Virksomheder indsamler en utrolig mængde data under deres drift, men stopper sjældent op for at gennemse og endda slette data.
En politik for opbevaring af data definerer, hvor længe Deres virksomhed opbevarer forskellige typer oplysninger, hvorfor De opbevarer dem, hvem der kan få adgang til dem, og hvordan de skal slettes, når der ikke længere er brug for dem. For små og mellemstore virksomheder er det en af de mest praktiske måder at reducere compliance-risici på uden at overkomplicere den daglige drift.
Mange virksomheder opbevarer data i længere tid end nødvendigt, fordi sletning føles risikabelt. Gamle kunderegistre forbliver i et CRM-system. Tidligere medarbejderfiler forbliver på delte drev. Kontrakter ligger i indbakker i årevis. Eksporterede regneark gemmes “for en sikkerheds skyld”. Med tiden ender virksomheden med at gemme flere personligt identificerbare oplysninger (PII), finansielle registre og interne oplysninger, end den kan administrere korrekt.
Det skaber et problem under GDPR. Princippet om opbevaringsbegrænsning betyder, at personoplysninger ikke må opbevares i længere tid end nødvendigt til det formål, de blev indsamlet til. En opbevaringspolitik hjælper med at gøre det princip til et velfungerende system: hvad De opbevarer, hvor længe, hvor det findes, hvem der ejer det, hvordan det fjernes, og hvordan adgangen til de opbevarede data beskyttes.
Det har betydning, fordi svage adgangskoder fortsat er en af de mest almindelige sårbarheder for virksomheder i alle størrelser, og opbevarede data er stadig udsatte, hvis adgangskontrollen er svag.
Hvad er en politik for opbevaring af data?
Hvorfor er en politik for opbevaring af data vigtig?
Hvilken type data kræver en opbevaringsplan?
Britiske krav til opbevaring af data: hvad små og mellemstore virksomheder bør vide
Skabelon til politik for opbevaring af data til små og mellemstore virksomheder
Adgangskontrol og opbevarede data
Almindelige fejl i politikker for opbevaring af data
Gør opbevaringsregler til en del af den daglige praksis
Hvad er en politik for opbevaring af data?
En politik for opbevaring af data er et sæt regler, der definerer, hvor længe forskellige kategorier af data skal opbevares i en virksomhed, og hvad der sker, når opbevaringsperioden udløber. Den dækker normalt personoplysninger, kunderegistre, medarbejderfiler, finansielle dokumenter, kontrakter, kommunikation, driftsjournaler og virksomhedskritiske dokumenter.
En nyttig politik bør besvare disse fire spørgsmål:
- Hvilken type data ligger vi inde med?
- Hvorfor har vi brug for at opbevare det?
- Hvor længe skal vi opbevare det?
- Hvordan sletter, anonymiserer eller arkiverer vi det på sikker vis?
GDPR fastsætter ikke specifikke tidsgrænser for alle typer data, så organisationer skal selv beslutte, hvad der er nødvendigt til deres egne formål, dokumentere den begrundelse og være parate til at forsvare den.
En politik for opbevaring af data er mere end en liste over datoer. Det er en registrering af beslutningerne bag disse datoer. Hvis nogen spørger, hvorfor kundedata blev opbevaret i tre år, eller ansøgerregistreringer blev slettet efter seks måneder, skal en virksomhed kunne pege på en klar årsag.
Hvorfor er en politik for opbevaring af data vigtig?
En opbevaringspolitik hjælper med compliance, sikkerhed og operationel klarhed. Den beskytter en virksomhed på tre måder:
- Den reducerer mængden af data, der kan blive eksponeret i tilfælde af et databrud
- Den mindsker juridiske og compliance-relaterede risici ved at opbevare oplysninger længere end nødvendigt
- Den reducerer udgifter til lagerplads i forbindelse med forældede optegnelser.
Fra et compliance-perspektiv understøtter den GDPR-forpligtelserne om opbevaring af data ved at vise, at Deres virksomhed ikke opbevarer personoplysninger på ubestemt tid uden grund. I Storbritannien slår ICO fast, at personoplysninger ikke bør opbevares “for en sikkerheds skyld”, men kun så længe det er nødvendigt til det relevante formål.
Fra et sikkerhedsperspektiv betyder mindre unødvendige data mindre eksponering. Hvis Deres virksomhed rammes af et databrud, kan enhver forældet kunderegistrering, gammel lønfil, ubrugt eksport eller glemt vedhæftning i indbakken øge mængden af berørte oplysninger.
Det er grunden til, at opbevaring bør være en del af Deres bredere tilgang til forebyggelse af databrud. Hvor længe De opbevarer data, påvirker direkte eksponeringen: Jo længere unødvendige optegnelser forbliver i Deres systemer, jo mere er der for en angriber at få adgang til, stjæle eller eksponere.
Fra et operationelt perspektiv reducerer opbevaringsregler gætterier. Medarbejdere bør vide, hvad de skal beholbe, hvor de skal gemme det, hvornår de skal slette det, og hvem der ejer beslutningen. Det er især vigtigt for teams i vækst, hvor data kan være spredt over e-mail, lagerplads i skyen, HR-systemer, finanssoftware, CRM-systemer, delte drev og leverandørplatforme.
Hvilken type data kræver en opbevaringsplan?
En tidsplan for opbevaring af data er den praktiske del af en politik for opbevaring af data. Den knytter hver datakategori til en opbevaringsperiode, ejer, placering af lagerplads, sletningsmetode, foranstaltninger til beskyttelse mod databrud samt årsagen til opbevaringen.
Små og mellemstore virksomheder bør starte med de datakategorier, de bruger hver dag.
Medarbejderoplysninger
Medarbejderoplysninger følger ikke alle den samme opbevaringslogik. Nogle skal opbevares på grund af lovkrav, nogle fordi de kan være nødvendige for at løse tvister, og andre kun så længe der er en klar forretningsmæssig årsag.
For eksempel siger ACAS(nyt vindue), at arbejdsgivere skal opbevare ferieoptegnelser i mindst seks år fra den dato, de blev oprettet, mens vejledningen fra GOV.UK(nyt vindue) om personaleregistre siger, at medarbejderoplysninger kun bør opbevares, så længe virksomheden har et klart behov for det, og derefter bortskaffes på sikker vis.
Kunde- og emnedata
Kundedata kan omfatte kontaktdetaljer, købshistorik, supportanmodninger, faktureringsoplysninger, kontrakter, kontoregistre og kommunikationshistorik. Emnedata kan omfatte marketingemner, tilmeldinger til begivenheder, nyhedsbrevsabonnementer og salgsnotater.
Opbevar kundedata, så længe De har brug for dem til at levere tjenesten, opfylde kontraktlige forpligtelser, håndtere tvister, overholde regnskabsregler eller opfylde lovkrav. Marketingdata kræver særlig omhu, fordi samtykke, legitim interesse, anmodninger om afmelding og formålsbegrænsninger alt sammen påvirker, hvor længe de bør opbevares.
Finansielle registre og skatteregistre
Finansielle registre omfatter fakturaer, kvitteringer, lønregistreringer, kontoudtog, udgiftsbilag, momsregistreringer, regnskabsmateriale, skattedokumentation, kontrakter og indkøbsordrer, revisionsrapporter, betalingskort- og låneoptegnelser samt optegnelser om medarbejdergoder eller pensioner, hvor det er relevant.
I mange jurisdiktioner fastsætter selskabs- og skattelovgivningen en minimumsperiode for opbevaring af regnskabsmateriale og finansielle registre, selvom den nøjagtige længde varierer efter land og virksomhedstype.
Kontrakter og juridiske dokumenter
Kontrakter, arbejdserklæringer, leverandøraftaler, kundeaftaler, leasingaftaler og juridisk korrespondance skal muligvis opbevares i kontraktperioden og i en periode derefter i tilfælde af tvister.
Den nøjagtige periode afhænger af kontrakten, forældelsesfrister, sektorkrav og juridisk rådgivning. Politikken bør definere en ejer af disse registre, normalt juridisk afdeling, økonomiafdeling, drift eller ledelse.
E-mailkommunikation og interne dokumenter
E-mail til virksomheder er ofte der, hvor opbevaringspolitikker bliver testet. Indbakker kan indeholde kontrakter, personoplysninger, vedhæftninger, kundeklager, fakturaer, kandidatoplysninger, adgangskoder og fortrolige forretningsbeslutninger.
En opbevaringsplan bør definere, hvad der hører til i e-mail, hvad der skal flyttes til et godkendt system, og hvornår gamle beskeder skal slettes eller arkiveres. Den samme logik gælder for interne dokumenter, eksporterede rapporter, regneark, delte mapper og chatvedhæftninger. Men politikken har også brug for en håndhævelsesmekanisme.
Opbevaringsregler bør være knyttet til godkendte systemer, automatiserede sletningsindstillinger, hvor det er muligt, arkiveringsregler og ejerskabskontrol, så data ikke forbliver gemt på ubestemt tid, blot fordi ingen reagerede, da opbevaringsperioden udgik.
Legitimationsoplysninger, adgangsregistreringer og sikkerhedslogge
Opbevaring gælder også for sikkerhedsregistreringer. Dette kan omfatte adgangslogge, revisionsspor, adgangskoderegistreringer, gendannelseskoder, admin-aktivitet, hændelsesrapporter og godkendelsesregistreringer.
Nogle sikkerhedsregistreringer skal opbevares til efterforskning, overholdelse af regler eller operationel gennemgang. Andre bør kun opbevares til et bestemt formål og i en dokumenteret periode og derefter slettes eller arkiveres i henhold til politikken, især når de afslører, hvordan Deres systemer fungerer, eller eksponerer følsomme adgangsdetaljer.
Opbevaring af data, styring af legitimationsoplysninger og adgangskontrol overlapper hinanden: opbevarede sikkerhedsregistreringer kræver stærk adgangskontrol, fordi de kan afsløre, hvordan Deres virksomhedssystemer fungerer.
Britiske krav til opbevaring af data: hvad små og mellemstore virksomheder bør vide
Britiske krav til opbevaring af data varierer. De afhænger af typen af data, årsagen til at opbevare dem og den juridiske, skattemæssige, kontraktlige eller forretningsmæssige forpligtelse bag.
For GDPR-dataopbevaring is udgangspunktet opbevaringsbegrænsning: personoplysninger må kun opbevares så længe, det er nødvendigt til formålet. UK GDPR har ikke én fastsat periode for hver kategori, så virksomheder skal selv fastsætte deres opbevaringsperioder og begrunde dem.
Nogle optegnelser har klarere regler. Selskaber med begrænset ansvar skal generelt opbevare regnskabsmateriale i seks år fra udgangen af det regnskabsår, de vedrører, og nogle gange længere under særlige omstændigheder. Personaleregistre varierer efter registreringstype, så følsomme ansættelsesdata bør kategoriseres omhyggeligt og gennemgås med juridisk rådgivning eller HR-rådgivning efter behov.
I sidste ende er det ikke muligt at anvende én opbevaringsperiode på alt. Data bør opdeles efter kategori, årsagen til opbevaringen skal defineres, og det skal dokumenteres, hvorfor hver periode er passende.
Skabelon til politik for opbevaring af data til små og mellemstore virksomheder
Brug denne struktur som en simpel skabelon til en politik for opbevaring af data. Tilpas formuleringen til Deres virksomhed, branche og lovkrav.
1. Formål og anvendelsesområde
Skabelontekst: Denne politik for opbevaring af data forklarer, hvordan [Company Name] gemmer, opbevarer, arkiverer, sletter og beskytter virksomheds- og personoplysninger. Den gælder for medarbejdere, eksterne konsulenter, leverandører, systemer og tjenester, der indsamler, behandler, gemmer eller får adgang til virksomhedsdata.
2. Datakategorier
Skabelontekst: [Company Name] grupperer data i kategorier, herunder kundedata, emnedata, medarbejderoplysninger, finansielle registre, kontrakter, driftsjournaler, sikkerhedslogge og intern kommunikation. Hver kategori skal have en ejer, en placering af lagerplads, en opbevaringsperiode og en sletningsmetode.
3. Opbevaringsplan
Skabelontekst: Data må kun opbevares så længe, det er påkrævet af forretningsmæssige, juridiske, lovgivningsmæssige, kontraktlige eller sikkerhedsmæssige årsager. Hver datakategori skal være anført i opbevaringsplanen med en defineret opbevaringsperiode og begrundelse.
Eksempel på tidsplan:
| Datakategori | Eksempler på optegnelser | Foreslået tilgang til opbevaring | Ejer | Sletningsmetode |
| Kundedata | Kontoregistre, supportanmodninger, servicehistorik | Opbevares, mens kundeforholdet er aktivt, og derefter kun så længe det er nødvendigt af juridiske, kontraktlige eller tvistemæssige årsager | Drift eller kundesucces | Slet eller anonymiser fra CRM- og supportsystemer |
| Finansielle registre | Fakturaer, kvitteringer, løn, skattedokumenter | Opbevares generelt i seks år efter det relevante regnskabsår, medmindre længere opbevaring er påkrævet | Økonomi | Arkiver sikkert, og slet derefter |
| Medarbejderoplysninger | Kontrakter, løn, ferieoptegnelser, HR-filer | Opbevares baseret på optegnelsestype, lovbestemte regler og forretningsmæssige behov | HR eller drift | Slet sikkert fra HR-systemer og delt lagerplads |
| Kontrakter | Kundeaftaler, leverandørkontrakter, arbejdserklæringer | Opbevares i kontraktperioden plus en defineret tvisteperiode | Juridisk afdeling, økonomiafdeling eller ledelse | Arkiver sikkert, og slet derefter |
| Sikkerhedslogge | Adgangslogge, admin-aktivitet, hændelsesregistreringer | Opbevares til efterforskning, sikkerhed og ansvarlighed, og slettes eller arkiveres derefter baseret på risiko | IT- eller sikkerhedsansvarlig | Slet eller arkiver sikkert |
| Marketingdata | Kundeemner, nyhedsbrevslister, kampagneoptegnelser | Opbevares, så længe der er et gyldigt formål, og reglerne for undertrykkelse respekteres | Markedsføring | Slet, anonymiser eller undertryk efter behov |
4. Adgangskontrol
Skabelontekst: Adgang til opbevarede data skal begrænses til personer, der har brug for dem i deres rolle. Følsomme data skal lagres i godkendte systemer, beskyttes af stærk godkendelse og gennemgås regelmæssigt. Delte legitimationsoplysninger må ikke bruges til at få adgang til opbevarede data, medmindre de administreres via en godkendt adgangskodeadministrator til virksomheder.
Det er i dette afsnit, at opbevaring forbindes direkte med styring af legitimationsoplysninger. Data, der skal opbevares, har stadig brug for beskyttelse. Hvis gamle kontrakter, lønfiler, kunderegistre eller sikkerhedslogge forbliver tilgængelige for personer, der ikke længere har brug for dem, løser opbevaringspolitikken kun halvdelen af problemet.
En adgangskodeadministrator til virksomheder understøtter adgangskontrol ved at hjælpe teams med at oprette stærke legitimationsoplysninger, opbevare dem sikkert og kun dele adgangen med autoriserede personer. Proton Pass for Business hjælper teams med at administrere legitimationsoplysninger i krypterede bokse og bruge sikker deling, så opbevarede data er mindre tilbøjelige til at blive eksponeret via genbrugte adgangskoder eller uformel adgang.
5. Sletning og bortskaffelse
Skabelontekst: Når opbevaringsperioden udløber, skal data slettes sikkert, anonymiseres eller arkiveres i henhold til opbevaringsplanen. Papirdokumenter skal makuleres eller bortskaffes på sikker vis. Digitale optegnelser skal slettes fra godkendte systemer, delte drev, sikkerhedskopier, hvor det er relevant, og eventuelle uadministrerede placeringer af lagerplads. Sletning bør dokumenteres for følsomme data. Medarbejdere bør også vide, hvor de ikke må gemme oplysninger, såsom personlige drev, ikke-godkendte regneark eller chattråde. Hvis en datakategori bliver underlagt en juridisk tilbageholdelse, tvist, revision eller efterforskning, skal sletningen sættes på pause, indtil den juridiske afdeling eller ledelsen godkender det næste trin.
6. Ansvar
Skabelontekst: Hver datakategori skal have en ejer, der er ansvarlig for beslutninger om opbevaring, adgangsgennemgange, sletning og opdateringer af politikken. Medarbejdere er ansvarlige for at lagre data i godkendte systemer og rapportere data, de mener er forældede, dublerede eller lagret det forkerte sted.
7. Gennemgangsinterval
Skabelontekst: Denne politik og opbevaringsplan vil blive gennemgået mindst én gang om året, og tidligere hvis [Company Name] introducerer nye systemer, ændrer juridiske forpligtelser, oplever en sikkerhedshændelse eller ændrer, hvordan virksomheden indsamler eller behandler personoplysninger.
Adgangskontrol og opbevarede data
En opbevaringspolitik bør aldrig adskilles fra adgangskontrol. At opbevare data af en gyldig årsag betyder ikke, at alle skal have adgang til at nå dem.
Opbevarede data omfatter ofte følsomme oplysninger: medarbejderfiler, kunderegistre, skattedokumenter, kontrakter, sikkerhedslogge og hændelsesrapporter. Hvis adgangen ikke administreres, kan ældre data blive et let mål i tilfælde af kompromittering af en konto. Det kan også skabe en intern risiko, hvis medarbejdere kan åbne optegnelser, der ikke er relevante for deres rolle.
Adgangskontrol bør besvare:
- Hvem kan få adgang til hver enkelt kategori af opbevarede data?
- Hvilke systemer lagrer dem?
- Hvilke legitimationsoplysninger beskytter dem?
- Er MFA aktiveret?
- Er delte legitimationsoplysninger kontrolleret?
- Hvornår blev adgangen sidst gennemgået?
- Hvad sker der, når nogen forlader virksomheden eller skifter rolle?
- Får tredjepartsleverandører og -samarbejdspartnere adgang, og kontrolleres denne adgang?
Opbevaring af data er forbundet med styring af legitimationsoplysninger. Med henblik på at forebygge databrud reducerer adgangskontrol også skadesomfanget. Hvis en angriber kompromitterer én konto, bør vedkommende ikke automatisk kunne få adgang til flere års arkiverede kundedata, gamle kontrakter eller medarbejderoplysninger. Oprettelse af en adgangskodepolitik kan hjælpe teams med at definere regler for oprettelse af adgangskoder, deling, adgangsstyring og godkendelse.
Med henblik på at forebygge databrud reducerer adgangskontrol også skadesomfanget. Hvis en angriber kompromitterer én konto, bør vedkommende ikke automatisk kunne få adgang til flere års arkiverede kundedata, gamle kontrakter eller medarbejderoplysninger. Protons guide til beskyttelse mod databrud for virksomheder forklarer, hvorfor det er vigtigt at begrænse adgangen og reducere unødvendig eksponering, før en hændelse finder sted.
En adgangskodeadministrator til virksomheder som f.eks. Proton Pass for Business kan også hjælpe teams med at kontrollere og gennemgå adgangen til de legitimationsoplysninger, der låser op for opbevarede data, med centraliseret administration, sikker deling og tydeligere ejerskab via admin-panelet.
Almindelige fejl i politikker for opbevaring af data
Mange små og mellemstore virksomheder har allerede uformelle opbevaringsvaner, men ikke en pålidelig politik. De mest almindelige fejl er nemme at begå: at opbevare for mange data, at anvende én regel på alle optegnelser, at glemme kopier i de daglige systemer, at slette uden at tjekke for juridiske tilbageholdelser eller at holde opbevarede data tilgængelige for for mange mennesker.
| Fejl | Hvorfor det skaber risici | Hvad De skal gøre i stedet |
| At beholde alt for evigt | At gemme data “for en sikkerheds skyld” kan øge compliance-risici og eksponering for databrud. | Opbevar kun data, så længe der er en klar juridisk, kontraktlig, sikkerhedsmæssig eller forretningsmæssig årsag. |
| At bruge én opbevaringsperiode til alt | Finansielle registre, medarbejderfiler, marketingemner, kontrakter og logge tjener forskellige formål. | Definer opbevaringsperioder efter datakategori. |
| At glemme e-mail, regneark og eksporterede data | Kopier kan forblive i indbakker, overførselsmapper, delte drev eller uadministrerede filer. | Inkluder sekundære placeringer af lagerplads i politikken. |
| At slette uden at tjekke for juridisk tilbageholdelse | Nogle data skal muligvis bevares i forbindelse med tvister, revisioner, efterforskninger eller lovmæssige forpligtelser. | Tilføj et gennemgangstrin før sletning. |
| At ignorere adgang til opbevarede data | Opbevarede data kan stadig blive eksponeret, hvis for mange mennesker kan få adgang til dem. | Tildel ejere, begræns tilladelser, og gennemgå adgangen regelmæssigt. |
Gør opbevaringsregler til en del af den daglige praksis
En praktisk politik starter med de data, Deres virksomhed allerede har, og gør dem til en plan, som folk kan følge. Hver kategori bør have en årsag til at blive opbevaret, en ejer, et gennemgangsinterval og en klar sletningsproces. Så længe disse data forbliver i Deres systemer, bør adgangen forblive begrænset til de personer, der reelt har brug for den.
For mange små og mellemstore virksomheder er styring af legitimationsoplysninger et af de nemmeste steder at foretage forbedringer. Stærke adgangskoder, sikker deling og kontrolleret adgang er med til at sikre, at opbevarede data kun er tilgængelige for de personer, der har brug for dem.
Kontroller, hvem der kan få adgang til opbevarede data i Deres virksomhed med en sikker adgangskodeadministrator til virksomheder.
