TL;DR
Art. 5 nr. 1 bokstav e GDPR krever lagringsbegrensning. CNIL bryter prinsippet ned i tre faser: aktiv base (tiden som trengs for å nå formålet), mellomarkivering (saken avsluttet, men fortsatt administrativ interesse eller lovpålagt plikt — med obligatorisk fysisk eller logisk skille) og endelig arkivering (behandling for arkivformål i allmennhetens interesse). De sektorvise referanserammene angir frister: bindende der en rettsregel krever det, anbefalte ellers. Å bruke de anbefalte gir en presumsjon om samsvar; å avvike er tillatt forutsatt at valget dokumenteres.
Én opplysning, tre liv
Den aktive basen er tiden som trengs for å realisere formålet som begrunnet innsamlingen. Der er opplysningene tilgjengelige i det umiddelbare arbeidsmiljøet til de operative enhetene: HR ved en rekruttering, salg ved en kunde. CNILs eksempel er søkeren som ikke ble ansatt, hvis opplysninger lagres i høyst to år med mindre sletting kreves.
Mellomarkiveringen begynner når saken er avsluttet. Opplysningene tjener ikke lenger målet, men beholder en administrativ interesse — håndtering av en mulig tvist — eller svarer på en lovpålagt plikt: faktureringsopplysninger lagres i ti år etter handelsloven, selv om personen ikke lenger er kunde. I den fasen kan de bare ses på punktvis og begrunnet, av særskilt autoriserte personer.
Endelig arkivering gjelder bare behandlinger for arkivformål i allmennhetens interesse. I motsetning til den aktive basen er de to siste fasene ikke automatiske: nødvendigheten vurderes behandling for behandling, og for hver av dem må det gjøres et utvalg blant opplysningene.
Setningen alle hopper over
«Er mellomarkiveringen nødvendig og begrunnet, må det gjennomføres et skille fra den aktive basen.» Skillet er fysisk — opplysningene tas ut til en egen arkivbase som bare autoriserte personer har tilgang til — eller logisk: opplysningene blir liggende, men isoleres ved en begrensning av rettigheter som gjør dem utilgjengelige for dem som ikke lenger har interesse i å behandle dem. En protokoll som oppgir ti års lagring mens opplysningene ligger i CRM-et, synlige for hele salgsavdelingen, beskriver ikke mellomarkivering: den beskriver ti år med aktiv base, som er noe annet og sjelden lar seg begrunne.
- Samme opplysning kan tilhøre to ulike behandlinger med to ulike frister: å arkivere eller slette den i den ene hindrer ikke fortsatt bruk i den andre.
- Der en rettsregel fastsetter fristen, gjelder den — art. L3243-4 i den franske arbeidsloven pålegger arbeidsgiver å oppbevare en kopi av lønnsslippen i fem år.
- CNILs referanserammer dekker helse utenom forskning, helseforskning, sosial- og helsesektoren og personalforvaltning. De lister bare de vanligste behandlingene: en behandling som mangler i rammen er ikke en behandling uten frist.
- Bestemmelsene som er samlet i rammene gjelder bare nasjonal rett: et selskap etablert i flere stater må sjekke de øvrige gjeldende lovgivningene.
«Lovbestemte frister» er ingen lagringstid
Det er den vanligste formuleringen i protokoller, og den sier ingenting: verken hvilken fase, hvilken rettsregel eller fra når det telles. En brukbar lagringstid består av tre deler — fasen, antall år eller måneder, og henvisningen som bærer den, enten rettsregel eller tilsynsdoktrine. Uten den tredje kan ingen kontrollere den første, og en ukontrollerbar protokoll beskytter ikke den som laget den: den dokumenterer omtrentligheten hans.
CNILs praktiske veileder er utarbeidet sammen med Frankrikes tverrdepartementale arkivtjeneste, nettopp fordi GDPR og kulturarvloven ikke sier det samme og et offentlig organ må holde begge. For behandlinger uten frist fastsatt i lov tilbyr veilederen et analyseskjema som starter i formålet — og det gjelder de fleste behandlinger, altså arbeidet referanserammen ikke gjør for deg.
Ser du etter et verktøy for arbeidet ditt som personvernombud?
DPO Workspace er bygget av et sertifisert personvernombud. 30 dager gratis.
Kom i gang gratis
