Hur länge får personuppgifter sparas? Så gör ni en gallringsplan

Publicerad 13 november 2026

Sammanfattning: Personuppgifter får enligt artikel 5.1 e i GDPR inte förvaras i identifierbar form längre än vad som är nödvändigt för ändamålen. GDPR anger inga fasta tider; ändamålet styr, och ibland kräver en annan lag att uppgifterna sparas. Räkenskapsinformation ska enligt bokföringslagen bevaras till och med det sjunde året efter utgången av det kalenderår då räkenskapsåret avslutades, och IMY (Integritetsskyddsmyndigheten) anger att e-postkonton och webbplatsuppgifter om tidigare anställda normalt ska tas bort inom en månad. För det mesta andra är lagringstiden en bedömning som ni motiverar i en gallringsplan och genomför i systemen.

Vad GDPR säger om lagringstid

Principen om lagringsminimering i artikel 5.1 e lyder: ”De får inte förvaras i en form som möjliggör identifiering av den registrerade under en längre tid än vad som är nödvändigt för de ändamål för vilka personuppgifterna behandlas.” Artikeln tillåter längre lagring när uppgifterna enbart behandlas för arkivändamål av allmänt intresse, forskning eller statistik, med lämpliga skyddsåtgärder. Enligt skäl 39 bör den personuppgiftsansvarige införa tidsfrister för radering eller för regelbunden kontroll.

Lagringstiden kommer tillbaka på flera ställen:

• Artikel 5.2: ni ska kunna visa att principen följs.
• Artikel 13.2 a och 14.2 a: de registrerade ska få veta lagringstiden eller kriterierna för den.
• Artikel 30.1 f: registret över behandlingar ska om möjligt innehålla tidsfristerna för radering.
• Artikel 17.1 a: uppgifter som inte längre är nödvändiga för ändamålen ska raderas utan onödigt dröjsmål.
• Artikel 25.2: dataskydd som standard gäller uttryckligen även tiden för lagring.

Det finns alltså ingen generell tid i GDPR, och en standardtid för alla uppgifter är inte den bedömning som förordningen kräver.

När en annan lag kräver att ni sparar

Rätten till radering gäller inte i den utsträckning behandlingen är nödvändig för att uppfylla en rättslig förpliktelse (artikel 17.3 b) eller för att fastställa, göra gällande eller försvara rättsliga anspråk (artikel 17.3 e).

Bokföring

Bokföringslagen (1999:1078) 7 kap. 2 § säger att handlingar med räkenskapsinformation ska bevaras ”fram till och med det sjunde året efter utgången av det kalenderår då räkenskapsåret avslutades”. Slutar räkenskapsåret den 31 december 2026 ska underlaget alltså finnas kvar till och med den 31 december 2033. IMY påpekar att sådana handlingar, när de inte längre används, bör avskiljas från den dagliga verksamheten. Plikten gäller räkenskapsinformationen, inte allt som råkar ligga i samma system.

Myndigheter och kommunala bolag

Arbetsgivare som är myndigheter behöver enligt IMY bevara allmänna handlingar om det inte finns stöd för gallring, till exempel i gallringsföreskrifter. Enligt arkivlagen (1990:782) 2 a § gäller reglerna för kommunala myndigheters arkiv också bolag där kommuner eller regioner har ett rättsligt bestämmande inflytande (offentlighets- och sekretesslagen 2 kap. 3 §). För kommunala bolag behöver gallringsplanen därför stämma med arkivreglerna och bolagets gallringsbeslut.

Vanliga fall och vad som faktiskt gäller

Tabellen anger bara tider som en lag eller IMY anger; annars står det att det är en bedömning.

Uppgifter	Vad som gäller	Källa
Räkenskapsinformation, till exempel fakturor och verifikationer	Bevaras till och med det sjunde året efter utgången av det kalenderår då räkenskapsåret avslutades	Bokföringslagen 7 kap. 2 §
Tidigare anställdas e-postkonto och uppgifter på webbplatsen	Tas bort så snart som möjligt, normalt inom en månad	IMY, arbetsliv
Arbetssökande som inte fick tjänsten	Så länge den sökande kan vidta rättsliga åtgärder; för att spara till framtida rekryteringar krävs samtycke	IMY, rekrytering; diskrimineringslagen 6 kap. 4 §
Inspelat material från kamerabevakning	Så kort tid som möjligt; tre dygn (72 timmar) är en bra tumregel, längre kan vara tillåtet vid ett konkret behov	IMY; EDPB:s riktlinjer 3/2019
Kunder, avtal, marknadsföring och ärenden	GDPR anger ingen tid. Kontrollera om en särskild lag gäller för er bransch; annars en bedömning utifrån ändamålet	Artikel 5.1 e

Arbetssökande i detalj

IMY skriver att ansökningar, intervjuanteckningar och referenser får sparas så länge den sökande kan vidta rättsliga åtgärder. Diskrimineringslagen (2008:567) 6 kap. 4 § hänvisar för sådana tvister till fristerna i medbestämmandelagen (1976:580). För en sökande som inte företräds av en arbetstagarorganisation ska talan väckas inom fyra månader efter att hen fick kännedom om omständigheten och senast inom två år efter att den inträffade (66 § andra stycket). Företräds den sökande av en organisation gäller frister för förhandling och talan som kan göra tiden längre. Lagen anger alltså ingen gallringsfrist; er tid är en bedömning att motivera och dokumentera.

Så gör ni en gallringsplan

1. Utgå från registret över behandlingar. Varje behandling, och ibland varje kategori av uppgifter inom den, behöver en lagringstid.
2. Bestäm vad som startar klockan: avslutad anställning, avslutat avtal, avslutat räkenskapsår, avslutat ärende eller sista kontakt. En tid utan startpunkt går inte att genomföra.
3. Ange grunden för tiden: en lag med paragraf, en vägledning från IMY eller er egen bedömning med motivering. Det är motiveringen som visar att ni följer artikel 5.2.
4. Bestäm vad som händer när tiden har gått ut (radering, anonymisering eller avskiljande till ett arkiv med begränsad åtkomst), vem som gör det och hur ofta, till exempel automatiskt varje natt eller manuellt en gång per kvartal.
5. Fastställ och förankra: låt processägarna och vid behov ledningen godkänna planen, och för in tiderna i registret över behandlingar och i den information ni ger de registrerade.

I vår indelning av GDPR i 15 delar är detta del 9, gallring och lagringstider. Den bygger direkt på registret över behandlingar (del 8).

Radera i praktiken

En gallringsplan räknas bara om den genomförs i systemen:

• Använd systemens gallringsfunktioner, testa att de faktiskt raderar och logga genomförd gallring.
• Glöm inte kopiorna: e-postbilagor, exporter till kalkylark, delade mappar och lokala nedladdningar.
• Säkerhetskopior rensas i praktiken ofta först när kopian löper ut. Dokumentera hur länge de sparas och hur raderade uppgifter hanteras om en äldre säkerhetskopia behöver läsas tillbaka, så att de inte återinförs som aktiva uppgifter längre än nödvändigt.
• Anonymisering ersätter radering bara om personerna inte längre går att identifiera med medel som rimligen kan komma att användas. Enligt skäl 26 är pseudonymiserade uppgifter fortfarande personuppgifter.
• Leverantörer: enligt artikel 28.3 g ska personuppgiftsbiträdet radera eller återlämna uppgifterna när tjänsten upphör, beroende på vad ni väljer. Begär bekräftelse.

Tre vanliga misstag

• En tid för allt. Sju år hämtas från bokföringslagen och används för uppgifter som inte är räkenskapsinformation.
• Att spara för säkerhets skull. IMY skriver att det inte är tillåtet att samla in personuppgifter för obestämda framtida behov, för att de kan vara ”bra att ha”.
• Tider på papperet. Tiden står i integritetsinformationen men genomförs aldrig i systemen.

Det här har ni när gallringsplanen är klar

• En lagringstid, en startpunkt, en grund och en åtgärd för varje behandling eller kategori av uppgifter.
• Tider som stämmer med registret över behandlingar och med integritetsinformationen.
• En logg som visar att gallringen genomförs, och ett svar när en registrerad, en kund eller IMY frågar hur länge ni sparar uppgifterna.

Vill ni först se var ni står kan ni börja med vårt GDPR-självtest.

Vill ni ha hjälp att sätta lagringstiderna? I GDPR Start tar vi fram en gallringsplan med lagringstider tillsammans med registret över behandlingar och integritetsinformationen, så att tiderna stämmer överallt och går att genomföra. Läs mer om vårt arbete med dataskydd och integritet eller kontakta oss.

Källor: Förordning (EU) 2016/679 (GDPR), artiklarna 5, 12–14, 17, 25, 28 och 30 samt skälen 26 och 39; bokföringslagen (1999:1078); diskrimineringslagen (2008:567); medbestämmandelagen (1976:580); arkivlagen (1990:782); offentlighets- och sekretesslagen (2009:400); Integritetsskyddsmyndigheten (IMY), vägledning om grundläggande principer, arbetsliv, rekrytering och kamerabevakning; EDPB, riktlinjer 3/2019 om videoenheter. Verifierat 2026-10-03.

Den här texten är allmän information och inte juridisk rådgivning. Vilka lagringstider som gäller för er beror på era ändamål, er bransch och vilka lagar ni omfattas av, och behöver bedömas i det enskilda fallet.