Personoplysninger må ikke opbevares i et længere tidsrum end det, der er nødvendigt. Når behandling ikke længere er nødvendigt, skal oplysningerne som udgangspunkt slettes eller anonymiseres. Det er den dataansvarlige, der skal vurdere tidspunktet for hvornår sletning skal ske. Slettefristerne skal dokumenteres for hver behandlingsaktivitet.
Ofte bliver slettefristerne påvirket af forskellige regelsæt, fx bogføringsloven eller hvidvaskloven, og varierer betydeligt alt efter formålet. Det kræver et grundigt compliancearbejde. Den nye rapport fra det Europæiske Databeskyttelsesråd (EDPB) viser, at mange virksomheder kæmper med netop det. Virksomheder har blandt andet udfordringer med:
- Manglende dokumentation for håndtering af anmodninger om sletning
- Ingen eller utilstrækkelig træning af medarbejdere
- Ufyldestgørende oplysninger om datasubjekterne
- Misbrug af eller usikkerhed om undtagelserne til retten til sletning
- Fastsættelse og implementering af opbevaringsperioder
- Sletning af personoplysninger i backup-systemer
- Anonymisering som svar på anmodninger om sletning
På den baggrund anbefaler EDPB blandt andet, at virksomheder:
- Etablerer interne procedurer med tydelige deadlines og ansvarsfordeling
- Indfører øremærket træning, der tager højde for den konkrete rolles ansvar
- Sikrer løbende opdatering af privatlivspolitikker med fokus på sletterutiner
- Tydeliggør det juridiske grundlag for de konkrete slettefrister
- Sletter oplysninger på baggrund af etablerede og sikre procedurer
Rapporten viser også, at virksomheder primært modtager henvendelser omkring sletning fra kunder, jobansøgere og medarbejdere.
iuno mener
Retten til sletning er ikke en absolut ret. Derfor er det vigtigt, at I som virksomhed har en grundlæggende forståelse for de seks grundlag, som kan udløse retten. Samtidig bør I også huske, at der sideløbende gælder en række undtagelser. Hvis én af de undtagelser er i spil, kan I som udgangspunkt afvise en anmodning om sletning.
Udover at tage stilling til slettefrister er det afgørende, at virksomheder fastlægger og dokumenterer procedurer for sletning. iuno anbefaler også i den forbindelse, at I har en intern procedure for opfølgning, så I sikrer, at sletning faktisk gennemføres som planlagt. Her er det en klar fordel, hvis I har mulighed for at indarbejde jeres slettefrister i jeres interne it-systemer fra start.
[Det Europæiske Databeskyttelsesråds rapport af 10. februar 2026]