Datavernietiging voor bedrijven: alles over AVG-compliance bij IT-afdanking

In dit artikel:

Organisaties die persoonsgegevens verwerken, zijn volgens de AVG verplicht om gegevens veilig en aantoonbaar te vernietigen zodra de bewaartermijn is verstreken of hardware wordt afgeschreven. Dat geldt voor onder meer laptops, servers, smartphones, usb-sticks en printerschijven. Het artikel waarschuwt dat veel IT-managers dit onderdeel van de hardware-afvoer onderschatten, terwijl slordige datavernietiging kan leiden tot datalekken, hoge boetes, reputatieschade en aansprakelijkheid.

De AVG schrijft in artikel 5 opslagbeperking voor en artikel 17 geeft betrokkenen het recht op verwijdering. Daarom moet elke uitgaande datadrager worden gewist of fysiek vernietigd, met documentatie die later kan worden overlegd. Een simpel intern overzicht is niet genoeg: organisaties hebben een certificaat van vernietiging nodig met serienummers, datum en gebruikte methode.

Het artikel maakt onderscheid tussen wipen en shredden. Wipen overschrijft gegevens met speciale software en is geschikt voor nog werkende HDD’s en SSD’s, die daarna opnieuw gebruikt kunnen worden. Shredden vernietigt de drager fysiek en is nodig bij defecte media of bij zeer gevoelige informatie. Voor uitbestede vernietiging is een gecertificeerde partij belangrijk, bijvoorbeeld met normen als ISO 27001, ADISA, WEEELABEX, MRF en DIN 66399.

Wie datavernietiging niet goed regelt, loopt het risico dat oude bedrijfsgegevens op tweedehands apparaten blijven staan. Als zo’n lek ontstaat, moet het worden gemeld bij de Autoriteit Persoonsgegevens en bij betrokkenen. Volgens het artikel is uitbesteden van datavernietiging voor de meeste organisaties de veiligste en praktischste oplossing.