Procedura niszczenia danych - czy stosujesz ją należycie?

Jednym z istotniejszych wzmocnień związanych z wprowadzeniem Rozporządzenia unijnego zwanego popularnie RODO jest obowiązek czasowego ograniczenia przetwarzania danych osobowych, który jest jedną z generalnych zasad dotyczących przetwarzania, określoną w art. 5 ust. 1 lit. e RODO:

„dane osobowe muszą być przechowywane w formie umożliwiającej identyfikację osoby, której dane dotyczą, przez okres nie dłuższy, niż jest to niezbędne do celów, w których dane te są przetwarzane”.

Czym właściwie jest niszczenie danych? Samo rozporządzenie nie wskazuje dokładnie, jak ma wyglądać ten proces. Odpowiedź na to pytanie znajdujemy w wytycznych dotyczących zgłaszania naruszenia ochrony danych osobowych na mocy rozporządzenia 2016/679: „Zniszczenie danych osobowych powinno być jasne: oznacza sytuację, w której dane przestają istnieć lub przestają istnieć w formie nadającej się do użytku przez administratora”. Zniszczeniem danych jest zatem ich bezpowrotne unicestwienie. Szczególną uwagę należy zwrócić na metody niszczenia dokumentów oraz nośników danych – zwłaszcza nośników starych bądź zużytych (pendrivy, karty pamięci), które należy odpowiednio zabezpieczyć przed nieuprawnionym dostępem.

Od czego powinniśmy zacząć? Najlepiej rozpocząć od inwentaryzacji, a dokładniej od ustalenia, jakie dane przechowujemy, w jakiej formie oraz określenia czy cel przetwarzania został już osiągnięty. W przypadku dokumentów i papierowych nośników danych wystarczy sama niszczarka do dokumentów, która powinna skutecznie utylizować papierowe dokumenty w ten sposób, aby nie mogły zostać one odczytane po przejściu przez mechanizm niszczarki. Jedyną rekomendacją w tej kwestii jest użycie sprzętu o normie DIN 66399 (klasa nie niższa niż P4), która gwarantuje zachowanie całkowitej poufności danych.

Przy zewnętrznych nośnikach danych konieczne będzie ich mechaniczne zniszczenie, samo formatowanie np. dysków twardych okazuje się niewystarczające. Popularne metody to chociażby demagnetyzacja, niszczenie chemiczne lub za pomocą niszczarki danych cyfrowych. W tym miejscu przypominamy, że chcąc posiłkować się podmiotem zewnętrznym przy niszczeniu danych, pamiętać należy o podpisaniu umowy powierzenia danych z takim podmiotem.

Podkreślić należy, że polityka niszczenia danych powinna być ujednolicona. Najlepiej do tego procesu upoważnić konkretnych pracowników. Jeśli natomiast dane likwidowane są zbiorczo, dobrą praktyką jest stworzenie w tym celu raportu, w którym zawarte będą metody oraz rodzaje usuwanych danych. Takie udokumentowanie pozwoli nam zabezpieczyć się przed ewentualnymi roszczeniami i zarzutami.

Powyższe informacje należy mieć na uwadze głównie ze względu na fakt, iż zarówno zniszczenie, utracenie, jak i nieuprawnione ujawnienie czy dostęp do danych osobowych stanowi poważne naruszenie w myśl w art. 4 pkt 12 ogólnego rozporządzenia o ochronie danych. Co z kolei może skutkować nałożeniem poważnych kar finansowych.

Aleksandra Poździk

Młodszy Specjalista ds. Ochrony Danych Osobowych