Veilige dataverwijdering voor bedrijven: cruciaal voor compliance

In het kort: Bij dataverwijdering maak je gegevens op afgedankte of hergebruikte apparatuur zo onleesbaar dat ze niet meer te herstellen zijn. Gewoon verwijderen of formatteren is niet genoeg. Kies per type opslag de juiste methode (overschrijven, een secure erase voor SSD’s of fysieke vernietiging) en zorg voor een certificaat als bewijs voor de AVG.

Datalekken halen vaak het nieuws door hacks, maar een afgedankte laptop of server is net zo goed een risico. Apparaten worden vervangen, opgeslagen of verkocht en bevatten nog e-mails, klantgegevens, financiële informatie of wachtwoorden. Juist die laatste stap in de levenscyclus van IT-apparatuur wordt vaak onderschat. Hieronder lees je waarom veilige dataverwijdering onmisbaar is, welke methode bij welk apparaat past en hoe je het goed regelt.

Waarom veilige dataverwijdering onmisbaar is

Wanneer een laptop, server, smartphone of ander apparaat wordt afgeschreven, verdwijnt het niet uit de risicozone. Een simpele ‘delete’ of snelle formattering haalt alleen de verwijzing naar bestanden weg; de gegevens zelf staan er vaak nog en zijn met hersteltools terug te halen.

De AVG verplicht bedrijven om persoonsgegevens goed te beveiligen, ook aan het einde van hun leven. Gegevens die je niet meer nodig hebt, moet je bovendien verwijderen. Raakt een apparaat met persoonsgegevens kwijt of komt het in verkeerde handen, dan kan dat een datalek zijn dat je binnen 72 uur moet melden bij de Autoriteit Persoonsgegevens. Een onveilige afvoer kan zo leiden tot boetes en reputatieschade. Daarom kies je voor betrouwbare en gecertificeerde dataverwijdering.

Methodes voor veilige dataverwijdering

Welke methode geschikt is, hangt af van het soort opslag en of het apparaat hergebruikt moet worden.

• Softwarematig wissen (data wiping): de opslag wordt volledig overschreven met nullen of willekeurige gegevens. Geschikt voor harde schijven die opnieuw gebruikt worden.
• Secure erase / sanitize: een ingebouwde wisopdracht van SSD’s en NVMe-schijven die alle geheugencellen wist. Bij SSD’s is gewoon overschrijven niet betrouwbaar, omdat de schijf zelf bepaalt waar gegevens terechtkomen.
• Cryptografisch wissen: als een schijf volledig versleuteld is, vernietig je de sleutel. Zonder sleutel zijn de gegevens onleesbaar.
• Degaussing: een sterk magnetisch veld maakt magnetische media zoals harde schijven en tapes onleesbaar. Werkt niet op SSD’s en flashgeheugen, en de schijf is daarna onbruikbaar.
• Fysieke vernietiging: schijven en geheugenchips worden versnipperd of geperforeerd, zodat uitlezen onmogelijk is.

Welke methode bij welk apparaat?

Een professionele ITAD-partner (IT Asset Disposition) voert deze methodes uit volgens erkende normen. Denk aan ISO 27001 voor informatiebeveiliging, DIN 66399 voor de vernietiging van gegevensdragers en de NIST-richtlijn voor het wissen van media.

Tip: Zet volledige schijfversleuteling (zoals BitLocker of FileVault) standaard aan op alle laptops. Dan is een verloren laptop minder riskant en is veilig wissen aan het einde van de levensduur veel eenvoudiger.

Stappenplan: apparatuur veilig afvoeren

1. Houd een inventaris bij van alle apparaten met opslag, inclusief serienummers en wie ze gebruikt.
2. Maak een back-up van gegevens die je nog nodig hebt, en houd rekening met de wettelijke bewaarplicht. Wat je moet bewaren en hoe lang, lees je in ons artikel over de bewaarplicht voor je administratie.
3. Ontkoppel accounts en licenties, zoals een Microsoft- of Apple-account en apparaatbeheer, zodat het apparaat niet vergrendeld blijft.
4. Bewaar afgedankte apparaten afgesloten tot ze worden opgehaald. Een kast vol oude laptops is een risico.
5. Kies de methode per apparaat, of laat dat door een gecertificeerde partner doen.
6. Vraag om een certificaat met de serienummers per apparaat en de gebruikte methode.
7. Archiveer het bewijs bij je AVG-documentatie.

Rapportage en certificering: bewijs van zorgvuldigheid

Na de dataverwijdering ontvang je idealiter een officieel certificaat. Daarin staat welke apparaten (op serienummer) zijn gewist of vernietigd, met welke methode en wanneer. Dat document is je bewijs bij audits, controles en incidenten: je kunt aantonen dat je zorgvuldig hebt gehandeld.

Een partij zoals Circular IT group biedt niet alleen gecertificeerde dataverwijdering, maar ook transparantie in de vorm van rapportages, tracking van apparaten en verantwoording van het hele proces.

Laat je een externe partij je apparaten ophalen en wissen, dan verwerkt die partij persoonsgegevens namens jou. Leg dat vast in een verwerkersovereenkomst. Hoe dat werkt, lees je in ons stuk over de AVG en de verwerkersovereenkomst.

Checklist voor een ITAD-partner

• Werkt de partij volgens erkende normen, zoals ISO 27001 en DIN 66399?
• Krijg je per apparaat een certificaat met serienummer en methode?
• Is het transport beveiligd, met registratie van ophalen tot verwerking?
• Kun je kiezen voor vernietiging op locatie bij zeer gevoelige gegevens?
• Is er een verwerkersovereenkomst?
• Wat gebeurt er met de apparaten na het wissen: hergebruik, verkoop of recycling?

Duurzaamheid en dataverwijdering gaan samen

Veilige dataverwijdering hoeft niet te botsen met duurzaamheid. Bij professionele ITAD-dienstverleners worden gegevensdragers eerst zorgvuldig gewist, waarna apparaten vaak een tweede leven krijgen als refurbished hardware. Dat verlengt de levensduur, bespaart grondstoffen en vermindert e-waste. Alleen als hergebruik niet mogelijk is, worden onderdelen op een verantwoorde manier gerecycled. Wie zelf een refurbished laptop koopt, profiteert daar direct van.

Gaat een computer niet weg maar naar de reparateur? Ook dan wil je je gegevens beschermen. Lees hoe je je pc voorbereidt op reparatie.

Veelgestelde vragen