Det finns ingen fast lagringstid för kunddata i ett CRM-system. GDPR säger att personuppgifter inte får sparas längre än vad som behövs för det ändamål du samlade in dem för. Det är alltså du som bestämmer tiden, dokumenterar den och följer den. Undantaget är uppgifter som ingår i bokföringen, som du enligt bokföringslagen ska spara i minst sju år. Här får du en praktisk modell för att sätta rätt lagringstid för leads, kunder, tidigare kunder och avtal, och för att få gallringen att faktiskt hända i vardagen.
Kort sagt
- Ingen universell frist: lagringstiden styrs av ändamålet med varje uppgift, inte av en siffra i lagen.
- Bokföring är undantaget: räkenskapsinformation, till exempel fakturor och verifikationer, sparas i minst sju år, men ska hållas isär från det dagliga säljarbetet.
- Olika data, olika tider: en inaktiv lead, en aktiv kund och ett undertecknat avtal behöver var sin regel.
- Dokumentera och informera: du måste kunna visa hur du resonerat och tala om för kunden hur länge du sparar uppgifterna, med konkreta tider eller kriterier.
- Radera eller avidentifiera: när ändamålet är uppfyllt ska uppgifterna bort, och ett CRM med tydlig struktur gör det mycket enklare.
Innehållsförteckning
- Finns det en fast lagstadgad lagringstid för kunddata?
- Så sätter du lagringstid utifrån ändamålet
- Exempel på lagringstider för olika typer av CRM-data
- Bokföringslagen: sju år, men inte i säljvyn
- Direktmarknadsföring har egna spelregler
- Dokumentera lagringstider och gallringsrutiner
- Radera eller avidentifiera: så gör du i praktiken
- Ett samlat CRM gör lagringsregler möjliga att följa
- Testa Notyfile för renare kunddata
- Vårt perspektiv: lagringstid är en säljfråga, inte bara en juridisk
- Vanliga frågor om lagringstid för kunddata
- Källor
Finns det en fast lagstadgad lagringstid för kunddata?
Nej. Integritetsskyddsmyndigheten (IMY) skriver i sina svar om hur länge personuppgifter får sparas att uppgifter inte får bevaras längre än vad som är nödvändigt för ändamålet. När ändamålet är uppfyllt är huvudregeln att uppgifterna ska avidentifieras eller raderas.
Det här kallas principen om lagringsminimering. Den gäller i hela EU, och Europeiska kommissionen förklarar i sin genomgång av GDPR:s principer att lagringstiden ska ta hänsyn till skälen för behandlingen och till eventuella lagkrav, till exempel hur länge en produktgaranti gäller.
För dig som säljer B2B betyder det två saker:
- Du kan inte hänvisa till en standardfrist som "tre år" eller "fem år" och vara klar. Ingen sådan regel finns i GDPR.
- Du kan heller inte spara allt för alltid "ifall det blir aktuellt igen". Det är just den sortens lagring principen är till för att stoppa.
Lagkrav i andra regelverk kan däremot tvinga dig att spara vissa uppgifter längre än du själv behöver dem. Det vanligaste exemplet i ett CRM är bokföringslagen, som vi går igenom längre ner.
Så sätter du lagringstid utifrån ändamålet
IMY beskriver i sina grundläggande principer enligt GDPR att du ska fastställa ändamålen med behandlingen och dokumentera både ändamålen och dina överväganden. Ändamålen avgör sedan hur länge uppgifterna får finnas kvar. Behandlingen ska också stå i rimlig proportion till nyttan.
I praktiken fungerar det bäst om du utgår från de frågor du redan ställer dig om din försäljning:
- Varför har vi uppgiften? För att följa upp en lead, leverera enligt avtal, ge support, skicka nyhetsbrev eller bokföra en faktura?
- När är ändamålet uppfyllt? När leaden svarat nej, när avtalet löpt ut, när garantin är slut eller när kunden avslutat sin prenumeration?
- Finns det ett lagkrav som förlänger tiden? Bokföring, garantier och reklamationer är de vanligaste.
- Vad händer sedan? Radering, avidentifiering eller flytt till ett avskilt arkiv?
Svaren blir din lagringsregel. Ju mer konkret du formulerar startpunkten ("från att avtalet upphört", "från senaste kontakt") desto lättare är det att automatisera och kontrollera den.
Exempel på lagringstider för olika typer av CRM-data
Tabellen nedan visar vad som typiskt styr tiden för de vanligaste datatyperna i ett B2B-CRM. Tiderna i exemplen kommer från verkliga organisationers egna policyer och är inga lagkrav. De visar hur olika ändamål leder till olika frister.
| Typ av data i CRM | Vad som styr tiden | Exempel från praktiken |
|---|---|---|
| Leads och prospekt som aldrig blivit kunder | Ditt säljändamål och hur länge en uppföljning är rimlig | FAR gallrar uppgifter om potentiella kunder 18 månader efter att de skapats |
| Aktiva kunder och kontaktpersoner | Så länge kundrelationen pågår | Uppgifterna behövs för leverans, support och fakturering |
| Tidigare kunder | Garantier, reklamationer, eventuella tvister och lagkrav | Fortum anger 10 år från avslutad kundrelation för grundläggande CRM-uppgifter, utformat med hänsyn till lagstadgade skyldigheter |
| Marknadsföringsuppgifter | Samtycke eller berättigat intresse, och om personen invänt | Motorbranschens policy angav fem år för nya bilar och tre år för begagnade i marknadsföringssyfte |
| Fakturor, verifikationer och annan räkenskapsinformation | Bokföringslagen | Minst sju år enligt Skatteverket |
| Avtal | Avtalets löptid, preskription och bokföring | Följer avtalets och fakturornas egna tider |
Källor till exemplen: FAR:s integritetspolicy för marknadsföring, Fortums lagringsperioder för personuppgifter och Motorbranschens expertpanel om GDPR.
Lägg märke till spännvidden: från 18 månader till 10 år. Båda kan vara rätt, eftersom de bygger på olika ändamål och olika lagkrav. Det är just den bedömningen GDPR kräver att du gör själv.
Inaktiva leads är den vanligaste fällan
I de flesta CRM-system är det leads som ligger kvar för länge. En kontakt från en mässa för fyra år sedan, som aldrig svarat, är svår att motivera. Bestäm därför en tydlig tid för inaktivitet, till exempel räknad från senaste kontakt, och låt allt som passerat den gränsen gå till radering eller avidentifiering. Samma tänk gäller föreningar: IMY anger att en förening normalt ska radera eller avidentifiera uppgifter när medlemskapet upphör. Relationen tar slut, och då tar ändamålet också slut.
Bokföringslagen: sju år, men inte i säljvyn
Skatteverket skriver att räkenskapsinformation ska arkiveras i ordnat skick och på ett betryggande sätt i minst sju år, även uppgifter som finns på datamedia. Det omfattar till exempel verifikationer, bokföringsböcker och material som bokförts i dator.
För ditt CRM betyder det att fakturor, ordrar och betalningsunderlag som ingår i bokföringen inte får raderas bara för att kundrelationen är slut. Men det betyder inte att hela kundkortet får ligga kvar med anteckningar, mötesnoteringar och säljhistorik.
IMY förklarar i sina grundläggande principer att handlingar som måste sparas enligt bokföringslagen ska avskiljas från den dagliga verksamheten när de inte längre används. En bra uppdelning ser ut så här:
- Behålls i arkivet: fakturor, verifikationer och de uppgifter som krävs för att de ska gå att förstå.
- Raderas eller avidentifieras: säljanteckningar, mötesnoteringar, marknadsföringspreferenser och kontaktpersoner som inte behövs för bokföringen.
- Begränsad åtkomst: säljteamet behöver inte se arkiverade underlag i sin vardag.
Om ditt CRM är kopplat till ett ekonomisystem, till exempel via en Fortnox-integration, ligger mycket av räkenskapsinformationen ofta redan i ekonomisystemet. Kartlägg var originalet finns, så att du inte sparar samma uppgift i två system längre än nödvändigt. Vill du fördjupa dig i hur sjuårsregeln möter GDPR och nya EU-regler kan du läsa vår guide om datalagring i EU för SaaS.
Direktmarknadsföring har egna spelregler
När du använder kunddata för nyhetsbrev, kampanjer och utskick gäller en särskild regel: den registrerade har rätt att motsätta sig behandling för direktmarknadsföring. Efter en sådan invändning får uppgifterna inte längre användas för det ändamålet, vilket IMY tar upp i sin rapport Klagomål till IMY 2021.
En invändning behöver inte ha någon särskild form. IMY rekommenderar att den görs skriftligt av bevisskäl, enligt sidan om rätten att göra invändningar. Det betyder att en kund kan säga nej i ett telefonsamtal, i ett mejl eller i ett svar på ett utskick, och du ska kunna fånga det.
Tre saker att ha på plats:
- En spärrmarkering på kontakten, så att den inte hamnar i nästa kampanj.
- Separata regler för marknadsföringsdata och kunddata. En kund som tackar nej till nyhetsbrev kan fortfarande vara en aktiv kund.
- En rensad lista. Vår checklista för en GDPR-kompatibel e-postlista går igenom samtycke, avregistrering och gallring steg för steg.
Dokumentera lagringstider och gallringsrutiner
GDPR bygger på ansvarsskyldighet. Du ska inte bara följa principerna, du ska kunna visa att du gör det, till exempel genom dokumenterade beslut och utbildad personal, enligt IMY:s genomgång av principerna.
Kraven på hur du informerar är dessutom skarpa. När IMY granskade Moderaterna 2025 fick partiet kritik för att inte ha informerat tydligt nog om lagringstiden. Beslutet visar att en allmän formulering om att uppgifter sparas "så länge det är nödvändigt" inte räcker. Den registrerade ska kunna förstå hur länge just hens uppgifter sparas, utifrån konkreta tider eller kriterier.
Så bygger du en gallringsrutin som håller:
- Inventera datan. Lista vilka typer av personuppgifter som finns i CRM: kontakter, leads, anteckningar, samtal, offerter, avtal, supportärenden.
- Koppla varje typ till ett ändamål. En rad per datatyp, med ändamål och rättslig grund.
- Sätt tid och startpunkt. Till exempel "18 månader från senaste kontakt" eller "sju år från räkenskapsårets slut för bokföringsunderlag" om din redovisningskonsult bekräftar det för just era underlag.
- Bestäm åtgärd. Radera, avidentifiera eller flytta till avskilt arkiv.
- Utse en ansvarig. Någon som äger rutinen och följer upp den.
- Skriv in tiderna i integritetspolicyn. Samma tider, med samma kriterier, som kunden kan läsa.
- Följ upp regelbundet. Kvartalsvis eller halvårsvis, och alltid när ni lägger till ett nytt system eller en ny modul.
Är du osäker på hur bokföringskrav, avtalspreskription eller branschregler slår mot just ditt företag, ta med din tabell till en dataskyddsjurist eller ert dataskyddsombud innan ni låser tiderna. Det är där bedömningen ska göras, inte i en standardmall.
Radera eller avidentifiera: så gör du i praktiken
När ändamålet är uppfyllt ska uppgifterna bort. Fortsatt lagring kan vara tillåten för bokföring, arkiv av allmänt intresse, forskning eller statistik, enligt IMY:s principer. För ett vanligt säljföretag är det i princip bokföringen som motiverar att något ligger kvar.
Radering passar när du inte behöver något av underlaget. En lead som aldrig blev kund är det tydligaste exemplet.
Avidentifiering passar när du vill behålla statistiken, till exempel hur många affärer som vanns per kvartal eller genomsnittlig säljcykel, men inte personen bakom. Då tar du bort namn, e-post, telefon och fritext som kan peka ut någon. Tänk på att fritextfält och anteckningar ofta innehåller mer personuppgifter än man tror.
Glöm inte bilagor, samtalsinspelningar, mötesanteckningar och kopior i andra system. Raderar du kontakten i CRM men den ligger kvar i en kalkyl eller ett e-postprogram är jobbet inte gjort. Läs mer i vår guide om att radera kunddata i CRM, och om du spelar in säljsamtal, i vår genomgång av GDPR och samtalsinspelning.
Byter du system är det ett perfekt tillfälle att städa. Migrera inte uppgifter som borde ha raderats för länge sedan. Vår guide om att byta CRM utan dataförlust visar hur du sorterar innan flytten.
Ett samlat CRM gör lagringsregler möjliga att följa
Lagringstider är lätta att skriva och svåra att leva efter när kunddata ligger utspridd. Avtal i en mapp, offerter i mejlen, samtal i en dialer och supportärenden i ett separat verktyg. Att hitta allt om en kund blir som att leta nålar i en höstack.
IMY lyfter att inbyggda gallringstider underlättar arbetet med lagringsminimering. Grunden är att datan finns på ett ställe, med tydlig struktur.
Det är precis därför Notyfile är byggt i moduler som täcker hela kundresan:
- Kundhantering samlar kontakter, företag och historik på ett kundkort.
- Prospekt- och försäljningsstöd håller isär leads och kunder, så att du kan sätta olika regler för dem.
- Offertgenerering, order- och avtalsadministration samt e-signering ger dig avtal och underlag där affären sker. Läs mer om ett avtalsarkiv i CRM.
- Inbyggd dialer och supportärendehantering gör att samtal och ärenden hamnar på rätt kund i stället för i separata system.
- Marknadsautomation håller ordning på vem som ska få utskick och vem som har tackat nej.
- Projektledning kopplar leveransen till kunden och avtalet.
- Integrationer med Fortnox, Scrive, Microsoft 365 och Zapier minskar dubbellagring mellan system.
Vi är byggda med fokus på säkerhet och GDPR-kompatibilitet, med svensk support. Vill du granska vilket CRM som helst ur dataskyddsperspektiv, använd våra sex verifierande frågor för ett GDPR-kompatibelt CRM.
Testa Notyfile för renare kunddata
När all kunddata ligger i ett system blir det enkelt att se vad du har, varför du har det och när det ska bort. Notyfile samlar kundhantering, försäljning, avtal, support och marknadsföring på ett ställe, och AI-assistenten Naia hjälper dig med mötesanalys, tolkning av affärsmöjligheter och smarta rekommendationer.
Planerna börjar på 149 kr per användare och månad för ESSENTIAL. AMBITION kostar 299 kr, VÄXA 599 kr och MASTER 749 kr per användare och månad. Behöver ni skräddarsydda lösningar eller integrationer tar vi fram ett upplägg tillsammans. Se alla planer och priser och välj den nivå som passar ditt team.
Vårt perspektiv: lagringstid är en säljfråga, inte bara en juridisk
Vi har byggt Notyfile av säljare för säljare, och vi ser samma mönster om och om igen. Företag samlar på sig kontakter för att det känns tryggt. Ju fler namn i listan, desto större pipeline, tänker man. Men en CRM full av gamla leads är ingen pipeline. Det är brus.
När du sätter tydliga lagringstider händer något bra. Säljarna ser bara kontakter som är aktuella. Kampanjerna går till människor som faktiskt vill höra från dig. Rapporterna visar verkligheten. Och när en kund frågar hur länge ni sparar hens uppgifter har du ett konkret svar i stället för en undanflykt.
Vårt råd är att börja smått. Ta leads först, eftersom det är där överlagringen oftast sitter. Sätt en regel, dokumentera den och följ upp efter ett kvartal. Lägg sedan till tidigare kunder, marknadsföringsdata och samtal. Det behöver inte vara krångligt. Vi gör det tillsammans!
— Joakim
Vanliga frågor om lagringstid för kunddata
Hur länge får man spara kunddata i ett CRM?
Så länge du behöver den för det ändamål du samlade in den för, och inte längre. GDPR anger ingen fast tid. Uppgifter som ingår i bokföringen ska däremot sparas i minst sju år enligt bokföringslagen.
Får vi spara tidigare kunder för att kunna kontakta dem igen?
Det beror på din rättsliga grund och på vad du har informerat kunden om. Marknadsföring till tidigare kunder kan ofta bygga på berättigat intresse under en avgränsad tid, men kunden kan när som helst invända. Då ska du sluta använda uppgifterna för marknadsföring.
Räcker det att skriva "så länge det är nödvändigt" i integritetspolicyn?
Nej. IMY:s tillsyn 2025 visar att informationen ska vara så konkret att den registrerade förstår hur länge just hens uppgifter sparas. Ange tider eller tydliga kriterier, till exempel "18 månader från senaste kontakt".
Måste hela kundkortet sparas i sju år för bokföringens skull?
Nej. Det är räkenskapsinformationen, som fakturor och verifikationer, som ska sparas. Säljanteckningar, mötesnoteringar och marknadsföringspreferenser behöver inte ligga kvar, och bokföringsunderlaget ska hållas avskilt från det dagliga arbetet.
Vad är skillnaden mellan att radera och att avidentifiera?
Vid radering tar du bort uppgifterna helt. Vid avidentifiering tar du bort allt som kan peka ut en person men behåller till exempel statistik över affärer. Båda uppfyller huvudregeln när ändamålet är slut, så länge ingen person går att identifiera efteråt.
Källor
- IMY: Hur länge får vi spara personuppgifter?
- IMY: Grundläggande principer enligt GDPR
- IMY: Inbyggt dataskydd och dataskydd som standard
- IMY: Det här behöver ni som förening göra
- IMY: Rätt att göra invändningar
- IMY: Klagomål till IMY, den nationella bilden 2021
- IMY: Beslut efter tillsyn, Moderaterna 2025
- Europeiska kommissionen: Principles of the GDPR
- Skatteverket: Bokföring, vad kräver lagen?
- FAR: Integritetspolicy, marknadsföring
- Fortum: Lagringsperioder för personuppgifter
- Motorbranschen: GDPR-fråga 2