Nee, standaard wissen is niet voldoende voor GDPR-compliance. De AVG vereist dat persoonsgegevens op een aantoonbaar veilige manier worden verwijderd. Simpel verwijderen of formatteren laat data herstelbaar achter. Organisaties zijn verplicht om te kunnen bewijzen dat gegevens onherstelbaar zijn vernietigd. In dit artikel beantwoorden we de meest gestelde vragen over GDPR-conform data wissen.
De GDPR, in Nederland bekend als de AVG, verplicht organisaties om persoonsgegevens te wissen zodra ze niet langer nodig zijn. Dat wissen moet aantoonbaar en onherstelbaar zijn. Je moet kunnen bewijzen dat gegevens zijn vernietigd, met een datum, methode en verantwoordelijke persoon. Zonder bewijs voldoe je niet aan de wet.
De AVG stelt geen specifieke technische methode voor gegevensvernietiging verplicht. Wel eist de wet dat de gekozen methode effectief is en aansluit op de gevoeligheid van de data. Hoe gevoeliger de informatie, hoe strenger de vereisten. Denk aan medische dossiers, financiële gegevens of klantinformatie.
Organisaties zijn ook verplicht om een verwerkingsregister bij te houden. Daarin staat welke gegevens worden bewaard, hoe lang en hoe ze worden vernietigd. Dit is geen optie, maar een wettelijke verplichting voor vrijwel alle bedrijven.
Wissen, overschrijven en vernietigen zijn drie verschillende methoden voor het verwijderen van data, elk met een ander niveau van veiligheid. Wissen maakt bestanden onzichtbaar maar laat de data herstelbaar achter. Overschrijven vervangt de data meerdere keren met willekeurige informatie. Vernietigen maakt de drager fysiek onbruikbaar.
Wanneer je een bestand verwijdert of een schijf formatteert, verwijder je alleen de verwijzing naar het bestand. De data zelf blijft op de schijf staan totdat die ruimte wordt overschreven. Met eenvoudig te gebruiken herstelsoftware is deze data eenvoudig terug te halen. Dit is waarom standaard wissen onvoldoende is voor AVG-compliance.
Overschrijven, ook wel degaussing of data wiping genoemd, vervangt alle data op de schijf meerdere keren. Dit is een erkende methode voor veilig gegevens verwijderen. Fysieke vernietiging, zoals shredden of demagnetiseren, maakt de drager volledig onbruikbaar. Beide methoden zijn geschikt voor GDPR-compliance, mits goed gedocumenteerd.
Standaard wissen voldoet niet aan de AVG omdat het geen onherstelbare verwijdering garandeert. Data die alleen is gewist of geformatteerd, is met vrij beschikbare software te herstellen. Dat betekent dat persoonsgegevens nog steeds toegankelijk zijn voor onbevoegden. De AVG vereist dat dit risico volledig is uitgesloten.
Een ander probleem is het gebrek aan bewijs. Standaard wissen laat geen auditspoor achter. Je kunt niet aantonen wanneer de data is gewist, door wie en met welke methode. Bij een datalek of controle door de Autoriteit Persoonsgegevens is dat een serieus probleem.
Bovendien geldt dit voor alle soorten opslagmedia. Harde schijven, SSD’s, USB-sticks, smartphones en tablets. Elk apparaat dat persoonsgegevens bevat, valt onder de GDPR-verplichting. Een harde schijf wissen via het besturingssysteem is simpelweg niet genoeg.
Een gecertificeerd vernietigingsrapport, ook wel een certificate of destruction of datavernietigingscertificaat genoemd, is het bewijs dat gegevens GDPR-conform zijn vernietigd. Dit document vermeldt het serienummer van het apparaat, de gebruikte methode, de datum en de verantwoordelijke partij. Zonder dit certificaat heb je geen aantoonbare GDPR-compliance.
De meest gebruikte normen voor gecertificeerde dataverwijdering zijn:
Kies altijd een partner die een schriftelijk certificaat verstrekt. Dat certificaat is jouw bewijs richting toezichthouders en klanten. Bewaar het minimaal zo lang als je verwerkingsregister vereist.
Een professioneel refurbishbedrijf wist alle data op ingeleverde apparatuur voordat het refurbishproces begint. Dit gebeurt met gecertificeerde wiping-software die een auditrapport genereert. Pas na volledige en aantoonbare dataverwijdering wordt het apparaat beoordeeld, gerepareerd en teruggebracht naar zo goed als nieuwe kwaliteit.
Refurbished apparatuur is betrouwbaar en duurzaam, maar alleen als het proces goed is ingericht. Een serieuze refurbisher werkt met gedocumenteerde procedures en verstrekt per apparaat een vernietigingscertificaat. Zo weet jij als klant zeker dat er geen persoonsgegevens op het apparaat achterblijven.
Wil je weten hoe veilige dataverwijdering in de praktijk werkt? Een professionele partner combineert GDPR-compliance met verantwoord hergebruik van apparatuur. Dat is goed voor jouw organisatie en voor het milieu.
Fysieke vernietiging is de enige optie wanneer een opslagmedium defect is en niet meer kan worden aangesproken door wiping-software. Een kapotte harde schijf of een beschadigde SSD kan niet softwarematig worden gewist. In dat geval is shredden of demagnetiseren de enige manier om GDPR-compliant te zijn.
Ook bij extreem gevoelige data, zoals medische of juridische informatie, kiezen veel organisaties bewust voor fysieke vernietiging. Het risico op dataherstel is dan volledig uitgesloten. Fysieke vernietiging is duurder en minder duurzaam dan refurbishment, maar soms de enige verantwoorde keuze.
Let op: ook bij fysieke vernietiging heb je een certificaat nodig. Het bewijs van vernietiging is net zo belangrijk als de vernietiging zelf.
Een GDPR-conform IT-afvoerbeleid beschrijft stap voor stap hoe jouw organisatie omgaat met het afvoeren van apparatuur die persoonsgegevens bevat. Het beleid moet concreet, uitvoerbaar en aantoonbaar zijn. Zonder schriftelijk beleid is het moeilijk om bij een controle of datalek aan te tonen dat je de juiste stappen hebt gevolgd.
Een volledig IT-afvoerbeleid bevat minimaal de volgende elementen:
Een goed beleid sluit aan op je verwerkingsregister en je algemene informatiebeveiligingsbeleid. Zorg dat medewerkers weten wat ze moeten doen als een apparaat wordt afgedankt. Onduidelijkheid is de grootste risicofactor.
Wij zorgen ervoor dat jouw apparatuur op een aantoonbaar veilige manier wordt verwerkt, van begin tot eind. Geen gedoe, geen risico’s en geen losse eindjes. Dit is wat wij voor jou regelen:
U belt, wij zijn flexibel. Of het nu gaat om een enkele laptop of een volledig serverpark, wij passen ons aan jouw situatie aan. Wil je weten hoe wij jouw organisatie kunnen helpen? Bekijk onze dataverwijderingsdienst of neem direct contact op voor een vrijblijvend gesprek. Je kunt ook alvast kijken wat er mogelijk is als je apparatuur wilt inleveren.
Voor vragen en aanvragen over onze diensten staan wij je graag te woord.
+31 (0)88 024 79 00