Virksomheden må gemme bevismateriale, så længe der er et sagligt behov for det, typisk så længe der kan komme et krav, eller en sag kan genoptages. Når behovet er væk, skal materialet slettes. Der findes ikke én fast frist, der passer til alle sager. Derfor skal I lave en opbevaringsplan for hver sag, hvor I skriver, hvad I gemmer, hvorfor, og hvornår det skal vurderes igen.
Svaret er altså hverken “for altid” eller “med det samme”. Begge dele er risikable. Gemmer I for længe, behandler I persondata uden formål. Sletter I for tidligt, kan I stå uden dokumentation, hvis et krav dukker op.
Hvad er bevismateriale her?
I denne artikel betyder bevismateriale alt det, virksomheden har samlet i forbindelse med en sag:
- forensiske kopier af computere, telefoner og konti,
- eksporter af mail, filer og logs,
- referater, notater, tidslinjer og beslutningslog,
- rapporter fra IT-sagkyndige og advokater,
- korrespondance med modparten.
Det er ofte store mængder data, og de indeholder mange personoplysninger, også om personer, der ikke har noget med sagen at gøre, fx kolleger, kunder og familie.
Hvad afgør, hvor længe I må gemme?
Om der kan komme et krav
Det vigtigste spørgsmål er, om der stadig kan komme et krav fra eller mod virksomheden. Mange krav forældes efter en periode, men fristerne afhænger af kravets art, og de kan blive afbrudt eller forlænget. Spørg advokaten, hvornår de relevante krav i jeres sag kan være forældet, og brug det som udgangspunkt.
Hvordan sagen sluttede
- Ved dom: Er dommen endelig? Kan den ankes, eller er ankefristen udløbet?
- Ved forlig: Hvad står der i forliget om data? Er der en klausul om sletning eller tilbagelevering? → Fratrædelsesaftalen: klausuler om data, udstyr og sletning
- Ved en intern undersøgelse uden sag: Var mistanken begrundet? Blev den afvist?
Viste mistanken sig at være ubegrundet, er behovet for at gemme materialet typisk mindre. Det taler for at slette hurtigere og skrive det ned.
Andre pligter
Nogle oplysninger er I forpligtet til at gemme af andre grunde, fx bogføringsmateriale. Det følger sine egne regler og skal ikke slettes som en del af sagen. Andre oplysninger, fx helbredsoplysninger, kræver ekstra forsigtighed og bør slettes, så snart de ikke længere er nødvendige.
Opbevaringsplanen
Lav en kort plan for hver sag. Den kan ligge i sagsmappen.
- Sag · Kodenavn
- Materiale · Hvad er gemt, og hvor
- Formål · Hvorfor det gemmes
- Grundlag · Advokatens vurdering af risiko for krav
- Vurderingsdato · Hvornår behovet vurderes igen
- Sletning · Hvem sletter, og hvordan
- Ansvarlig · Navn og rolle
En vurderingsdato er bedre end en fast slettedato, fordi forholdene kan ændre sig. Men vurderingen skal faktisk ske. Sæt den i kalenderen hos både sagsejeren og en stedfortræder, så den ikke forsvinder, hvis sagsejeren stopper. Skriv resultatet af hver vurdering i planen: fortsat opbevaring med ny dato, delvis sletning eller fuld sletning.
Et eksempel på en vurdering
En typisk situation: En medarbejder blev afskediget efter en intern undersøgelse om kundedata, og sagen blev forligt. Forliget indeholder en klausul om, at medarbejderen sletter virksomhedens data, men intet om virksomhedens eget materiale.
Ledelsen spørger advokaten, om der stadig kan komme krav. Advokaten peger på, at forliget kan blive anfægtet, og at der kan opstå en ny tvist, hvis data senere dukker op hos en konkurrent. Ledelsen beslutter derfor at beholde rapporten, den forensiske kopi af arbejdscomputeren og referaterne, men slette arbejdskopier, mellemresultater og data om kolleger. Vurderingsdatoen sættes i kalenderen, og opbevaringsplanen lægges i sagsmappen.
Eksemplet er ikke en anbefaling af en bestemt periode. Det viser, hvordan en vurdering kan se ud, og at det er muligt at gemme mindre uden at stå uden dokumentation.
Gem mindre, ikke mere
Det er ikke nødvendigt at gemme alt. Ofte kan I:
- slette arbejdskopier og mellemresultater, når rapporten er færdig,
- beholde rapporten og de dokumenter, der faktisk blev brugt,
- beholde den forensiske kopi, hvis der stadig kan komme krav, men under strengt begrænset adgang,
- slette data om personer, der ikke har betydning for sagen.
Tal med den IT-sagkyndige om, hvad der er nødvendigt at beholde for, at analysen kan efterprøves senere. Det er typisk den forensiske kopi med kontrolværdier og rapporten. → Hvad sker der med beviserne, når sagen er slut?
Hvem gør hvad?
- Sagsejer · Godkender planen og vurderingen
- Advokat · Vurderer risikoen for krav og fristerne
- HR · Holder styr på personaledelen
- DPO, hvis I har en · Tjekker, at planen følger reglerne
- IT · Opbevarer og sletter teknisk
- IT-sagkyndig · Sletter eller tilbageleverer det, der ligger hos den sagkyndige
Husk, at materiale kan ligge flere steder: hos jer, hos advokaten og hos den IT-sagkyndige. Aftal, hvem der sletter hvad, og bed om en bekræftelse. Tænk også på de steder, materialet kan have spredt sig til undervejs: mails med bilag mellem ledelse og advokat, downloads på bærbare computere og printede kopier i en skuffe.
Opbevaring undervejs
Så længe materialet gemmes, skal det være beskyttet:
- ☐ Begrænset adgang. Kun dem, der har et behov.
- ☐ Ikke på almindelige fællesdrev.
- ☐ Krypteret, hvis det ligger på flytbare medier.
- ☐ Logning af, hvem der har haft adgang.
Typiske fejl
- Materialet gemmes uden plan · Ingen ved, hvornår det skal slettes
- Alt slettes ved forlig uden at tjekke forliget · I kan bryde aftalen eller miste dokumentation
- Kun jeres egen kopi slettes · Kopier ligger hos rådgivere og i backup
- Ingen vurderingsdato · Materialet bliver liggende i årevis
- Bevarelsesinstruksen ophæves ikke · Normal sletning kommer aldrig i gang
Når den tidligere medarbejder beder om indsigt
Det sker, at en tidligere medarbejder bruger sin ret til indsigt i de oplysninger, virksomheden har om vedkommende, også efter en sag. Har I en opbevaringsplan, er det lettere at svare: I ved, hvad der er gemt, hvor det ligger, og hvorfor. Uden en plan kan en indsigtsanmodning blive en stor opgave, fordi materialet skal findes frem fra mange steder. Tal med advokaten, før I svarer, især hvis sagen ikke er helt afsluttet. → Indsigtsanmodning efter GDPR som led i en tvist
Når materialet skal slettes
Slet efter planen, og skriv ned, hvad der er slettet, hvornår og af hvem. Husk backup: Data i backup forsvinder typisk, når backuppen roteres, men det skal fremgå af notatet. Ophæv samtidig en eventuel bevarelsesinstruks skriftligt. → Ophæv bevarelsen igen
Kort sagt
Gem materialet, så længe der er et sagligt behov, typisk så længe der kan komme krav. Lav en opbevaringsplan med formål, grundlag og en vurderingsdato. Gem mindre, beskyt det, og slet dokumenteret, også hos rådgiverne.
Læs også: Evaluering efter en bevissag (skabelon) · Ophæv bevarelsen igen: hvornår må normal sletning genoptages?
→ Sådan foregår et forløb for en virksomhed · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
