Wat gebeurt er met je data als een harde schijf niet correct wordt vernietigd?

Als een harde schijf niet correct wordt vernietigd, blijft de data daarop in veel gevallen volledig leesbaar voor wie de juiste tools gebruikt. Verwijderen, formatteren of zelfs een reset naar de fabrieksinstellingen is niet voldoende: de onderliggende gegevens blijven fysiek aanwezig op het opslagmedium totdat ze actief worden overschreven of het medium fysiek wordt vernietigd. Dit geldt voor elke organisatie die afgeschreven IT-apparatuur afvoert zonder een gecontroleerd proces voor gecertificeerde datavernietiging. De secties hieronder beantwoorden de meest gestelde vragen over wat er mis kan gaan en hoe je dat voorkomt.

Wat kunnen kwaadwillenden doen met data van een oude harde schijf?

Kwaadwillenden kunnen met data van een niet-gewiste harde schijf identiteitsfraude plegen, bedrijfsspionage uitvoeren, ransomware-aanvallen voorbereiden of gevoelige informatie doorverkopen op het dark web. Zakelijke harde schijven bevatten doorgaans wachtwoorden, klantgegevens, financiële administratie, contracten en inloggegevens voor bedrijfssystemen. Dat maakt ze een aantrekkelijk doelwit.

De schade is niet alleen financieel. Wanneer vertrouwelijke klant- of personeelsgegevens in verkeerde handen vallen, ontstaat er reputatieschade die moeilijk te herstellen is. Voor organisaties in sectoren als zorg, financiën of juridische dienstverlening kan één gelekte harde schijf leiden tot verlies van klantvertrouwen, contracten en marktpositie.

Wat veel bedrijven onderschatten, is dat oude apparatuur na afvoer vaak via meerdere handen gaat. Een laptop die via een handelaar wordt doorverkocht zonder dat de data op de harde schijf afdoende is gewist, kan uiteindelijk terechtkomen bij iemand met kwade bedoelingen. Het risico is niet hypothetisch: onderzoek binnen de refurbishmentbranche toont keer op keer aan dat een aanzienlijk deel van tweedehands apparatuur nog leesbare bedrijfsdata bevat.

Hoe makkelijk is het om data van een niet-gewiste harde schijf te herstellen?

Het herstellen van data van een niet-correct gewiste harde schijf is verrassend eenvoudig en vereist geen geavanceerde technische kennis. Gratis en betaalbare software kan in veel gevallen verwijderde bestanden, partities en zelfs geformatteerde schijven volledig reconstrueren. Voor traditionele HDD-schijven geldt dat data na een standaard verwijdering of formattering vrijwel altijd herstelbaar is.

Bij SSD-schijven ligt de situatie iets anders vanwege de manier waarop data fysiek wordt opgeslagen, maar ook hier biedt een eenvoudige formattering geen garantie op volledige onleesbaarheid. Professionele dataherstelspecialisten kunnen in veel gevallen ook van beschadigde of gedeeltelijk overschreven schijven nog bruikbare informatie extraheren.

Kortom: als een harde schijf niet actief en aantoonbaar is gewist of vernietigd, moet een organisatie ervan uitgaan dat de data nog toegankelijk is. Dit is precies waarom veilige hardware-opkoop altijd gecertificeerde datavernietiging als vast onderdeel van het proces moet bevatten.

Welke methoden van harde schijfvernietiging zijn echt veilig?

Er zijn drie methoden die als echt veilig worden beschouwd voor het vernietigen van data op een harde schijf: gecertificeerd overschrijven met gevalideerde software, degaussing (magnetische wissing) en fysieke vernietiging door shredding of crushing. Welke methode het meest geschikt is, hangt af van het type opslagmedium en de gewenste herbruikbaarheid van het apparaat.

Gecertificeerd overschrijven

Bij gecertificeerd overschrijven wordt de volledige schijf meerdere malen beschreven met willekeurige data, waardoor de originele informatie onleesbaar wordt. Dit is de enige methode waarbij het apparaat daarna nog hergebruikt kan worden. Teqser maakt gebruik van Blancco-software voor dit proces, wat resulteert in een gedetailleerd rapport dat aantoont dat de data volledig en aantoonbaar is vernietigd. Dit rapport is bruikbaar als bewijs van AVG-compliant datavernietiging.

Fysieke vernietiging

Fysieke vernietiging door middel van shredding of crushing maakt het opslagmedium onherstelbaar onbruikbaar. Dit is de meest absolute methode en wordt vaak toegepast bij schijven die niet meer hergebruikt hoeven te worden, of bij media waarop bijzonder gevoelige informatie staat. Na fysieke vernietiging is hergebruik van het apparaat niet meer mogelijk, maar is de zekerheid over de onleesbaarheid van de data maximaal. De resterende materialen worden vervolgens verantwoord gerecycled conform de geldende milieunormen.

Wat zijn de juridische gevolgen als bedrijfsdata op straat belandt?

Als bedrijfsdata op straat belandt doordat een harde schijf niet correct is vernietigd, kan een organisatie te maken krijgen met een meldplicht bij de Autoriteit Persoonsgegevens, hoge boetes onder de AVG, civiele aansprakelijkheid richting gedupeerde personen en reputatieschade. De AVG verplicht organisaties om persoonsgegevens te beschermen gedurende de volledige levenscyclus, inclusief de verwijdering ervan.

Onder de Algemene Verordening Gegevensbescherming kunnen boetes oplopen tot tientallen miljoenen euro’s of een percentage van de wereldwijde jaaromzet, afhankelijk van de ernst van de overtreding en de mate van nalatigheid. Organisaties die aantoonbaar geen beleid hadden voor veilige datavernietiging, lopen daarbij een groter risico op de maximale sancties.

Naast de boetes speelt ook de meldplicht een rol. Een datalek dat voortvloeit uit een niet-correct vernietigde harde schijf moet in de meeste gevallen binnen 72 uur worden gemeld bij de toezichthouder. Kan een organisatie niet aantonen dat zij adequate maatregelen heeft getroffen, dan wordt de aansprakelijkheid zwaarder beoordeeld. Een gedocumenteerd datavernietigingsproces is daarmee niet alleen een operationele keuze, maar een juridische noodzaak.

Wanneer is een certificaat van datavernietiging verplicht?

Een certificaat van datavernietiging is verplicht wanneer een organisatie persoonsgegevens verwerkt en die gegevens op opslagmedia staan die worden afgestoten. Onder de AVG zijn organisaties verantwoordelijk voor het aantonen dat persoonsgegevens op een rechtmatige en veilige manier zijn vernietigd. Een certificaat levert dat bewijs. In sectoren als zorg, financiën en overheid gelden bovendien aanvullende sectorspecifieke regels die documentatie van datavernietiging expliciet vereisen.

Ook buiten wettelijke verplichtingen is een certificaat van datavernietiging een verstandige maatregel. Bij een audit, een klacht van een betrokkene of een onderzoek door een toezichthouder biedt het concrete documentatie waarmee een organisatie aantoont dat zij haar zorgplicht heeft nageleefd. Zonder dat bewijs staat een organisatie juridisch veel zwakker.

Teqser levert bij elke verwerking van afgeschreven IT-apparatuur een gedetailleerd rapport en certificaat van datavernietiging. Dit geldt zowel voor apparatuur die via de TEQBOX wordt opgehaald als voor apparatuur die via het reguliere hardware-opkoopproces wordt aangeboden. Zo beschikt een organisatie altijd over de documentatie die nodig is om AVG-compliance aan te tonen, zonder dat zij zelf hoeft te investeren in software, processen of rapportagesystemen.

Voor organisaties die regelmatig IT-apparatuur vervangen, is het raadzaam om datavernietiging niet als eenmalige actie te zien, maar als vast onderdeel van het IT-lifecycle-beleid. Een betrouwbare ITAD-partner die gecertificeerde datavernietiging combineert met duurzame IT-recycling en opkoop zorgt ervoor dat elk apparaat op een veilige, compliant en verantwoorde manier het bedrijf verlaat.

Gerelateerde artikelen

• Wat zijn de gevolgen van een datalek door slecht afgevoerde hardware?
• Wat is de impact van de AVG op het beheer van afgeschreven IT-activa?
• Hoe werkt datavernietiging bij het inruilen van zakelijke smartphones?
• Hoe vraag je een offerte aan voor zakelijke datavernietiging?
• Hoe werkt hardware opkoop voor middelgrote en grote bedrijven?