Niszczenie danych w urzędzie i instytucji: jak to udokumentować
Urząd czy instytucja, która wycofuje z użytku komputery i dyski, musi trwale usunąć z nich dane i mieć na to dowód. Samo formatowanie to za mało, bo takie dane często da się odzyskać. Dowodem należytego usunięcia jest protokół zniszczenia, wskazujący sprzęt, metodę i poziom według normy DIN 66399. Gdy usługę wykonuje firma zewnętrzna, potrzebna jest też umowa powierzenia przetwarzania danych.
Dlaczego trzeba to udokumentować
Instytucja jest administratorem danych, które przetwarza, także tych zapisanych na starych nośnikach. Na dyskach wycofywanych komputerów bywają dane pracowników, interesantów, dokumenty i korespondencja. Jeśli taki sprzęt trafi na złom albo do odsprzedaży bez właściwego usunięcia danych, a informacje wyciekną, odpowiedzialność spada na instytucję. Dlatego samo skasowanie nie wystarcza, liczy się dowód, że dane usunięto trwale i w sposób udokumentowany.
Co powinien zawierać protokół
Protokół zniszczenia to dokument potwierdzający należytą staranność. Powinien wskazywać co najmniej: jaki sprzęt objęto usługą, najlepiej z numerami seryjnymi nośników, jaką metodą dane usunięto lub nośnik zniszczono, do jakiego poziomu według normy oraz datę wykonania. Taki papier przydaje się na wypadek kontroli albo pytań, i jest dla instytucji zabezpieczeniem, że dopełniła obowiązku.
Norma DIN 66399 po ludzku
DIN 66399 to norma, która opisuje, jak skutecznie niszczyć nośniki danych i dzieli to na poziomy bezpieczeństwa. W uproszczeniu: im wyższy poziom, tym drobniej i pewniej nośnik jest niszczony, i tym trudniej cokolwiek z niego odtworzyć. Dobiera się go do wrażliwości danych. Dla zwykłych dokumentów urzędowych wystarcza inny poziom niż dla danych szczególnie chronionych. Metodę i poziom ustalamy z instytucją przed usługą.
Umowa powierzenia i jak to robimy
Gdy niszczenie danych zleca się firmie zewnętrznej, a na sprzęcie są dane osobowe, potrzebna jest umowa powierzenia przetwarzania, o której mówi artykuł 28 RODO. Podpisujemy ją standardowo. Dobieramy metodę do rodzaju nośnika (nadpisanie albo fizyczne zniszczenie), a po wszystkim wystawiamy protokół. Więcej o samej zasadzie piszemy w poradniku o niszczeniu danych a RODO, a zakres dla instytucji jest na stronie dla firm i instytucji.
Najczęstsze pytania
Czy formatowanie dysku wystarcza w instytucji?
Nie. Po zwykłym formatowaniu dane często da się odzyskać. Trzeba je trwale nadpisać albo zniszczyć nośnik fizycznie, a całość udokumentować protokołem.
Co powinien zawierać protokół zniszczenia?
Jaki sprzęt objęto usługą (najlepiej z numerami nośników), jaką metodą i do jakiego poziomu według DIN 66399 dane usunięto oraz kiedy. To dowód należytej staranności.
Czy podpisujecie umowę powierzenia?
Tak. Gdy na sprzęcie są dane osobowe, podpisujemy umowę powierzenia zgodnie z artykułem 28 RODO. To standard współpracy z instytucjami.
Robicie to dla urzędów i szkół?
Tak. Obsługujemy instytucje: dobieramy metodę do nośnika, niszczymy dane trwale i wystawiamy protokół, a zakres i koszt ustalamy indywidualnie.
Wycofujecie sprzęt z instytucji?
Zniszczymy dane trwale, z protokołem i umową powierzenia.
Zobacz ofertę dla firm i instytucji