Veilige dataverwijdering: waar moet u als organisatie op letten?
Wanneer een laptop, server of telefoon wordt afgeschreven, verdwijnt de data daarop niet vanzelf. Toch belandt afgeschreven apparatuur regelmatig bij een verwerker of zelfs op de tweedehandsmarkt zonder dat de gegevens volledig zijn verwijderd. Voor organisaties die persoons- of bedrijfsgegevens beheren is dat een serieus risico. In dit artikel leest u waar u op moet letten om data veilig en aantoonbaar te verwijderen.
Waarom verwijderen alleen niet genoeg is
Veel mensen denken dat data weg is zodra een bestand in de prullenbak verdwijnt of een schijf wordt geformatteerd. Dat is een misverstand. Bij een gewone verwijdering blijft de onderliggende data vaak gewoon terug te halen met de juiste software. Pas wanneer gegevens op de juiste manier worden overschreven of de drager fysiek wordt vernietigd, zijn ze echt onherstelbaar verwijderd.
Voor afgeschreven apparatuur betekent dit dat een formattering of fabrieksreset onvoldoende is. Wie dataveiligheid serieus neemt, kiest voor een gecertificeerde methode die aantoonbaar elke vorm van reconstructie uitsluit.
De twee methoden: wissen en fysiek vernietigen
Er zijn grofweg twee manieren om data definitief te verwijderen.
Bij datawiping wordt de opslag op meerdere niveaus overschreven met gespecialiseerde software, zodat de oorspronkelijke gegevens niet meer te herstellen zijn. Het grote voordeel is dat de hardware intact blijft en daarna kan worden hergebruikt of doorverkocht. Zo combineert u dataveiligheid met behoud van restwaarde.
Bij fysieke vernietiging wordt de gegevensdrager onbruikbaar gemaakt, bijvoorbeeld door versnippering volgens de DIN 66399-norm of door een degausser die het magnetische veld wist. Deze methode is bedoeld voor situaties waarin de hardware niet wordt hergebruikt of waarin de hoogste zekerheid vereist is.
Een goede verwerkingspartner kiest per situatie de juiste methode en kan beide aanbieden.
Let op certificering en normen
De kern van veilige dataverwijdering is dat u het kunt aantonen. Daarom is certificering zo belangrijk. Werk samen met een partij die werkt volgens erkende normen en standaarden, zoals ISO-certificeringen voor informatiebeveiliging en internationaal erkende normen voor datawiping.
Vraag altijd om een certificaat van datavernietiging per verwerkt apparaat. Dit document is uw bewijs dat de gegevens correct en volledig zijn verwijderd. Zonder dat bewijs heeft u geen onderbouwing als er ooit vragen worden gesteld over de verwerking.
Dataverwijdering en de AVG
Onder de Algemene verordening gegevensbescherming (AVG) bent u verantwoordelijk voor persoonsgegevens gedurende de volledige levenscyclus, ook nadat de apparatuur is afgeschreven. Een datalek via weggegooide of doorverkochte hardware valt onder dezelfde regels als elk ander lek, met mogelijke boetes en reputatieschade tot gevolg.
Voor organisaties in de overheid, het onderwijs en de zorg weegt dit extra zwaar. Zij verwerken bijzonder gevoelige gegevens en moeten kunnen aantonen dat afgeschreven apparatuur aantoonbaar AVG-compliant is verwerkt. Een gecertificeerd proces met heldere rapportage is daarvoor de enige betrouwbare basis.
Waar u op moet letten: een checklist
Kort samengevat let u bij veilige dataverwijdering op de volgende punten: kies een gecertificeerde methode in plaats van een gewone verwijdering, laat per apparaat een certificaat van datavernietiging opstellen, werk met een partner die zowel datawiping als fysieke vernietiging biedt en zorg dat het hele proces transparant wordt vastgelegd. Zo voldoet u aantoonbaar aan de AVG en voorkomt u onnodige risico's.
