Säilytyksen rajoittaminen tarkoittaa, että henkilötietoja säilytetään tunnistettavassa muodossa vain niin kauan kuin käsittelyn tarkoitukset edellyttävät. GDPR:n 5 artiklan periaate ei anna kaikille asiakas- tai henkilöstötiedoille yhtä yhteistä vuosimäärää. Organisaation on ratkaistava, mitä tietoja tarvitaan, mihin tarkoitukseen, kuinka pitkään ja mitä tiedoille tapahtuu tarpeen päättyessä.
Arvioinnissa huomioidaan myös soveltuvat lakisääteiset säilytysvelvoitteet ja muut perustellut käsittelytarpeet. Kirjanpitoaineiston säilyttäminen ei esimerkiksi oikeuta pitämään koko asiakasprofiilia aktiivisessa markkinointikäytössä. Tämä opas auttaa erottamaan eri tarkoitukset, määrittämään säilytysajat ja toteuttamaan poistamisen tai anonymisoinnin käytännössä. Yksittäisten pyyntöjen käsittelyä selittää erikseen opas oikeudesta tulla unohdetuksi.
Tarpeellisuus on arvioitava koko elinkaaren ajan
Tietojen keräämishetkellä olemassa ollut tarve ei välttämättä jatku muuttumattomana. Avoimen tilauksen toimittaminen, myöhemmän reklamaation selvittäminen ja kirjanpitoaineiston säilyttäminen ovat erilaisia tarpeita. Ne voivat koskea osittain samoja tietoja, mutta niiden laajuus, käyttöoikeudet ja kesto voivat erota. Säilytyksen suunnittelu alkaa siksi käyttötarkoitusten erottamisesta, ei pisimmän mahdollisen määräajan valitsemisesta.
Käsittelyn päättyessä tietoja ei saa jättää järjestelmään vain siksi, että tallennustila on halpaa tai poistaminen tuntuu hankalalta. Toisaalta kaikkia tietoja ei aina poisteta samana päivänä asiakkuuden päättymisen kanssa. Jäljelle jäävän tarpeen pitää olla todellinen, lainmukainen ja rajattu. Sen arviointi on pystyttävä selittämään myös henkilölle, joka ei tunne organisaation sisäisiä käytäntöjä.
Tietosuojavaltuutetun säilytysohje korostaa suunnittelua, perusteltavuutta ja dokumentointia. Käytännössä hyödyllinen kysymys on, mitä organisaatio ei voisi tehdä asianmukaisesti, jos tietty tieto poistettaisiin nyt. Jos vastaus jää pelkäksi mahdolliseksi tulevaksi hyödyksi, säilytyksen perustelu on heikko. Jos vastaus liittyy nimenomaiseen velvoitteeseen, yksilöi velvoite ja sen tarvitsema aineisto.
Määritä säilytysaika tiedoille, älä koko järjestelmälle
Luokittele aineisto riittävän tarkasti. Asiakasjärjestelmä voi sisältää yhteystietoja, ostotapahtumia, vapaita muistiinpanoja, markkinointivalintoja ja tukipyyntöjä. Niiden kaikkien säilyttäminen yhtä kauan voi johtaa tarpeettomaan käsittelyyn. Vastaavasti yksi lasku voi sijaita taloushallinnon järjestelmässä, sähköpostissa ja erillisessä vientitiedostossa. Pelkkä pääjärjestelmän poistosääntö ei kerro, mitä muille kopioille tapahtuu.
Määritä jokaiselle ryhmälle tarkoitus, soveltuva käsittelyperuste, ajan alkamiskohta ja päättymisen ehto. Aika voidaan sitoa esimerkiksi tietyn asian ratkaisemiseen tai tilikauden päättymiseen. Jos määräaika alkaa tapahtumasta, järjestelmän pitää tunnistaa tapahtuma luotettavasti. Ilmaus ”poistetaan kuuden kuukauden kuluttua” jää käyttökelvottomaksi, jos kukaan ei tiedä, mistä kuusi kuukautta lasketaan.
Jos tarkkaa aikaa ei voida määrittää ennakolta, käytä ymmärrettäviä arviointikriteereitä ja sovi tarkistamisesta. Kriteeri ei saa olla kehämäinen, kuten ”säilytetään tarpeen ajan, koska tiedot ovat tarpeen”. Kuvaa esimerkiksi, mikä keskeneräinen velvoite edellyttää tietoja ja miten sen päättyminen todetaan. Erota toisistaan lain määräämä vähimmäisaika, organisaation perusteltu oma aika ja yksittäisen asian poikkeus.
Tietojen minimointi liittyy myös säilyttämiseen. Jos myöhempää tarkoitusta varten riittää suppeampi tietojoukko, tarpeettomat kentät voidaan poistaa aikaisemmin. Laskutuksen todentaminen ei välttämättä vaadi asiakaspalvelun koko keskusteluhistoriaa. Näin säilytyksen hallinta voi tarkoittaa vaiheittaista supistamista eikä vain yhtä lopullista poistopäivää.
Suomen kirjanpitolain kuusi ja kymmenen vuotta
Kirjanpitolain 2 luvun 10 § erottaa aineistoryhmiä ja ajan laskemistapoja. Tilinpäätös, toimintakertomus, kirjanpidot, tililuettelo sekä luettelo kirjanpidoista ja aineistoista säilytetään vähintään kymmenen vuotta tilikauden päättymisestä. Kyse ei ole kaikkia organisaation henkilötietoja koskevasta kymmenen vuoden säännöstä.
Tilikauden tositteet, liiketapahtumia koskeva kirjeenvaihto ja muu pykälän ensimmäiseen momenttiin kuulumaton kirjanpitoaineisto säilytetään vähintään kuusi vuotta sen vuoden lopusta, jonka aikana tilikausi päättyi, jollei muualla laissa säädetä pidempää aikaa. Kuuden vuoden alkamiskohtaa ei siis pidä korvata suoraan tositteen päiväyksellä. Myös soveltuvat erityissäännöt on tarkistettava ennen lopullisen ajan asettamista.
Jos tilikausi päättyy kesäkuussa, kuuden vuoden määräajan laskenta vuoden lopusta eroaa kymmenen vuoden laskennasta tilikauden päättymisestä. Tämä voi vaikuttaa siihen, milloin poistaminen ajastetaan. Taloushallinnon vastuuhenkilön pitää varmistaa aineiston luokittelu ja ajankohdat. Pelkkä tietosuojavastaavan laatima yleinen taulukko ei ratkaise sitä, mikä tiedosto on kirjanpitolain tarkoittama tosite tai muu aineisto.
Säilytysvelvoitteen perusteella säilytettyjä tietoja on silti suojattava ja niiden käyttö rajattava oikeaan tarkoitukseen. Vanhan laskun pitäminen kirjanpidon tarkastamista varten ei edellytä, että kaikki asiakaspalvelijat voivat käyttää sen tietoja mihin tahansa asiakasanalyysiin. Kun vähimmäisaika päättyy, arvioi, onko jokin muu lainmukainen ja tarpeellinen peruste jäljellä; vähimmäisaika ei tarkoita automaattista lupaa rajattomaan jatkosäilytykseen.
Henkilöstötiedot eivät muodosta yhtä säilytysryhmää
Palkkalaskelmat, työsopimukset, hakemukset ja terveydentilaa koskevat asiakirjat palvelevat eri tarkoituksia. Niiden säilytysaikoja ei pidä johtaa yhdestä yleisestä henkilöstömapan määräajasta. Työsuhteen päättyminen voi vaikuttaa tarpeeseen, mutta ei poista esimerkiksi soveltuvaa kirjanpitovelvoitetta eikä itsessään oikeuta pitämään kaikkia muita tietoja yhtä pitkään.
Työnantajan terveystietojen käsittelyyn liittyy myös erityisiä edellytyksiä, rajattu käsittelijäjoukko ja erillään säilyttäminen. Työntekijän terveystietoja ja sairauspoissaoloja käsittelevä opas auttaa erottamaan työnantajan asiakirjat työterveyshuollon potilastiedoista. Työnantaja ei voi ottaa omaan henkilöstöjärjestelmäänsä potilasrekisterin säilytysaikoja vain siksi, että molemmissa asiakirjoissa mainitaan sairaus.
Työelämän tietosuojalain 5 § edellyttää terveydentilatietojen poistamista välittömästi, kun pykälän 1 momentin mukaista perustetta ei enää ole. Perustetta ja tarvetta on arvioitava vähintään viiden vuoden välein. Viisi vuotta on tässä arviointiväliä koskeva enimmäisväli, ei yleinen lupa säilyttää jokainen lääkärintodistus viisi vuotta. Jos tarve päättyy aikaisemmin, poistamisvelvollisuutta ei siirretä seuraavaan määräaikaistarkistukseen.
Hakemusten kohdalla selvitä, mitkä tiedot ovat tarpeen valinnan tekemiseksi ja mitä mahdollisesti tarvitaan myöhemmin päätöksen perustelemiseen tai oikeusvaateisiin. Jos tietoja halutaan käyttää tulevissa hauissa, arvioi tämä tarkoitus ja sen edellytykset erikseen. Yleinen ilmaus ”säilytetään tulevia tarpeita varten” ei kerro hakijalle tai organisaatiolle, milloin käsittely päättyy.
Työpaikan kameratallenteille on erityinen aikaraja
Työelämän tietosuojalain 17 §:n mukaan tallenteet hävitetään heti, kun niitä ei enää tarvita kameravalvonnan tarkoitukseen, ja viimeistään vuoden kuluttua tallentamisen päättymisestä. Vuosi ei ole kaikille tallenteille sopiva oletusaika. Jos tarkoitus täyttyy lyhyemmässä ajassa, aineistoa ei säilytetä vain siksi, että laissa mainittu ulompi raja ei ole vielä tullut vastaan.
Säännös sallii jatkosäilytyksen muun muassa ennen enimmäisajan päättymistä selvitettäväksi tulleen 2 momentin mukaisen asian loppuun käsittelemiseksi, työsuhteen päättämisen asianmukaisuuden osoittamiseksi tai muun erityisen syyn vuoksi. Rajaa tällainen säilytys tarvittavaan tallenteeseen ja dokumentoi peruste. Yhden tapahtuman selvittäminen ei lähtökohtaisesti edellytä kaikkien kameroiden koko vuoden aineiston säilyttämistä. Tämä erityissääntö koskee lain mukaista työpaikan kameravalvontaa; sitä ei pidä esittää kaikkien kameroiden yleisenä suomalaisena säilytysaikana.
Oikeusvaade voi muuttaa rajatun aineiston säilyttämistä
Riita, reklamaatio tai oikeusvaateen valmistelu voi edellyttää tiettyjen asiakirjojen säilyttämistä normaalin poistoajan jälkeen. Tarve on arvioitava konkreettisesti. Kaikkien vanhojen tietojen pitäminen sen varalta, että joku joskus esittää vaatimuksen, ei ole sama asia kuin yksilöidyn vaateen kannalta tarpeellisen aineiston säilyttäminen. Myös soveltuvat vanhentumissäännöt ja niiden merkitys kyseisessä tilanteessa on selvitettävä.
Määritä, kuka voi keskeyttää suunnitellun poistamisen, mitä tietoja päätös koskee ja milloin asia tarkistetaan uudelleen. Rajaus voi koskea tiettyä sopimusta ja siihen liittyviä viestejä, vaikka muu vanha asiakasaineisto poistetaan normaalisti. Kirjaa perustelu ja säilyttämisen tarkoitus niin, että päätös voidaan arvioida myöhemmin uudelleen myös vastuuhenkilön vaihtuessa.
Säilyttäminen oikeusvaadetta varten ei tarkoita vapaata oikeutta käyttää tietoja muihin tarkoituksiin. Rajoita pääsy niille, jotka tarvitsevat aineistoa asian hoitamiseen. Kun peruste päättyy, palauta aineisto tavallisen säilytysarvioinnin piiriin. Jos poistoa lykätään teknisessä järjestelmässä erityisellä merkinnällä, varmista, että merkintä voidaan myös poistaa eikä siitä tule pysyvää poikkeusta.
Arkistointi, tutkimus ja tilastointi vaativat omat edellytyksensä
GDPR:n 5 artiklan 1 kohdan e alakohta mahdollistaa pidemmän säilyttämisen, kun tietoja käsitellään ainoastaan yleisen edun mukaiseen arkistointiin, tieteelliseen tai historialliseen tutkimukseen tai tilastollisiin tarkoituksiin ja 89 artiklan mukaiset suojatoimet toteutetaan. Tämä on erityinen sääntö näihin tarkoituksiin. Se ei tarkoita, että muut tarpeelliset ja lainmukaiset säilytystarkoitukset, kuten lakisääteinen velvoite, olisivat kokonaan kiellettyjä.
Pelkkä kansion nimeäminen arkistoksi ei tee säilyttämisestä yleisen edun mukaista arkistointia. Samoin kaupallisen asiakasprofiilin kutsuminen tutkimusaineistoksi ei poista tarvetta arvioida käsittelyn todellista tarkoitusta. Soveltuvat perusteet ja kansalliset säännöt pitää tarkistaa. Mahdolliset erityisoikeudet tai poikkeukset koskevat vain sitä käsittelyä, joka täyttää niiden edellytykset.
Artiklan 89 suojatoimilla on turvattava erityisesti tietojen minimointi. Pseudonymisointi voi olla osa suojaa, jos tarkoitus voidaan saavuttaa sillä tavalla. Jos tarkoitus voidaan saavuttaa jatkokäsittelyllä, jossa henkilöitä ei voida tai ei enää voida tunnistaa, tämä toteutustapa on valittava. Pitkä säilytysaika ei poista käyttöoikeuksien, tietoturvan ja käsittelyn tarpeellisuuden arviointia.
Poistaminen ja anonymisointi ovat erilaisia ratkaisuja
Poistamisessa henkilötiedot hävitetään soveltuvasta käsittely-ympäristöstä. Anonymisoinnissa aineisto muokataan niin, ettei sitä enää voida pitää tunnistettavaa henkilöä koskevana tietona. Arvioinnissa huomioidaan johdanto-osan 26 kappaleen mukaisesti keinot, joita rekisterinpitäjä tai muu taho voi kohtuullisen todennäköisesti käyttää tunnistamiseen, sekä esimerkiksi kustannukset, aika ja teknologia.
Nimen poistaminen ei yksin riitä, jos henkilö voidaan tunnistaa muiden tietojen yhdistelmästä tai käytössä olevan tunnisteavaimen avulla. Organisaatiolle, joka pystyy palauttamaan yhteyden henkilön ja tunnisteen välillä, kyse on edelleen henkilötietojen käsittelystä. Anonymisointimenetelmiä koskeva opas auttaa arvioimaan tunnistettavuutta ja menetelmän rajoituksia. Säilytysajan päättymistä ei pidä kuitata teknisellä toimenpiteellä, jonka vaikutusta ei ole tarkistettu.
Myös anonymisointi on henkilötietojen käsittelyä siihen asti, kunnes aineisto on tosiasiassa anonyymi. Määritä, kuka vastaa menetelmästä ja miten tulos varmistetaan. Jos säilytätte alkuperäisen aineiston rinnalla, sen oma säilytystarve ei katoa anonymisoidun version valmistumisella. Vastaavasti analyysiin tarvittava anonyymi yhteenveto ei yleensä vaadi alkuperäisten yksilökohtaisten rivien säilyttämistä loputtomasti.
Toteuta poistaminen koko tietovirrassa
Kartoita aktiiviset järjestelmät, liitetiedostot, raportit, paikalliset viennit ja ulkoiset palvelut. Sama tieto voi siirtyä useaan paikkaan, vaikka käyttäjä näkee sen vain yhdessä käyttöliittymässä. Selvitä, mitkä kopiot ovat tarpeellisia ja miten poistamisen määräaika välittyy niihin. Muuten pääjärjestelmän onnistunut poisto voi jättää suuren osan aineistosta ennalleen.
Automaattinen poistaminen voi helpottaa suurten aineistojen hallintaa, mutta GDPR ei tee tietystä automaatiosta kaikille pakollista. Myös hallittu manuaalinen menettely voi toimia, jos se toteutuu luotettavasti. Toisaalta käytännössä liian raskas manuaalinen prosessi ei ole riittävä ratkaisu vain siksi, että siitä on kirjallinen ohje. Arvioi toteutustavan toimivuutta tietomäärän, muutosten ja riskien perusteella.
Varmuuskopioiden kohdalla tarvitaan perusteltu kierto, rajattu käyttö ja palautusmenettely. Jos yksittäisiä tietoja ei voida poistaa heti muuttumattomasta kopiosta, teknistä rajoitetta ei saa käyttää rajattoman säilytyksen perusteena. Kuvaa, milloin kopio korvautuu tai tuhoutuu ja miten estetään tietojen palautuminen tavalliseen käyttöön poiston vastaisesti. Älä lupaa välitöntä täydellistä poistamista, jos todellinen toteutus on toinen.
Palautuksen yhteydessä aiemmin poistetut tiedot voivat tulla uudelleen järjestelmään. Menettelyn pitää tunnistaa tällainen tilanne ja toteuttaa tarvittavat poistot tai käyttörajoitukset ennen normaalia käyttöä. Testaa palautus- ja poistamismenettelyä soveltuvalla tavalla ilman tarpeetonta oikeiden henkilötietojen kopiointia. Tekniset lokit voivat osoittaa suorituksen, mutta niidenkin sisältöä ja säilytystä on hallittava.
Palveluntarjoaja tarvitsee toteuttamiskelpoisen ohjeen
Kun palveluntarjoaja toimii henkilötietojen käsittelijänä, rekisterinpitäjä määrittää lainmukaiset ohjeet ja sopii niiden toteuttamisesta 28 artiklan mukaisessa järjestelyssä. Käsittelysopimusta koskeva opas selittää osapuolten velvollisuuksia. Älä oleta, että palvelun oletusasetus vastaa organisaation jokaista säilytystarkoitusta tai että kaikkien asiakkaiden tiedot poistuvat samalla tavalla.
Sopikaa, miten tavalliset poistot, yksittäiset pyynnöt, palvelun päättyminen ja varmuuskopiot käsitellään. Artiklan 28 mukaan käsittelijä poistaa tai palauttaa henkilötiedot rekisterinpitäjän valinnan mukaisesti palvelun päättyessä ja poistaa olemassa olevat kopiot, ellei unionin tai jäsenvaltion oikeus edellytä säilyttämistä. Pelkkä aineiston palauttaminen ei siis ratkaise kopioiden kohtaloa. Käytännön toteutus ja mahdollinen oikeudellinen poikkeus on erotettava toisistaan.
Jos palveluntarjoaja toimii joissakin tehtävissä itsenäisenä rekisterinpitäjänä, sen velvollisuuksia ei ratkaista antamalla käsittelijälle tarkoitettu poisto-ohje. Selvitä rooli ja soveltuvat tiedonkulkua koskevat velvoitteet. Muuten organisaatio voi luvata asiakkaalle poistavansa tietoja järjestelmästä, jonka säilyttämisestä se ei itse päätä. Lupauksien pitää vastata todellisia vastuita ja käytettävissä olevia keinoja.
Säilytysaika ei poista rekisteröidyn oikeuksia
Henkilö voi pyytää tietojensa poistamista ennen organisaation määrittämän ajan päättymistä. Pyyntö on arvioitava omien edellytystensä perusteella; sisäinen säilytystaulukko ei ole itsenäinen kieltäytymisperuste. Toisaalta poistamisoikeus ei syrjäytä kaikkia tarpeellisia lakisääteisiä säilytysvelvoitteita tai muita 17 artiklan 3 kohdan poikkeuksia.
Poikkeukset liittyvät muun muassa sananvapauteen ja tiedonvälitykseen, oikeudelliseen velvoitteeseen tai julkiseen tehtävään, säädetyt edellytykset täyttävään kansanterveyteen sekä oikeusvaateisiin. Arkistointi-, tutkimus- ja tilastointipoikkeus edellyttää 89 artiklan suojatoimia ja sitä, että poistamisoikeus todennäköisesti estäisi kyseisten tavoitteiden saavuttamisen tai vaikeuttaisi sitä suuresti. Pelkkä tutkimusta tai kansanterveyttä koskeva yleinen maininta ei riitä.
Myös oikeus saada pääsy tietoihin voi edellyttää säilytysaikaa tai sen määrittämiskriteereitä koskevan tiedon antamista. Organisaation pitää pystyä kertomaan, mitä se todella tekee, eikä vain toistaa pitkää yleistä ehtoluetteloa. Jos pyyntöön ei ryhdytä, syyt sekä tieto valitusmahdollisuudesta ja oikeussuojakeinoista on annettava ilman aiheetonta viivytystä ja viimeistään kuukauden kuluessa pyynnön vastaanottamisesta.
Kirjaa päätökset ja kerro niistä ymmärrettävästi
Säilytyssuunnitelmaan kannattaa kirjata aineistoryhmä, tarkoitus, ajan peruste, alkamiskohta, poistamisen tapa ja vastuuhenkilö. Poikkeuksille tarvitaan oma arviointimenettely. Käsittelytoimien selosteeseen merkitään suunnitellut poistamisen määräajat mahdollisuuksien mukaan. Seloste voi viitata tarkempaan suunnitelmaan, kun yhteys oikeaan toimintaan säilyy selkeänä.
Tietosuojaselosteessa puolestaan kerrotaan rekisteröidylle säilytysajasta tai, jos sitä ei voida määrittää, sen määräytymiskriteereistä. Sisäisen suunnitelman ja ulkoisen tiedon pitää vastata toisiaan. Jos asiakirjassa luvataan lyhyt säilytys mutta järjestelmän asetus on rajaton, ongelmaa ei ratkaista pelkästään muotoilemalla ilmoitus epämääräisemmäksi.
Tietosuojavastaava voi neuvoa ja valvoa noudattamista, mutta operatiivinen vastuu ei siirry hänelle. Prosessin omistajan, järjestelmän vastuuhenkilön ja tarvittaessa lakiasioista vastaavan henkilön on osallistuttava omien tietojensa osalta. Tietosuojavastaavan roolia käsittelevä opas auttaa jakamaan tehtävät ilman, että neuvoa antava rooli sekoitetaan kaikkiin käsittelypäätöksiin.
Esimerkki: asiakkuuden päättyminen ja jäljelle jäävä lasku
Kuvitteellinen yritys sulkee asiakkaan käyttäjätilin palvelusopimuksen päättyessä. Tilin aktiivisia asetuksia ja tarpeettomia tukitietoja ei välttämättä tarvita enää, mutta lasku kuuluu edelleen lakisääteisesti säilytettävään aineistoon. Yritys erottaa laskun taloushallinnon säilytykseen, rajaa käyttöoikeudet ja poistaa muut tiedot niitä koskevien arvioiden mukaisesti. Koko asiakasprofiilin jäädyttäminen pisimmäksi ajaksi olisi eri ratkaisu ja vaatisi laajemman perustelun.
Myöhemmin asiakas esittää tiettyä toimitusta koskevan vaatimuksen. Yritys selvittää, mitä asiakirjoja asian käsittely edellyttää, ja rajaa tarvittavan säilyttämisen niihin. Se ei palauta kaikkia jo poistettuja tietoja normaaliin käyttöön vain siksi, että yksi asia on riitainen. Kun asia päättyy, poikkeus tarkistetaan ja tarpeettomat tiedot poistetaan hallitusti.
Esimerkki osoittaa myös hankintavaiheen merkityksen. Järjestelmä, joka sallii vain koko asiakaskortin säilyttämisen tai tuhoamisen, voi vaikeuttaa eri tarkoitusten erottamista. Sisäänrakennettu tietosuoja edellyttää, että tällaiset tarpeet huomioidaan suunnittelussa. Poistamisen, eriyttämisen ja perusteltujen poikkeusten toteutus kannattaa selvittää ennen kuin palveluun kertyy vuosien aineisto.
Arvioi suunnitelman toimivuus myös muutoksissa
Säilytyksen tarkistaminen ei ole vain uuden asiakirjan hyväksymistä. Selvitä, toteutuvatko poistot, käsitelläänkö poikkeukset ja ovatko järjestelmiin jääneet vanhat kopiot tiedossa. GDPR ei määrää kaikille samaa vuosittaista tarkistuspäivää, mutta tarpeellisuus ja ajantasaisuus on pystyttävä varmistamaan. Muuttunut laki, uusi käyttötarkoitus, järjestelmävaihto tai havaittu poikkeama voi edellyttää tarkistusta heti.
Järjestelmävaihdossa siirrä myös säilytysajat ja niiden alkamistiedot. Jos vanha aineisto tuodaan uuteen palveluun niin, että jokaisen tietueen ikä alkaa näennäisesti uudestaan, poistaminen voi siirtyä perusteettomasti vuosilla. Tarkista tuonnin jälkeen sekä aikakentät että poistamisen säännöt. Vanhan järjestelmän sulkemiseen kuuluu myös tarpeettomien vientitiedostojen, väliaikaisten kopioiden ja käyttöoikeuksien hallinta.
Säilytä riittävä tieto siitä, miten säännöt päätettiin ja miten niiden toteutumista seurataan. Dokumentointi ei tarkoita, että poistetut henkilötiedot kopioidaan varmuuden vuoksi erilliseen todisterekisteriin. Usein tapahtuman ajankohta, sovellettu sääntö ja järjestelmän vahvistus ovat tarkoituksenmukaisempia. Näin osoitusvelvollisuuden toteuttaminen ei synnytä samaa tarpeettoman säilyttämisen ongelmaa uudessa paikassa.