Rett til sletting, ofte kalt «retten til å bli glemt», gir den registrerte rett til å kreve at personopplysninger slettes uten ugrunnet opphold når nærmere bestemte vilkår er oppfylt. Retten følger av artikkel 17 i personvernforordningen (GDPR). Den er ikke absolutt: sletting kan kreves på seks bestemte grunnlag, men flere unntak – blant annet lovpålagt oppbevaring og rettskrav – kan gå foran. Virksomheten må derfor vurdere hvert slettekrav konkret opp mot grunnlagene og unntakene, og svare innen én måned.
Denne artikkelen forklarer når retten til sletting gjelder, når den ikke gjelder, hvordan retten henger sammen med prinsippet om lagringsbegrensning, og hvilke feil virksomheter oftest gjør. Personvernforordningen gjelder i Norge gjennom personopplysningsloven og EØS-avtalen.
Når har man rett til sletting?
Artikkel 17 nr. 1 angir seks grunnlag der den registrerte kan kreve sletting:
- Opplysningene er ikke lenger nødvendige for formålet de ble samlet inn for.
- Den registrerte trekker tilbake samtykket som behandlingen bygget på, og det finnes ikke annet rettslig grunnlag.
- Den registrerte protesterer mot behandlingen etter artikkel 21, og det foreligger ikke tungtveiende berettigede grunner som går foran.
- Opplysningene er behandlet ulovlig.
- Sletting er nødvendig for å oppfylle en rettslig forpliktelse.
- Opplysningene er samlet inn i forbindelse med informasjonssamfunnstjenester tilbudt barn.
Foreligger ett av disse grunnlagene, og ingen unntak gjelder, skal opplysningene slettes uten ugrunnet opphold. Sletteplikten omfatter alle kopier og speilinger – ikke bare hovedbasen – noe som forutsetter at virksomheten vet hvor opplysningene finnes, via sin behandlingsprotokoll.
Hva innebærer «retten til å bli glemt» på nett?
Har den behandlingsansvarlige offentliggjort opplysningene, pålegger artikkel 17 nr. 2 en utvidet plikt: virksomheten skal, med rimelige tiltak og hensyn til tilgjengelig teknologi og kostnad, informere andre behandlingsansvarlige som behandler opplysningene, om at den registrerte krever sletting av lenker, kopier og reproduksjoner. Dette er kjernen i «retten til å bli glemt» slik EU-domstolen utviklet den for søkemotorer.
Når gjelder retten til sletting ikke?
Artikkel 17 nr. 3 gjør flere viktige unntak. Sletting kan nektes så langt behandlingen er nødvendig for:
- Ytrings- og informasjonsfriheten.
- Å oppfylle en rettslig forpliktelse eller utføre en oppgave i allmennhetens interesse.
- Folkehelsehensyn.
- Arkivformål i allmennhetens interesse, vitenskapelig eller historisk forskning eller statistikk.
- Å fastsette, gjøre gjeldende eller forsvare rettskrav.
I norsk praksis er lovpålagt oppbevaring det vanligste unntaket. Bokføringsloven krever oppbevaring av regnskapsmateriale, og en rekke særlover setter minimums oppbevaringstider. Slike opplysninger kan ikke slettes på krav før den lovpålagte perioden er utløpt, men bør da isoleres og ikke brukes til andre formål. Skillet mellom «må oppbevares» og «brukes videre» er praktisk viktig: at noe må lagres for regnskap, betyr ikke at det kan brukes til markedsføring.
Hva er forholdet mellom sletting og lagringsbegrensning?
De to henger tett sammen, men er ikke det samme. Lagringsbegrensning etter artikkel 5 er en plikt virksomheten har til å slette av eget tiltak når opplysningene ikke lenger trengs. Retten til sletting etter artikkel 17 er en rettighet den registrerte kan påberope. En virksomhet som har gode slettefrister og faktisk følger dem, får langt færre slettekrav, fordi opplysningene allerede er borte når formålet er oppfylt.
Rett til sletting i praksis
Et gyldig slettekrav skal besvares innen én måned, på samme måte som et innsynskrav. Avslår man, skal den registrerte få vite hvorfor og informeres om retten til å klage til Datatilsynet. Sletter man, bør slettingen dokumenteres – både for å vise etterlevelse og for å kunne bekrefte overfor den registrerte at kravet er oppfylt.
Datatilsynet understreker i sin veiledning om retting og sletting at virksomheten også skal slette på eget initiativ når formålet er oppnådd. En god arbeidsflyt kobler derfor slettefrister til behandlingene i protokollen og registrerer anmodninger separat. At et krav blir loggført, viser ikke i seg selv at opplysningene er fjernet; gjennomføringen må bekreftes i de berørte systemene.
Hva betyr det at sletting skal skje «uten ugrunnet opphold»?
Sletteplikten inntrer når vilkårene er oppfylt, men gjennomføringen kan kreve koordinering mellom flere systemer og databehandlere. Artikkel 17 krever sletting uten ugrunnet opphold; artikkel 12 krever svar på anmodningen som hovedregel innen én måned. Det er ikke en generell tillatelse til å vente en hel måned med en enkel sletting. For sikkerhetskopier finnes ingen automatisk regel om at neste ordinære rotasjon alltid er nok. Virksomheten må vurdere om opplysningene kan slettes eller isoleres forsvarlig, hvor lenge kopien finnes, og hva som skjer ved gjenoppretting. En plan knyttet til lagringsbegrensning gjør dette etterprøvbart.
Vanlige feil
- Å tro at sletteretten er absolutt. Unntakene i artikkel 17 nr. 3, særlig lovpålagt oppbevaring og rettskrav, kan gå foran.
- Å slette for mye. Sletter man opplysninger som må oppbevares etter bokføringsloven, bryter man en annen lov. Skill mellom sletting og isolering.
- Å glemme kopiene. Kartlegg speilinger, eksportfiler, logger og sikkerhetskopier. Ikke anta at samme tekniske metode passer alle lag; dokumenter begrensninger og gjenopprettingsrutiner.
- Å ikke svare i tide. Også avslag på slettekrav må gis innen én måned med begrunnelse.
- Å forveksle sletting og anonymisering. Reell anonymisering kan være et alternativ til sletting, men bare hvis opplysningene faktisk ikke lenger kan knyttes til en person.
Begynn med opplysningen, ikke hele kundeforholdet
Et krav om sletting må knyttes til konkrete opplysninger og formål. En kunde kan for eksempel trekke samtykket til et nyhetsbrev, samtidig som virksomheten fortsatt må oppbevare dokumentasjon om en gjennomført handel. Da kan markedsføringsprofilen slettes eller bruken stanses, mens opplysninger som er nødvendige for et selvstendig lovlig formål vurderes separat. Skriv ned hvilke datakategorier kravet gjelder, hvor de finnes og hvilket grunnlag som eventuelt fortsatt gjelder. Et standardsvar om at «kontoen er aktiv» forklarer ikke hvorfor hvert enkelt datasett beholdes.
Ved direkte markedsføring har protest etter artikkel 21 nr. 2 en egen virkning: opplysningene skal ikke lenger brukes til det formålet. Det kan samtidig være nødvendig med en begrenset sperreliste for å respektere protesten og unngå ny utsendelse. Den må ha et avgrenset formål og ikke bli et nytt markedsføringsregister. Se veiledningen om protest mot direkte markedsføring. Denne situasjonen skiller seg fra et krav om full sletting av alle opplysninger en virksomhet lovlig oppbevarer av andre grunner.
Slik vurderer du et konkret krav
Registrer når kravet kom inn, hvordan personen kan identifiseres på en forholdsmessig måte og hvilke systemer som er berørt. Be bare om mer identifikasjon hvis den er nødvendig; en innlogget bruker skal normalt ikke måtte sende kopi av pass for å få behandlet en enkel anmodning. Finn deretter behandlingsformål og relevante lagringsregler. Behandlingsprotokollen gir et utgangspunkt, men den må kontrolleres mot den faktiske databasen, e-postarkiver, eksportfiler og leverandører. Hvis den tekniske kartleggingen viser flere kopier enn protokollen, bør også protokollen rettes. Der kravet egentlig gjelder en feil opplysning, vurder også retting etter artikkel 16.
Vurder ett eller flere av de seks grunnlagene i artikkel 17 nr. 1. Dersom et grunnlag er oppfylt, vurder deretter om et unntak i nr. 3 gjelder for bestemte opplysninger. Et unntak gjelder bare så langt fortsatt behandling er nødvendig. For et hypotetisk kundekjøp kan fakturaopplysninger være underlagt oppbevaringsplikt, mens en separat interesseliste ikke er det. Dokumenter dette som to beslutninger. Å avvise hele kravet fordi noen opplysninger må beholdes, blir for bredt; å slette lovpålagt dokumentasjon blir også feil. Behandlingsgrunnlaget for hvert formål hjelper med å forklare hvorfor et datasett eventuelt fortsatt behandles.
Noen ganger bør opplysninger begrenses mens vurderingen pågår, særlig hvis riktigheten bestrides eller den registrerte protesterer mot en behandling som bygger på berettiget interesse. Begrensning etter artikkel 18 har egne vilkår og er ikke det samme som sletting. Forklar personen hva som faktisk er gjort. Hvis virksomheten trenger mer tid på et komplisert krav, er artikkel 12s regler om forlenget svarfrist relevante, men den må varsle personen innen den første måneden og oppgi grunnen.
Unntak krever et avgrenset formål
Lovpålagt oppbevaring er ofte praktisk viktig i Norge, men man må identifisere den konkrete regelen og de opplysningene den gjelder. En generell henvisning til bokføringsloven begrunner ikke å beholde hele kundens kommunikasjonshistorikk, klikkdata eller markedsføringsprofil. Skil ut det materialet som faktisk trengs for dokumentasjon, begrens tilgangen og fastsett når også denne oppbevaringen skal opphøre. Datatilsynet sier uttrykkelig at data skal slettes når formålet er nådd, også uten at personen ber om det.
Unntaket for rettskrav kan være relevant når det finnes en konkret tvist eller et realistisk behov for å fastsette, gjøre gjeldende eller forsvare et krav. Det gir ikke grunnlag for å beholde enhver kundepost på ubestemt tid i tilfelle en ukjent fremtidig tvist. Angi hvilke opplysninger som er nødvendige, hvem som har tilgang og hvilken hendelse som skal utløse ny vurdering. Arkiv, forskning og ytringsfrihet har også egne vilkår. Bruk dem ikke som samlebetegnelser når et vanlig driftsarkiv egentlig bare er glemt.
Et hypotetisk eksempel er en tidligere ansatt som ber om sletting av alle data. Arbeidsgiveren må undersøke personalmappe, lønnsopplysninger, adgangslogger og interne presentasjoner hver for seg. Noe kan måtte beholdes etter en konkret rettslig plikt; noe kan slettes fordi formålet er over; noe kan kreve en mer nyansert vurdering av andres rettigheter. Svar med kategorier og begrunnelser, slik at personen kan forstå hva som er slettet og hva som fortsatt behandles. En enkelt knapp merket «slett bruker» gir sjelden hele analysen.
Mottakere, søkemotorer og kopier
Etter artikkel 19 skal den behandlingsansvarlige som hovedregel underrette mottakere om sletting, med mindre det er umulig eller krever en uforholdsmessig innsats. På forespørsel skal personen informeres om disse mottakerne. Dette gjelder ikke bare databehandlere, men også andre mottakere som har fått opplysningene. Har den behandlingsansvarlige selv offentliggjort data, kan artikkel 17 nr. 2 kreve rimelige tiltak for å informere andre behandlingsansvarlige om krav om å slette lenker eller kopier. Hvor langt plikten rekker, avhenger av teknologi, kostnad og tilgjengelige opplysninger.
Sikkerhetskopier må vurderes særskilt. En kopi som er utilgjengelig for vanlig bruk og overskrives etter en kort, dokumentert syklus, er en annen situasjon enn et permanent søkbart arkiv. Kartlegg rotasjon, tilgang, rettslig grunnlag og gjenopprettingsprosessen. Hvis gamle data kan gjenoppstå ved restore, må slettebeslutningen kunne brukes på nytt før systemet tas i vanlig bruk. Ikke lov personen umiddelbar fysisk fjerning fra alle medier dersom teknologien faktisk ikke kan levere det; forklar den kontrollerte løsningen og dens begrensninger presist.
Til slutt bør en ansvarlig kontrollere at slettingen faktisk er gjennomført. En kommando som returnerer «vellykket», kan ha oversett en eksport hos en leverandør eller en gammel integrasjon. Noter hvilke steder som ble kontrollert og hva som ikke kunne bekreftes. Ved bytte av leverandør kan planen for tilbakelevering og slettebekreftelse gi mer detaljert støtte til den tekniske avslutningen. Den enkelte anmodningen krever fortsatt en egen rettslig vurdering etter artikkel 17.
Ofte stilte spørsmål
Kan man alltid kreve at opplysninger slettes?
Nei. Retten gjelder bare når ett av de seks grunnlagene i artikkel 17 nr. 1 foreligger, og den kan nektes når ett av unntakene i nr. 3 gjelder – for eksempel lovpålagt oppbevaring, rettskrav eller ytringsfrihet. Hvert krav må vurderes konkret.
Hva med opplysninger vi må oppbevare etter bokføringsloven?
Slike opplysninger kan ikke slettes på krav før den lovpålagte oppbevaringstiden er utløpt. De bør da isoleres slik at de bare brukes til det lovpålagte formålet, og slettes når perioden er over. Lovpålagt oppbevaring er et av de vanligste grunnlagene for å avslå et slettekrav i Norge.
Hvor lang tid har man på å slette?
Artikkel 17 sier uten ugrunnet opphold. Etter artikkel 12 skal virksomheten informere om hva den har gjort, normalt innen én måned fra mottak. Ved behov kan svarfristen forlenges med inntil to måneder på grunn av kompleksitet eller antall anmodninger, men personen må få beskjed om forlengelsen og grunnen innen første måned. Dette er ikke en generell utsettelse av sletting som kan gjøres raskere.
Må vi varsle andre om at opplysningene er slettet?
Når virksomheten har slettet opplysninger etter artikkel 17, skal den etter artikkel 19 som hovedregel informere mottakere som fikk opplysningene om slettingen som er utført, med mindre dette er umulig eller krever en uforholdsmessig innsats. Databehandlere må følge gyldige instrukser om sletting innenfor sitt oppdrag. En selvstendig behandlingsansvarlig mottaker må vurdere egne plikter og eventuelt selvstendig lovlig oppbevaring; artikkel 19 er ikke en ubetinget ordre om at alle mottakere skal slette alt. På forespørsel skal den registrerte få vite hvilke mottakere som er informert. Hvis virksomheten selv har offentliggjort opplysningene, gjelder i tillegg artikkel 17 nr. 2 om rimelige tiltak for å informere andre behandlingsansvarlige om krav om sletting av lenker, kopier eller reproduksjoner.
Kan man nekte sletting fordi opplysningene ligger i sikkerhetskopier?
Nei, ikke uten videre. Undersøk om opplysningene kan fjernes fra aktive systemer og kopier, når sikkerhetskopier overskrives, og hvordan slettingen sikres hvis en kopi gjenopprettes. En dokumentert rotasjonsplan og begrenset tilgang kan være relevante tiltak, men de er ingen generell lovfestet dispensasjon fra artikkel 17. Resultatet må vurderes for den konkrete teknologien og risikoen.
Konklusjon
Retten til sletting er sterk, men ikke ubetinget. Den registrerte kan kreve sletting på seks grunnlag, men lovpålagt oppbevaring, rettskrav og ytringsfrihet kan gå foran. Nøkkelen er å vurdere hvert krav konkret, skille mellom sletting og lovpålagt isolering, og huske at sletting omfatter alle kopier. Virksomheter som allerede følger prinsippet om lagringsbegrensning og sletter av eget tiltak, får både færre krav og en enklere håndtering. Koble slettefristene til behandlingsprotokollen og dokumenter hver sletting.
Denne artikkelen gir generell informasjon om artikkel 17 og utgjør ikke juridisk rådgivning.
Praktisk oppfølging i tilknyttede systemer
Ved leverandørbytte gir planen for tilbakelevering og slettebekreftelse et konkret arbeidsgrunnlag for eksport, gjenværende kopier og stenging av forbindelser. Oppsigelse av abonnementet er ikke alene bevis på avsluttet behandling.