Henkilötietojen säilytysaika tarkoittaa ajanjaksoa, jonka aikana organisaatio saa pitää henkilötietoja tallennettuina ja käytettävissä. EU:n yleinen tietosuoja-asetus (GDPR) ei määrittele yhtä universaalia säilytysaikaa, vaan edellyttää, että tiedot poistetaan tai anonymisoidaan heti, kun niiden alkuperäinen käyttötarkoitus on täyttynyt. Säilytysajan pituus riippuu käyttötarkoituksesta, sovellettavasta lainsäädännöstä ja organisaation omista prosesseista.
Monissa organisaatioissa henkilötietoja kertyy järjestelmiin ilman selkeää suunnitelmaa siitä, milloin ne poistetaan. Tämä ei ole pelkästään hallinnollinen ongelma: tietosuojaviranomainen voi määrätä merkittäviä hallinnollisia sakkoja, jos säilytysajat ovat perusteettoman pitkiä tai niitä ei ole dokumentoitu. Konkreettinen korjaustoimenpide on tietosuojakäytäntöjen auditointi, jossa jokaiselle tietokategorialle määritellään kirjallinen säilytysaika ja sen peruste ennen kuin viranomainen ottaa asian esille.
Yritys voi kirjata tietosuojaselosteeseen asianmukaiset säilytysajat, mutta jos käytännön poistoprosessit puuttuvat, dokumentaatio on arvoton. Henkilötiedot jäävät järjestelmiin, vaikka niiden säilyttämiselle ei enää ole laillista perustetta. Tämä ristiriita on yksi yleisimmistä tietosuoja-auditoinneissa havaituista puutteista. Ratkaisu on teknisten ja hallinnollisten kontrollien rakentaminen niin, että tietojen poistaminen tapahtuu automaattisesti tai selkeän vastuutuksen kautta säännöllisin väliajoin.
Tietosuoja-asetuksen mukaan henkilötietojen säilyttäminen tarkoittaa kaikkea tallentamista, arkistointia ja säilyttämistä, jonka aikana tieto on organisaation hallinnassa. GDPR:n säilytyksen rajoittamisen periaate edellyttää, että tietoja pidetään tunnistettavassa muodossa vain niin kauan kuin käyttötarkoitus sitä vaatii.
Käytännössä tämä tarkoittaa, että jokaisella henkilötietojen käsittelytoimella on oltava määritelty käyttötarkoitus, ja säilytysajan on oltava suorassa suhteessa tähän tarkoitukseen. Kun tarkoitus on saavutettu, tiedon säilyttämiselle ei enää ole lainmukaista perustetta, ellei jokin muu oikeusperuste, kuten lakisääteinen velvoite, sitä edellytä.
Tietosuoja-asetus ei aseta yhtä kiinteää säilytysaikaa kaikille tiedoille. Sen sijaan se velvoittaa rekisterinpitäjän arvioimaan säilytysajan tarpeellisuuden tapauskohtaisesti ja dokumentoimaan tämän arvioinnin tietosuojakäytäntöihinsä.
Henkilötietoja saa säilyttää niin kauan kuin niille on olemassa lainmukainen peruste: joko rekisteröidyn suostumus, sopimuksen täytäntöönpano, lakisääteinen velvoite tai muu GDPR:n 6 artiklassa mainittu oikeusperuste. Tiettyjen tietolajien, kuten kirjanpitoaineiston, säilytysaika on määritelty erikseen kansallisessa lainsäädännössä.
Suomessa kirjanpitolaki edellyttää kirjanpitoaineiston säilyttämistä pääsääntöisesti kuusi vuotta tilikauden päättymisestä. Työsuhteisiin liittyviä tietoja koskevat omat erityissäännöksensä, ja esimerkiksi palkkahallinnon asiakirjoille on omat lakisääteiset säilytysaikansa. Terveydenhuollon potilasasiakirjoille on puolestaan säädetty huomattavasti pidemmät säilytysajat.
Markkinointitarkoituksiin kerättyjen yhteystietojen kohdalla tilanne on erilainen: suostumukseen perustuva säilytys päättyy, kun rekisteröity peruuttaa suostumuksensa tai kun yhteydenpidolle ei enää ole liiketoiminnallista perustetta. Tällöin tiedot on poistettava ilman aiheetonta viivytystä.
Henkilötiedot on poistettava tai anonymisoitava, kun niiden alkuperäinen käyttötarkoitus on täyttynyt eikä muuta lainmukaista säilytysperustetta ole olemassa. Poistamisvelvoite syntyy myös silloin, kun rekisteröity käyttää oikeuttaan tulla unohdetuksi eikä rekisterinpitäjällä ole perustetta kieltäytyä pyynnöstä.
Anonymisointi on vaihtoehto poistamiselle silloin, kun tietoja halutaan hyödyntää esimerkiksi tilastollisiin tai analyyttisiin tarkoituksiin. Anonymisoitu tieto ei kuitenkaan enää kuulu GDPR:n soveltamisalaan, joten anonymisoinnin on oltava peruuttamatonta eikä yksilöä saa olla mahdollista tunnistaa jäljelle jäävästä aineistosta millään kohtuullisella keinolla.
Pseudonymisointi, jossa suorat tunnisteet korvataan koodilla, ei riitä poistamisen vaihtoehdoksi, koska tieto säilyy edelleen henkilötietona. Poistamisajankohta on suositeltavaa sitoa selkeään tapahtumaan, kuten asiakassuhteen päättymiseen tai sopimuksen päättymiseen, jolloin prosessi on hallittavissa systemaattisesti.
Lakisääteinen säilytysaika on lainsäädännön asettama velvoite, jota organisaation on noudatettava riippumatta omasta tahdostaan. Sopimukseen perustuva säilytysaika puolestaan johtuu sopimussuhteen tarpeista ja päättyy yleensä, kun sopimuksen mukainen velvoite on täytetty ja mahdolliset reklamaatioajat ovat kuluneet.
Lakisääteiset säilytysajat ovat sitovia: niiden noudattamatta jättäminen voi johtaa hallinnollisiin seuraamuksiin tai muihin oikeudellisiin riskeihin. Esimerkiksi verolainsäädäntö tai työoikeudellinen sääntely voi edellyttää tiettyjen asiakirjojen säilyttämistä, vaikka rekisteröity haluaisi tietonsa poistettavan.
Sopimukseen perustuva säilytysaika on joustavampi, mutta vaatii aktiivista arviointia. Kun sopimussuhde päättyy, organisaation on arvioitava, onko tietojen säilyttämiselle edelleen peruste esimerkiksi mahdollisten oikeudellisten vaatimusten varalta. Yleinen vanhentumisaika Suomessa on kolme vuotta, mikä usein ohjaa tämän arvion lopputulosta.
Yritys määrittelee henkilötietojen säilytysajat kartoittamalla ensin kaikki käsittelytoimet ja niihin liittyvät tietokategoriat. Jokaiselle kategorialle arvioidaan käyttötarkoitus, sovellettava oikeusperuste ja mahdolliset lakisääteiset velvoitteet. Tämän perusteella laaditaan organisaation sisäinen säilytysaikataulukko.
Prosessissa huomioitavia tekijöitä ovat tyypillisesti:
Säilytysaikataulukko on dokumentoitava ja pidettävä ajan tasalla. Se on myös keskeinen osa tietosuojaselosteen sisältöä, joka on asetettava rekisteröityjen saataville. Kokemuksemme mukaan säilytysaikojen määrittely on prosessi, joka hyötyy juridisesta asiantuntemuksesta erityisesti silloin, kun mukana on toimialakohtaisia tai kansainvälisiä erityissäännöksiä.
Liian pitkä henkilötietojen säilyttäminen rikkoo GDPR:n säilytyksen rajoittamisen periaatetta ja voi johtaa tietosuojaviranomaisen määräämään hallinnolliseen sakkoon. Sakot voivat olla enintään 20 miljoonaa euroa tai neljä prosenttia yrityksen vuotuisesta maailmanlaajuisesta liikevaihdosta sen mukaan, kumpi on suurempi.
Hallinnollisten seuraamusten lisäksi tarpeettomasti säilytetyt henkilötiedot kasvattavat tietoturvaloukkauksen riskiä. Mitä enemmän tietoa on tallennettu, sitä suurempi on potentiaalinen vahinko, jos tiedot päätyvät vääriin käsiin. Tietoturvaloukkaus voi puolestaan laukaista ilmoitusvelvollisuuden sekä tietosuojaviranomaiselle että rekisteröidyille.
Mainehaitat ovat myös konkreettinen riski. Rekisteröidyillä on oikeus tehdä valituksia tietosuojaviranomaiselle, ja julkiset tietosuojarikkomusten tutkimukset voivat vaikuttaa asiakkaiden luottamukseen. Toimivat säilytysaikakäytännöt ovat siten paitsi lakisääteinen velvoite myös osa organisaation riskienhallintaa ja maineen suojaamista.
Tämä sisältö on luotu tekoälyn avulla, ja se voi sisältää virheitä.