Hoe vraag je een certificaat aan voor dataverwijdering?

Een certificaat van dataverwijdering vraag je aan bij de partij die de dataverwijdering uitvoert, zoals een gecertificeerde refurbisher of IT-assetmanager. Na de verwijdering ontvang je een schriftelijk bewijs waarop staat welke apparaten zijn verwerkt, welke methode is gebruikt en dat de data onherstelbaar is gewist. Dit document is je officiële bewijs van dataverwijdering voor audits, klanten en toezichthouders. In dit artikel beantwoorden we de meest gestelde vragen over het aanvragen, bewaren en gebruiken van een dataverwijderingscertificaat.

Wat staat er in een certificaat van dataverwijdering?

Een certificaat van dataverwijdering is een officieel document dat bewijst dat data op een apparaat volledig en onherstelbaar is verwijderd. Het certificaat bevat minimaal de apparaatgegevens, de gebruikte verwijderingsmethode, de datum van verwijdering en een verklaring dat de data niet meer toegankelijk is.

Een volledig en betrouwbaar certificaat bevat doorgaans de volgende gegevens:

• Serienummer en type van het apparaat
• Datum en locatie van de dataverwijdering
• Gebruikte methode (software-gebaseerd overschrijven of fysieke vernietiging)
• Naam en certificering van de uitvoerende partij
• Handtekening of digitale bevestiging van de verantwoordelijke
• Verklaring dat de data onherstelbaar is verwijderd

Hoe meer detail het certificaat bevat, hoe sterker je bewijs staat bij een audit of inspectie. Een vaag document zonder serienummers of methodeomschrijving biedt weinig juridische bescherming.

Wanneer ben je verplicht een certificaat van dataverwijdering aan te vragen?

Je bent verplicht een bewijs van dataverwijdering aan te vragen zodra je apparatuur met persoonsgegevens buiten je eigen beheer brengt. Dit volgt direct uit de AVG (Algemene Verordening Gegevensbescherming), de Nederlandse uitvoering van de GDPR. Organisaties die persoonsgegevens verwerken, zijn verantwoordelijk voor die data tot het moment van aantoonbare vernietiging.

Praktisch gezien geldt de verplichting in deze situaties:

• Je verkoopt of doneert gebruikte laptops, telefoons of servers
• Je geeft apparatuur in voor refurbishment of reparatie
• Je laat apparatuur ophalen voor recycling of verwerking
• Je vervangt hardware binnen een organisatie en stoot oude apparaten af

Ook als je geen grote organisatie bent, geldt de AVG. Een zzp’er met klantgegevens op een oude laptop is net zo goed verantwoordelijk als een groot bedrijf. Het veilig wissen van data en het bewaren van het bijbehorende certificaat is geen optie, maar een verplichting.

Hoe vraag je een certificaat van dataverwijdering aan bij een refurbisher?

Een certificaat van dataverwijdering aanvragen bij een refurbisher gaat in een paar stappen. Je meldt je apparatuur aan, de refurbisher verwijdert de data volgens een erkende methode en je ontvangt automatisch het certificaat na afloop. Bij een goede partij hoef je er zelf weinig voor te doen.

Zo verloopt het proces stap voor stap:

1. Neem contact op met de refurbisher en geef aan welke apparatuur je wilt aanbieden en dat je een certificaat nodig hebt.
2. Lever de apparatuur in of laat deze ophalen. Noteer de serienummers vooraf, zodat je het certificaat later kunt controleren.
3. De refurbisher voert de dataverwijdering uit volgens een erkende norm zoals NIST 800-88 of Blancco.
4. Je ontvangt het certificaat, digitaal of op papier, met alle relevante gegevens per apparaat.
5. Bewaar het certificaat op een veilige locatie binnen je administratie.

Vraag vooraf altijd welke norm wordt gebruikt en of het certificaat per apparaat of per batch wordt afgegeven. Een certificaat per apparaat geeft de sterkste bewijspositie.

Wat is het verschil tussen dataverwijdering en fysieke vernietiging?

Dataverwijdering wist de data softwarematig, zodat het apparaat daarna hergebruikt kan worden. Fysieke vernietiging maakt het opslagmedium onbruikbaar door het te shredderen of te demagnetiseren. Beide methoden leveren een certificaat op, maar alleen dataverwijdering laat het apparaat intact voor een tweede leven.

Het verschil zit vooral in het doel en de uitkomst:

• Dataverwijdering: Data wordt overschreven met erkende software. Het apparaat blijft functioneel en kan worden gerefurbisht, verkocht of gedoneerd. Dit is de duurzamere keuze en past binnen de circulaire economie.
• Fysieke vernietiging: Het opslagmedium wordt mechanisch vernietigd. Noodzakelijk bij beschadigde schijven of wanneer de data extreem gevoelig is. Het apparaat is daarna niet meer bruikbaar.

Fysieke vernietiging is dus niet per definitie veiliger. Gecertificeerde softwarematige dataverwijdering voldoet volledig aan de AVG en is in de meeste gevallen de betere keuze, zeker als je de apparatuur wilt inleveren voor hergebruik.

Welke normen en certificeringen gelden voor dataverwijdering?

Voor dataverwijdering gelden internationale normen die bepalen hoe grondig data wordt overschreven en hoe het proces wordt gedocumenteerd. De meest gebruikte normen zijn NIST 800-88, DoD 5220.22-M en de Blancco-standaard. Een certificaat is pas geldig als de verwijdering aantoonbaar volgens zo’n erkende norm is uitgevoerd.

De bekendste normen op een rij:

• NIST 800-88: De Amerikaanse standaard van het National Institute of Standards and Technology. Breed erkend en geschikt voor vrijwel alle opslagmedia.
• DoD 5220.22-M: Oorspronkelijk een Amerikaanse defensienorm. Populair in Europa, hoewel NIST 800-88 inmiddels de voorkeur heeft.
• Blancco: Gecertificeerde software die veel professionele refurbishers gebruiken. Genereert automatisch een auditrapport per apparaat.
• ISO 27001: Een bredere informatiebeveiligingsnorm waaronder dataverwijdering valt als onderdeel van het totale beveiligingsbeleid.

Vraag bij je refurbisher altijd welke norm wordt toegepast en of de uitvoerende partij zelf gecertificeerd is. Een ISO 27001-gecertificeerde organisatie biedt extra zekerheid over het totale proces.

Hoe bewaar je een certificaat van dataverwijdering correct?

Bewaar een certificaat van dataverwijdering minimaal vijf jaar, bij voorkeur digitaal op een beveiligde locatie. De AVG schrijft geen exacte bewaartermijn voor, maar bij een datalek of audit moet je het bewijs direct kunnen overleggen. Hoe langer je het bewaart, hoe sterker je positie.

Praktische tips voor correct bewaren:

• Sla het certificaat op in een beveiligde map in je cloudomgeving of documentbeheersysteem
• Koppel het certificaat aan het interne dossier van het betreffende apparaat of de betreffende batch
• Maak een back-up op een tweede locatie, zodat je bij een systeemstoring niet zonder bewijs zit
• Noteer de datum van ontvangst en de naam van de uitvoerende partij in je eigen administratie
• Zorg dat de juiste persoon binnen je organisatie toegang heeft, zoals de functionaris gegevensbescherming

Bij een GDPR-audit of een klacht van een betrokkene ben je verplicht te bewijzen dat data aantoonbaar is verwijderd. Een goed gearchiveerd certificaat is dan je sterkste verdediging.

Hoe SNEW helpt met dataverwijdering en certificering

Wij nemen het volledige proces van dataverwijdering uit handen. Van ophalen tot certificaat: je hoeft er zelf niets voor te regelen. Onze aanpak is praktisch, transparant en volledig AVG-proof.

Dit is wat wij voor je doen:

• Ophalen of innemen van je gebruikte ICT-apparatuur
• Professionele dataverwijdering volgens erkende normen
• Afgifte van een certificaat per apparaat met alle benodigde gegevens
• Refurbishment van apparatuur die nog een tweede leven verdient
• Verantwoorde verwerking van apparatuur die niet meer te refurbishen is

Onze all-in-one service zorgt ervoor dat jij niets hoeft te regelen. Je levert in, wij zorgen voor de rest, inclusief het bewijs. Wil je weten wat wij voor jouw organisatie kunnen betekenen? Neem contact op en we kijken samen naar de beste aanpak.