Tietosuojavaltuutetun toimisto (Dataombudsmannens byrå) ger teleoperatör en reprimand för att ha lagrat kunduppgifter i mer än tre år efter det att kundrelationen avslutats, vilket ansågs vara den längsta motiverade tidsperioden för att försvara sig mot eventuella faktureringskrav enligt dataskyddsförordningen (GDPR).
Av beslutet framgår att Dataombudsmannens byrå underrättats om att en teleoperatör vägrat att radera den registrerades personuppgifter som rörde deras kundrelation. Dataombudsmannens byrå bad teleoperatören att förklara varför bolaget vägrat att radera uppgifterna och hur länge bolaget lagrat kundernas personuppgifter.
Som svar på begäran klargjorde teleoperatören att bolaget inte kunde tillmötesgå den registrerades begäran eftersom behandlingen var nödvändig enligt artikel 17.3 (e) GDPR. Teleoperatören uppgav att den allmänna preskriptionstiden för skulder enligt nationell rätt är tre år. Teleoperatören kunde därför inte radera personuppgifterna eftersom det inte hade gått tre år sedan kundförhållandet upphört. Teleoperatören uppgav också att kunduppgifter som var äldre än tre år borde ha raderats från bolagets system genom en automatisk raderingsprocess, vilket inte skett på grund av ett tekniskt fel. Teleoperatören uppgav dock att den registrerade personens personuppgifter raderats manuellt i ett senare skede.
På grundval av den information som lämnats av teleoperatören ansåg Dataombudsmannens byrå att teleoperatören har rätt att lagra den registrerades personuppgifter i tre år efter det att kundrelationen upphört. Dataombudsmannens byrå konstaterade att om teleoperatören raderade den registrerades personuppgifter skulle denne inte kunna försvara sig mot eventuella faktureringskrav från kunder eller andra fordringsägare.
Dataombudsmannens byrå konstaterade dock att teleoperatören ändå brutit mot artikel 17.3 (e) GDPR, eftersom teleoperatören trots den registrerades begäran inte raderat sådana personuppgifter, som borde ha tagits bort från systemen redan innan den registrerades begäran. Dataombudsmannens byrå utfärdade därför en reprimand mot teleoperatören i enlighet med artikel 58.2 (b) GDPR.