Mikä on tietojen säilytyspolitiikka? Opas GDPR:ään ja käytäntöön

Kun yritys kerää tietoja asiakkaistaan tai työntekijöistään, on ennemmin tai myöhemmin päätettävä, kuinka kauan niitä pidetään tallessa – tietojen säilytyspolitiikka on juuri tämä sääntökokoelma, ja ilman sitä tietoturva ja lainmukaisuus kärsivät. Tässä oppaassa käymme läpi, mitä politiikka tarkoittaa, miten se liittyy EU:n tietosuoja-asetukseen ja miten laadit omasi suomalaiselle yritykselle.

Tietojen säilytysajan pituus EU:n yleisen tietosuoja-asetuksen mukaan: Ei yleistä enimmäisaikaa; määräytyy tarkoituksen mukaan · Tietojen säilytyspolitiikkaa noudattavien organisaatioiden osuus: Yli 60 % suurista yrityksistä (arvio) · Tietojen säilytysrikkomusten sakot EU:ssa (2023): Yli 1,6 miljardia euroa · Tietojen säilytyspolitiikan yleisin elementti: Säilytysaikataulu ja poistomenettely

Neljä avainlukua tiivistävät tilanteen: GDPR ei aseta kiinteää maksimia, mutta Irlannin kirjanpitosäännökset vaativat seitsemän vuoden säilytystä, työsuhdetiedoissa tyypillinen aika on kuusi vuotta ja EU:n tietosuojarikkomussakot ylittivät viime vuonna 1,6 miljardia euroa.

Mikä on tietojen säilytyspolitiikka yksinkertaisesti selitettynä?

Tietojen säilytyspolitiikka on organisaation laatima kirjallinen ohjeistus siitä, kuinka kauan eri tietoja säilytetään ja milloin ne poistetaan. Se kattaa kaikki henkilötiedot asiakasrekistereistä työsuhdetietoihin.

Tietojen säilytyspolitiikan perusperiaatteet

• Säilytysaika määräytyy käsittelyn tarkoituksen mukaan – ei yleistä enimmäisaikaa (Euroopan komission linjaus).
• Politiikan on katettava kaikki tietotyypit ja tallennuspaikat (myös varmuuskopiot) (Usercentrics).
• Säilytysaikaa on noudatettava koko tietojen elinkaaren ajan.

Miksi tietoja säilytetään ja poistetaan?

• Lakisääteiset velvoitteet (esim. kirjanpitolaki) edellyttävät tietyntyyppisten tietojen säilyttämistä määräajan.
• Liiketoiminnan tarpeet, kuten asiakaspalvelu ja analytiikka.
• Poistolla vähennetään tietoturvariskejä ja kustannuksia (BackupVault).

Käytännössä tämä tarkoittaa, että jokaista tietoerää varten on määriteltävä selvä elinkaari: milloin se kerätään, kuinka kauan sitä pidetään ja koska se poistetaan.

Mikä on tietojen säilytyspolitiikka GDPR:n mukaan?

GDPR:n säilytysajan rajoitusperiaate

EU:n yleinen tietosuoja-asetus (GDPR) asettaa säilytysajan rajoituksen (storage limitation) yhdeksi tietosuojan perusperiaatteista. GDPR:n 5 artiklan 1 kohdan e-kohta määrää, että henkilötietoja saa säilyttää vain niin kauan kuin on tarpeen käsittelyn tarkoitusta varten (Euroopan komissio). Tämä tarkoittaa, että jokaiselle tietokategorialle on määriteltävä perusteltu säilytysaika.

• GDPR ei aseta kiinteitä enimmäisaikoja, vaan organisaatioiden on päätettävä ne itse (Usercentrics).
• Tietoja on säilytettävä mahdollisimman lyhyt aika, huomioiden kuitenkin lakisääteiset vaatimukset.
• Poikkeuksena tietoja saa säilyttää pidempään arkistointitarkoituksiin, tutkimukseen tai tilastointiin, jos asianmukaiset suojatoimet on toteutettu (Euroopan komissio).

Irlannin tietojen säilytysaika ja sääntely

Irlannissa kirjanpitolaki (Companies Act 2014) edellyttää kirjanpitoaineiston säilyttämistä 7 vuotta. Tämä on esimerkki siitä, miten kansallinen lainsäädäntö asettaa tarkempia säilytysaikoja GDPR:n yleisen kehyksen päälle. Suomalaisia yrityksiä koskevat vastaavat velvoitteet; esimerkiksi työsuhdetietoja säilytetään tyypillisesti 6 vuotta työsuhteen päättymisestä.

Merkittävä havainto: GDPR edellyttää kirjallista politiikkaa osoittamaan vastuullisuutta (accountability) (GDPR Local). Ilman dokumentoitua politiikkaa yrityksen on vaikea osoittaa noudattavansa säilytysajan rajoitusta.

Mikä on tietojen säilytyspolitiikan tarkoitus?

Tietoturvan parantaminen

Tarpeettomien tietojen poistaminen vähentää tietomurron riskiä. Jos tietoja ei enää tarvita, niiden suojaaminen on turhaa ja riskialtista. Periaate on yksinkertainen: säilytä vain se, mitä tarvitset (BackupVault).

Vaatimustenmukaisuuden varmistaminen

GDPR, kirjanpitolaki, työsopimuslaki ja muut säädökset asettavat säilytysaikoja. Ilman politiikkaa yritys altistuu sakoille. Vuonna 2023 tietosuojarikkomusten sakot EU:ssa nousivat yli 1,6 miljardiin euroon.

Tallennuskustannusten vähentäminen

Turha data vie tallennustilaa ja lisää hallinnollista työtä. Systemaattinen poistaminen pienentää pilvipalveluiden kustannuksia ja helpottaa tietohallintoa.

Tarvitsenko tietojen säilytyspolitiikkaa?

Milloin tietojen säilytyspolitiikka on pakollinen?

Kaikki organisaatiot, jotka käsittelevät henkilötietoja, tarvitsevat tietojen säilytyspolitiikan. GDPR edellyttää dokumentoitua politiikkaa vastuullisuusperiaatteen (accountability) vuoksi (GDPR Local). Ilman sitä on vaikea osoittaa, että noudatat säilytysajan rajoitusta. Lisäksi monet kansalliset lait, kuten kirjanpitolaki ja työlainsäädäntö, asettavat omia vaatimuksiaan.

Pienten yritysten tarpeet

• Pienyrityksen ei tarvitse laatia monimutkaista dokumenttia – riittää selkeä taulukko säilytysajoista ja poistosäännöistä.
• GDPR koskee kaiken kokoisia toimijoita; poikkeuksia ei ole henkilöstömäärän perusteella.
• Suositeltavaa: aloita tietokartoituksella (inventoi kaikki henkilötietoja sisältävät järjestelmät).

Käytännössä jokainen yritys, jolla on asiakkaita, työntekijöitä tai yhteistyökumppaneita EU:ssa, tarvitsee politiikan. Se on osa tietoturvan perustaa.

Kuinka tietojen säilytyspolitiikka määritellään?

1. Vaihe 1: Tietojen inventointi

   Kartoita kaikki järjestelmät ja prosessit, joissa henkilötietoja käsitellään. Tämä sisältää asiakasrekisterit, henkilöstöhallinnon järjestelmät, markkinointitietokannat, lokitiedot ja varmuuskopiot. Jokaiselle tietokategorialle on kirjattava: mitä tietoja, missä ne sijaitsevat, mikä on käsittelyn tarkoitus ja mikä on lainmukainen peruste.

2. Vaihe 2: Säilytysaikojen määrittäminen

   Määritä jokaiselle tietokategorialle säilytysaika. Perustana ovat lainsäädännön vaatimukset (esim. kirjanpitolaki 6–7 vuotta, työsuhdetiedot 6 vuotta työsuhteen päättymisestä) ja liiketoiminnan tarpeet. Jos tarkkaa lakia ei ole, säilytysaika perustuu käsittelyn tarkoitukseen – esimerkiksi asiakassuhdetiedot säilytetään asiakassuhteen ajan ja kohtuullinen aika sen jälkeen.

   • GDPR:n mukaan aika ei saa olla pidempi kuin tarpeen (RSI Security).
   • Eräs viitteellinen suositus: enintään 5 vuotta viimeisestä vuorovaikutuksesta (GDPR Local).

3. Vaihe 3: Poistomenettelyjen luominen

   Määritä konkreettiset toimenpiteet tietojen poistamiselle säilytysajan päätyttyä. Poiston on katettava kaikki kopiot, mukaan lukien varmuuskopiot ja arkistot. Dokumentoi, kuka vastaa poistosta, millä aikataululla ja miten poisto varmennetaan.

   • Säilytysvaatimukset koskevat myös varmuuskopioita ja arkistoja; tietojen tulee poistua kaikista tallennusympäristöistä (Usercentrics).
   • Suosi automaattisia ratkaisuja (esim. Office 365:n säilytyspolitiikat).

   Seuraava sääntö: tietomurto on ilmoitettava viranomaisille 72 tunnin kuluessa havaitsemisesta (BackupVault). Tämä korostaa, miksi tarpeeton data on riski – jokainen tieto, jota ei enää tarvita, on potentiaalinen vastuu.

Plussat ja miinukset

Vahvistettua ja epäselvää

Seuraavat asiat ovat varmoja tai epävarmoja tietojen säilytyspolitiikan kentässä.

Asiantuntijoiden näkemyksiä

”Henkilötietoja on säilytettävä muodossa, joka mahdollistaa rekisteröidyn tunnistamisen ainoastaan niin kauan kuin on tarpeen tietojen käsittelyn tarkoitusta varten.”

– Euroopan komissio (GDPR-ohjeistus)

”Säilytyskäytäntö tulisi määritellä säilytysajat jokaiselle henkilötietokategoriälle, oikeusperusteet ja poistamisprosessit.”

– Usercentrics (tietosuoja-alusta)

Nämä kaksi lainausta tiivistävät politiikan ytimen: sen on oltava tarkka, dokumentoitu ja perusteltu.

Yhteenveto

Tietojen säilytyspolitiikka on yrityksen tietoturvan ja vaatimustenmukaisuuden peruskivi. Se ei ole pelkkä GDPR-muodollisuus, vaan käytännön työkalu, joka vähentää riskejä, kustannuksia ja hallinnollista taakkaa. Suomalaiselle yritykselle selvä toimintasuunnitelma on: tee tietokartoitus, määritä säilytysajat lakien ja liiketoiminnan tarpeiden mukaan, ota käyttöön automaattiset poistot ja dokumentoi kaikki. Ilman tätä yritys altistuu sakoille ja tietomurroille – se on riski, johon yksikään toimija ei varaudu.

Aiheeseen liittyvä uutisointi: yleinen tietosuoja-asetus GDPR fördjupar bilden av Yleinen tietosuoja-asetus (GDPR): Mitä se tarkoittaa?.

Usein kysytyt kysymykset