Wat je moet vastleggen voor aantoonbare datavernietiging

Oude laptops, servers en telefoons verdwijnen in veel organisaties in een kast voor later. Begrijpelijk: er staat mogelijk gevoelige informatie op en niemand wil verantwoordelijk zijn voor een datalek. Toch is uitstel zelden een oplossing. Juist bij de afvoer van IT-hardware ontstaan risico’s, omdat data op harde schijven, SSD’s en mobiele apparaten vaak langer aanwezig blijft dan je denkt. Ook losse datadragers zoals USB-sticks en externe schijven worden in de praktijk nog weleens vergeten.

In dit artikel lees je wat AVG-proof datavernietiging in de praktijk betekent, welke keuzes je hebt (data veilig wissen of een harde schijf vernietigen) en hoe je het proces zo inricht dat je bij een audit kunt aantonen dat alles klopt.

Wanneer is datavernietiging AVG-proof

De AVG vraagt om passende beveiliging gedurende de hele levenscyclus van persoonsgegevens. Dat stopt niet bij het laatste gebruik. Het loopt door tot en met de afvoer van oude computers, servers en andere gegevensdragers. Als een schijf via een omweg bij derden belandt, kan dat leiden tot meldplicht, reputatieschade en boetes.

Formatteren of bestanden verwijderen is geen vernietiging. Met herstelsoftware is veel terug te halen. AVG-proof werken betekent dat je kiest voor een methode die aantoonbaar en onomkeerbaar is. Die keuze moet passen bij de gevoeligheid van de data en je interne beleid.

Data wissen of fysieke vernietiging van datadragers

• Gecertificeerd wissen: data wordt met software overschreven en gecontroleerd. Dit is geschikt als je apparatuur wilt hergebruiken, laten refurbishen of intern opnieuw wilt uitrollen.
• Fysiek vernietigen: de datadrager wordt versnipperd (shredderen) of anderszins onbruikbaar gemaakt. Dit past bij zeer gevoelige informatie, of wanneer hergebruik geen rol speelt.

Welke optie past, hangt af van je dataclassificatie, interne richtlijnen en de vraag of je nog restwaarde uit de hardware wilt halen.

Zo maak je het proces audit-proof

1. Identificeer en registreer alle datadragers

Denk aan laptops, desktops, servers, losse HDD’s/SSD’s, telefoons, tablets, tapes en USB-sticks. Koppel ze aan asset-tags of serienummers.

2. Kies vooraf de juiste methode

Leg vast wanneer je kiest voor data veilig wissen en wanneer je kiest voor vernietiging van datadragers. Maak ook duidelijk wie dit mag besluiten.

3. Zorg voor veilige opslag en transport

Zet af te voeren apparatuur niet onbeheerd neer. Werk met afgesloten rolcontainers of verzegelde bakken en houd ketencontrole bij.

4. Vraag om bewijs per drager

Vraag om een vernietigingscertificaat en een rapportage die herleidbaar is naar individuele dragers. Denk aan een lijst met serienummers, de gekozen methode en de datum van verwerking.

5. Leg vast wat er met de hardware gebeurt

Worden apparaten hergebruikt, gedemonteerd of gerecycled? Ook dit hoort bij verantwoord afvoeren van oude laptops en servers.

Waar let je op bij een gecertificeerde partner

Een gecertificeerde IT-recycling- en datavernietigingspartner kan het traject beheersbaar maken: ophalen, registreren, data verwijderen, vernietigen en rapporteren. Dat scheelt tijd en verkleint de kans op fouten.

Let bij je keuze op certificering (bijvoorbeeld WEEELABEX), keuze in methoden (wissen en shredderen), doorlooptijd, rapportage per datadrager en duurzame verwerking. Wil je zien hoe zo’n traject eruitziet, lees dan meer over datavernietiging.