Hvilke krav gælder for opbevaring og sletning af backup i danske virksomheder?

Backup med personoplysninger – hvorfor kravene ikke er en særlov

Tager virksomheden backup af systemer med personoplysninger – kundekartotek, lønsystem, mail, sagsmapper – indeholder backup'en de samme personoplysninger. Der findes ingen særskilt backup-lovgivning. Udgangspunktet er de almindelige databeskyttelsesregler om behandlingsgrundlag, formål, nødvendighed og sletning, anvendt på den kopi, backup'en udgør.

Datatilsynet formulerer udgangspunktet i »Myter om GDPR«: »Nej, reglerne for databeskyttelse fastsætter ikke en specifik slettefrist. Man skal opbevare oplysningerne så længe, der er et behov for det – men ikke længere.« Samme sted afviser tilsynet myten om, at man bliver godkendt af Datatilsynet. Det er i udgangspunktet den enkelte dataansvarliges egen opgave at sikre, at behandlingen lever op til reglerne.

Der findes ikke én fast slettefrist

En backup-kopi har altså hverken en lovbestemt maksimumsalder eller en standardfrist i reglerne. Spørgsmålet »hvor længe må vi gemme backup?« kan derfor ikke besvares med et tal hentet fra forordningen. Det skal besvares med en begrundelse, der knytter sig til det formål, backup'en tjener, og til hvor længe det formål kræver, at kopien findes.

Konsekvensen er, at opbevaringsperioden skal fastlægges og kunne forklares af virksomheden selv. Man kan ikke henvise til en branchestandard eller til Datatilsynet som fristfastsætter. Tilsynet har netop afvist, at en sådan universel frist eksisterer, og placerer vurderingen hos den dataansvarlige. I praksis er der en vis frihed til at vurdere, hvor længe opbevaring er nødvendig for at opfylde formålet.

Opbevaring i backup kræver lovhjemmel og et legitimt formål

Personoplysninger må kun behandles – og dermed kun ligge i backup – hvis der er et behandlingsgrundlag, en såkaldt lovhjemmel, og et legitimt formål med opbevaringen. De fire typiske grundlag er: samtykke fra den registrerede, at opbevaringen følger af loven, at den er nødvendig for at opfylde en kontrakt, eller at virksomheden har en legitim interesse, der vejer tungere end den registreredes interesse i sletning. Mangler enten hjemmel eller formål, skal oplysningerne slettes.

Et backup-formål som »gendannelse efter hændelser« holder kun, så længe der reelt er et gendannelsesbehov for netop de data. Det bærer ikke i sig selv, at de samme oplysninger må bruges til andre formål. Bygger behandlingen på samtykke, skal samtykket være frivilligt, specifikt, informeret og utvetydigt; et gammelt, bredt samtykke dækker ikke automatisk en backup-opbevaring.

Persondatakonsulenterne illustrerer behovsvurderingen med en e-mail fra en tidligere kunde, som man ikke har haft kontakt med eller solgt til i ti år. I princippet skal den slettes, fordi hverken hjemmel eller formål er til stede længere.

Hvornår skal backup så slettes?

Datatilsynet oplister de situationer, hvor en dataansvarlig skal slette personoplysninger. Det gælder, når oplysningerne ikke længere er nødvendige for de formål, de blev indsamlet til. Det gælder også, når den registrerede trækker et samtykke tilbage, og der ikke samtidig er en anden hjemmel. Og når behandlingen er ulovlig, fordi der mangler hjemmel.

Sletning skal også ske, når den følger af EU-lovgivning eller af national lovgivning. Det samme gælder, når den registrerede gør indsigelse. Det gælder desuden, når en udbyder af en informationssamfundstjeneste har behandlet oplysninger på grundlag af samtykke fra en forældremyndighedsindehaver, og den registrerede selv tilbagekalder samtykket efter at være fyldt 13 år.

For backup betyder listen, at sletningspligten også rammer kopien. Tidspunktet for, hvornår det praktisk skal ske, afhænger af, om en lovbestemt opbevaringspligt holder oplysningerne i live i en bestemt periode. Er der ikke det, sætter behovets ophør datoen – ikke backup-rotationen.

Hvornår må backup-sletning ske? – Sammenligning af sletningsbetingelser

Når loven kræver længere opbevaring – også i backup

Bogføringsloven er det klassiske eksempel. Her skal en række oplysninger, blandt andet navn og adresse på kunder, opbevares i fem år. Efter reglerne i GDPR kan oplysningerne derfor lovligt gemmes i den periode. Ligger de samme oplysninger i backup, må de ikke slettes, før femårsperioden er udløbet.

Det gælder også, selv om en person ønsker sig slettet. Datatilsynet bruger Skattestyrelsen som eksempel: man kan ikke bare bede Skattestyrelsen slette, hvad de har registreret om én. En sletteanmodning eller et tilbagekaldt samtykke ophæver altså ikke en lovbestemt opbevaringspligt. Sletningen udskydes til fristens udløb, og det skal fremgå af virksomhedens behandlingsoversigt og af sletteproceduren for backup.

Sikkerhedskrav til backup: politik og anerkendt standard

Sletning og opbevaringsfrister er kun halvdelen af billedet. Backup indeholder typisk hele virksomhedens datamængde og skal derfor være omfattet af virksomhedens informationssikkerhedspolitik på linje med de øvrige systemer. I reglerne om sikkerhed og beredskab i net og tjenester stilles krav om, at politikken udarbejdes efter en anerkendt international standard, eksempelvis DS/ISO/IEC 27001 eller tilsvarende.

Et praktisk greb er at bygge sikringsforanstaltningerne op efter kravene i DS/ISO/IEC 27001 og 27002, sådan som det blandt andet er beskrevet i SDU's informationssikkerhedshåndbog. I en offentlig kravspecifikation stilles krav om informationssikkerhedsstyring (ISMS) efter den til enhver tid gældende version af ISO/IEC 27001 eller tilsvarende national eller international standard.

I et høringssvar til L 163 (2021-22) blev det dog påpeget, at formuleringen »ISO/IEC 27001 eller lignende« kan gøre det uusikkert, hvilken IT-sikkerhedsstandard man skal følge, og om en leverandør skal være certificeret i den. Vælger man standard, bør man derfor samtidig beslutte, om der kræves certificering eller blot efterlevelse, og hvordan det dokumenteres over for leverandører og kunder.

Sådan omsætter I kravene til en praktisk backup- og slettepolitik

Kortlæg først, hvilke personoplysninger der faktisk indgår i de systemer, der tages backup af, og hvor kopierne fysisk og logisk ligger – herunder eventuelle kopier hos eksterne leverandører. Fastlæg derefter for hver kategori formålet med backup-opbevaringen og den lovhjemmel, der bærer den. Vælg en opbevaringsperiode, der enten følger behovets ophør eller en konkret lovbestemt frist som de fem år efter bogføringsloven.

Beskriv i politikken, hvordan sletning eller overskrivning teknisk gennemføres for den enkelte backup-kategori. Det skal fremgå, hvornår en kopi senest er væk – ikke blot hvornår den er »udløbet« i et register. Dokumentér vurderingerne, så de kan fremvises, og følg op med faste intervaller, fordi både systemer, leverandører og lovbestemte perioder ændrer sig. Ansvaret for at opfylde reglerne ligger hos virksomheden som dataansvarlig.

Kort opsummeret

Der findes ingen universel slettefrist for backup. Datatilsynet fastslår, at reglerne ikke indeholder en bestemt frist, og at oplysninger skal opbevares, så længe der er behov for dem – men ikke længere. Dermed er nødvendighedsprincippet og et dokumenteret formål styrende, ikke kalenderen.

Konkret betyder det, at hver backup-kategori skal have en hjemmel (samtykke, lov, kontrakt eller legitim interesse) og en opbevaringsperiode. Perioden følger enten behovets ophør eller en lovbestemt frist som bogføringslovens fem år. Der skal også være en beskrevet fremgangsmåde for sletning eller overskrivning.

Sletningspligten indtræder efter Datatilsynets liste blandt andet, når oplysningerne ikke længere er nødvendige, når et samtykke trækkes tilbage uden anden hjemmel, eller når der er slettepligt efter lovgivningen – men en lovbestemt opbevaringspligt udskyder sletningen. Sikkerheden omkring backup hører hjemme i informationssikkerhedspolitikken og kan bygges på DS/ISO/IEC 27001 eller en tilsvarende anerkendt standard.

Vigtige regler og frister for backup-opbevaring i danske virksomheder