Hoe lang moet je een dataverwijderingscertificaat bewaren?

Een dataverwijderingscertificaat bewaar je minimaal vijf jaar. Dit sluit aan op de algemene bewaartermijn die de AVG en de Nederlandse belastingwetgeving hanteren voor administratieve documenten. Voor sommige sectoren, zoals de financiële sector of de overheid, geldt een langere termijn van zeven jaar of meer. In dit artikel beantwoorden we de meest gestelde vragen over de bewaartermijn en het correct beheren van je certificaten.

Wat staat er precies in een dataverwijderingscertificaat?

Een dataverwijderingscertificaat is een officieel document dat bewijst dat gegevens op een apparaat aantoonbaar en onherstelbaar zijn verwijderd. Het certificaat bevat de essentiële informatie die nodig is om bij een audit of controle aan te tonen dat je aan de AVG-verplichtingen hebt voldaan.

Een volledig certificaat bevat doorgaans de volgende gegevens:

• De datum waarop de datawissing heeft plaatsgevonden
• Het serienummer en het type apparaat
• De gebruikte wismethode of het gebruikte softwareprogramma
• De naam van de uitvoerende partij of medewerker
• Een verklaring dat de data onherstelbaar is verwijderd
• Een handtekening of digitale validatie van de uitvoerende partij

Zonder deze elementen heeft het certificaat weinig bewijskracht. Zorg er dus voor dat het document compleet is voordat je het archiveert. Een onvolledig certificaat biedt bij een datalek of AVG-controle geen afdoende bescherming.

Hoe lang moet je een dataverwijderingscertificaat wettelijk bewaren?

Wettelijk gezien geldt voor een dataverwijderingscertificaat een bewaartermijn van minimaal vijf jaar. De AVG schrijft voor dat je als verwerkingsverantwoordelijke kunt aantonen dat je aan je verplichtingen voldoet, ook achteraf. De Nederlandse Belastingdienst hanteert bovendien een algemene bewaarplicht van zeven jaar voor zakelijke administratie.

In de praktijk adviseren juridische experts en privacytoezichthouders om de langste van toepassing zijnde termijn aan te houden. Dat betekent voor de meeste organisaties: zeven jaar bewaren. Zo ben je in alle gevallen gedekt.

Uitzonderingen zijn er voor:

• Overheidsinstanties: hier geldt vaak een archiefplicht van tien jaar of langer
• Zorginstellingen: medische dossiers en bijbehorende verwerkingsdocumenten kennen een eigen wettelijke termijn
• Financiële instellingen: toezichthouders zoals de AFM kunnen langere bewaartermijnen opleggen

Twijfel je over de termijn die voor jouw organisatie geldt? Raadpleeg je juridisch adviseur of privacy officer. Het is altijd veiliger om langer te bewaren dan te kort.

Wat zijn de risico’s van het te vroeg weggooien van het certificaat?

Het te vroeg vernietigen van een dataverwijderingscertificaat brengt serieuze risico’s met zich mee. Zonder dit bewijs kun je bij een datalek of AVG-controle niet aantonen dat je data correct is verwijderd. De Autoriteit Persoonsgegevens kan dan een boete opleggen, ook als de data zelf allang weg is.

De concrete risico’s zijn:

1. Boetes van de Autoriteit Persoonsgegevens: bij een datalek ben je verplicht aan te tonen dat je verantwoord hebt gehandeld. Zonder certificaat heb je geen bewijs.
2. Aansprakelijkheid bij claims: als een betrokkene beweert dat zijn of haar data onrechtmatig is verwerkt, kun je je zonder certificaat niet verweren.
3. Reputatieschade: een organisatie die niet kan aantonen zorgvuldig met data om te gaan, verliest het vertrouwen van klanten en partners.
4. Problemen bij audits: ISO-certificeringen en andere kwaliteitsaudits vragen vaak om aantoonbaar bewijs van datawissing over meerdere jaren.

Kortom: het certificaat is goedkoop om te bewaren en duur om te missen. Sla het op als onderdeel van je standaardadministratie.

Waar kun je dataverwijderingscertificaten het beste opslaan?

Bewaar dataverwijderingscertificaten op een veilige, toegankelijke en gestructureerde locatie. De beste aanpak is een combinatie van digitale opslag in een beveiligd documentmanagementsysteem en een fysieke back-up voor kritieke documenten. Zo ben je beschermd tegen dataverlies en kun je snel terugvinden wat je nodig hebt bij een controle.

Praktische richtlijnen voor opslag:

• Gebruik een centraal documentmanagementsysteem met toegangscontrole
• Koppel elk certificaat aan het bijbehorende apparaatnummer of inkooporder
• Maak een back-up op een aparte locatie of in de cloud
• Stel een herinneringssysteem in voor de verlooptermijn van de bewaarplicht
• Beperk de toegang tot bevoegde medewerkers, zoals de IT-beheerder of privacy officer

Vermijd het opslaan van certificaten in losse e-mailmappen of op persoonlijke schijven. Die zijn moeilijk terug te vinden en kwetsbaar bij personeelsverloop of systeemwisseling.

Geldt dezelfde bewaartermijn voor geleasede of gehuurde apparatuur?

Ja, ook voor geleasede of gehuurde apparatuur geldt dezelfde bewaartermijn voor het dataverwijderingscertificaat. Zodra jouw organisatie data op een apparaat heeft opgeslagen, ben jij verantwoordelijk voor de correcte verwijdering daarvan, ongeacht wie eigenaar is van het apparaat. De AVG kijkt naar de verwerkingsverantwoordelijke, niet naar de eigenaar van de hardware.

Dit betekent dat je bij het inleveren van geleasede apparatuur altijd moet eisen dat de leasemaatschappij of de verwerker een dataverwijderingscertificaat afgeeft. Bewaar dat certificaat vervolgens minimaal vijf tot zeven jaar in je eigen administratie.

Let op: sommige leasemaatschappijen bieden dataverwijdering als dienst aan, maar geven niet automatisch een certificaat mee. Vraag hier expliciet naar bij het afsluiten van het leasecontract. Leg dit ook contractueel vast, zodat er geen discussie over ontstaat bij het inleveren van de apparatuur.

Wanneer heb je een dataverwijderingscertificaat niet nodig?

Je hebt geen dataverwijderingscertificaat nodig als er nooit persoonsgegevens of vertrouwelijke bedrijfsinformatie op het apparaat zijn opgeslagen. Denk aan nieuwe apparatuur die rechtstreeks uit de doos in gebruik wordt genomen, of aan apparaten die uitsluitend voor publieke of anonieme taken zijn gebruikt.

Situaties waarbij een certificaat doorgaans niet nodig is:

• Apparaten die nooit zijn opgestart of in gebruik genomen
• Hardware zonder opslagmedium, zoals monitoren, kabels of randapparatuur zonder geheugen
• Apparaten die uitsluitend zijn gebruikt voor anonieme testomgevingen zonder echte data

Twijfel je of er data op staat? Dan is het verstandig om toch een professionele dataverwijdering te laten uitvoeren en een certificaat op te vragen. Beter een certificaat te veel dan een datalek te weinig.

Hoe SNEW helpt met dataverwijdering en certificering

Bij SNEW begrijpen we dat dataverwijdering meer is dan een technische handeling. Het is een juridische verplichting met concrete gevolgen als je het niet goed aanpakt. Wij zorgen voor een volledige, aantoonbare en gecertificeerde dataverwijdering voor alle soorten ICT-apparatuur, van laptops tot servers en van smartphones tot telecomapparatuur.

Wat wij voor je regelen:

• Professionele datawissing volgens erkende standaarden
• Een officieel dataverwijderingscertificaat per apparaat, inclusief serienummer en wismethode
• Verantwoorde verwerking van apparatuur die niet meer te refurbishen is
• Transparante rapportage zodat je administratie altijd op orde is
• Ophalen en verwerken van grote volumes apparatuur op locatie of bij ons

Wil je weten hoe wij jouw oude ICT-apparatuur veilig en verantwoord verwerken? Bekijk onze all-in-one service of neem direct contact met ons op. We denken graag met je mee over de beste aanpak voor jouw situatie. U belt, wij zijn flexibel.