Vad är en policy för datalagring?

En policy för datalagring är ett dokument som anger hur länge organisationen behåller varje typ av uppgift eller data, vad som startar klockan, och när och hur den datan ska raderas, förstöras eller anonymiseras säkert när tiden gått ut. Den svarar på två frågor som annars besvaras av en slump: “varför har vi fortfarande det här?” och “vem sa att vi fick radera det?”. I praktiken hör den ihop med den bredare policyn för inventariehantering, eftersom datan den styr ligger på laptops, telefoner och hårddiskar som den policyn håller koll på.

Det är hela definitionen i ett stycke. Resten av sidan är den operativa halvan: en färdig gallringsplan du kan kopiera, tiderna som faktiskt används i Sverige, bevarandekravet som går före dem alla, och beviset som visar att raderingen verkligen skedde.

Det här går vi igenom

• Vad en policy för datalagring täcker
• Exempel på gallringsplan (en färdig tabell)
• Typiska lagringstider per uppgiftstyp
• Hur lagringstider sätts, och vad som startar klockan
• Så skriver du en policy för datalagring
• Lagring, arkivering, backup och anonymisering
• Legal hold och andra undantag
• Lagring och GDPR
• Vad ramverk och tillsynsmyndigheter förväntar sig
• Vem äger policyn och hur ofta den ses över
• Vad det betyder för uttjänta enheter
• Så bevisar du att data och enheter verkligen gallrats
• Lagringshändelser gömmer sig i offboardingen
• Checklista för datalagring
• Vanliga misstag
• Vanliga frågor

Vad en policy för datalagring täcker

En användbar policy är en tabell, inte en uppsats. För varje kategori av uppgifter anger den:

• Uppgiftstypen - fakturor, avtal, personalakter, kamerabevakningsmaterial, e-post, kunddata, systemloggar.
• Lagringstiden - hur länge uppgifterna behålls.
• Startpunkten för raderingen - vad som startar klockan: när posten skapas, när ett avtal upphör, senaste kontakten med kunden, när en medarbetare slutar, räkenskapsårets utgång.
• Den rättsliga eller verksamhetsmässiga motiveringen - lagen, regeln eller det operativa behovet bakom tiden.
• Gallringsmetoden - säker radering, dataradering av enheten, fysisk destruktion eller anonymisering.
• Ägaren - vem som ansvarar för kategorin och vem som utför gallringen.

Runt tabellen ligger den löpande texten: omfattning, vem som godkänner undantag, hur legal hold fungerar, hur säkerhetskopior och molnkopior hanteras, och när hela dokumentet ses över. Tillsammans kallas det oftast lagringspolicyn och dess gallringsplan - och det är planen, inte texten, som folk faktiskt arbetar utifrån.

I offentlig sektor heter samma sak något annat. Kommuner, regioner och myndigheter styrs av arkivlagen, där huvudregeln är tvärtom: allmänna handlingar ska bevaras, och gallring kräver ett uttryckligt gallringsbeslut. Motsvarigheten till gallringsplanen heter där dokumenthanteringsplan. Logiken är densamma, men grundinställningen är omvänd, och det är värt att veta om du någon gång ska sälja till eller samarbeta med en kommun.

Exempel på gallringsplan

Den som söker efter en mall för gallringsplan vill nästan alltid ha en sak: en färdig tabell att anpassa. Så här ser en användbar ut. Tiderna nedan är illustrativa och inte juridisk rådgivning - kontrollera reglerna som gäller för din bransch och ditt land innan du antar någon av dem.

Två saker gör att tabellen fungerar i praktiken och inte bara ser bra ut. För det första har varje rad en startpunkt, inte bara en tid - “sju år” betyder ingenting förrän du säger sju år från vad. För det andra har varje rad en namngiven ägare, för en plan utan ägare är en plan ingen kör.

Typiska lagringstider per uppgiftstyp

Den vanligaste följdfrågan är helt enkelt hur länge man ska spara olika uppgifter. De välkända lagstadgade ankarna ger dig en ram att utgå ifrån, även om varje siffra hör ihop med ett land och en bransch:

• Räkenskapsinformation. Enligt bokföringslagen ska den bevaras till och med det sjunde året efter utgången av det kalenderår då räkenskapsåret avslutades. I praktiken landar det på sju år och lite till, vilket är därför “sju år” är standardsvaret på frågan hur länge man ska spara bokföring och kvitton.
• Penningtvättsregler. Kundkännedom och transaktionsunderlag bevaras normalt i fem år efter att affärsförbindelsen avslutats, med möjlighet till förlängning i särskilda fall.
• Anställning och lön. Löneunderlag är räkenskapsinformation och följer samma sjuårsregel. Anställningsavtal och personalakter styrs i stället av preskriptionstiderna för de anspråk som kan uppstå, vilket i praktiken ger allt från två till tio år efter att anställningen upphört.
• Avtal. Den allmänna preskriptionstiden är tio år, och tre år för fordringar mot konsument. Därför är tio år efter avtalets slut en vanlig och försvarbar tid för kommersiella avtal.
• Patientjournaler. Patientdatalagen kräver att en journalhandling bevaras minst tio år efter den sista anteckningen. För tandvård och vissa specialiteter gäller längre tider.
• Exponeringsregister i arbetsmiljön. Register över exponering för vissa cancerframkallande eller mutagena ämnen ska bevaras i decennier - i flera fall fyrtio år efter att exponeringen upphört.
• E-post och allmän korrespondens. Ett till tre år, om inte en specifik handlingstyp eller ett bevarandekrav kräver längre.
• Offentlig sektor. Här gäller motsatt logik: allmänna handlingar bevaras som huvudregel, och gallring får ske först när det finns ett gallringsbeslut som stödjer det.

Under alltihop ligger en enda regel som är värd att lära sig utantill: lagen sätter golvet, dataskyddsreglerna sätter taket för personuppgifter, och allt däremellan är en dokumenterad verksamhetsbedömning. Om du varken kan namnge golvet eller motivera mellanrummet är det ärliga grundvalet en kortare tid, inte en längre.

Hur lagringstider sätts, och vad som startar klockan

Tiderna kommer från tre håll. Lagen sätter minimum, som ovan. Avtal, försäkringsbolag och kunder kan lägga till egna krav - ett kundavtal som kräver radering inom 30 dagar efter uppsägning slår din standardplan. Allt annat är en verksamhetsbedömning, och den ärliga grundregeln för data utan motivering är “radera den”, inte “behåll för evigt, för säkerhets skull”.

Det de flesta gallringsplaner missar är inte siffran utan startpunkten. En lagringstid blir beräkningsbar först när något konkret startar den: datumet posten skapades, dagen ett avtal upphörde, senaste gången en kund gjorde något hos dig, datumet en medarbetare slutade, räkenskapsårets utgång. Väljer du fel startpunkt driver hela planen - “sju år från skapandet” och “sju år från avtalets slut” kan ligga ett decennium isär på samma handling. Skriv startpunkten bredvid tiden på varje rad, och kontrollera att systemet som ska utföra raderingen faktiskt kan läsa det datumet.

Det är också här informationsklassningen gör nytta. Du kan inte tillämpa en regel på en kategori du aldrig har definierat, och en gallringsplan med raden “övrig data” har i praktiken ingen regel alls för det som väger tyngst.

Så skriver du en policy för datalagring

Du behöver ingen nedladdad mall så mycket som en metod. Nio steg ger en policy som håller vid en granskning:

1. Sätt omfattningen. Namnge systemen, handlingsslagen och den fysiska världen också - pappersakter, arkivkartonger och enheterna datan ligger på, inte bara databaser.
2. Inventera och klassificera det du har. Posterna som rör personuppgifter hämtar du från din registerförteckning (artikel 30 i GDPR); resten kommer från ekonomi, HR och systemförteckningen. Ett informationstillgångsregister är den naturliga hemvisten för det här.
3. Sätt en tid och en startpunkt för varje kategori. Båda, alltid.
4. Skriv ner motiveringen. En rad per kategori som namnger lagen, avtalet eller verksamhetsbehovet. Det är den meningen du kommer att bli ombedd att visa upp.
5. Bestäm åtgärden vid utgången. Radera, förstöra eller anonymisera - och säg vilket, per kategori.
6. Namnge en ägare per kategori. En avdelning, och helst en roll, inte “verksamheten”.
7. Bestäm hur kopiorna åldras ut. Säkerhetskopior, exporter, datalager, delade enheter och molnkopior. En kopia som överlever sin tid sätter tyst hela policyn ur spel.
8. Ange hur bevarandekrav och undantag godkänns. Vem som får stoppa en radering, vem som släpper den, och hur båda dokumenteras.
9. Sätt en granskningstakt. Årligen som grund, plus en extra genomgång vid varje väsentlig juridisk eller teknisk förändring.

Den sekvensen - omfattning, inventering, tider, motivering, åtgärd vid utgång, ägare, kopior, undantag, granskning - är hela dokumentet. Allt annat är formatering.

Lagring, arkivering, backup och anonymisering

Fyra ord används om vartannat och betyder helt olika saker:

• Lagring är hur länge data får finnas. Det är ett tillstånd med ett slutdatum.
• Arkivering flyttar data som fortfarande ligger inom sin lagringstid till billigare, kallare lagring. Det ändrar kostnaden och åtkomsttiden; det nollställer eller förlänger inte klockan.
• Backup är en kopia som tas för att datan ska överleva en incident. Säkerhetskopior är den vanligaste tysta överträdelsen av en lagringspolicy: produktionsposten raderas enligt plan medan samma personuppgifter ligger kvar i en ögonblicksbild ingen tänkte på att åldra ut. Ange en uttrycklig lagringstid för säkerhetskopior, och acceptera att en återläsning av en gammal backup kan återuppliva raderade poster - därför behöver varje återläsning ett steg där gallringen körs om.
• Anonymisering är ett tredje legitimt utfall vid utgången. Om uppgifterna verkligen och oåterkalleligt befrias från identifierare slutar de vara personuppgifter och faller helt utanför reglerna, vilket ofta är det praktiska svaret för analys, trendrapportering och historiska siffror du inte vill förlora. Notera fällan: pseudonymisering är inte anonymisering. Om det någonstans finns en nyckel som kan koppla posten till en person är det fortfarande personuppgifter, och de står kvar i gallringsplanen.

Legal hold och andra undantag

Gallringsplanen är grundläget. Legal hold - bevarandekravet, även kallat litigation hold - är undantaget som går före.

Ett bevarandekrav uppstår när en tvist eller en myndighetsutredning inleds, eller när något av det blir rimligt förutsebart. Från den stunden är den schemalagda raderingen stoppad för de berörda uppgifterna tills juridik formellt släpper kravet. Tre praktiska saker avgör om det faktiskt fungerar:

• Det måste dokumenteras i båda ändar. Vem som lade det, när, över vilken omfattning, och när det släpptes. Ett odaterat bevarandekrav går inte att försvara, och ett krav ingen släppte blir i tysthet permanent lagring.
• Den automatiska raderingen måste kunna respektera det. Det klassiska felet är ett bevarandekrav lagt på den “officiella” kopian i dokumentsystemet, medan ett nattligt jobb i en annan plattform raderar samma uppgifter enligt plan. Att radera under bevarandekrav är ett betydligt värre utfall än att överlagra.
• Det når hårdvaran. En laptop, telefon eller hårddisk som tillhör någon som omfattas får inte rensas, delas ut på nytt, säljas eller återvinnas. Det betyder att inventarieposten behöver en synlig flagga, för den som beslutar att skicka en bunt utrangerade maskiner till en ITAD-leverantör är sällan samma person som känner till ärendet.

Bevarandekrav är inte det enda undantaget. Pågående avtalsförpliktelser, öppna försäkringsärenden och olösta tvister motiverar alla att uppgifter behålls längre än normalt - men var och en ska registreras som ett medvetet, daterat undantag och inte som ett informellt beslut att låta datan ligga.

Lagring och GDPR

För personuppgifter förvandlar GDPR:s princip om lagringsminimering lagringen från god ordning till en juridisk skyldighet: personuppgifter får inte behållas längre än nödvändigt för sitt syfte. Systerprincipen uppgiftsminimering ställer frågan om du behövde fältet över huvud taget. Tillsammans skär de åt båda håll - policyn måste kunna motivera varför data behålls, och måste samtidigt respektera de lagstadgade minimitider som tvingar dig att behålla vissa uppgifter även efter en begäran om radering. Gallringsplanen är där de två kraven jämkas samman, skriftligt, innan en tillsynsmyndighet eller revisor frågar.

Tre praktiska punkter som generiska genomgångar hoppar över:

• Planen ska härledas ur registerförteckningen. Artikel 30 kräver redan att du listar dina behandlingsändamål och, där det är möjligt, de förutsedda tidsfristerna för radering. Om registerförteckningen och gallringsplanen säger olika saker är minst en av dem fel, och en granskare hittar skarven.
• En begäran om radering slår inte ut lagstadgade minimitider. När du är rättsligt skyldig att bevara en handling - bokföring, anställning, penningtvätt - behåller du den, förklarar varför för den som begärt raderingen, och begränsar den fortsatta behandlingen i stället för att radera.
• Anonymisering är ett godtagbart svar. Oåterkalleligt anonymiserade uppgifter lämnar förordningens tillämpningsområde, vilket ofta är bättre än en diskussion om huruvida analysdata måste bort.

Den raka versionen: en gallringsplan ingen tekniskt verkställer är sämre än ingen plan alls, eftersom den med dina egna ord dokumenterar en skyldighet du bevisligen inte uppfyller.

Vad ramverk och tillsynsmyndigheter förväntar sig

Att behandla lagring som ett rent GDPR-ämne gör policyn smalare än verkligheten. Kraven kommer från flera håll samtidigt.

• ISO 27001:2022 placerar det i två styrningar: A.5.33 om skydd av dokumenterad information, som förväntar sig gallringsplaner och skydd mot förlust eller obehörigt röjande, och A.8.10 om radering av information när den inte längre behövs. Se ISO 27001 och inventariehantering för hur det passar in i den bredare uppsättningen styrningar.
• SOC 2. Här ber revisorn om bevis på att utgången faktiskt utlöste något - raderingsloggar, körda jobb, destruktionsintyg - inte bara ett policydokument med ett versionsnummer på.
• Arkivlagen gäller för kommuner, regioner och myndigheter, och vänder på grundinställningen: bevarande är huvudregeln och gallring kräver beslut. Levererar du till offentlig sektor kommer den logiken ofta med i avtalet.
• Utanför EU har lagringstider gått från internt dokument till publik uppgift. Flera amerikanska delstater kräver numera att lagringstiden, eller kriterierna för den, framgår av integritetspolicyn per kategori, och biometrilagstiftning i vissa delstater kräver ett offentligt tillgängligt schema för lagring och destruktion.

Den gemensamma tråden är att lagringstider har slutat vara ett privat internt dokument. Där en tid publiceras blir den publicerade tiden ett löfte - och ett felaktigt löfte är en informationsbrist i sig, oberoende av om uppgifterna någonsin missbrukades.

Vem äger policyn och hur ofta den ses över

“Verksamheten äger den” är hur policyer dör. Dela upp rollerna uttryckligen:

• Den personuppgiftsansvarige förblir ansvarig. Att lämna över data till en molnleverantör lämnar inte över skyldigheten, så biträdesavtalen måste bära matchande raderingsvillkor och en väg att få tillbaka eller förstöra datan vid avslut. Det är precis här skugg-IT gör ont: ett verktyg ingen registrerat är en lagringsskyldighet ingen uppfyller.
• Informationsägarna godkänner gallringen. Vanligtvis avdelningschefen för kategorin, som bekräftar att uppgifterna verkligen inte behövs längre innan jobbet körs.
• IT eller plattformsteamet utför. De kör raderingen, brevlådepolicyn, loggrotationen och raderingen av enheterna.
• Juridik lägger och släpper bevarandekrav, och avgör det som är tvetydigt.
• Dataskydd eller compliance håller planen i linje med registerförteckningen, integritetspolicyn och nya regler.

Se över årligen som grund, och utanför turordningen så snart ett nytt system, en ny marknad, ett förvärv eller en lagändring dyker upp. Skriv granskningsdatumet på dokumentets framsida - det är den billigaste möjliga signalen om att policyn lever, och flera regelverk förväntar sig numera att se det. En ren rolluppdelning här är också en rak tillämpning av uppdelning av arbetsuppgifter: den som vill att datan ska bort bör inte vara den enda som bekräftar att den försvann.

Vad det betyder för uttjänta enheter

Den del de flesta policyer behandlar för knapphändigt är hårdvaran. Varje laptop, telefon eller server som tas ur drift är en databärande enhet, och uppgifterna på den slutar inte styras av policyn bara för att maskinen står i ett skåp. Värre: en låda med utrangerad utrustning är lagring helt utan plan - ingen vet vad som finns på hårddiskarna, alltså kan ingen säga om tiden gått ut.

En lagringspolicy med tänder säger vad som händer vid livets slut: vilka enheter som måste raderas före återanvändning eller försäljning, vilka som måste förstöras fysiskt, hur länge en utrangerad enhet får vänta innan den hanteras, och vilket bevis som sparas. Att sätta en maximal liggtid - säg avyttrad inom 90 dagar efter att den märkts som utrangerad - förvandlar avveckling av utrustning från en avsikt till ett mätbart mål. Team som för ett inventarieregister har lätt att bevisa den här delen, eftersom enheten, dess status och dess avyttringsbevis redan ligger i samma post.

Så bevisar du att data och enheter verkligen gallrats

En radering du inte kan belägga är, ur granskningssynpunkt, en radering som inte hände. Två vokabulär spelar roll här.

Det första är raderingsmetoden. NIST SP 800-88 delar in den i tre nivåer: Clear (överskrivning med vanliga läs- och skrivkommandon, lämpligt för återanvändning inom organisationen), Purge (kryptografisk radering eller en sanering på firmwarenivå, lämpligt innan en enhet lämnar din kontroll) och Destroy (strimling, sönderdelning eller förbränning - det enda alternativet för trasiga hårddiskar som inte går att adressera). Hela beslutet handlar om att matcha nivån mot känsligheten och mot vart enheten är på väg.

Det andra är avyttringsnoteringen. En försvarbar sådan namnger:

• datum och tid för raderingen eller destruktionen,
• enhetens serienummer och inventarieetikett,
• metoden och verktyget som användes, och vilken standard det motsvarar,
• vem som utförde och vem som bevittnade eller verifierade,
• anläggningen där det skedde,
• och en obruten spårbarhetskedja från insamling till slutlig avyttring.

Lägg noteringen på inventarieposten och inte i en delad mapp, för revisorns fråga är aldrig “visa mig destruktionsintygen” - den är “visa mig vad som hände med serienummer ABC123”. Ett destruktionsintyg som inte går att koppla tillbaka till en specifik enhet bevisar mycket lite. Metoderna i sig täcks i dataradering, och avyttringsvägen i ITAD.

Lagringshändelser gömmer sig i offboardingen

Dagen någon slutar startar flera lagringsklockor samtidigt. Laptopen och telefonen ska tillbaka och raderas eller delas ut på nytt. Brevlådan och filerna går in i ett definierat lagringsfönster i stället för att raderas på stället - eller, minst lika ofta, sparas för evigt “ifall någon skulle behöva något”. Molnkontona ska avaktiveras utan att lämna kvar föräldralösa poster som andra fortfarande är beroende av. Och om personen omfattas av ett bevarandekrav får inget av det ske.

De flesta organisationer utför HR-halvan av offboardingen snyggt och glömmer datahalvan helt. Lösningen är oglamorös: en offboardingchecklista kopplad till inventarieregistret, så att återlämning av utrustning, avaktivering av konton och beslutet om brevlådan är en process med en ägare i stället för tre team som antar att de andra tog hand om det. Vår guide till offboarding och återtagande av utrustning går igenom hårdvarudelen i detalj.

Checklista för datalagring

Kör policyn mot den här listan innan du kallar den färdig:

• Varje kategori har en lagringstid, en startpunkt, en motivering, en ägare och en gallringsmetod.
• Säkerhetskopior, exporter, datalager och molnkopior är uttryckligen täckta, inte bara produktionssystemet.
• Legal hold har en dokumenterad väg för både läggning och släpp, och de automatiska raderingsjobben kan respektera den.
• Planen stämmer med det din integritetspolicy säger utåt, inklusive publicerade tider.
• Pappershandlingar och utrangerade enheter ingår i omfattningen, med en maximal liggtid före avyttring.
• Ingen enhet lämnar huset utan avyttringsbevis kopplat till ett serienummer.
• Raderingen är belagd, inte förutsatt - loggar, jobbnoteringar eller intyg du kan visa på begäran.
• Dokumentet bär ett granskningsdatum och en namngiven granskare.

Vanliga misstag

• Att behålla allt för evigt. Lagring är billig, men gammal data är ren risk - den kan läcka, begäras ut i en tvist, eller bli föremål för ett registerutdrag långt efter att den slutat vara användbar. Överlagring är den enskilt vanligaste anmärkningen.
• En policy ingen följer. Ett schema som säger “radera efter periodens slut” utan en namngiven ägare och en återkommande uppgift är bara pynt på hyllan - och dessutom dokumenterat pynt.
• Tider utan startpunkt. “Sju år” är ingen regel förrän du säger sju år från vad.
• Att glömma kopiorna. Exporter, säkerhetskopior, dubbletter på delade enheter, analysdatalager och hårddisken i den gamla laptopen hos den som slutat överlever alla den “officiella” kopian om policyn inte tar upp dem.
• Bevarandekrav som inte når hårdvaran. Juridik fryser brevlådan; IT rensar och säljer laptopen samma vecka.
• Inget destruktionsbevis. När man ombeds bevisa att en uppgift eller enhet förstörts är “vi är ganska säkra på att den blev det” inget svar en revisor godtar.
• En publicerad tid du inte håller. När en lagringstid väl står i din integritetspolicy är ett överskridande både ett operativt och ett informationsrättsligt problem.

Vanliga frågor

Hur länge ska ett företag spara data? Det finns ingen enda siffra. Lagen sätter golven: bokföring, skatt, anställning och branschregler kräver ofta minimitider på flera år. I Sverige ska räkenskapsinformation enligt bokföringslagen bevaras till och med det sjunde året efter utgången av det kalenderår då räkenskapsåret avslutades. Dataskyddsreglerna sätter taket för personuppgifter: de får inte behållas längre än nödvändigt för det syfte de samlades in för. Allt däremellan är en verksamhetsbedömning, och gallringsplanen är där den bedömningen skrivs ner, motiveras och får en ägare. Kontrollera alltid reglerna i din egen bransch innan du fastställer en tid.

Vad är en legal hold, och går den före lagringspolicyn? Ja. En legal hold (även kallad bevarandekrav eller litigation hold) stoppar den schemalagda raderingen av uppgifter som är relevanta för en tvist, en myndighetsutredning eller en trovärdig risk för något av det. Den gäller före gallringsplanen tills juridik formellt släpper den, och både läggningen och släppet ska dateras och dokumenteras. Ett bevarandekrav når även hårdvaran: en laptop som tillhör någon som omfattas får inte rensas, säljas eller återvinnas, så inventarieposten behöver en synlig flagga.

Vem ansvarar för en policy för datalagring? Ansvaret ligger hos den personuppgiftsansvarige, alltså organisationen som bestämmer varför och hur uppgifterna behandlas, även när en molntjänst eller annat personuppgiftsbiträde fysiskt lagrar dem. Därför måste biträdesavtalen bära matchande raderingskrav. I det dagliga har varje kategori en informationsägare (oftast en avdelningschef) som bekräftar att uppgifterna verkligen inte behövs längre, IT eller plattformsteamet utför raderingen, juridik lägger och släpper bevarandekrav, och dataskydds- eller compliancefunktionen håller planen i linje med registerförteckningen.

Vad händer med data när lagringstiden gått ut? Tre legitima utfall: radera den, fysiskt förstöra mediet den ligger på, eller anonymisera den så oåterkalleligt att den slutar vara personuppgift. Anonymisering är ofta det praktiska svaret för analys och historisk rapportering, där aggregatet är användbart men identiteterna inte är det. Observera att pseudonymiserade uppgifter inte är anonymiserade och alltså fortfarande omfattas. Vilken väg du än väljer är det en kort kontroll innan raderingen körs, och en notering efteråt om att den kördes, som gör gallringen försvarbar.

Hur ofta ska en policy för datalagring ses över? Årligen är den vanliga grundtakten, men kalendern är inte den enda utlösaren. Se över den utanför turordningen när något väsentligt ändras: ett nytt system eller en ny molntjänst som lagrar uppgifter, en ny marknad, ett förvärv, en lagändring, eller en ny kategori av uppgifter du inte samlade in förut. Skriv granskningsdatumet på själva dokumentet, det är den billigaste möjliga signalen om att policyn lever.

Vad är skillnaden mellan en policy för datalagring och en gallringsplan? Policyn anger reglerna, omfattningen, ansvaret och processen för undantag som legal hold. Gallringsplanen är tabellen under den: varje kategori av uppgifter med sin tid, sin startpunkt, sin motivering, sin gallringsmetod och sin ägare. I de flesta organisationer är planen en bilaga till policyn, och det är den delen folk faktiskt arbetar utifrån. En policy utan plan är en avsiktsförklaring; en plan utan policy har ingen auktoritet bakom sig.

Vilka risker finns med att spara data för länge? Överlagrad data är ren risk. Den utvidgar skadeområdet vid varje intrång, den kan begäras ut i en tvist, den breddar omfattningen av varje registerutdrag du måste besvara, och den kostar pengar att lagra och säkerhetskopiera. Det finns en efterlevnadsvinkel också: när integritetspolicyn anger en lagringstid gör ett längre faktiskt innehav om ett operativt slarv till en informationsbrist.

Vad är skillnaden mellan en policy för datalagring och en backuppolicy? En backuppolicy handlar om att hålla kopior så att datan överlever en incident; en lagringspolicy handlar om hur länge datan över huvud taget får finnas. De krockar ständigt: en lagringspolicy som säger “radera efter periodens slut” är inte uppfylld om samma uppgifter lever vidare på obestämd tid i en säkerhetskopia. Genomarbetade policyer säger tydligt hur och när även backupkopiorna åldras ut.

Anger GDPR bestämda lagringstider? Nej. GDPR:s princip om lagringsminimering säger att personuppgifter inte får behållas längre än nödvändigt för det syfte de samlades in för, men den föreskriver inga tider. Organisationer sätter sina egna, motiverade av syftet eller av annan lag: regler för bokföring, anställning och hälsa kräver ofta minimitider. Policyn är där de motiveringarna skrivs ner och görs konsekventa.

Gäller en lagringspolicy fysisk utrustning? Indirekt, ja. Policyn styr data, men datan ligger på laptops, telefoner och hårddiskar, så att ta en enhet ur drift blir en lagringshändelse. En enhet kan inte säljas, återvinnas eller kastas förrän datan på den har hanterats enligt policyn, vanligtvis radering eller destruktion, med en notering om vem som gjorde det och när.

Sammanfattningen

En policy för datalagring är dokumentet som säger hur länge varje typ av uppgift får finnas, vad som startar klockan, vem som äger den och vad som händer vid utgången - radera, förstöra eller anonymisera. Texten sätter reglerna; gallringsplanen under den gör jobbet. Får du fem saker rätt följer resten: en startpunkt bredvid varje tid, en ägare på varje kategori, säkerhetskopior och molnkopior innanför omfattningen, en process för legal hold som faktiskt kan stoppa ett raderingsjobb, och avyttringsbevis kopplade till ett serienummer i stället för till ett hoppfullt minne. Lagen sätter dina golv, dataskyddsreglerna sätter ditt tak för personuppgifter, och allt däremellan är en bedömning du ska kunna förklara i en mening.

Verktyg som gör det här enklare

AMPthilly ger hårdvarusidan av en lagringspolicy någonstans att bo. Varje laptop, telefon eller hårddisk får en post med serienummer, ägare, plats och status - i bruk, i förråd, på reparation eller utrangerad - så att du ser exakt vilka databärande enheter som passerat sitt utrangeringsdatum och fortfarande står i ett skåp. Bifoga raderingsloggen eller destruktionsintyget direkt på inventarieposten, så håller revisionshistoriken ett spår per enhet över varje överföring, statusändring och tillagt dokument - att bevisa vad som hände med ett serienummer blir en sökning i stället för ett utgrävningsprojekt. Skriv ut en QR-etikett per föremål så kan vem som helst öppna posten från en telefonwebbläsare, ingen app att installera. Börja gratis - 3 användare och 25 inventarier, inget kreditkort krävs - eller prata med oss om en större utrullning.

Relaterade termer

• Policy för inventariehantering - den bredare policy som styr utrustningen datan ligger på
• Policy för godtagbar användning - reglerna för hur personalen använder enheter och data till vardags
• ITAD - avyttringsprocessen som verkställer policyn vid hårdvarans livsslut
• Dataradering - metoderna som gör en radering permanent
• Databärande enhet - inventarien som lagrar data och därför faller under policyn
• Destruktionsintyg - beviset på att en enhets data verkligen förstördes
• Spårbarhetskedja - den obrutna överlämningskedjan bakom det beviset
• Informationstillgångsregister - där kategorierna i din gallringsplan kommer ifrån
• Revisionsspår - historiken per post som visar att policyn följdes
• Avveckling av utrustning - livsslutsprocessen som en lagringstid utlöser