Hoe bewijs je aan de AVG dat bedrijfsdata is vernietigd?

Om aan de AVG te bewijzen dat bedrijfsdata is vernietigd, moet je beschikken over gedocumenteerd bewijs in de vorm van een certificaat van datavernietiging. Dit certificaat toont aan welke apparatuur is verwerkt, welke methode is gebruikt en dat de data onherstelbaar is gewist of vernietigd. Voor elke organisatie die IT-apparatuur afvoert, is dit bewijs geen formaliteit maar een wettelijke verplichting. De secties hieronder beantwoorden de meest gestelde vragen over dit onderwerp, van de eisen van de AVG tot de gevolgen van ontbrekend bewijs.

Welk bewijs van datavernietiging eist de AVG van bedrijven?

De AVG eist dat organisaties kunnen aantonen dat persoonsgegevens aantoonbaar en volledig zijn vernietigd wanneer de bewaartermijn is verstreken of de gegevens niet langer nodig zijn. Dit vereiste vloeit voort uit het verantwoordingsbeginsel: de verwerkingsverantwoordelijke moet niet alleen handelen in overeenstemming met de AVG, maar dat ook kunnen bewijzen. Zonder gedocumenteerd bewijs van datavernietiging loop je als organisatie een aanzienlijk juridisch risico.

In de praktijk betekent dit dat je voor elk stuk IT-apparatuur waarop persoonsgegevens stonden, een aantoonbaar spoor moet kunnen overleggen. Dit omvat minimaal:

• Een beschrijving van de vernietigingsmethode die is toegepast
• Een identificatie van de betrokken apparatuur (serienummers, assetcodes)
• De datum waarop de vernietiging heeft plaatsgevonden
• De naam van de partij die de vernietiging heeft uitgevoerd
• Een formeel certificaat of rapport van de uitvoerende partij

Het bewijs van datavernietiging is daarmee een essentieel onderdeel van je AVG-compliancedossier. Organisaties die hun IT-apparatuur laten ophalen en verwerken door een gespecialiseerde ITAD-partner, kunnen dit bewijs doorgaans ontvangen in de vorm van een gecertificeerd rapport. Teqser biedt als onderdeel van de datavernietigingsdienst uitgebreide en gecertificeerde rapportage die direct aansluit op de eisen van de AVG.

Wat is een certificaat van datavernietiging en wat moet erin staan?

Een certificaat van datavernietiging is een formeel document dat bewijst dat data op een specifiek apparaat onherstelbaar is gewist of vernietigd. Het is het primaire bewijsmiddel waarmee een organisatie bij een audit of datalek kan aantonen dat zij haar verplichtingen onder de AVG is nagekomen. Zonder dit document bestaat er geen aantoonbaar bewijs van naleving.

Een volledig en geldig certificaat van datavernietiging bevat minimaal de volgende elementen:

• Unieke apparaatidentificatie: serienummer, merk, model en assetcode van elk verwerkt apparaat
• Toegepaste vernietigingsmethode: softwarewissing, fysieke vernietiging of een combinatie
• Datum en locatie van vernietiging
• Naam en gegevens van de uitvoerende partij
• Verificatieresultaat: bevestiging dat de data onherstelbaar is
• Handtekening of digitale validatie van de verantwoordelijke

Een sterk certificaat is apparaatspecifiek. Een algemeen document dat stelt dat “alle data is vernietigd” zonder individuele apparaatvermelding is bij een audit onvoldoende. Teqser levert per apparaat gedetailleerde rapportage als onderdeel van het hardwareopkoopproces, zodat organisaties altijd beschikken over volledig herleidbaar bewijs.

Hoe verschilt gecertificeerde softwarewissing van fysieke vernietiging als bewijs?

Gecertificeerde softwarewissing en fysieke vernietiging zijn beide geldige methoden voor datavernietiging onder de AVG, maar ze leveren een ander type bewijs op en zijn geschikt voor verschillende situaties. De keuze tussen beide methoden bepaalt mede hoe het bewijs eruitziet en hoe sterk het juridisch staat.

Gecertificeerde softwarewissing

Bij gecertificeerde softwarewissing wordt de data op een apparaat overschreven met gespecialiseerde software, zodat de opslag volledig leeg en onleesbaar is. De software genereert automatisch een gedetailleerd rapport per apparaat, met verificatie dat elke sector succesvol is overschreven. Dit rapport vormt het bewijs van datavernietiging. Het voordeel is dat het apparaat daarna opnieuw gebruikt kan worden, wat bijdraagt aan een circulaire economie. Teqser maakt gebruik van Blancco-software, waarmee per apparaat een Blancco-certificaat wordt gegenereerd dat voldoet aan internationale normen voor gecertificeerde wissing.

Fysieke vernietiging

Fysieke vernietiging houdt in dat het opslagmedium, zoals een harde schijf of SSD, mechanisch onbruikbaar wordt gemaakt door shredding of degaussing. Het bewijs bestaat hier uit een vernietigingsrapport met een beschrijving van de methode en de verwerkte apparatuur, aangevuld met een bewijs van verwerking als e-waste via gecertificeerde IT-recycling. Fysieke vernietiging is de aangewezen methode wanneer apparatuur niet meer functioneert of wanneer de risicoclassificatie van de data zo hoog is dat softwarewissing als onvoldoende wordt beschouwd.

Beide methoden zijn AVG-compliant, mits correct gedocumenteerd. De keuze hangt af van de staat van het apparaat, het type data en het beleid van de organisatie.

Welke rol speelt een gestructureerd informatiebeveiligingskader bij het aantonen van AVG-compliance voor datavernietiging?

Een ITAD-partner die werkt volgens een gestructureerd informatiebeveiligingskader biedt organisaties een sterkere basis voor AVG-compliance. Wanneer een dienstverlener zijn processen aantoonbaar heeft ingericht op veiligheid, integriteit en vertrouwelijkheid, geeft dat extra zekerheid dat het bewijs van datavernietiging dat zij leveren betrouwbaar en herleidbaar is.

Voor organisaties betekent dit concreet dat de keuze voor een gecertificeerde ITAD-partner bijdraagt aan hun eigen verantwoordingsdossier. Een partner die zijn beveiligingsprocessen structureel heeft geborgd, levert rapportage die bij een audit of toezichthouder sterker staat dan documentatie van een niet-gecertificeerde partij. De dataverwerking door Teqser is goedgekeurd op het gebied van informatiebeveiliging, wat organisaties ondersteunt bij het aantonen van hun AVG-naleving.

Hoe lang moet je bewijs van datavernietiging bewaren volgens de AVG?

De AVG stelt geen vaste bewaartermijn voor bewijs van datavernietiging, maar het verantwoordingsbeginsel vereist dat je dit bewijs kunt overleggen zolang dat redelijkerwijs relevant kan zijn. In de praktijk hanteren organisaties en toezichthouders een bewaartermijn van minimaal vijf jaar voor documentatie rondom dataverwerking en datavernietiging.

Relevante factoren bij het bepalen van de bewaartermijn zijn:

• De verjaringstermijnen die gelden voor aansprakelijkheid bij datalekken
• Sectorspecifieke regelgeving, zoals die voor financiële instellingen of zorginstellingen
• De duur van contractuele verplichtingen met opdrachtgevers of verwerkers
• Interne auditcycli en compliancevereisten

Bewaar de certificaten van datavernietiging bij voorkeur digitaal en gestructureerd per project of vervangingscyclus. Koppel de documenten aan het desbetreffende IT-assetregister zodat je per apparaat snel het bijbehorende bewijs kunt ophalen. Organisaties die gebruikmaken van de TEQBOX van Teqser voor het veilig inzamelen van apparatuur, ontvangen na verwerking automatisch de bijbehorende documentatie die ze kunnen opnemen in hun archief.

Wat gebeurt er als je bij een datalek geen bewijs van vernietiging kunt overleggen?

Als je bij een datalek geen bewijs van datavernietiging kunt overleggen, sta je als organisatie in een zeer kwetsbare positie tegenover de Autoriteit Persoonsgegevens. Het ontbreken van documentatie wordt beschouwd als een schending van het verantwoordingsbeginsel, los van de vraag of er daadwerkelijk data is gelekt. Dit kan leiden tot boetes, reputatieschade en aansprakelijkstelling door betrokkenen.

De Autoriteit Persoonsgegevens kan bij een onderzoek naar een datalek vragen om bewijs dat apparatuur waarop persoonsgegevens stonden, aantoonbaar is vernietigd. Als dat bewijs ontbreekt, gaat de toezichthouder er in het slechtste geval van uit dat de data nog toegankelijk was op het moment van het incident. Dit vergroot de ernst van het datalek aanzienlijk en verhoogt de kans op een sanctie.

Praktische gevolgen van ontbrekend bewijs kunnen zijn:

• Bestuurlijke boetes tot 4% van de wereldwijde jaaromzet of 20 miljoen euro, afhankelijk van welk bedrag hoger is
• Verplichte melding aan alle betrokken personen van wie de data mogelijk is gelekt
• Reputatieschade bij klanten, partners en aandeelhouders
• Civiele aansprakelijkheid voor geleden schade door betrokkenen

De meest effectieve manier om dit risico uit te sluiten is het structureel laten uitvoeren van datavernietiging door een gespecialiseerde ITAD-partner die gecertificeerde rapportage levert. Teqser verzorgt het volledige proces van gecertificeerde datavernietiging en levert per apparaat gedegen bewijs dat direct inzetbaar is als AVG-documentatie. Zo beschikken organisaties altijd over het bewijs dat zij nodig hebben, ook wanneer de toezichthouder aanklopt.

Gerelateerde artikelen

• Wat is ITAD en hoe helpt het jouw bedrijf bij hardware afvoer?
• Wat zijn de risico's van onjuiste datavernietiging voor bedrijven?
• Hoe verwijder je veilig data van een zakelijke laptop?
• Wat zijn de kosten van gecertificeerde datavernietiging in 2026?
• Hoe werkt hardware opkoop voor middelgrote en grote bedrijven?