Als u de data op uw hardware professioneel wilt laten wissen óf het complete apparaat besluit te laten vernietigen, ontvangt u daarna een vernietigingscertificaat. Dit certificaat is het bewijs voor de onherstelbare verwijdering van uw bedrijfsgevoelige informatie en u heeft het nodig om te bewijzen dat u zich aan de AVG-wet heeft gehouden. Maar welke informatie staat er eigenlijk op dit vernietigingscertificaat? Het antwoord op deze vraag leest u in dit artikel.
Wat is een vernietigingscertificaat?
In de wereld van IT-beheer en databeveiliging is een vernietigingscertificaat (ook wel een vernietigingsverklaring genoemd) veel meer dan een simpele factuur. Het is een formeel, juridisch relevant document dat door een gespecialiseerd datavernietigingsbedrijf wordt afgegeven na afloop van een datavernietigingsproces.
U kunt het zien als het officiële bewijs dat uw hardware weer helemaal schoon is. Het document bevestigt officieel dat specifieke datadragers, of dat nu harde schijven, SSD’s, tapes of complete servers zijn, zo grondig zijn gewist dat niemand de gegevens ooit nog kan terugvinden. Zonder dit certificaat heeft u feitelijk geen bewijs dat u aan uw zorgplicht heeft voldaan. Gegevens zijn tegenwoordig erg gewild. Dit document is uw bewijs dat u veilig met informatie omgaat. Zo voorkomt u juridische problemen en onverwachte kosten.
Bij welke vormen van datavernietiging ontvangt u een vernietigingscertificaat?
Data kan op verschillende manieren worden gewist. In alle gevallen krijgt u bij W3E na afloop een certificaat van vernietiging als bewijs.We maken onderscheid tussen twee hoofdvormen, waarbij de keuze vaak afhangt van de toekomst van de hardware:
- Softwarematige dataverwijdering (wiping): Wanneer uw hardware nog waarde heeft en geschikt is voor hergebruik, kiezen we voor softwarematige vernietiging. Met de gecertificeerde software Blancco wordt de schijf meerdere keren overschreven met willekeurige patronen. De data is weg, de hardware blijft intact. U ontvangt per datadrager een certificaat dat garandeert dat de schijf 100% gewist is.
- Fysieke vernietiging: Is de hardware defect, verouderd of vereist uw veiligheidsprotocol fysieke vernietiging? Dan vernietigen we de gehele datadrager in een shredder. De schijf wordt vermalen tot snippers die zo klein zijn dat reconstructie onmogelijk is. Na dit proces ontvangt u een certificaat dat bevestigt welke assets fysiek zijn vernietigd.
Zowel bij de duurzame weg van hergebruik als de definitieve weg van de shredder, in beide gevallen is het certificaat het officiële bewijs dat u nodig heeft voor uw administratie.
Welke informatie staat er op het vernietigingscertificaat?
Een professioneel vernietigingscertificaat bevat veel informatie. Het moet immers standhouden tijdens een strenge audit of een onderzoek door de Autoriteit Persoonsgegevens. De volgende onderdelen moeten er altijd op staan. U vindt ze dan ook terug in de rapporten van W3E:
Informatie over de eigenaar en de verwerker
Hier staat wie de opdrachtgever is (uw organisatie) en welke partij de vernietiging heeft uitgevoerd (W3E). Dit legt de keten van verantwoordelijkheid vast.
Unieke identificatie van de hardware
Dit is misschien wel het belangrijkste onderdeel. Het certificaat verwijst naar de rapportage met het unieke inbound nummer. Hierop is alle informatie over de verwerking van de apparatuur terug te lezen, waaronder:
- Serienummers: Het unieke serienummer van elke individuele harde schijf of SSD.
- Asset tags: Uw eigen interne inventarisnummers, indien aanwezig.
- Type datadrager: Is het een HDD, een SSD, een NVMe-schijf of een tape?
- Model en merk: Bijvoorbeeld een schijf van het merk Seagate, type BarraCuda 2TB. Dit helpt om precies te weten om welk product het gaat.
Details over de vernietigingsmethode
Er moet specifiek vermeld worden hoe de data is vernietigd.
- Bij wiping staat vermeld welke software is gebruikt, welke versie en volgens welke standaard de data is overschreven (bijvoorbeeld de NIST 800-88 standaard).
- Bij fysieke vernietiging staat vermeld dat de drager is geshred en vaak ook tot welke korrelgrootte de snippers zijn gereduceerd.
Tijdstip en locatie
Het document vermeldt de datum en de locatie van de vernietiging. Hierbij vermelden wij ook of de datavernietiging op locatie (bij u in een mobiele shredder) of in ons verwerkingscentrum heeft plaatsgevonden.
Verklaring van datavernietiging
In het geval van softwarematige verwijdering moet het certificaat expliciet aangeven dat het proces succesvol is afgerond. Als een schijf bad sectors heeft waardoor de software de data niet 100% kan overschrijven, zal de software een foutmelding geven. In dat geval moet de schijf alsnog fysiek vernietigd worden, wat weer op een apart certificaat wordt vastgelegd.
Handtekening
Ondertekening door een bevoegd persoon van de vernietigingsdienst.
In welke situaties heeft u het vernietigingscertificaat nodig?
Het is belangrijk dat u het vernietigingscertificaat goed bewaard. Er zijn verschillende momenten waarop u dit document echt moet kunnen laten zien.
- AVG/GDPR Compliance: De Algemene Verordening Gegevensbescherming verplicht organisaties om aan te tonen dat zij passende technische en organisatorische maatregelen hebben genomen om persoonsgegevens te beschermen. Als u oude laptops afvoert, is het vernietigingscertificaat uw bewijs dat u deze data veilig heeft laten verwijderen.
- Audits en ISO-certificeringen: Wordt uw organisatie geaudit voor ISO 27001 (informatiebeveiliging)? Dan zal de auditor ongetwijfeld vragen naar de afvoer van hardware. Het certificaat van vernietiging is hierbij een belangrijk bewijsstuk.
- Verzekering en aansprakelijkheid: Mocht er ooit een datalek worden geconstateerd dat herleidbaar lijkt naar oude hardware, dan kunt u met de vernietigingsverklaring aantonen dat de fout niet bij uw afvoerproces lag.
- MVO-rapportage: In het kader van maatschappelijk verantwoord ondernemen en de circulaire economie is het prettig om te kunnen aantonen dat u heeft gekozen voor een gecertificeerde partner die materialen recyclet of hardware veilig klaarmaakt voor hergebruik.
Hoe lang moet u het vernietigingscertificaat bewaren?
Er is geen termijn in de AVG bepaald die aangeeft hoe lang u het vernietigingscertificaat moet bewaren. Echter, vanuit juridisch en administratief oogpunt adviseren wij om de termijn van de fiscale bewaarplicht aan te houden, wat in Nederland doorgaans 7 jaar is.
Waarom zo lang? Omdat claims over datalekken of vragen van de belastingdienst over afgeschreven activa jaren later nog kunnen opspelen. Door het vernietigingscertificaat digitaal op te slaan in uw asset management systeem, blijft de historie van elk apparaat volledig inzichtelijk.
Uw garantie voor veiligheid en duurzaamheid
Een vernietigingscertificaat is dus uw garantiebewijs voor veiligheid en duurzaamheid. Het vertelt het verhaal van wie uw data heeft verwijderd, wie het heeft gedaan en hoe het is uitgevoerd. Bij W3E zorgen we ervoor dat dit proces niet alleen vlekkeloos verloopt, maar dat de documentatie die u ontvangt waterdicht is. Zo kunt u met een gerust hart afscheid nemen van uw oude hardware, wetende dat uw data niet in verkeerde handen komt.
Wilt u uw data ook op professionele en veilige wijze laten verwijderen? Neem contact met ons op voor een vrijblijvend adviesgesprek of een offerte op maat.
Dutch 
English