En ansøgning er slettet efter jeres frist. Mailen er væk, og filen er fjernet fra mappen. Alligevel ligger begge dele sandsynligvis stadig i den sikkerhedskopi, leverandøren tog i sidste måned. En backup er netop lavet for at gemme tingene, også det, nogen senere sletter. Det er sjældent noget, ledelsen har tænkt over, og det er et område, hvor Datatilsynet har en klar forventning. Spørgsmålet kan ikke klares med en teknisk indstilling alene, for der er to gode hensyn, som trækker hver sin vej, og afvejningen er jeres.
Hvad Datatilsynet skriver
Datatilsynets vejledning om ansættelsesforhold kommer ind på det i afsnit 4.4. To ting er vigtige for ledelsen. Sletning skal omfatte backup, hvis det er teknisk muligt. Og oplysninger, der er slettet, må ikke vende tilbage, når et system bliver genetableret fra en sikkerhedskopi.
Vejledningen handler om medarbejderoplysninger, men spørgsmålet melder sig for personoplysninger generelt. Hvordan det præcist gælder for jeres oplysninger, er et spørgsmål til revisor eller advokat. Her ser vi på det praktiske.
De to hensyn
En sikkerhedskopi skal kunne bringe jer tilbage efter en fejl, et nedbrud eller et angreb. Jo længere tilbage I kan gå, jo større er chancen for at finde en ren udgave. Backup er altså en del af virksomhedens forsikring mod stop. Hvordan den indgår i beredskabet, er en sikkerhedsopgave, som er beskrevet under beredskab.
Sletning trækker den anden vej. Jo længere sikkerhedskopierne lever, jo længere ligger slettede oplysninger videre. For bogføring er der tilmed særlige krav. Bruger I et ikke-registreret system, kræver reglerne mindst en gang om ugen en fuld kopi, som skal ligge i 5 år på en server i EU eller EØS hos en part, der ikke er nærtstående. Det er beskrevet i sikkerhedskopi af bogføringen. Den levetid kan I ikke forkorte for at gøre sletning lettere.
Ingen af hensynene kan vinde automatisk, og derfor skal beslutningen træffes af ledelsen med leverandørens svar i hånden.
Spørgsmålene til leverandøren
Bed leverandøren om skriftlige svar. Mange har ikke fået spørgsmålene før, så giv dem lidt tid.
- Hvad tages der backup af, og hvad er ikke med? Det gælder også mail og filer i cloudtjenester.
- Hvor længe gemmes hver slags sikkerhedskopi?
- Kan enkelte oplysninger fjernes fra en sikkerhedskopi, eller kan kun hele kopier slettes?
- Hvad sker der med slettede oplysninger, når et system genetableres?
- Findes der en procedure, der fjerner dem igen bagefter?
- Hvem hos leverandøren står for det, og hvordan får I besked?
Svaret på det tredje spørgsmål er ofte, at enkelte oplysninger ikke kan fjernes. Så gælder Datatilsynets andet punkt: det slettede må ikke vende tilbage.
Sådan håndterer I det i praksis
Når oplysninger ikke kan fjernes fra en backup, kan I stadig gøre tre ting.
Sæt en begrundet levetid. Beslut, hvor længe sikkerhedskopier skal leve, og lad begrundelsen stå i sletteplanen. Når den gamle kopi udløber, forsvinder det slettede med den. Med en kortere levetid forsvinder de hurtigere, og det skal afvejes mod behovet for at komme tilbage efter en fejl.
Før en liste over større sletninger. Noter, hvad der er slettet, og hvornår. Listen må ikke selv indeholde de oplysninger, der er slettet, men kan fx pege på en sag eller en mappe. Bliver et system genetableret, viser listen, hvad der skal slettes igen.
Skriv det ind i planen for genetablering. Det sidste trin, før systemet er tilbage i normal drift, er at gennemgå listen. Bruger I ikke et sådant trin, kommer det slettede stille og roligt tilbage.
Et tænkt eksempel: en virksomhed med 35 ansatte må genetablere sit fællesdrev fra en backup, der er tre uger gammel. Ved genetableringen dukker en mappe op med gamle ansøgninger, som blev slettet to uger før. Fordi sletningen står på listen, fjerner leverandøren den igen samme dag, og ejeren bekræfter det.
Beslutningen i tre linjer
Skriv det hele ned på få linjer i sletteplanen. Hvor længe lever kopierne og hvorfor? Hvordan håndteres det slettede ved en genetablering? Hvem svarer for det hos jer og hos leverandøren? Passer svarene ikke med driftsaftalen, skal aftalen tilpasses, så leverandøren er forpligtet til det, I har besluttet.
En sikkerhedskopi er kun noget værd, hvis den kan genetableres. Prøver leverandøren det med faste mellemrum, kan procedurerne for det slettede testes samtidig. Bed om at få resultatet at se i den faste driftsstatus.
Hvad I gør nu
Send spørgsmålene til de leverandører, der har jeres vigtigste data. Saml svarene på én side, og tag dem op sammen med sletteplanen. Er noget uklart, så spørg revisor eller advokat, før I ændrer levetiden på bogføringens kopier. En ekstern IT-chef kan stille spørgsmålene, læse svarene og oversætte dem til en beslutning, ledelsen kan tage på et enkelt møde.
Det skal I lade være med
- At forkorte backupperioden uden at spørge, hvad den skal kunne · så kan genetableringen blive ringere.
- At antage, at slettet er slettet · spørg, hvad der ligger videre i kopierne.
- At genetablere uden at se på listen over sletninger · så kommer det slettede tilbage.
Det skal I kræve af den eksterne
- ☐ Skriftlige svar fra leverandørerne om backup og slettede oplysninger.
- ☐ En begrundet levetid for sikkerhedskopierne i sletteplanen.
- ☐ En liste over større sletninger og et trin i planen for genetablering.
- ☐ En tilpasning af driftsaftalen, hvor det er nødvendigt.
Kilder
- Datatilsynet: Vejledning om databeskyttelse i forbindelse med ansættelsesforhold: afsnit 4.4 om sletning og backup.
- BEK nr. 205/2024: § 4 om sikkerhedskopi for ikke-registrerede systemer.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Sikkerhedskopi af bogføringen · Når IT går ned
→ Kontakt · Tlf. 70 13 63 23 · Ekstern IT-chef hos Nielco IT
