Lagringsminimering är utgångspunkten
Artikel 5.1 e i GDPR säger att personuppgifter inte får bevaras i identifierbar form längre än vad som är nödvändigt för ändamålet. När anställningen upphör kan vissa ändamål försvinna direkt, medan andra fortsätter på grund av exempelvis redovisning, skatt, pension, rättsliga anspråk eller säkerhetsloggning.
Det betyder att samma datum inte ska läggas på allt. Ett foto på den publika personalsidan, ett löneunderlag, ett sjukintyg och ett signerat avtal har olika innehåll, risk och rättsligt stöd.
Beslutsmodell per datakategori
- Beskriv uppgifterna. Ange system, datakategori, känslighet, registrerade och vilka som har åtkomst.
- Fastställ ändamål. Skriv varför uppgifterna fortfarande behövs efter avslutet. ”Bra att ha” är inte ett tillräckligt ändamål.
- Kontrollera rättsligt stöd. Bedöm rättslig förpliktelse, avtal, berättigat intresse eller annan tillämplig grund. Samtycke i arbetslivet kräver särskild försiktighet eftersom beroendeställningen kan göra frivilligheten tveksam.
- Kontrollera specialregler. Redovisning, skatt, pension, arbetsrätt och avtal kan styra vad som behöver finnas kvar. Att en uppgift förekommer i ett HR-system gör inte automatiskt att en viss lagringsfrist gäller.
- Sätt en konkret frist. Ange datum eller en tydlig händelse för omprövning och gallring. Dokumentera varför fristen är nödvändig och proportionerlig.
- Begränsa åtkomst. Arkiverad information ska inte ligga kvar med samma åtkomst som under anställningen.
- Gallra eller anonymisera. Radera när ändamålet upphör. Verkligt anonym information omfattas inte av GDPR; pseudonymiserad information gör det fortfarande.
Praktisk kategorisering
| Kategori | Fråga vid avslut | Praktisk åtgärd |
|---|---|---|
| Publika profiler och kontaktuppgifter | Finns ett kvarvarande verksamhetsändamål? | Ta bort eller ersätt kontaktvägen och dokumentera eventuellt kort övergångsbehov. |
| Lön, skatt och redovisning | Vilka handlingar är räkenskapsinformation eller krävs som skatteunderlag? | Arkivera rätt material med begränsad åtkomst enligt tillämplig lagringstid. |
| Avtal och arbetsrättsliga dokument | Behövs materialet för pågående skyldigheter eller möjliga rättsliga anspråk? | Dokumentera intresseavvägning, preskriptionsrisk och omprövningsdatum. |
| Hälsa och annan känslig data | Finns fortfarande både rättslig grund och undantag för särskild kategori? | Gallra tidigt när behov saknas och håll åtkomsten särskilt snäv. |
| Loggar och säkerhetsdata | Vilken incident-, revisions- eller säkerhetsperiod motiverar fortsatt lagring? | Sätt tidsstyrd retention och separera loggen från den aktiva användarprofilen. |
| Exit-samtal och interna anteckningar | Kan ändamålet uppnås med mindre eller anonymiserad information? | Sammanställ på lämplig nivå och radera identifierande råmaterial när det inte behövs. |
Dokumentera så att rutinen går att följa
- Ha lagringstider och gallringskriterier i registerförteckningen eller kopplad styrning där artikel 30 är tillämplig.
- Knyt varje frist till ägare, system och faktisk gallringsmetod.
- Logga genomförd gallring utan att återskapa de personuppgifter som skulle tas bort.
- Hantera säkerhetskopior i policyn och förhindra att gallrad data rutinmässigt återförs till produktion.
- Ompröva frister när system, lagkrav eller ändamål förändras.
Källor och faktagranskning
Senast faktagranskad: 14 september 2026. Guiden är generell information och ersätter inte en dokumenterad bedömning i den egna verksamheten.