Iedere organisatie die persoonsgegevens verwerkt, valt onder de Algemene verordening gegevensbescherming (AVG). Die verplichting stopt niet op het moment dat een laptop of server wordt afgeschreven. Zolang er data op een apparaat staat, ben je verantwoordelijk voor die gegevens. In dit artikel lees je wat de AVG betekent voor het afvoeren van hardware en hoe je laat zien dat je het goed hebt geregeld.
Wat zegt de AVG over het vernietigen van data?
De AVG noemt geen specifieke vernietigingsmethode, maar stelt wel duidelijke eisen. Persoonsgegevens moeten passend beveiligd worden, ook tegen ongeoorloofde toegang en verlies (artikel 5 en artikel 32). Daarnaast mag je persoonsgegevens niet langer bewaren dan nodig is. Een afgeschreven harde schijf met oude klantgegevens voldoet aan geen van beide eisen.
Daarnaast geldt de verantwoordingsplicht: je moet kunnen aantonen dat je aan de AVG voldoet. Het is dus niet genoeg om data te vernietigen; je moet het ook kunnen bewijzen.
Wat gebeurt er als het misgaat?
Raakt een oude laptop of schijf met persoonsgegevens kwijt, of komt hij ongewist in verkeerde handen, dan is er sprake van een datalek. Zo’n lek moet je in veel gevallen binnen 72 uur melden bij de Autoriteit Persoonsgegevens. De AVG kent boetes tot €20 miljoen of 4% van de wereldwijde jaaromzet. Minstens zo groot is de reputatieschade wanneer klanten horen dat hun gegevens op een tweedehands apparaat zijn teruggevonden.
Vier stappen voor AVG-proof datavernietiging
1. Breng je datadragers in kaart
Denk verder dan laptops en servers. Ook smartphones, tablets, USB-sticks, back-uptapes, NAS-systemen, printers en netwerkapparatuur kunnen gegevens bevatten.
2. Kies de juiste methode
Werkende apparaten kunnen gecertificeerd gewist worden, bijvoorbeeld met Blancco-software, zodat ze daarna hergebruikt kunnen worden. Defecte datadragers of zeer gevoelige data vernietig je fysiek met een shredder volgens de norm DIN 66399. Lees meer over de verschillende methodes op onze pagina over datavernietiging.
3. Beveilig de keten
Het risico zit niet alleen in de vernietiging zelf, maar ook in de weg ernaartoe. Waar staan de apparaten tot ze worden opgehaald? Wie vervoert ze en hoe? Reuzado werkt met eigen chauffeurs en afgesloten rolcontainers, en registreert elke datadrager bij binnenkomst. Wil je dat de data het pand helemaal niet verlaat, kies dan voor datavernietiging op locatie.
4. Leg alles vast
Zorg voor een certificaat van vernietiging met serienummers en datum per datadrager, en bewaar dat in je administratie. Schakel je een externe partij in, leg dan ook de afspraken over de verwerking schriftelijk vast. Die partij verwerkt immers jouw persoonsgegevens.
Waar let je op bij het kiezen van een partij?
- Werkt de partij volgens erkende normen, zoals ISO 27001 en DIN 66399?
- Ontvang je een certificaat per datadrager, met serienummer?
- Is het transport beveiligd en traceerbaar?
- Kun je de verwerking volgen en terugvinden, bijvoorbeeld in een klantportaal?
Reuzado werkt volgens ISO 27001 en DIN 66399, is Blancco ITAD Gold Partner en levert per datadrager een certificaat via het Circu-IT klantportaal. Zo heb je bij een audit direct alles bij de hand.
Wil je weten hoe je jouw afgeschreven IT AVG-proof afvoert? Bekijk onze aanpak voor datavernietiging of vraag een vrijblijvende offerte aan.
Veelgestelde vragen
Schrijft de AVG een bepaalde vernietigingsmethode voor?
Nee. De AVG eist passende beveiliging en dat je kunt aantonen dat je aan de regels voldoet. Erkende normen zoals DIN 66399 en gecertificeerde wissoftware helpen je om dat aan te tonen.
Moet ik een verloren of ongewiste laptop melden?
Als er persoonsgegevens op staan en die in verkeerde handen kunnen komen, is er sprake van een datalek. Zo’n lek moet je in veel gevallen binnen 72 uur melden bij de Autoriteit Persoonsgegevens.
Hoe lang bewaar ik een certificaat van datavernietiging?
Bewaar het certificaat in je administratie zolang je moet kunnen aantonen wat er met de gegevens is gebeurd. Stem de precieze termijn af met je functionaris gegevensbescherming of jurist.