Bedrifter samler inn en utrolig mengde data i løpet av driften, men stopper sjeldent for å gjennomgå og til og med slette data.
En retningslinje for dataoppbevaring definerer hvor lenge virksomheten din beholder ulike typer informasjon, hvorfor den beholder dem, hvem som har tilgang til dem, og hvordan de skal slettes når det ikke lenger er behov for dem. For små og mellomstore bedrifter er det en av de mest praktiske måtene å redusere etterlevelsesrisiko på uten å overkomplisere den daglige driften.
Manya bedrifter beholder data lenger enn nødvendig fordi sletting føles risikabelt. Gamle kunderegistre blir liggende i et CRM-system. Tidligere ansattfiler blir værende på delte stasjoner. Kontrakter blir liggende i innbokser i årevis. Eksporterte regneark lagres «for sikkerhets skyld». Over tid ender virksomheten opp med å lagre mer personidentifiserbar informasjon (PII), økonomiske registre og intern informasjon enn den kan administrere på en ordentlig måte.
Dette skaper et problem under GDPR. Prinsippet om lagringsbegrensning betyr at personopplysninger ikke skal lagres lenger enn det som er nødvendig for formålet de ble samlet inn for. En retningslinje for oppbevaring bidrar til å gjøre dette prinsippet om til et fungerende system: hva du beholder, hvor lenge, hvor det ligger, hvem som eier det, hvordan det fjernes, og hvordan tilgang til oppbevarte data beskyttes.
Dette er viktig fordi svake passord forblir en av de vanligste sårbarhetene for virksomheter i alle størrelser, og oppbevarte data er fortsatt utsatt hvis tilgangskontrollene er svake.
Hva er en retningslinje for dataoppbevaring?
Hvorfor er en retningslinje for dataoppbevaring viktig?
Hva slags data trenger en tidsplan for oppbevaring?
Krav til dataoppbevaring i Storbritannia: hva SMB-er bør vite
Mal for retningslinje for dataoppbevaring for SMB-er
Tilgangskontroll og oppbevarte data
Vanlige feil med retningslinjer for dataoppbevaring
Gjør oppbevaringsregler til en del av den daglige praksisen
Hva er en retningslinje for dataoppbevaring?
En retningslinje for dataoppbevaring er et sett med regler som definerer hvor lenge ulike kategorier av data skal oppbevares i en virksomhet, og hva som skjer når oppbevaringsperioden utløper. Den dekker vanligvis personopplysninger, kunderegistre, ansattfiler, økonomiske dokumenter, kontrakter, kommunikasjon, driftsjournaler og virksomhetskritiske dokumenter.
En nyttig retningslinje bør besvare disse fire spørsmålene:
- Hvilken type data har vi?
- Hvorfor må vi beholde det?
- Hvor lenge skal vi beholde det?
- Hvordan sletter, anonymiserer eller arkiverer vi det på en sikker måte?
GDPR fastsetter ikke spesifikke tidsgrenser for hver datatype, så organisasjoner må selv bestemme hva som er nødvendig for deres egne formål, dokumentere begrunnelsen og være forberedt på å rettferdiggjøre den.
En retningslinje for dataoppbevaring er mer enn en liste over datoer. Det er en oversikt over beslutningene bak disse datoene. Hvis noen spør hvorfor kundedata ble oppbevart i tre år eller søkerlister ble slettet etter seks måneder, må en virksomhet kunne vise til en klar grunn.
Hvorfor er en retningslinje for dataoppbevaring viktig?
En retningslinje for oppbevaring hjelper med etterlevelse, sikkerhet og operasjonell tydelighet. Den beskytter en virksomhet på tre måter:
- Den reduserer datamengden som kan bli eksponert ved et brudd
- Den senker juridisk risiko og etterlevelsesrisiko ved å ikke beholde informasjon lenger enn nødvendig
- Den kutter lagringskostnader knyttet til utdaterte registre.
Fra et etterlevelsesperspektiv støtter det GDPRs forpliktelser om dataoppbevaring ved å vise at virksomheten din ikke beholder personopplysninger på ubestemt tid uten grunn. I Storbritannia er ICO tydelig på at personopplysninger ikke bør oppbevares «for sikkerhets skyld», men bare så lenge det er nødvendig for det aktuelle formålet.
Fra et sikkerhetsperspektiv betyr mindre unødvendig data mindre eksponering. Hvis virksomheten din opplever et brudd, kan hver utdaterte kundepost, gamle lønnsfil, ubrukte eksport eller glemte vedlegg i innboksen øke megden berørt informasjon.
Derfor bør oppbevaring være en del av din bredere tilnærming til forebygging av databrudd. Hvor lenge du beholder data påvirker eksponeringen direkte: jo lenger unødvendige poster blir liggende i systemene dine, desto mer er det for en angriper å få tilgang til, stjele eller eksponere.
Fra et operasjonelt perspektiv reduserer oppbevaringsregler gjetting. Ansatte bør vite hva de skal beholde, hvor de skal lagre det, når de skal slette det og hvem som eier beslutningen. Dette er spesielt viktig for voksende team der data kan være spredt over e-post, skylagring, HR-systemer, økonomiprogramvare, CRM-er, delte stasjoner og leverandørplattformer.
Hva slags data trenger en tidsplan for oppbevaring?
En tidsplan for dataoppbevaring er den praktiske delen av en retningslinje for dataoppbevaring. Den knytter hver datakategori til en oppbevaringsperiode, eier, lagringsplassering, slettemetode, tiltak for beskyttelse mot databrudd og årsak til å beholde den.
SMB-er bør starte med datakategoriene de bruker hver dag.
Ansattopplysninger
Ansattopplysninger følger ikke alle den samme oppbevaringslogikken. Noen må beholdes på grunn av lovpålagte krav, noen fordi de kan være nødvendige for å løse tvister, og andre bare så lenge det finnes en klar forretningsmessig grunn.
For eksempel sier ACAS(nytt vindu) at arbeidsgivere må oppbevare ferieregistre i minst seks år fra datoen de ble opprettet, mens veiledningen fra GOV.UK(nytt vindu) om personalregistre sier at ansattopplysninger bare skal oppbevares så lenge virksomheten har et klart behov for det, og deretter avhendes på en sikker måte.
Kunde- og prospektdata
Kundedata kan omfatte kontaktdetaljer, kjøpshistorikk, støtteforespørsler, faktureringsinformasjon, kontrakter, kontoopplysninger og kommunikasjonshistorikk. Prospektdata kan omfatte markedsføringsleads, påmeldinger til hendelser, nyhetsbrevabonnement og salgsnotater.
Behold kundedata så lenge du trenger dem for å levere tjenesten, oppfylle kontraktsmessige forpliktelser, håndtere tvister, overholde regnskapsregler eller oppfylle juridiske krav. Markedsføringsdata krever spesiell aktsomhet fordi samtykke, berettiget interesse, forespørsler om å avslutte abonnement og formålsbegrensninger påvirker hvor lenge de skal oppbevares.
Økonomi- og skattejournaler
Økonomiske journaler inkluderer fakturaer, kvitteringer, lønningslister, kontoutskrifter, utgiftsrefusjoner, mva-oppgaver, regnskapsbøker, skattedokumentasjon, kontrakter og innkjøpsordrer, revisjonsrapporter, kredittkort- og låneavtaler, samt eventuelle ytelser eller pensjonsdokumenter for ansatte der det er aktuelt.
I mange jurisdiksjoner fastsetter selskaps- og skattelovgivningen en minimumsperiode for oppbevaring av regnskapsmessige og økonomiske journaler, selv om den nøyaktige lengden varierer fra land til land og etter selskapstype.
Kontrakter og juridiske dokumenter
Kontrakter, arbeidsbeskrivelser, leverandøravtaler, kundeavtaler, leieavtaler og juridisk korrespondanse kan være nødvendig å oppbevare i avtaleperioden og i en periode etterpå i tilfelle tvister.
Den nøyaktige perioden avhenger av kontrakten, foreldelsesfrister, bransjekrav og juridisk rådgivning. Retningslinjen bør definere en eier for disse dokumentene, vanligvis juridisk avdeling, finans, drift eller ledelse.
E-postkommunikasjon og interne dokumenter
Bedrifts-e-post er ofte der retningslinjer for oppbevaring blir satt på prøve. Innbokser kan inneholde kontrakter, personopplysninger, vedlegg, kundeklager, fakturaer, kandidatinformasjon, passord og konfidensielle forretningsbeslutninger.
En oppbevaringsplan bør definere hva som hører hjemme i e-post, hva som skal flyttes til et godkjent system, og når gamle meldinger skal slettes eller arkiveres. Den samme logikken gjelder for interne dokumenter, eksporterte rapporter, regneark, delte mapper og chat-vedlegg. Men retningslinjen trenger også en håndhevingsmekanisme.
Oppbevaringsregler bør knyttes til godkjente systemer, automatiserte innstillinger for sletting der det er praktisk mulig, arkiveringsregler og eierskapskontroller, slik at data ikke blir liggende på ubestemt tid bare fordi ingen foretok seg noe da oppbevaringsperioden utløp.
Påloggingsinformasjon, tilgangslogger og sikkerhetslogger
Oppbevaring gjelder også for sikkerhetsdokumenter. Dette kan omfatte tilgangslogger, revisjonsspor, passordposter, gjenopprettingskoder, administratoraktivitet, hendelsesrapporter og autentiseringslogger.
Enkelte sikkerhetslogger må oppbevares for etterforskning, etterlevelse eller operasjonell gjennomgang. Andre bør bare oppbevares for et definert formål og en dokumentert periode, og deretter slettes eller arkiveres i samsvar med retningslinjen, spesielt når de avslører hvordan systemene dine fungerer eller eksponerer sensitive tilgangsdetaljer.
Dataoppbevaring, administrasjon av påloggingsinformasjon og tilgangskontroll overlapper: oppbevarte sikkerhetslogger trenger sterke tilgangskontroller fordi de kan avsløre hvordan virksomhetens systemer fungerer.
Krav til dataoppbevaring i Storbritannia: hva SMB-er bør vite
Krav til dataoppbevaring i Storbritannia varierer. De avhenger av datatypen, årsaken til å beholde den og de juridiske, skattemessige, kontraktsmessige eller forretningsmessige forpliktelsene bak.
For dataoppbevaring under GDPR is utgangspunktet lagringsbegrensning: personopplysninger skal bare lagres så lenge det er nødvendig for formålet. Storbritannias GDPR har ikke én fast periode for hver kategori, så bedrifter må selv fastsette sine oppbevaringsperioder og begrunne dem.
Enkelte journaler har klarere regler. Aksjeselskaper må generelt oppbevare regnskapsdokumenter i seks år fra slutten av det regnskapsåret de gjelder for, og noen ganger lenger under spesifikke omstendigheter. Personalmapper varierer etter dokumenttype, så sensitive ansettelsesdata bør kategoriseres nøye og gjennomgås med juridisk rådgivning eller HR-rådgivning der det er nødvendig.
Til syvende og sist er det ikke mulig å bruke én oppbevaringsperiode for alt. Data bør deles inn etter kategori, årsaken til oppbevaring bør defineres, og det må dokumenteres hvorfor hver periode er hensiktsmessig.
Mal for retningslinje for dataoppbevaring for SMB-er
Bruk denne strukturen som en enkel mal for retningslinje for dataoppbevaring. Tilpass ordlyden til din virksomhet, bransje og juridiske krav.
1. Formål og omfang
Maltekst: Denne retningslinjen for dataoppbevaring forklarer hvordan [Company Name] lagrer, oppbevarer, arkiverer, sletter og beskytter virksomhets- og personopplysninger. Den gjelder for ansatte, kontraktører, leverandører, systemer og tjenester som samler inn, behandler, lagrer eller har tilgang til selskapsdata.
2. Datakategorier
Maltekst: [Company Name] grupperer data inn i kategorier, inkludert kundedata, prospektdata, ansattopplysninger, økonomiske journaler, kontrakter, driftsjournaler, sikkerhetslogger og intern kommunikasjon. Hver kategori må ha en eier, lagringsplassering, oppbevaringsperiode og slettemetode.
3. Tidsplan for oppbevaring
Maltekst: Data skal bare oppbevares så lenge det er nødvendig for forretningsmessige, juridiske, regulatoriske, kontraktsmessige eller sikkerhetsmessige formål. Hver datakategori må være oppført i oppbevaringsplanen med en definert oppbevaringsperiode og årsak.
Eksempel på tidsplan:
| Datakategori | Eksempel på journaler | Foreslått oppbevaringsmetode | Eier | Slettemetode |
| Kundedata | Kontoopplysninger, støtteforespørsler, tjenestehistorikk | Beholdes så lenge kundeforholdet er aktivt, og oppbevares deretter bare etter behov for juridiske, kontraktsmessige eller tvistemessige formål | Drift eller kundesuksess | Slett eller anonymiser fra CRM- og støttesystemer |
| Økonomiske journaler | Fakturaer, kvitteringer, lønn, skattedokumenter | Beholdes generelt i seks år etter det aktuelle regnskapsåret, med mindre lengre oppbevaring er påkrevd | Finans | Arkiver på en sikker måte, og slett deretter |
| Ansattopplysninger | Kontrakter, lønn, ferieregistre, HR-filer | Oppbevares basert på dokumenttype, lovpålagte regler og forretningsbehov | HR eller drift | Slett på en sikker måte fra HR-systemer og delt lagring |
| Kontrakter | Kundeavtaler, leverandørkontrakter, arbeidsbeskrivelser | Beholdes i kontraktsperioden pluss en definert tvisteperiode | Juridisk, finans eller ledelse | Arkiver på en sikker måte, og slett deretter |
| Sikkerhetslogger | Tilgangslogger, administratoraktivitet, hendelseslogger | Beholdes for etterforskning, sikkerhet og ansvarskrav, og slettes eller arkiveres deretter basert på risiko | IT- eller sikkerhetsansvarlig | Slett eller arkiver på en sikker måte |
| Markedsføringsdata | Leads, nyhetsbrevliste, kampanjejournaler | Beholdes så lenge det finnes et gyldig formål og undertrykkelsesregler respekteres | Markedsføring | Slett, anonymiser eller undertrykk etter behov |
4. Tilgangskontroller
Maltekst: Tilgang til oppbevarte data må begrenses til personer som trenger det i sin rolle. Sensitive data må lagres i godkjente systemer, beskyttes med sterk autentisering og gjennomgås regelmessig. Delt påloggingsinformasjon må ikke brukes til å få tilgang til oppbevarte data med mindre den administreres gjennom en godkjent passordapp for bedrifter.
Dette avsnittet er der oppbevaring kobles direkte til administrasjon av påloggingsinformasjon. Data som må beholdes, trenger fortsatt beskyttelse. Hvis gamle kontrakter, lønnsfiler, kunderegistre eller sikkerhetslogger forblir tilgjengelige for personer som ikke lenger trenger dem, løser retningslinjen for oppbevaring bare halve problemet.
En passordapp for bedrifter støtter tilgangskontroll ved å hjelpe team med å opprette sterk påloggingsinformasjon, lagre den på en sikker måte og bare dele tilgang med autoriserte personer. Proton Pass for Business hjelper team med å administrere påloggingsinformasjon i krypterte hvelv og bruke sikker deling, slik at oppbevarte data har mindre sannsynlighet for å bli eksponert gjennom gjenbrukte passord eller uformell tilgang.
5. Sletting og avhending
Maltekst: Når oppbevaringsperioden utløper, må data slettes på en sikker måte, anonymiseres eller arkiveres i samsvar med oppbevaringsplanen. Papirdokumenter må makuleres eller avhendes på en sikker måte. Digitale dokumenter må slettes fra godkjente systemer, delte stasjoner, sikkerhetskopier der det er aktuelt, og eventuelle uadministrerte lagringsplasseringer. Sletting bør dokumenteres for sensitive data. Ansatte bør også vite hvor de ikke skal lagre informasjon, for eksempel personlige stasjoner, ugjennomsiktige regneark eller chat-tråder. Hvis een datakategori blir gjenstand for en juridisk sperre, tvist, revisjon eller etterforskning, må slettingen pauses til juridisk avdeling eller ledelsen godkjenner neste steg.
6. Ansvar
Maltekst: Hver datakategori må ha en eier som er ansvarlig for beslutninger om oppbevaring, tilgangsgjennomganger, sletting og oppdatering av retningslinjer. Ansatte er ansvarlige for å lagre data i godkjente systemer og rapportere data de mener er utdaterte, dupliserte eller lagret på feil sted.
7. Gjennomgangsfrekvens
Maltekst: Denne retningslinjen og oppbevaringsplanen vil bli gjennomgått minst årlig, og tidligere hvis [Company Name] introduserer nye systemer, endrer juridiske forpliktelser, opplever en sikkerhetshendelse eller endrer hvordan personopplysninger samles inn eller behandles.
Tilgangskontroll og oppbevarte data
En retningslinje for oppbevaring bør aldri skilles fra tilgangskontroll. Å beholde data av en gyldig grunn betyr ikke at alle skal ha tilgang til dem.
Oppbevarte data inkluderer ofte sensitiv informasjon: ansattfiler, kunderegistre, skattedokumenter, kontrakter, sikkerhetslogger og hendelsesrapporter. Hvis tilgang er uadministrert, kan eldre data bli et lett mål ved en kontokompromittering. Det kan også skape intern risiko hvis ansatte kan åpne poster som ikke er relatert til rollen deres.
Tilgangskontroller bør besvare:
- Hvem har tilgang til hver oppbevart datakategori?
- Hvilke systemer lagrer det?
- Hvilken påloggingsinformasjon beskytter det?
- Er MFA aktivert?
- Er delt påloggingsinformasjon kontrollert?
- Når ble tilgangen sist gjennomgått?
- Hva skjer når noen slutter eller endrer roller?
- Gis tredjepartsleverandører og underleverandører tilgang, og er den kontrollert?
Dataoppbevaring er knyttet til administrasjon av påloggingsinformasjon. For forebygging av brudd reduserer tilgangskontroll også skadeomfanget. Hvis en angriper kompromitterer én konto, bør de ikke automatisk få tilgang til årevis med arkiverte kundedata, gamle kontrakter eller ansattopplysninger. Å opprette en passordretningslinje kan hjelpe team med å definere regler for opprettelse av passord, deling, tilgangsadministrasjon og autentisering.
For forebygging av brudd reduserer tilgangskontroll også skadeomfanget. Hvis en angriper kompromitterer én konto, bør de ikke automatisk få tilgang til årevis med arkiverte kundedata, gamle kontrakter eller ansattopplysninger. Protons veiledning for beskyttelse mot databrudd for bedrifter forklarer hvorfor det er viktig å begrense tilgangen og redusere unødvendig eksponering før en hendelse inntreffer.
En passordapp for bedrifter som Proton Pass for Business kan også hjelpe team med å kontrollere og gjennomgå tilgangen til påloggingsinformasjonen som låser opp oppbevarte data, med sentralisert administrasjon, sikker deling og klarere eierskap gjennom administratorpanelet.
Vanlige feil med retningslinjer for dataoppbevaring
Mange SMB-er har allerede uformelle oppbevaringsvaner, men ikke en pålitelig retningslinje. De vanligste feilene er enkle å gjøre: å beholde for mye data, bruke én regel for hvert dokument, glemme kopier i hverdagssystemer, slette uten å sjekke juridiske sperrer, eller holde oppbevarte data tilgjengelige for for mange mennesker.
| Feil | Hvorfor det skaper risiko | Hva du bør gjøre i stedet |
| Å beholde alt for alltid | Lagring av data «for sikkerhets skyld» kan øke etterlevelsesrisikoen og eksponeringen for brudd. | Behold data bare så lenge det finnes en klar juridisk, kontraktsmessig, sikkerhetsmessig eller forretningsmessig grunn. |
| Å bruke én oppbevaringsperiode for alt | Økonomiske dokumenter, ansattfiler, markedsføringsleads, kontrakter og logger tjener ulike formål. | Definer oppbevaringsperioder etter datakategori. |
| Å glemme e-post, regneark og eksporter | Kopier kan bli liggende i innbokser, nedlastingsmapper, delte stasjoner eller uadministrerte filer. | Inkluder sekundære lagringsplasseringer i retningslinjen. |
| Å slette uten å sjekke juridiske sperrer | Enkelte data kan være nødvendig å bevare for tvister, revisjoner, etterforskninger eller regulatoriske forpliktelser. | Legg til et kontrolltrinn før sletting. |
| Å ignorere tilgang til oppbevarte data | Oppbevarte data kan fortsatt bli eksponert hvis for mange personer har tilgang til dem. | Tildel eiere, begrens tillatelser og gjennomgå tilgang regelmessig. |
Gjør oppbevaringsregler til daglig praksis
En praktisk retningslinje starter med dataene virksomheten din allerede har, og gjør dem om til en tidsplan folk kan følge. Hver kategori bør ha en årsak til oppbevaring, en eier, en gjennomgangsfrekvens og en klar sletteprosess. Så lenge disse dataene forblir i systemene dine, bør tilgangen begrenses til personene som genuint trenger den.
For mange SMB-er er administrasjon av påloggingsinformasjon et av de enkleste områdene å gjøre forbedringer på. Sterke passord, sikker deling og kontrollert tilgang bidrar til å sikre at oppbevarte data bare er tilgjengelige for personene som trenger dem.
Kontroller hvem som har tilgang til oppbevarte data i virksomheten din med en sikker passordapp for bedrifter.
