Niszczenie danych w firmie a RODO: co trzeba wiedzieć

Trwałe niszczenie danych z dysku, zgodne z wymogami RODO, to nieodwracalne usunięcie informacji ze sprzętu, tak żeby nikt ich już nie odczytał, potwierdzone protokołem zniszczenia. Zwykłe skasowanie plików czy sformatowanie dysku to za mało, bo takie dane często da się odzyskać. Firma, która wycofuje z użytku komputery czy dyski, odpowiada za to, żeby zapisane na nich dane nie trafiły w niepowołane ręce.

Dlaczego formatowanie to za mało

Wiele osób sądzi, że skasowanie plików i opróżnienie kosza usuwa dane na dobre. Tak nie jest. Informacje zwykle zostają w pamięci nośnika i można je odtworzyć odpowiednimi narzędziami. Dla firmy to realne ryzyko, bo na starych dyskach bywają dane pracowników, klientów, umowy, faktury, dokumentacja. Jeśli taki sprzęt trafi do handlu albo na złom bez właściwego usunięcia danych, informacje mogą wyciec, a odpowiedzialność spada na firmę, która była ich administratorem.

Co to znaczy zrobić to zgodnie z RODO

Chodzi o to, żeby dane usunąć w sposób trwały i udokumentowany. W praktyce oznacza to dwie rzeczy. Skuteczna metoda. Dysk albo się nadpisuje specjalnym programem, albo, przy nośnikach uszkodzonych czy wycofanych na stałe, niszczy fizycznie. Standardem, do którego się odwołuje, jest norma DIN 66399, która opisuje poziomy skuteczności niszczenia nośników. Dokument potwierdzający. Po wykonaniu usługi firma powinna dostać protokół albo certyfikat zniszczenia, czyli papier, który mówi, jaki sprzęt i w jaki sposób został zniszczony. To jest dowód należytej staranności, przydatny na wypadek kontroli albo pytań ze strony klientów. Gdy usługę wykonuje firma zewnętrzna, a na sprzęcie są dane osobowe, zwykle potrzebna jest jeszcze umowa powierzenia przetwarzania danych, o której mówi art. 28 RODO.

Jak robimy to u nas

Obsługujemy firmy i instytucje z Rydułtów, Wodzisławia Śląskiego, Radlina, Pszowa i okolic. Dobieramy metodę do rodzaju nośnika, a po wszystkim wystawiamy protokół zniszczenia. Jeśli w grę wchodzą dane osobowe, podpisujemy umowę powierzenia, żeby wszystko było w porządku od strony formalnej. Zakres i koszt ustalamy indywidualnie, bo zależą od liczby i rodzaju sprzętu. Szczegóły znajdziesz w naszej ofercie dla firm i instytucji.

Kto odpowiada i co powinno być na protokole

Za dane zapisane na firmowym sprzęcie odpowiada firma, która jest ich administratorem, nawet gdy komputer trafia już na złom albo do odsprzedaży. To znaczy, że jeśli dane z niewłaściwie usuniętego dysku wyciekną, konsekwencje spadają na firmę, a nie na tego, kto sprzęt kupił czy odebrał. Dlatego liczy się dowód, że dane zostały usunięte porządnie. Takim dowodem jest protokół zniszczenia. Powinien zawierać co najmniej: jaki sprzęt został objęty usługą (najlepiej z numerami seryjnymi nośników), jaką metodą dane usunięto lub nośnik zniszczono, do jakiego poziomu według normy DIN 66399, oraz datę wykonania. Gdy usługę robi firma zewnętrzna, a na sprzęcie były dane osobowe, potrzebna jest jeszcze umowa powierzenia przetwarzania, o której mówi art. 28 RODO. Taki komplet dokumentów to Twoje zabezpieczenie na wypadek kontroli albo pytań ze strony klientów.

Najczęstsze pytania