Wat is de impact van de AVG op het beheer van afgeschreven IT-activa?

De AVG heeft directe gevolgen voor de manier waarop organisaties afgeschreven IT-activa mogen afvoeren. Zodra apparatuur persoonsgegevens heeft verwerkt of opgeslagen, geldt de volledige verantwoordingsplicht van de AVG ook voor het moment van afstoting. Dat betekent dat datavernietiging geen bijzaak is, maar een wettelijke verplichting. In dit artikel worden de meest gestelde vragen over AVG en IT-asset disposal beantwoord.

Welke AVG-verplichtingen gelden bij het afvoeren van IT-apparatuur?

Bij het afvoeren van IT-apparatuur verplicht de AVG organisaties om persoonsgegevens op aantoonbare wijze te vernietigen voordat apparaten de organisatie verlaten. Dit vloeit voort uit de beginselen van opslagbeperking en integriteit, zoals vastgelegd in artikel 5 van de verordening. Organisaties blijven verwerkingsverantwoordelijke totdat gegevens volledig zijn gewist of vernietigd.

Concreet betekent dit dat een bedrijf moet kunnen aantonen dat alle gegevens op afgeschreven laptops, desktops, servers en mobiele apparaten onherstelbaar zijn verwijderd. Daarbij geldt ook de verantwoordingsplicht: als de Autoriteit Persoonsgegevens om bewijs vraagt, moet de organisatie dat kunnen overleggen. Mondeling verzekeren dat gegevens zijn gewist, is onvoldoende. Gecertificeerde rapportage is de enige manier om deze verplichting hard te maken.

Wanneer een externe partij de datavernietiging uitvoert, is er bovendien sprake van verwerking door een derde. In dat geval is een verwerkersovereenkomst wettelijk verplicht. Kies je voor professionele gecertificeerde datavernietiging, dan hoort een dergelijke overeenkomst standaard bij het dienstenpakket.

Welke risico’s ontstaan als datavernietiging niet AVG-proof is?

Als datavernietiging niet voldoet aan de AVG-eisen, loopt een organisatie het risico op een datalek, reputatieschade en forse boetes. De Autoriteit Persoonsgegevens kan bij overtredingen boetes opleggen tot 20 miljoen euro of vier procent van de wereldwijde jaaromzet. Daarbij geldt: onwetendheid is geen excuus en de bewijslast ligt bij de verwerkingsverantwoordelijke.

Een concreet risico is dat afgeschreven apparatuur met resterende data in de verkeerde handen terechtkomt. Dit kan via doorverkoop op de tweedehandsmarkt, maar ook via een onzorgvuldige recyclingketen. Eenmaal gelekte persoonsgegevens zijn niet meer terug te halen, en de reputatieschade die daaruit volgt, is vaak groter dan de boete zelf.

Voor sectoren zoals de zorg, financiële dienstverlening en de juridische wereld zijn de gevolgen extra ingrijpend. Zij verwerken bijzondere categorieën persoonsgegevens waarvoor strengere regels gelden. Een datalek als gevolg van onzorgvuldig afvoeren van IT-apparatuur kan hier leiden tot intrekking van vergunningen of aanvullende toezichtsmaatregelen.

Hoe verschilt datavernietiging op harde schijven van vernietiging op mobiele apparaten?

Datavernietiging op harde schijven en op mobiele apparaten verschilt in techniek, risicoprofiel en aanpak. Bij traditionele harde schijven (HDD) is overschrijfsoftware effectief, terwijl SSD’s en mobiele apparaten door hun geheugenarchitectuur een andere aanpak vereisen. Op mobiele apparaten spelen bovendien cloudkoppelingen en versleuteling een extra rol.

Datavernietiging op harde schijven en SSD’s

Bij magnetische harde schijven kan gecertificeerde wissoftware de gegevens onherstelbaar overschrijven. Bij solid-state drives werkt deze methode minder betrouwbaar vanwege wear-leveling, een techniek waarbij het geheugen zichzelf verdeelt. Voor SSD’s is degaussing niet effectief; fysieke vernietiging of een gespecialiseerde firmware-wipe is dan de veiligste keuze. Professionele datavernietigingsdiensten stemmen de methode altijd af op het type opslagmedium.

Datavernietiging op smartphones en tablets

Mobiele apparaten bevatten vaak gesynchroniseerde data in clouddiensten, gekoppelde accounts en versleuteld geheugen. Een fabrieksreset alleen is onvoldoende, omdat resterende data via forensische tools soms nog leesbaar is. De juiste aanpak combineert een gecertificeerde wipe van het interne geheugen met het ontkoppelen van alle accounts en, waar nodig, fysieke vernietiging van het opslagmedium. Dit geldt ook voor tablets en laptops met geïntegreerd geheugen.

Wat moet er in een AVG-conform ITAD-certificaat staan?

Een AVG-conform ITAD-certificaat moet minimaal bevatten: een unieke identificatie van elk verwerkt apparaat, de toegepaste vernietigingsmethode, de datum van vernietiging, de naam van de uitvoerende partij en een verklaring dat de verwerking conform de AVG heeft plaatsgevonden. Zonder deze elementen heeft een certificaat geen juridische bewijswaarde.

Goede certificering gaat verder dan een generieke verklaring. Per apparaat of per serienummer moet aantoonbaar zijn welke actie is ondernomen: overschrijven, degaussing of fysieke vernietiging. Dit maakt het mogelijk om bij een audit of een verzoek van de Autoriteit Persoonsgegevens snel en precies aan te tonen wat er met welk apparaat is gebeurd.

Daarnaast hoort bij een volledig ITAD-dossier een verwerkersovereenkomst met de uitvoerende partij, een transportverklaring en, indien van toepassing, een recyclingcertificaat. Teqser levert uitgebreide en gecertificeerde rapportage als onderdeel van de zakelijke hardwareopkoop, zodat organisaties direct beschikken over het benodigde bewijs voor AVG-naleving.

Wanneer is fysieke vernietiging verplicht in plaats van data-wipe?

Fysieke vernietiging is verplicht wanneer een data-wipe technisch niet mogelijk is, niet aantoonbaar effectief is of wanneer het risiconiveau van de gegevens zo hoog is dat alleen volledige vernietiging van het medium voldoende zekerheid biedt. Dit geldt met name voor defecte media, SSD’s met bepaalde architecturen en apparaten die bijzondere persoonsgegevens hebben opgeslagen.

In de praktijk zijn er drie situaties waarin fysieke vernietiging de voorkeur of verplichting heeft. Ten eerste bij beschadigde of niet-functionele opslagmedia waarop software geen toegang meer kan krijgen. Ten tweede bij media die zijn gebruikt voor de verwerking van bijzondere categorieën persoonsgegevens, zoals medische dossiers of financiële gegevens, waarbij het restrisico van een wipe onaanvaardbaar is. Ten derde wanneer een opdrachtgever of sectorale regelgeving fysieke vernietiging expliciet voorschrijft.

Na fysieke vernietiging moet het resultaat gedocumenteerd worden met een verklaring van de wijze van vernietiging en het gewicht of volume van het verwerkte materiaal. De restmaterialen worden vervolgens verantwoord verwerkt via gecertificeerde IT-recycling, zodat ook aan de milieuverplichting wordt voldaan.

Hoe kies je een ITAD-partner die AVG-compliance waarborgt?

Een ITAD-partner die AVG-compliance waarborgt, voldoet aan een aantal concrete criteria: gecertificeerde datavernietiging met apparaatspecifieke rapportage, een verwerkersovereenkomst als standaardonderdeel van de dienstverlening, veilig transport in eigen beheer en aantoonbare ervaring met sectorspecifieke compliance-eisen. Prijs alleen mag nooit het doorslaggevende criterium zijn.

Controleer bij de selectie van een ITAD-partner altijd de volgende punten:

• Levert de partner per apparaat een uniek vernietigingscertificaat?
• Is er een getekende verwerkersovereenkomst beschikbaar?
• Hoe wordt transport beveiligd, en wie heeft toegang tot de apparatuur onderweg?
• Welke methoden worden gebruikt voor verschillende typen opslagmedia?
• Hoe wordt omgegaan met apparatuur die niet meer functioneel is?
• Is er transparantie over de verdere verwerking, inclusief recycling?

Een partner die het volledige proces in eigen beheer uitvoert, biedt de meeste zekerheid. Teqser verzorgt het transport met de eigen TEQBOX, een afgesloten en GPS-gevolgde kar, waardoor de keten van bewaring aantoonbaar gesloten blijft. Gecombineerd met volledige rapportage en een verwerkersovereenkomst biedt dit organisaties de onderbouwing die zij nodig hebben om AVG-naleving te kunnen aantonen.

Voor organisaties die ook hun nieuwe IT-aanschaf willen combineren met het verantwoord afstoten van oude apparatuur, biedt Teqser een volledig ontzorgend traject: van opkoop van afgeschreven IT-activa tot gecertificeerde datavernietiging en duurzame recycling van IT-apparatuur. Zo sluit het AVG-compliance-traject naadloos aan op de bredere IT-strategie van de organisatie.

Gerelateerde artikelen

• Hoe helpt hardware opkoop bij het terugverdienen van IT-investeringen?
• Hoe vraag je een offerte aan voor zakelijke datavernietiging?
• Wat is ITAD en hoe helpt het jouw bedrijf bij hardware afvoer?
• Hoe werkt hardware opkoop voor middelgrote en grote bedrijven?
• Hoe werkt hardware opkoop bij een volledige datacenterontmanteling?