Hoe weet je of een datavernietiging voldoet aan de AVG in 2026?

Datavernietiging voldoet aan de AVG als er een gedocumenteerd en aantoonbaar proces is gevolgd waarbij persoonsgegevens volledig en onherstelbaar zijn verwijderd, en waarbij een officieel certificaat van vernietiging is afgegeven. Voor bedrijven betekent dit concreet: gecertificeerde software of fysieke vernietiging, een controleerbare audit trail, en een leverancier die aantoonbaar voldoet aan de geldende privacywetgeving. In dit artikel worden de meest gestelde vragen over AVG-compliant datavernietiging in 2026 beantwoord.

Welke eisen stelt de AVG aan het vernietigen van bedrijfsdata?

De AVG verplicht organisaties om persoonsgegevens niet langer te bewaren dan noodzakelijk en om ze daarna op een veilige manier te vernietigen. Concreet betekent dit dat datavernietiging aantoonbaar, volledig en onherstelbaar moet zijn. Bedrijven zijn verantwoordelijk voor het gehele proces, ook als zij dit uitbesteden aan een externe partij.

Artikel 5 van de AVG legt het principe van opslagbeperking vast: gegevens mogen niet langer worden bewaard dan het doel waarvoor ze zijn verzameld vereist. Artikel 32 verplicht organisaties tot passende technische maatregelen om persoonsgegevens te beschermen, inclusief bij de verwijdering ervan. Artikel 28 bepaalt dat wanneer een derde partij de datavernietiging uitvoert, er een verwerkersovereenkomst moet zijn afgesloten die de verantwoordelijkheden vastlegt.

In de praktijk betekent dit voor IT-managers en compliance-verantwoordelijken dat zij bij elke hardware-afvoer moeten kunnen aantonen dat data correct is vernietigd. Zonder gedocumenteerd bewijs loopt een organisatie een aanzienlijk risico bij een controle door de Autoriteit Persoonsgegevens. Een gespecialiseerde ITAD-partner zoals Teqser zorgt voor gecertificeerde datavernietiging met volledige rapportage die dit bewijs levert.

Wat is het verschil tussen datawissing, datavernietiging en degaussing?

Datawissing, datavernietiging en degaussing zijn drie verschillende methoden om gegevens te verwijderen, elk met een ander mechanisme en toepassingsgebied. Datawissing overschrijft gegevens softwarematig zodat de drager herbruikbaar blijft. Datavernietiging vernietigt de fysieke drager volledig. Degaussing gebruikt een sterk magnetisch veld om gegevens op magnetische media onleesbaar te maken.

Datawissing: softwarematige verwijdering

Bij datawissing wordt de opslagdrager overschreven met willekeurige data, waarna de oorspronkelijke informatie niet meer te reconstrueren is. De drager zelf blijft intact en kan daarna worden hergebruikt of doorverkocht. Dit maakt datawissing de meest duurzame optie: apparatuur behoudt zijn waarde en kan een tweede leven krijgen via refurbishment. Datawissing is geschikt voor functionerende harde schijven en SSD’s, mits uitgevoerd met gecertificeerde software en voorzien van een verifieerbaar rapport.

Fysieke datavernietiging en degaussing

Fysieke vernietiging houdt in dat de opslagdrager mechanisch wordt vernietigd, bijvoorbeeld door versnippering of shredding. Dit is de meest zekere methode wanneer hergebruik geen optie is of wanneer de drager defect is en niet meer softwarematig kan worden gewist. Degaussing is specifiek toepasbaar op magnetische media zoals traditionele harde schijven en magneetbanden, maar werkt niet op SSD’s of flashgeheugen. Na degaussing is de drager doorgaans niet meer bruikbaar.

Welke normen bewijzen dat datavernietiging AVG-conform is uitgevoerd?

Een AVG-conforme datavernietiging wordt bewezen door een officieel vernietigingscertificaat dat per apparaat of per batch is afgegeven, met daarin de gehanteerde methode, het serienummer van de drager, de datum van vernietiging en de naam van de uitvoerende partij. Dit certificaat vormt het juridische bewijs dat een organisatie haar verplichtingen onder de AVG is nagekomen.

Naast het vernietigingscertificaat is het van belang dat de gebruikte software of het gehanteerde proces aantoonbaar voldoet aan erkende normen. Voor softwarematige wissing zijn er internationale standaarden zoals NIST 800-88 en DoD 5220.22-M die beschrijven hoe data onherstelbaar moet worden overschreven. Een leverancier die werkt volgens deze standaarden en dit per apparaat rapporteert, levert het sterkste bewijs richting toezichthouders.

Teqser maakt gebruik van Blancco-software voor gecertificeerde datawissing en levert uitgebreide rapportage per apparaat. Dit stelt organisaties in staat om bij een AVG-audit direct aan te tonen dat data correct en volledig is vernietigd.

Hoe controleer je of een ITAD-leverancier voldoet aan de AVG?

Je controleert of een ITAD-leverancier AVG-compliant is door te toetsen op vier punten: de aanwezigheid van een verwerkersovereenkomst, aantoonbaar gecertificeerde vernietigingsmethoden, transparante rapportage per apparaat, en een veilig logistiek proces van ophalen tot verwerking.

Begin altijd met de verwerkersovereenkomst. Zonder dit document ben je als opdrachtgever juridisch medeverantwoordelijk voor eventuele datalekken die bij de leverancier ontstaan. Controleer vervolgens welke vernietigingsmethoden de leverancier hanteert en of deze zijn gedocumenteerd volgens erkende standaarden. Vraag naar voorbeeldrapporten zodat je weet wat je na afloop ontvangt.

Let ook op de logistieke kant van het proces. Hoe wordt apparatuur opgehaald? Wie heeft er toegang tot de hardware tijdens transport? Teqser werkt bijvoorbeeld met de TEQBOX, een beveiligde transportkar met een zelfgekozen beveiligingscode en een ingebouwd gps-systeem, waarmee ongeoorloofde toegang tot oude IT-apparatuur tijdens transport wordt voorkomen. Dit soort aantoonbare veiligheidsmaatregelen zijn een sterke indicator dat een leverancier databeveiliging serieus neemt.

Vraag ten slotte altijd naar de gecertificeerde hardware-opkoopprocedure en de wijze waarop apparatuur na vernietiging wordt verwerkt of doorverkocht.

Wat zijn de risico’s als datavernietiging niet AVG-compliant is?

Als datavernietiging niet AVG-compliant is uitgevoerd, loopt een organisatie het risico op een datalek, een boete van de Autoriteit Persoonsgegevens, reputatieschade en mogelijke aansprakelijkheidsclaims van betrokkenen. De AVG kent boetes tot 20 miljoen euro of vier procent van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is.

Een veelvoorkomend risico is het verkopen of weggeven van apparatuur waarop nog bedrijfsdata staat. Zelfs als bestanden zijn verwijderd via het leegmaken van de prullenbak of een standaard fabrieksreset, zijn gegevens in veel gevallen nog te reconstrueren met eenvoudig beschikbare software. Dit geldt zowel voor laptops en desktops als voor smartphones, tablets en servers.

Een ander risico is het ontbreken van documentatie. Zelfs als data feitelijk correct is vernietigd, maar het bewijs ontbreekt, staat een organisatie bij een controle met lege handen. De bewijslast ligt bij de verwerkingsverantwoordelijke, niet bij de toezichthouder. Duurzame IT-recycling gecombineerd met gecertificeerde vernietiging voorkomt beide risico’s tegelijk.

Wanneer moet je kiezen voor fysieke vernietiging in plaats van datawissing?

Fysieke vernietiging verdient de voorkeur boven datawissing wanneer een opslagdrager defect is en niet meer softwarematig kan worden gewist, wanneer het gaat om bijzonder gevoelige gegevens waarvoor organisaties een nultolerantie hanteren, of wanneer de drager niet langer herbruikbaar hoeft te zijn.

Defecte schijven zijn een veelvoorkomende reden voor fysieke vernietiging. Een harde schijf die niet meer opstart of door de computer niet wordt herkend, kan niet worden gewist met software. In dat geval is shredding of mechanische vernietiging de enige betrouwbare optie. Hetzelfde geldt voor SSD’s die door hardwarematige encryptie of defecten niet meer benaderbaar zijn.

Voor organisaties in sectoren zoals de gezondheidszorg, financiële dienstverlening of de juridische sector, waar bijzonder gevoelige persoonsgegevens worden verwerkt, kan fysieke vernietiging ook om beleidsmatige redenen de standaard zijn. De zekerheid van een volledig vernietigde drager weegt in die gevallen zwaarder dan de restwaarde van de hardware.

Wanneer hergebruik wel mogelijk en wenselijk is, biedt gecertificeerde datawissing een AVG-conforme en duurzamere oplossing. Via de IT-opkoopdienst van Teqser worden apparaten na gecertificeerde wissing beoordeeld op hergebruikspotentieel, zodat bedrijven zowel voldoen aan de AVG als restwaarde terugontvangen uit hun IT-investeringen. Meer informatie over het volledige verwerkingsproces is te vinden op de pagina over datavernietiging bij Teqser.

Gerelateerde artikelen

• Hoe verwijder je veilig data van een zakelijke desktop of workstation?
• Hoe werkt gecertificeerde datavernietiging bij juridische organisaties?
• Wat is de impact van de AVG op het beheer van afgeschreven IT-activa?
• Hoe vernietigt een bedrijf data op smartphones en tablets veilig?
• Wat gebeurt er met je bedrijfsdata als oude hardware wordt verkocht?