvikande bestämmelser. Organisationen behöver alltså veta vilka regler som gäller för den aktuella handlingstypen och vem som har behörighet att besluta om gallring.
GDPR artikel 5.1 e tillåter längre lagring för enbart arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål, med skyddsåtgärderna enligt artikel 89.1. Detta är inte en generell rätt för ett privat företag att skapa ett obegränsat ”arkiv”. Ändamålet, stödet och skyddet måste faktiskt motsvara förutsättningarna.
I den konsoliderade arkivlagen kan även framtida lydelser visas. Använd den lydelse som gäller vid bedömningstillfället. Bestämmelser markerade med ikraftträdande den 1 januari 2029 är exempelvis inte gällande redan i september 2026. Förändringar kan behöva planeras, men ska inte användas som stöd för dagens gallringsbeslut innan de har trätt i kraft.
Översätt bedömningen till en genomförbar gallringsplan
En gallringsplan bör ange vilken informationsmängd som omfattas, vilket ändamål och stöd som motiverar lagringen, när tiden börjar löpa och vad som ska ske när den är slut. Den behöver också ange vem som ansvarar för genomförandet och i vilka system och kopior uppgifterna finns. Beskrivningen ska fungera för den som utför arbetet, inte bara för den som en gång skrev planen.
En slutpunkt som ”avslutat ärende” behöver definieras. Avses att tjänsten levererats, att betalningen registrerats eller att ett överklagande slutligt avgjorts? Om olika handläggare använder olika datum kan samma frist ge olika resultat. Vid återöppnade ärenden behöver organisationen också bestämma hur en ny händelse påverkar de uppgifter som redan sparas, utan att automatiskt nollställa klockan för allt material.
Koppla planen till registerförteckningen enligt artikel 30. Artikeln kräver, om möjligt, förutsedda raderingsfrister för de olika uppgiftskategorierna hos den personuppgiftsansvariga. Information till de registrerade enligt artiklarna 13 och 14 ska ange lagringsperiod eller kriterier för att fastställa den. Dessa underlag behöver vara samstämmiga även om de har olika detaljnivå.
Kontrollera system, exporter och manuella kopior
Teknisk gallring behöver utformas efter informationsflödet. Om en personpost raderas i ett verksamhetssystem men en återkommande export ligger kvar i en gemensam mapp är behandlingen inte avslutad där. Undersök särskilt filer som används för rapporter, felsökning och tillfälliga projekt. Just deras tillfälliga karaktär kan göra att ingen uppfattar sig som ansvarig för den senare raderingen.
Dela upp ansvaret mellan verksamhet och IT. Verksamheten bestämmer inte ensam vilka tekniska beroenden som finns, och IT kan inte ensam avgöra vilka lagliga bevarandekrav som gäller. En rutin behöver förena beslutet om vilka uppgifter som ska bort med kunskap om hur raderingen påverkar relationer mellan poster, sökindex, bilagor och andra system.
Kontrollera utfallet med ett representativt urval och rimlig dokumentation. En logg som bara visar att ett gallringsjobb startade bevisar inte att alla avsedda uppgifter avlägsnades. Undersök felmeddelanden, undantagna poster och om exportfiler ingick. Spara inte hela de raderade uppgifterna i en ny kontrollfil om en mindre detaljerad logg räcker för uppföljningen.
Säkerhetskopior är inte ett obegränsat undantag
Säkerhetskopior kan behövas för att återställa information efter en incident. Organisationen behöver därför planera hur gallrade uppgifter försvinner även ur kopiorna och hur de skyddas fram till dess. Det finns ingen allmän GDPR-regel som gör säkerhetskopior fria från lagringsminimering, och det finns heller ingen universell teknisk tidsfrist som passar varje säkerhetskopieringslösning.
Dokumentera kopiornas livscykel, åtkomst och tillåtna användning. Om en lösning inte medger omedelbar selektiv radering behöver organisationen bedöma hur lagringen begränsas och hur uppgifterna hålls borta från vanlig användning. Ett påstående om teknisk omöjlighet bör kontrolleras mot den faktiska lösningen och alternativa inställningar, inte användas som ett permanent standardsvar.
Återställning är en särskild risk. En gammal kopia kan återinföra poster som redan gallrats i det aktiva systemet. Rutinen bör därför beskriva hur relevanta raderingsbeslut åter tillämpas innan de återställda uppgifterna börjar användas normalt. Samordna detta med kontinuitetsarbetet så att organisationen kan återställa nödvändig information utan att omedvetet upphäva tidigare gallring.
Biträden och avslutade leverantörsavtal
När en leverantör behandlar uppgifter för organisationens räkning behöver gallringen omfattas av de dokumenterade instruktionerna och den tillämpliga regleringen enligt artikel 28. Den kan utgöras av ett skriftligt avtal eller en annan bindande rättsakt enligt unionsrätt eller medlemsstatsrätt, även i elektronisk form. En allmän formulering om att leverantören ”följer GDPR” beskriver inte nödvändigtvis hur era frister ska verkställas.
Vid avslutad behandling ska biträdet enligt artikel 28.3 g, efter den ansvarigas val, radera eller återlämna uppgifterna och radera befintliga kopior, om inte unionsrätt eller medlemsstatsrätt kräver fortsatt lagring. Återlämnande innebär alltså inte automatiskt att leverantören får behålla egna kopior utan slutpunkt. Bedöm särskilt underbiträden, exportpaket och den praktiska hanteringen av säkerhetskopior.
Gå igenom personuppgiftsbiträdesavtal enligt artikel 28 före avtalets slut så att överföring och radering kan genomföras i rätt ordning. Organisationen behöver veta när en användbar kopia har mottagits, vem som verifierar den och vilket underlag som visar att den gamla behandlingen upphört. En generell raderingsbekräftelse bör kunna kopplas till den faktiska tjänsten och omfattningen.
Pseudonymisering och anonymisering löser olika frågor
Att byta namn mot koder kan minska risker men innebär inte automatiskt att uppgifterna har upphört att vara personuppgifter. Om organisationen kan återidentifiera personerna med en separat nyckel måste den fortfarande motivera lagring och användning. Pseudonymisering och hantering av kodnycklar är därför främst en skyddsåtgärd, inte en fristående rätt att spara information obegränsat.
Vid anonymisering måste bedömningen ta hänsyn till möjligheten att identifiera personer med medel som rimligen kan komma att användas, inklusive kombination med andra uppgifter. Att ta bort namn ur detaljerade tids- och platsuppgifter kan vara otillräckligt. Utvärdera det återstående materialet och dess användningsmiljö, inte enbart vilken kolumn som togs bort.
Om resultatet verkligen är anonymt faller det utanför GDPR:s regler om personuppgifter. Själva arbetet med att framställa resultatet innebär dock behandling och behöver vara tillåtet. Välj därför anonymisering för ett faktiskt motiverat behov och kontrollera utfallet. En ny etikett på en fortfarande identifierbar datamängd förändrar inte organisationens skyldigheter.
Begäran om radering och pågående rättsliga behov
En person kan ha rätt till radering enligt artikel 17 även före den frist som organisationen själv skrivit i sin plan. Planen är inte ett beslut om att varje enskild post alltid får sparas tills datumet nås. Om uppgifterna inte längre behövs eller en annan raderingsgrund är uppfylld måste begäran prövas, tillsammans med tillämpliga undantag.
Undantag kan exempelvis gälla en rättslig förpliktelse att behandla uppgifterna eller nödvändig behandling för rättsliga anspråk. Arkiv-, forsknings- och statistikundantaget kräver att villkoren i artikel 17.3 d är uppfyllda, bland annat artikel 89.1-skydd och att radering sannolikt skulle omöjliggöra eller allvarligt försvåra ändamålet. Det räcker alltså inte att organisationen vill använda ordet forskning i sin motivering.
Om ett konkret rättsligt behov motiverar att viss ordinarie gallring tillfälligt stoppas, avgränsa materialet och ange vem som beslutat om stoppet. Bestäm hur behovet ska omprövas och vad som utlöser återupptagen gallring. Ett enda tvistemål ska inte slentrianmässigt ge hela kunddatabasen en obestämd lagringstid.
Om organisationen inte vidtar åtgärd med anledning av en begäran ska personen enligt artikel 12.4 informeras utan dröjsmål och senast inom en månad om skälen och möjligheterna att klaga och begära rättslig prövning. Fortsatt lagring behöver förklaras för de berörda uppgifterna. En hänvisning till att ”systemet inte kan radera” är inte en rättslig grund för att neka begäran.
Följ upp att reglerna håller när verksamheten ändras
Gallring behöver fungera också efter ett systembyte, en organisationsförändring eller ett nytt användningsområde. Lägg in lagringsfrågorna i arbetet med inbyggt dataskydd. Vid upphandling bör organisationen kunna pröva om en lösning stödjer de nödvändiga frister, åtkomstbegränsningar och avslutsrutiner som redan har identifierats.
Följ upp avvikelser på ett sätt som leder till beslut. Om poster inte raderas därför att ett obligatoriskt slutdatum saknas är problemet kanske informationskvalitet i processen, inte själva gallringsfunktionen. Om en export används av en annan avdelning behöver även den avdelningens ansvar och ändamål klarläggas. Åtgärden ska träffa orsaken i stället för att bara ändra en formulering i policyn.
Bevara proportionerlig dokumentation av ansvarsskyldigheten: vilka regler som beslutats, när kontroller genomförts, vilka fel som hittats och hur de hanterats. Dokumentationen ska göra det möjligt att förstå resultatet utan att skapa ett nytt obegränsat personregister över allt som har raderats.
Vanliga frågor om lagring och gallring
Kräver GDPR en bestämd frist för varje uppgift?
Organisationen behöver kunna motivera lagringens nödvändighet och genomföra en begränsning. I information till registrerade kan lagringsperioden eller kriterierna för att bestämma den anges. Kriterierna måste vara begripliga och möjliga att tillämpa; en allmän formulering om att uppgifter sparas så länge de kan vara användbara räcker inte som genomtänkt regel.
Får en hel personalakt sparas i sju år efter anställningen?
Inte med bokföringslagen som generell motivering. Identifiera vilken information som är räkenskapsinformation och tillämpa rätt tidsberäkning på den. Bedöm övrigt material utifrån dess egna ändamål och tillämpliga regler. Begränsa åtkomsten när ett tidigare operativt behov har upphört.
Är uppgifterna raderade när användarkontot stängts?
Inte nödvändigtvis. Ett stängt konto kan finnas kvar med alla uppgifter i databasen, i supportverktyg och i exporter. Kontostängning och radering behöver därför vara olika, tydligt beskrivna steg. Kontrollera vilka uppgifter som faktiskt avlägsnas och varför eventuella rester fortfarande behöver bevaras.