Wat is chain of custody bij datavernietiging en waarom telt het?

Een chain of custody bij datavernietiging is een gedocumenteerde registratie van elke stap die afgeschreven IT-apparatuur doorloopt, van het moment van ophalen tot de definitieve vernietiging of herbestemming van de data. Deze keten van bewaring maakt aantoonbaar wie op welk moment verantwoordelijk was voor de apparatuur en welke handelingen zijn verricht. Voor bedrijven met gevoelige bedrijfs- of persoonsgegevens op hun hardware is een sluitende chain of custody geen optie, maar een vereiste. In dit artikel beantwoorden we de meest gestelde vragen over chain of custody bij gecertificeerde datavernietiging.

Hoe werkt een chain of custody bij datavernietiging in de praktijk?

Een chain of custody werkt als een logboek dat de volledige levenscyclus van afgeschreven IT-apparatuur bijhoudt. Vanaf het moment dat een apparaat wordt aangemeld voor afvoer, wordt elk contactmoment geregistreerd: wie de apparatuur heeft overgedragen, wie deze heeft ontvangen, hoe het transport is verlopen en welke datavernietigingsmethode is toegepast. Het resultaat is een ononderbroken bewijsketen die achteraf controleerbaar is.

In de praktijk begint de chain of custody bij de inventarisatie op locatie. Elk apparaat krijgt een unieke identificatie, zoals een serienummer of barcode, die door het gehele proces wordt gevolgd. Bij het ophalen wordt een overdrachtsformulier ondertekend door zowel de klant als de ITAD-partner. Vervolgens wordt de apparatuur in beveiligde transportmiddelen vervoerd, waarbij toegang tot de lading beperkt en geregistreerd is.

Bij aankomst in de verwerkingsfaciliteit wordt de ontvangst opnieuw vastgelegd. Datavernietiging vindt daarna gecontroleerd plaats, met software die per apparaat een vernietigingsrapport genereert. Elk rapport bevat het serienummer, de gebruikte methode, de datum en de naam van de uitvoerende medewerker. Dit maakt de chain of custody bij datavernietiging volledig traceerbaar en auditeerbaar. Teqser hanteert dit proces voor alle zakelijke hardware-opkooptrajecten, waarbij de apparatuur nooit onbewaakt de keten verlaat.

Welke risico’s ontstaan er zonder een aantoonbare chain of custody?

Zonder een aantoonbare chain of custody loopt een organisatie het risico dat gevoelige data in verkeerde handen valt, zonder dat achteraf te kunnen achterhalen waar het misging. De grootste gevaren zijn datalekken, boetes onder de AVG en reputatieschade. Bovendien kan een organisatie bij een incident niet aantonen dat zij haar zorgplicht heeft nageleefd, wat de juridische aansprakelijkheid vergroot.

Een veelvoorkomend probleem is dat apparatuur tijdens transport of opslag tijdelijk buiten het zicht van de verantwoordelijke partij valt. Als dat moment niet is gedocumenteerd, ontstaat een gat in de keten. Dat gat is precies waar datalekken kunnen ontstaan, bewust of onbewust. Zelfs als de data uiteindelijk correct wordt vernietigd, kan een ontbrekende schakel in de chain of custody tijdens een audit of juridisch geschil fataal zijn.

Voor organisaties in sectoren zoals financiële dienstverlening, zorg en overheid zijn de gevolgen van een gebrekkige chain of custody extra ingrijpend. Toezichthouders verwachten dat bedrijven aantoonbaar in control zijn over hun gegevensdragers, ook nadat deze zijn afgeschreven. Een ontbrekend overdrachtsformulier of een niet-geregistreerd transportmoment kan voldoende zijn om te concluderen dat de organisatie haar verplichtingen niet is nagekomen.

Wat zijn de wettelijke vereisten voor chain of custody in Nederland?

In Nederland verplicht de Algemene Verordening Gegevensbescherming (AVG) organisaties om persoonsgegevens te beschermen gedurende de volledige levenscyclus van de gegevensdrager, inclusief de afdankfase. Dit betekent dat bedrijven moeten kunnen aantonen dat data op afgeschreven apparatuur op een aantoonbaar veilige manier is vernietigd. Een chain of custody levert dat bewijs.

De AVG stelt dat verwerkingsverantwoordelijken passende technische en organisatorische maatregelen moeten treffen. Het inschakelen van een ITAD-partner ontslaat een organisatie niet van haar eigen verantwoordelijkheid. Dat maakt de keuze voor een partner met een gedocumenteerde chain of custody een directe complianceverplichting, geen luxe. Bij een datalek waarbij apparatuur betrokken is, zal de Autoriteit Persoonsgegevens vragen om bewijs van hoe de apparatuur is afgehandeld.

Naast de AVG zijn er sectorspecifieke regels, zoals de NEN 7510 in de zorg en de eisen vanuit de BIO voor overheidsorganisaties, die aanvullende eisen stellen aan informatiebeveiliging bij het afvoeren van hardware. In al deze gevallen geldt: zonder aantoonbare chain of custody bij datavernietiging is naleving niet te bewijzen.

Welke certificaten en rapportages horen bij een volledige chain of custody?

Bij een volledige chain of custody hoort een set documenten die samen de ononderbroken bewaring en vernietiging van data bewijzen. De kern bestaat uit een overdrachtsrapport, een datavernietigingscertificaat per apparaat en een eindrapportage die het gehele proces samenvat. Samen vormen deze documenten het bewijs dat de chain of custody intact is gebleven.

Het overdrachtsrapport registreert welke apparaten zijn overgedragen, door wie, op welk moment en onder welke voorwaarden. Het datavernietigingscertificaat toont per serienummer aan welke methode is gebruikt, of de vernietiging succesvol was en wie de handeling heeft uitgevoerd. Bij fysieke vernietiging van harde schijven hoort bovendien een verklaring van de wijze van vernietiging en de eindbestemming van de resten.

De eindrapportage brengt alles samen in een overzicht dat bruikbaar is voor interne audits, toezichthouders en verantwoordingsdocumentatie. Teqser levert bij elk traject uitgebreide rapportages die aansluiten op de eisen van de AVG, zodat organisaties direct beschikken over het benodigde bewijs. Bekijk hoe datavernietiging met rapportage in de praktijk werkt.

Hoe beoordeel je of een ITAD-partner een betrouwbare chain of custody biedt?

Een betrouwbare ITAD-partner biedt een chain of custody die volledig gedocumenteerd, ononderbroken en auditeerbaar is. Beoordeel een partner op de aanwezigheid van formele overdrachtsprotocollen, de traceerbaarheid van elk apparaat door het gehele proces en de kwaliteit van de rapportage die na afloop wordt geleverd. Transparantie over het proces is het belangrijkste signaal van betrouwbaarheid.

Stel bij de selectie van een ITAD-partner de volgende vragen:

• Wordt elk apparaat individueel geregistreerd met een unieke identificatie bij overdracht?
• Hoe is het transport beveiligd en wie heeft toegang tot de lading onderweg?
• Welke datavernietigingsmethoden worden gebruikt en hoe worden deze gedocumenteerd?
• Ontvang ik per apparaat een vernietigingscertificaat of alleen een algemene verklaring?
• Hoe wordt omgegaan met apparatuur die niet datavernietigbaar is via software?
• Is het proces controleerbaar via een externe audit of inspectie?

Een partner die moeite heeft met het beantwoorden van deze vragen, of die geen gedetailleerde rapportage per apparaat kan leveren, biedt geen volwaardige chain of custody. Teqser werkt met beveiligd transport in eigen beheer en de TEQBOX voor veilige opslag en overdracht van afgeschreven hardware, zodat de keten nooit wordt onderbroken. De TEQBOX is voorzien van een zelfgekozen beveiligingscode en een gps-systeem, waardoor de locatie en toegang tot de apparatuur op elk moment aantoonbaar zijn.

Vraag ook naar de werkwijze rondom IT-recycling van apparatuur die niet meer herbruikbaar is. Een volledige chain of custody eindigt pas wanneer ook de fysieke verwerking van de hardware gedocumenteerd is afgerond. Organisaties die hun afgeschreven IT-apparatuur willen laten opkopen en tegelijk zekerheid willen over hun databeveiliging, vinden bij Teqser een partner die beide combineert: veilige hardware-opkoop met een sluitende chain of custody van begin tot eind.

Gerelateerde artikelen

• Hoe verminder je IT-kosten via hardware opkoop en restwaardebepaling?
• Wat is het verschil tussen gecertificeerde en niet-gecertificeerde datavernietiging?
• Wat is een ITAD-partner en wanneer heb je er een nodig?
• Wat zijn de stappen in een professioneel ITAD-proces voor bedrijven?
• Hoe helpt hardware opkoop bij het terugverdienen van IT-investeringen?