Chain of Custody

Wanneer uit gebruik genomen notebooks, servers of harde schijven uw pand verlaten, rijst een eenvoudige vraag: kunt u voor elk afzonderlijk apparaat aantonen waar het was totdat de gegevens aantoonbaar zijn gewist of vernietigd? Precies dat doet een chain of custody. Dit woordenlijst-item legt het begrip uit, toont de afzonderlijke schakels van de keten en noemt de punten waar ze in de praktijk het vaakst breekt.

Wat betekent chain of custody?

Het begrip komt uit de forensische wetenschap: een bewijsstuk is voor de rechter alleen bruikbaar als sluitend kan worden aangetoond wie het sinds de veiligstelling in handen had. Later is het begrip in andere gebieden overgenomen, bijvoorbeeld bij de certificering van toeleveringsketens voor hout- en papierproducten.

In der IT Asset Disposition (ITAD), also der geordneten Ausmusterung von IT-Hardware, bedeutet Chain of Custody: Jedes Gerät und jeder Datenträger ist von der Bestandsaufnahme beim Kunden bis zum Abschluss eindeutig identifizierbar. Jede Übergabe ist mit Zeitpunkt, beteiligten Personen und Zustand dokumentiert. Am Ende steht für jede Seriennummer ein Nachweis, was mit ihr geschehen ist.

Waarom de chain of custody telt bij het uit gebruik nemen van IT

Een uit gebruik genomen notebook is geen oud metaal, maar een gegevensdrager met klant-, personeels- of bedrijfsgegevens. Zolang deze gegevens niet zijn gewist, gelden voor het apparaat dezelfde beschermingsplichten als tijdens het lopende gebruik. De AVG vereist dat u de naleving van de beginselen van gegevensbescherming kunt aantonen (Verantwoordingsplicht, art. 5 lid 2 AVG) en dat persoonsgegevens worden beschermd door passende technische en organisatorische maatregelen (art. 32 AVG).

Verdwijnt een apparaat tussen kantoor en dienstverlener, dan kan dat een meldingsplichtige datalek zijn. Volgens art. 33 AVG moet het doorgaans onverwijld en zo mogelijk binnen 72 uur aan de toezichthouder worden gemeld. Zonder chain of custody weet u in een noodgeval niet eens op welk punt het apparaat verloren is gegaan.

Draagt u een dienstverlener het wissen of vernietigen op, dan is deze doorgaans verwerker. De gedocumenteerde bewaarketen is dan het bewijs dat hij de overeengekomen maatregelen daadwerkelijk uitvoert.

De schakels van de keten

Een chain of custody bestaat uit meerdere schakels. Elke schakel heeft een eigen bewijsstuk nodig en alle bewijsstukken moeten via een eenduidig kenmerk bij elkaar passen, meestal het serienummer.

Schakel	Wat wordt gedocumenteerd	Typisch bewijsstuk
Inventarisatie	Welke apparaten worden uit gebruik genomen: type, fabrikant, model, serienummer, eventueel asset tag	Inventarislijst of apparatenlijst
Verpakking	Welke apparaten in welke container zitten, nummer van het zegel	Inhoudsoverzicht, zegelnummer
Overdracht	Wie wanneer aan wie heeft overgedragen, aantal containers	Ondertekend overnameprotocol
Transport	Voertuig, route, periode, tussenstops	Rit- en trackinggegevens, transportdocumenten
Goederenontvangst	Staat van de zegels, vergelijking van serienummers met de lijst, afwijkingen	Ontvangstprotocol, afwijkingsmelding
Verwijdering of vernietiging	Methode, resultaat en tijdstip per gegevensdrager	Wiscertificaat of vernietigingscertificaat per serienummer
Verwerking	Doorverkoop, winning van reserveonderdelen of recycling	Bewijs van verwerking of afvoer

Doorslaggevend is de afstemming: de serienummers uit de inventarisatie moeten terug te vinden zijn bij goederenontvangst en in het wis- of vernietigingsbewijs. Wat in een schakel ontbreekt, moet direct opvallen en worden opgehelderd.

Hoe u een betrouwbare chain of custody herkent

• Eenduidig kenmerk per apparaat: Bewijsstukken noemen serienummers, niet alleen aantallen of gewicht.
• Geen niet-gedocumenteerde tussenstations: Elke locatiewijziging wordt vastgelegd. Directe transporten zonder tussenopslag verkorten de keten.
• Manipulatiebestendige afsluitingen: Containers worden afgesloten met genummerde veiligheidszegels waarvan de nummers in het protocol staan.
• Soll-ist-vergelijking bij ontvangst: De dienstverlener vergelijkt de geleverde apparaten met uw lijst en meldt afwijkingen.
• Beveiligde verwerking: Toegangscontrole en camerabewaking op plekken waar gegevensdragers op wissen of vernietiging wachten.
• Bewijsstukken die u kunt opvragen: Protocollen en certificaten liggen bij u en kunnen nog jaren later aan een apparaat worden gekoppeld.
• Duidelijke regels voor onderaannemers: Wordt een deel van de keten aan derden uitbesteed, dan gelden daar dezelfde eisen.

Typische hiaten in de praktijk

• Oude apparaten staan weken in open dozen op de gang of in de kelder.
• Een koerier haalt dozen op zonder dat iemand een apparatenlijst tekent.
• Uitgebouwde harde schijven worden apart van het apparaat verzameld, maar zonder eigen serienummerlijst.
• Het vernietigingsbewijs noemt alleen een gewicht, geen serienummers.

Voorbeeld: 120 notebooks van één locatie

Een vereenvoudigd voorbeeld laat zien hoe de keten in het dagelijks werk helpt. Een bedrijf neemt op één locatie 120 notebooks uit gebruik. De IT-afdeling maakt een inventarislijst met serienummers en geeft die vooraf aan de dienstverlener.

1. Bij het ophalen worden de apparaten in containers verpakt en verzegeld. Het overnameprotocol noemt 120 apparaten en de zegelnummers.
2. Bij goederenontvangst zijn de zegels intact. De afstemming levert echter slechts 119 serienummers op.
3. De afwijking wordt direct gemeld. De interne controle laat zien: één apparaat stond nog in de thuiswerkplek van een medewerker en was per ongeluk op de lijst terechtgekomen.
4. Voor de 119 apparaten liggen uiteindelijk wiscertificaten per serienummer klaar. Het ontbrekende apparaat wordt nageleverd en afzonderlijk gedocumenteerd.

Zonder chain of custody was het hiaat misschien pas maanden later bij een controle opgevallen en had niemand kunnen zeggen waar het apparaat was gebleven.

Chain of custody bij Second IT

Second IT haalt hardware op met eigen Veiligheidslogistiek : directe ritten zonder tussenopslag, gps-bewaking, manipulatiebestendige verzegeling en verzekerd transport. Volgens de algemene voorwaarden worden bij de beveiligde logistiek alle gegevensdragers verzegeld en vindt het verwijderen van de zegels pas in eigen huis in Schwäbisch Hall plaats.

Bij goederenontvangst worden alle geleverde apparaten gecontroleerd op opslagmedia, ook op vergeten usb-sticks of verborgen gegevensdragers, en per serienummer geregistreerd. De verwerking vindt plaats in gebieden met toegangscontrole en camerabewaking. Elk apparaat wordt met Blancco gewist en krijgt een digitaal ondertekend Schermerkening per apparaat. Gegevensdragers die niet kunnen worden gewist, worden in eigen huis vernietigd volgens DIN 66399 (tot beveiligingsniveau H-5 en E-5) en met een vernietigingscertificaat gedocumenteerd. Auditrapporten en live tracking staan in het klantenportaal klaar.

Verstuurt u apparaten zelf, verzegel dan bijvoorbeeld een PELI Case met twee hoogbeveiligingszegels volgens ISO 17712 en laat de overdracht aftekenen op uw kopie van het overnameprotocol.

Afbakening ten opzichte van verwante begrippen

Een Wiscertificaat bewijst alleen de laatste schakel van de keten, namelijk het wissen van een gegevensdrager. De chain of custody omvat alle schakels daarvoor. Een audittrail is op zijn beurt de technische registratie van acties in een systeem. Hij kan deel uitmaken van de chain of custody, maar vervangt de bewijsstukken van fysieke overdrachten niet. Welke inhoud een vernietigingscertificaat en een wisrapport moeten hebben, legt onze gids uit Vernietigingscertificaat en wisrapport. Waar u op moet letten bij de keuze van een dienstverlener, leest u in Een ITAD-aanbieder kiezen.

Veelgestelde vragen over chain of custody

Wat betekent chain of custody in het Duits?

Gebruikelijk zijn ‘Verwahrkette’ of ‘Beweismittelkette’. Bedoeld is de sluitende documentatie van wie een object wanneer, waar en in welke staat in bewaring had. Bij het uit gebruik nemen van IT heeft het begrip betrekking op apparaten en gegevensdragers tot het wissen, vernietigen of verwerken.

Is een chain of custody wettelijk verplicht?

Geen enkele wet gebruikt het begrip uitdrukkelijk. De AVG verplicht u echter persoonsgegevens passend te beschermen en de naleving aan te tonen (art. 5 lid 2 en art. 32 AVG). Een gedocumenteerde bewaarketen is de praktische weg om dit bewijs voor uit gebruik genomen gegevensdragers te leveren.

Welke documenten horen bij een chain of custody?

Typisch zijn een inventarislijst met serienummers, het inhoudsoverzicht van de containers met zegelnummers, een ondertekend overnameprotocol, transportgegevens, het ontvangstprotocol met soll-ist-vergelijking en wis- of vernietigingscertificaten per serienummer. Bij de verwerking komen afvoer- of recyclingbewijzen erbij.

Wat moet ik doen als bij goederenontvangst een apparaat ontbreekt?

De afwijking moet direct worden gemeld en met serienummer worden gedocumenteerd. Controleer intern of het apparaat in het geheel is overgedragen. Kan de verblijfplaats niet worden opgehelderd en stonden er persoonsgegevens op, beoordeel dan met uw functionaris voor gegevensbescherming of een melding op grond van art. 33 AVG nodig is.

Is een wiscertificaat hetzelfde als een chain of custody?

Nee. Een wiscertificaat bewijst alleen de laatste schakel van de keten, namelijk het wissen van een gegevensdrager. De chain of custody omvat alle schakels daarvoor, van de inventarisatie via overdracht en transport tot de goederenontvangst. Een audittrail vervangt de bewijsstukken van fysieke overdrachten niet.