Af databeskyttelsesforordningens artikel 5, stk. 1, litra e fremgår det, at
personoplysninger skal opbevares på en sådan måde, at det ikke er muligt at identificere de registrerede i et længere tidsrum end det, der er nødvendigt til de formål, hvortil de pågældende personoplysninger behandles
Det er den dataansvarlige selv, der – på baggrund af formålene med de behandlinger af personoplysninger der foretages – skal vurdere, hvornår personoplysningerne skal slettes. Det er i den forbindelse vigtigt at den dataansvarlige, for hver af de konkrete behandlinger der foretages, dokumenterer de slettefrister der fastlægges. Dette følger af kravet om ansvarlighed af databeskyttelsesforordningens artikel 5, stk. 2.
Særlovgivning
Der vil i mange tilfælde være særlovgivning, fx bogføringsloven eller hvidvaskloven, der regulerer hvor længe den dataansvarlige som minimum skal behandle en række konkrete personoplysninger. Det følger endvidere af reglerne i arkivloven, at der er adgang til arkivmæssig behandling af personoplysninger, dvs. arkivalier skal ikke slettes.
I den forbindelse følger det af princippet om dataminimering, at de behandlede oplysninger skal være tilstrækkelige, relevante og begrænset til, hvad der er nødvendigt i forhold til de formål, hvortil de behandles. Således skal den dataansvarlige indrette sin behandling på en sådan måde, at kun de nødvendige oplysninger behandles efter de lovfastlagte frister, og at slettefrister for øvrige personoplysninger fastlægges ud fra betragtningerne i artikel 5, stk. 1, litra c-e.
Mange systemer hvori der behandles personoplysninger understøtter logning af de handlinger, der udføres i systemet, herunder sletning af oplysninger. Den dataansvarlige skal holde sig for øje, at disse logs i sig selv kan indeholde personoplysninger, hvorfor der også skal tages stilling til slettefrister for disse logs.
Brug kun de fornødne oplysninger
Man kan som dataansvarlig med fordel indrette sin behandling med de enkelte behandlingers slettefrister for øje. Som et tænkt eksempel kan man forestille sig en webshop, hvor en kunde opretter en profil i virksomhedens system. Kunden giver samtykke til at modtage nyhedsbreve, som er personliggjort på baggrund af kundens tilkendegivne interesser i bestemte produkter.
Når kunden foretager et køb i webshoppen gemmes en kopi af faktura til regnskabsformål. Virksomheden fastsætter på baggrund af bogføringsloven en slettefrist på 5 år for fakturaer. Desuden fastsætter virksomheden – med baggrund i forældelsesfristen for sager efter markedsføringslovens § 10 – en slettefrist på 2 år for det samtykke, som kunden har afgivet i forhold til modtagelse af nyhedsbrevet.
Hvis kunden sletter sin profil i systemet slettes de øvrige oplysninger om vedkommende efter 6 måneder. På baggrund af behandlingerne og slettefristerne indretter virksomheden sine systemer på en måde, hvor fakturaer kun indeholder de fornødne oplysninger jf. bogføringsloven. På samme måde gemmes samtykker til modtagelse af nyhedsbrev separat med de fornødne personoplysninger, der kræves til dokumentation heraf.
De øvrige oplysninger om kunden gemmes i kundens profil, som alle kan slettes på samme tid, når slettefristen er mødt. På den måde letter virksomheden sit arbejde med at overholde sine fastsatte slettefrister, idet fristerne og behandlingerne kan knyttes op på bestemte dele af systemet.