databevaringspolitik

Databevaringspolitik, ofta översatt till data retention policy, är en formell policy som styr hur en organisation samlar in, lagrar, använder och raderar data. Syftet är att säkerställa att data behålls så länge som det behövs för juridiska, reglerande och affärsmässiga ändamål, samtidigt som privatlivet skyddas och onödig information undviks.

En typisk policy definierar datakategorier (personuppgifter, finansiella dokument, loggar osv.), behållningstider för varje kategori, regler för arkivering och radering, samt hur data ska hanteras i olika miljöer som aktivt bruk, backup och arkiv. Den särskiljer mellan olika tillstånd för åtkomst och anger krav på säkerhet, till exempel kryptering och behörighetsstyrning. Policy ska även klargöra hur data klassificeras och hur regler överensstämmer med relevanta lagkrav och interna riktlinjer.

Policyn täcker även rättsliga innevarande åtgärder som “legal hold” eller andra undantag där långtidsbevarande krävs av lag eller pågående rättsprocesser. Den betonar dataminimering och rätten till integritet samtidigt som den erkänner legitima bevaransbehov utifrån affärs-, juridiska och administrativa krav.

Genomförande involverar dataägare, IT, juridik/Compliance och arkiv- eller records management-partner. Policyn bör vara dokumenterad, godkänd, kommunicerad och regelbundet genomgången. Den ska vara i linje med ett övergripande informationsstyrnings- och riskhanteringsprogram. I många jurisdiktioner påverkas retention av lagstiftning som data- och integritetslagar samt branschspecifika regler, och praxis varierar beroende på data-typ och jurisdiktion.