Retten til sletning — også kaldet “retten til at blive glemt” — giver den registrerede ret til at få slettet oplysninger om sig selv uden unødig forsinkelse, når en af seks nærmere angivne grunde foreligger. Retten følger af artikel 17 i databeskyttelsesforordningen (GDPR). Den er ikke en ubetinget ret til at få slettet alt: sletning kan kun kræves i bestemte tilfælde, og der findes vigtige undtagelser, blandt andet når en retlig forpligtelse kræver fortsat opbevaring. Som dataansvarlig skal du besvare en sletteanmodning inden for samme frist som en indsigtsanmodning — uden unødig forsinkelse og som udgangspunkt senest én måned efter modtagelsen. Fristen kan i særlige tilfælde forlænges efter artikel 12, stk. 3.
Denne guide gennemgår de seks grunde til sletning, undtagelserne, din pligt til at underrette andre modtagere, og hvordan sletning hænger sammen med dine slettefrister og din generelle datastyring.
De seks grunde til sletning (art. 17, stk. 1)
Den registrerede har ret til sletning, når mindst én af følgende betingelser er opfyldt:
- Oplysningerne er ikke længere nødvendige til de formål, hvortil de blev indsamlet.
- Den registrerede trækker sit samtykke tilbage, og der er ikke et andet retligt grundlag for behandlingen.
- Den registrerede gør indsigelse efter artikel 21, stk. 1, uden at tungtvejende legitime grunde går forud, eller gør indsigelse mod direkte markedsføring efter artikel 21, stk. 2.
- Oplysningerne er blevet behandlet ulovligt.
- Sletning er nødvendig for at overholde en retlig forpligtelse.
- Oplysningerne er indsamlet i forbindelse med tilbud om informationssamfundstjenester til et barn som omhandlet i artikel 8, stk. 1.
Når oplysningerne ikke længere er nødvendige til formålet, skal de som udgangspunkt slettes. Det er her, princippet om opbevaringsbegrænsning og dine fastsatte slettefrister kommer i spil. Har du ikke styr på, hvornår oplysninger ikke længere er nødvendige, kan du hverken opfylde en sletteanmodning eller din generelle sletteforpligtelse.
Undtagelser: hvornår behøver du ikke slette?
Artikel 17, stk. 3, opregner de tilfælde, hvor retten til sletning ikke gælder. De vigtigste er:
- Ytrings- og informationsfrihed.
- Overholdelse af en retlig forpligtelse eller udførelse af en opgave i samfundets interesse eller offentlig myndighedsudøvelse. I dansk praksis er dette ofte afgørende: bogføringsloven kræver fx opbevaring af regnskabsmateriale, og anden lovgivning kan kræve opbevaring af ansættelses- eller sundhedsoplysninger i bestemte perioder.
- Arkivering i samfundets interesse, videnskabelig eller historisk forskning og statistik i overensstemmelse med artikel 89, stk. 1, hvis sletning sandsynligvis vil gøre formålene umulige eller i alvorlig grad hindre dem.
- Retskrav — fastlæggelse, gøre gældende eller forsvar af retskrav.
Pointen er, at en sletteanmodning ikke automatisk medfører sletning. Du skal foretage en konkret vurdering: er behandlingen fortsat nødvendig af en af undtagelsesgrundene, kan du afvise sletning — men du skal begrunde afvisningen og oplyse om retten til at klage til Datatilsynet. Bevar dokumentationen for din vurdering.
Pligten til at underrette andre modtagere
Har du offentliggjort oplysningerne og er du forpligtet til at slette dem efter artikel 17, stk. 1, følger der en udvidet pligt af artikel 17, stk. 2: du skal træffe rimelige foranstaltninger — under hensyn til teknologi og omkostninger — for at underrette andre dataansvarlige, der behandler oplysningerne, om, at den registrerede har anmodet om sletning af links, kopier og gengivelser.
Desuden skal du efter artikel 19 underrette hver modtager, som oplysningerne er videregivet til, om sletningen, medmindre det er umuligt eller uforholdsmæssigt vanskeligt. Det er her, din fortegnelse over behandlingsaktiviteter og dine databehandleraftaler bliver afgørende — de viser, hvem oplysningerne er delt med, og databehandleren skal efter aftalen bistå med sletningen.
Sletning i praksis: også backups og databehandlere
Når sletning er påkrævet, skal den dataansvarlige undersøge alle relevante steder — også hos databehandlere og i backups. Datatilsynet mener, at oplysninger også skal slettes fra backup, hvis det er teknisk muligt. Hvor en konkret kopi ikke kan ændres straks, skal adgangen begrænses, levetiden være fastlagt, og en gendannelse må ikke føre til, at slettede oplysninger igen tages i brug. Undersøg den faktiske backupteknik, før du lover en bestemt slettefrist. Dokumentér beslutningen og den udførte handling uden at gemme flere personoplysninger end nødvendigt.
Et samlet overblik over anmodning, behandlingssteder, beslutning og opfølgning gør det lettere at opdage oversete kopier og forklare svaret bagefter.
Sletning i praksis: fra anmodning til bekræftelse
En sletteanmodning håndteres bedst som en fast proces i fem trin:
- Kontrollér identiteten, når der er rimelig tvivl om anmoderens identitet, som ved en indsigtsanmodning. Bed kun om de yderligere oplysninger, der er nødvendige, jf. artikel 12, stk. 6.
- Vurdér grundlaget. Foreligger en af de seks grunde i artikel 17, stk. 1? Og er der en undtagelse i stk. 3, der helt eller delvist forhindrer sletning?
- Kortlæg, hvor oplysningerne findes. Brug din fortegnelse over behandlingsaktiviteter til at finde alle systemer og databehandlere, hvor oplysningerne behandles.
- Gennemfør sletningen i de relevante systemer og hos databehandlere; håndtér backup efter en dokumenteret, teknisk begrundet plan. Underret relevante modtagere efter artikel 19.
- Bekræft og dokumentér. Svar den registrerede inden for en måned, og dokumentér, at og hvordan sletningen er sket.
Tre typiske scenarier
- Tidligere medarbejder beder om sletning: du kan afvise sletning af de oplysninger, der er omfattet af en retlig opbevaringspligt (fx løn/bogføring i 5 år), men skal slette resten, når personalesagens formål er opfyldt.
- Tidligere kunde beder om sletning: markedsføringsoplysninger slettes, mens fakturaoplysninger opbevares efter bogføringsloven — begræns behandlingen til ren opbevaring.
- Tilbagetrukket samtykke til nyhedsbrev: hvis der ikke er et andet grundlag, skal oplysningerne slettes; en snæver fravalgsliste kan være nødvendig for at respektere fravalget. Vurdér særskilt grundlag, felter og opbevaring; den må ikke blive et skjult nyt markedsføringsregister.
Sletning, begrænsning eller anonymisering?
Gælder anmodningen en gammel arbejdsmailkonto, skal lukning af kontoen efter fratrædelse vurderes særskilt fra bevaring af nødvendige sagsdokumenter.
Sletning er ikke det eneste mulige udfald, men andre løsninger må ikke bruges til at omgå en gældende slettepligt:
- Sletning — oplysningerne fjernes, når en af de seks grunde foreligger, og ingen undtagelse gælder.
- Begrænsning af behandlingen (art. 18) — i stedet for at slette “fastfryser” du oplysningerne, så de kun opbevares, men ikke bruges aktivt. Artikel 18 giver ret til begrænsning i sine egne bestemte situationer, fx mens rigtigheden bestrides. Ved lovpligtig opbevaring kan du også organisatorisk begrænse brugen, men det er ikke automatisk en udøvelse af artikel 18-retten.
- Anonymisering — kan formålet opfyldes uden identifikation, kan reel anonymisering (hvor den registrerede ikke længere kan identificeres, heller ikke indirekte) være et alternativ, fx til statistik. Pseudonymisering er ikke nok, da pseudonymiserede oplysninger stadig er personoplysninger.
Valget skal dokumenteres, og den registrerede skal underrettes om, hvad der er sket. Det retlige grundlag findes i artikel 17 i databeskyttelsesforordningen, og Datatilsynet offentliggør afgørelser, der belyser grænserne mellem sletning, begrænsning og fortsat opbevaring. Grundlaget for at kunne træffe det rigtige valg er, at du kender dine slettefrister via opbevaringsbegrænsning og har overblik i din fortegnelse.
Sådan vurderer du en anmodning, der kun delvist kan imødekommes
En person kan have oplysninger i flere systemer med forskellige formål. En tidligere kunde kan eksempelvis stå både i et aktivt nyhedsbrev, i en afsluttet supportdialog og på en faktura. Det er ikke ét samlet ja eller nej. Identificér først de konkrete oplysninger og det formål, som hver kopi bruges til. Spørg derefter, hvilken af grundene i artikel 17, stk. 1, der er påberåbt eller følger af situationen, og om fortsat behandling af netop disse oplysninger er nødvendig efter stk. 3. Slet nyhedsbrevsprofilen, hvis samtykket er trukket tilbage og intet andet grundlag findes. Bevar kun de fakturaoplysninger, som en relevant retlig pligt faktisk kræver, og undlad at bruge dem til nye salgsformål.
Det gør en forskel, om personen beder om at få slettet hele sin konto eller bestrider en enkelt oplysning. Er problemet, at et navn eller en adresse er forkert, kan berigtigelse være den rette del af svaret. Hvis personen gør indsigelse mod direkte markedsføring, skal markedsføringen stoppe efter artikel 21, stk. 2-3; vurder bagefter, hvilke oplysninger der fortsat skal ligge på en begrænset fravalgsliste. Svar på den faktiske anmodning, også når personen ikke nævner den rigtige artikel.
Undtagelser kræver et formål, en hjemmel og en afgrænsning
Artikel 17, stk. 3, omfatter mere end bogføring. Ytrings- og informationsfrihed kan være relevant ved journalistisk offentliggørelse; nødvendige oplysninger kan bevares til retskrav; og særlige behandlingsformer i sundhed, folkesundhed, arkiv, forskning og statistik kan være omfattet på de betingelser, bestemmelsen angiver. Ingen af undtagelserne giver tilladelse til at gemme hele kundekontoen, blot fordi én bilagspost skal bevares. Notér præcis hvilke felter, hvilken hjemmel og hvilket fortsat formål der gør sletning umulig nu.
Et hypotetisk eksempel: En kunde beder en webshop om sletning dagen efter en afsluttet ordre. Webshoppen kan have pligt til at bevare regnskabsbilaget, men den skal samtidig undersøge, om adfærdsdata, profilering, supportnoter og markedsføringsoplysninger stadig er nødvendige. Den bør adskille regnskabsmateriale fra den aktive kundeprofil og fastsætte, hvornår hver kategori ophører. Svaret til kunden kan dermed være: nogle identificerede oplysninger er slettet, et afgrænset bilag bevares på grund af en konkret pligt, og det bruges kun til dette formål.
Hvad skal du skrive, når kun nogle oplysninger slettes?
Et godt svar opregner kategorier frem for at udlevere en ny, unødvendig datakopi. Forklar hvilke oplysninger der er slettet, hvilke der bevares, hvorfor de bevares, og hvornår behovet skal vurderes igen. Hvis sletning udføres hos en databehandler, kan svaret angive, at denne er instrueret, og hvordan opfølgningen sker. Undgå at love, at enhver backupbit er væk, før den tekniske håndtering er kontrolleret.
Husk også, at en anmodning kan komme fra en person uden kundeforhold, fx en tidligere ansøger eller en borger, som er omtalt i en klage. En portal, der kun søger i aktive kundekonti, finder ikke nødvendigvis alle relevante oplysninger. Et opslag i systemoversigten og en afgrænset henvendelse til de ansvarlige teams kan være mere effektivt end en bred, ukontrolleret søgning i alt arkivmateriale.
Frist, afslag og den registreredes besked
Artikel 12 kræver svar uden unødig forsinkelse og normalt inden en måned. Ved kompleksitet eller mange anmodninger kan fristen forlænges med op til to yderligere måneder, men personen skal have besked om forlængelsen og dens begrundelse inden den første måned. Hvis du ikke vil efterkomme en anmodning, skal du uden unødig forsinkelse og senest inden en måned oplyse hvorfor samt om muligheden for at klage til Datatilsynet og indbringe sagen for domstolene. En standardsætning om, at »GDPR kræver opbevaring«, forklarer ikke, hvilken pligt der gælder for de pågældende oplysninger.
Udgangspunktet er gratis håndtering. Artikel 12, stk. 5, giver mulighed for et rimeligt gebyr eller afslag ved åbenbart grundløse eller uforholdsmæssige anmodninger, navnlig gentagne, men den dataansvarlige skal kunne påvise betingelserne. Gentagelse alene er derfor ikke en automatisk afslagsgrund. Har du rimelig tvivl om identiteten, kan du bede om nødvendige supplerende oplysninger; kræv ikke som rutine pas fra en person, som allerede er sikkert logget ind.
Offentliggjorte oplysninger, modtagere og tekniske kopier
To underretningspligter skal holdes adskilt. Artikel 19 handler om modtagere, som oplysninger er videregivet til: de skal som udgangspunkt have besked om sletning, medmindre det er umuligt eller kræver en uforholdsmæssig indsats. Den registrerede kan bede om at få at vide, hvem modtagerne er. Artikel 17, stk. 2, gælder derimod, når den dataansvarlige selv har offentliggjort oplysningerne og er forpligtet til at slette dem efter stk. 1; da skal den træffe rimelige tekniske og omkostningsmæssige foranstaltninger for at gøre andre dataansvarlige opmærksomme på ønsket om sletning af links og kopier. Ingen af bestemmelserne er et løfte om, at alle kopier på internettet kan fjernes.
Start med dit eget systemkort: produktionsdatabase, søgeindeks, dokumentarkiv, eksportfiler og leverandører. Kontrollér, om et felt er kopieret til et analysesystem eller en fortegnelse peger på en overset tjeneste. Sletning af en synlig profil er ikke reel, hvis en intern søgning stadig finder dataene. Omvendt skal det dokumentationsspor, der viser, at anmodningen er besvaret, være kort, formålsbestemt og have sin egen slettefrist. Datatilsynets vejledning om sletning fremhæver både egen slettepligt og håndteringen af backup.
Når oplysningerne skal bevares til et retskrav
Et muligt retskrav kræver en konkret vurdering, ikke en generel reservation om, at alle gamle kundedata »kan blive nyttige«. Undersøg hvilket krav der er eller med rimelighed kan forventes, hvilke oplysninger der er nødvendige for at fastlægge, gøre det gældende eller forsvare det, og hvem der behøver adgang. Begræns adgangen og revurdér behovet, når sagen slutter eller risikoen ændres. Det samme gælder offentlige myndigheders journaler, hvor andre regler kan begrænse sletning. Datatilsynets afgørelse om en myndigheds manglende sletning viser, hvorfor den konkrete opbevaringspligt må undersøges frem for at bruge én standardfrist for alle.
Ofte stillede spørgsmål
Har jeg altid ret til at få slettet mine oplysninger?
Nej. Retten til sletning gælder kun, når en af de seks grunde i artikel 17, stk. 1, foreligger — fx at oplysningerne ikke længere er nødvendige, eller at samtykket er trukket tilbage. Og selv da kan den dataansvarlige afvise sletning, hvis en af undtagelserne i artikel 17, stk. 3, gælder, fx en retlig opbevaringspligt.
Skal jeg også slette oplysninger i mine backups?
Datatilsynet mener, at oplysninger i backup skal slettes, hvis det er teknisk muligt. Kortlæg kopierne og slettefunktionen. Hvor en konkret backup ikke kan ændres straks, skal den beskyttes, have en begrænset levetid, og en gendannelse skal følges af fornyet sletning. En generel henvisning til næste rotation er ikke en tilstrækkelig vurdering.
Hvad gør jeg, hvis jeg både har pligt til at slette og pligt til at opbevare?
Foretag en konkret afvejning. Kan behandlingen begrundes i en af undtagelserne i artikel 17, stk. 3 — fx bogføringslovens opbevaringskrav — kan du afvise sletning for netop de oplysninger, mens du sletter resten. Begræns i så fald behandlingen til opbevaring, og slet, når den retlige forpligtelse ophører.
Konklusion
Retten til sletning er betinget: den gælder kun i seks bestemte tilfælde og viger for vigtige undtagelser som retlige opbevaringspligter. Som dataansvarlig skal du vurdere hver anmodning konkret, gennemføre nødvendig sletning hos databehandlere, vurdere backupteknikken, underrette relevante modtagere efter artikel 19 med bestemmelsens undtagelser og dokumentere beslutningen. Grundlaget for det hele er styr på dine slettefrister via opbevaringsbegrænsning og et opdateret overblik i fortegnelsen. Sletning følger ofte i kølvandet på en indsigtsanmodning — håndtér dem i samme proces.