Hur länge får jag behålla ansöknings- och personaluppgifter?

Bevarandeperioden följer av syftet, inte av en fast lista

Hur länge ansöknings- eller personaluppgifter får bevaras beror på syftet med vilka de samlades — det finns ingen fast period som är densamma för varje situation. För ansökningsuppgifter är det syftet själva ansökningsprocessen: när den är avslutad, antingen med anställning eller avslag, upphör skälet att bevara uppgifterna för den kandidaten. Bevarande är då endast möjligt så länge det finns ett annat, konkret syfte för det, till exempel för att kandidaten själv har angett att de vill stå kvar på kandidatlistan för ett nästa ledigt tjänste.

För personaluppgifter är det annorlunda, eftersom syftet — arbetsförhållandet — fortsätter så länge anställningen varar. Uppgifter som är nödvändiga för att genomföra det förhållandet får därför bevaras så länge förhållandet finns. Efter anställningen upphör slutar det syftet för en del av uppgifterna, men inte för allt: annan lagstiftning utanför GDPR kan ställa krav på bevarande för vissa delar av personalakten, oberoende av vad GDPR själv föreskriver. Vilka uppgifter det exakt är och hur länge det kravet gäller finns inte i GDPR utan i denna andra lagstiftning.

Detta följer av principen om lagringsbegränsning

Denna riktlinje kommer från artikel 5 i GDPR, där principen om lagringsbegränsning är fastsllagen: personuppgifter får inte bevaras längre än nödvändigt för de syften för vilka de samlades. Den principen gäller direkt och likvärdigt i varje medlemsstat, eftersom GDPR är en förordning. Vad som skiljer sig åt är vem som övervakar det: i Sverige är det Integritetsskyddsmyndigheten, enligt även Lag (2018:218) om dataskydd, medan i Tyskland är tillsynsmyndigheten för den delstat där verksamheten är belägen behörig.