Rechenschaftspflicht

Een laptop wordt uitgefaseerd, de harde schijf gewist, het apparaat verkocht. Maanden later vraagt de toezichthoudende autoriteit of een auditor: hoe hebt u gewaarborgd dat de gegevens daarop niet meer leesbaar zijn? Wie dan alleen "is afgehandeld" kan zeggen, heeft een probleem. Dit woordenlijstitem legt de verantwoordingsplicht volgens de AVG uit en toont welke bewijzen bij het uitfaseren van IT horen.

Wat staat er in art. 5 lid 2 AVG?

Art. 5 lid 1 AVG noemt de beginselen voor elke verwerking van persoonsgegevens, bijvoorbeeld doelbinding, minimale gegevensverwerking, opslagbeperking en integriteit en vertrouwelijkheid. Art. 5 lid 2 voegt daar een korte, maar ingrijpende zin aan toe: de verwerkingsverantwoordelijke is verantwoordelijk voor de naleving van deze beginselen en moet die kunnen aantonen. In de Engelse tekst heet dit "accountability".

Verwerkingsverantwoordelijke is wie over de doeleinden en middelen van de verwerking beslist, doorgaans dus het bedrijf zelf. Art. 24 AVG concretiseert de verplichting: de verwerkingsverantwoordelijke treft passende technische en organisatorische maatregelen om ervoor te zorgen dat de verwerking in overeenstemming met de AVG is, en moet dat kunnen aantonen. De maatregelen worden zo nodig geëvalueerd en geactualiseerd.

De verantwoordingsplicht is geen aparte bepaling met een vaste checklist. Ze werkt als een haakje om alle andere verplichtingen. Andere artikelen maken haar tastbaar, zoals het register van verwerkingsactiviteiten (art. 30), de beveiliging van de verwerking (art. 32) en de documentatie van datalekken (art. 33 lid 5).

Wat betekent de verantwoordingsplicht voor uitgefaseerde IT?

Een apparaat waarop persoonsgegevens staan, blijft tot aan het aantoonbare wissen deel van de verwerking. Dat geldt voor laptops, pc's, servers en smartphones, net zo goed als voor printers met een harde schijf of uitgebouwde opslagmedia. De beginselen van opslagbeperking en vertrouwelijkheid eindigen dus niet met de laatste werkdag van een apparaat.

Daaruit volgen drie praktische vragen die u voor elk uitgefaseerd apparaat moet kunnen beantwoorden:

• Welk apparaat was het? Ondubbelzinnig geïdentificeerd, bij voorkeur via het serienummer.
• Waar was het tot aan het wissen? Sluitend gedocumenteerd van de werkplek tot de dienstverlener. Deze gedocumenteerde keten heet Chain of custody.
• Wat is er met de gegevens gebeurd? Gewist of vernietigd, met welke methode, wanneer en met welk resultaat.

Schakelt u een dienstverlener in, dan blijft u als verwerkingsverantwoordelijke verantwoording verschuldigd. De dienstverlener is doorgaans verwerker, met wie u een verwerkersovereenkomst sluit. Diens protocollen en certificaten zijn dan uw bewijzen.

Verplichtingen en bewijzen in overzicht

De volgende tabel koppelt typische bewijzen aan de AVG-verplichtingen die bij het uitfaseren van IT aan de orde zijn.

Verplichting	Rechtsgrond	Typisch bewijs bij het uitfaseren
Beginselen naleven en aantonen	Art. 5 lid 2, art. 24 AVG	Wisbeleid, procesbeschrijving voor het uitfaseren
Beveiliging van de verwerking	Art. 32 AVG	Technische en organisatorische maatregelen (TOM) van de dienstverlener, verzegeld transport
Verwerkers zorgvuldig selecteren	Art. 28 AVG	Verwerkersovereenkomst, certificaten, auditrapporten
Opslagbeperking en wissen	Art. 5 lid 1 sub e, art. 17 AVG	Wiscertificaat of vernietigingscertificaat per serienummer
Datalekken documenteren	Art. 33 lid 5 AVG	Afwijkingsmelding als een apparaat ontbreekt, en de beoordeling daarvan

Het verband is belangrijk: de afzonderlijke bewijzen moeten via een gemeenschappelijke identificatie op elkaar aansluiten. Een Wiscertificaat zonder serienummer is later aan geen enkel apparaat uit uw bestand toe te wijzen.

Typische fouten

• Verzamelbewijzen zonder serienummers: Een verklaring over "3 pallets IT-schroot" of een gewicht in kilogram bewijst het wissen van afzonderlijke gegevensdragers niet.
• Fabrieksreset als wisbewerking: Een reset zonder rapport is geen bewijs. Of ze technisch volstaat, hangt af van het apparaat.
• Ongedocumenteerde overdrachten: Dozen worden opgehaald zonder dat iemand een apparatenlijst ondertekent.
• Bewijzen die zoekraken: Certificaten staan in een postvak dat na een personeelswissel niemand meer terugvindt.
• Geen toetsing van de dienstverlener: Er is noch een overeenkomst, noch inzicht in zijn maatregelen. Aanwijzingen voor de keuze geeft onze gids Een ITAD-aanbieder kiezen.

Schendingen van de beginselen uit art. 5 AVG behoren tot de gevallen waarvoor art. 83 lid 5 AVG het hogere boetekader voorziet: tot 20 miljoen euro of tot 4% van de wereldwijde jaaromzet, al naargelang welk bedrag hoger is. Dit item vervangt geen juridisch advies. Voor uw individuele geval kunt u contact opnemen met uw functionaris voor gegevensbescherming.

Praktijkvoorbeeld: 40 laptops van de boekhouding

Een vereenvoudigd voorbeeld laat zien hoe verantwoording in het dagelijks leven eruitziet. Een bedrijf vervangt 40 laptops van de boekhouding. Op de apparaten staan loongegevens en klantgegevens.

1. De IT-afdeling stelt een apparatenlijst op met serienummer, model en inventarisnummer en legt die aan de dienstverlener voor.
2. Bij het ophalen worden de apparaten verzegeld. Een overnameprotocol vermeldt het aantal en de zegelnummers en wordt ondertekend.
3. Bij goederenontvangst vergelijkt de dienstverlener de serienummers met de lijst. Alle 40 apparaten zijn compleet.
4. Elk apparaat wordt gewist. Voor elk serienummer ontstaat een wiscertificaat met methode, datum en resultaat.
5. De IT-afdeling bewaart apparatenlijst, overnameprotocol en certificaten samen en vermeldt het proces in het wisbeleid.

Vraagt een auditor later na, dan is elk van de 40 apparaten binnen enkele minuten aan te tonen. Welke gegevens zo'n bewijs moet bevatten, beschrijft onze gids Vernietigingscertificaat en wisrapport. Hoe het hele proces AVG-conform kan verlopen, leest u in Gegevensdragers AVG-conform afvoeren.

Verantwoordingsplicht bij Second IT

Second IT levert de bewijzen die u voor uw verantwoordingsplicht nodig hebt. De hardware wordt met eigen beveiligde logistiek opgehaald: directe ritten zonder tussenopslag, gps-bewaking, manipulatiebestendige verzegeling en verzekerd transport. Bij goederenontvangst worden alle apparaten op opslagmedia gecontroleerd en per serienummer geregistreerd. De verwerking vindt plaats in ruimtes met toegangscontrole en camerabewaking, de medewerkers zijn verplicht tot gegevensgeheimhouding.

Gewist wordt met Blancco, ook in verborgen gebieden zoals HPA en DCO. Voor elk apparaat is er een digitaal ondertekend wiscertificaat. Gegevensdragers die zich niet laten wissen, worden in eigen huis vernietigd volgens DIN 66399 met beveiligingsniveau H-5 en gedocumenteerd met een vernietigingscertificaat. Auditrapporten en livetracking staan in het klantenportaal klaar. Meer over de beschermende maatregelen leest u onder Gegevensbeveiliging bij Second IT.

Afbakening ten opzichte van verwante begrippen

De verantwoordingsplicht is het overkoepelende beginsel. De technische en organisatorische maatregelen (TOM) zijn de concrete beschermingsmaatregelen waarmee u er invulling aan geeft. Een Privacy-audit toetst of maatregelen en bewijzen volstaan. Het Wisrapport en het wiscertificaat zijn afzonderlijke bewijzen binnen dit systeem.

Veelgestelde vragen over de verantwoordingsplicht

Wat betekent verantwoordingsplicht in de AVG?

Ze verplicht bedrijven de naleving van de beginselen voor gegevensbescherming te kunnen aantonen (art. 5 lid 2 AVG). Het volstaat dus niet om gegevens correct te verwerken en te wissen. U moet op verzoek kunnen bewijzen dat en hoe u dat hebt gedaan.

Is er een sjabloon welke documenten ik nodig heb?

De AVG noemt geen vaste lijst. Gebruikelijk zijn een register van verwerkingsactiviteiten, een wisbeleid, beschrijvingen van de technische en organisatorische maatregelen, overeenkomsten met verwerkers en bij het uitfaseren wis- of vernietigingsbewijzen per serienummer.

Ben ik ook verantwoordelijk als een dienstverlener wist?

Ja. De dienstverlener werkt als verwerker in uw opdracht. U moet hem zorgvuldig selecteren, een overeenkomst conform art. 28 AVG sluiten en de bewijzen bewaren die hij u levert.

Hoe lang moet ik wisbewijzen bewaren?

De AVG noemt geen vaste termijn voor wisbewijzen. Bewaar ze zo lang als u rekening moet houden met vragen van autoriteiten, auditors of betrokkenen. Leg de termijn vast in uw wisbeleid en stem hem af met uw adviseur gegevensbescherming.

Verantwoordingsplicht of TOM: wat is het verschil?

De verantwoordingsplicht is het overkoepelende beginsel. De technische en organisatorische maatregelen (TOM) zijn de concrete beschermingsmaatregelen waarmee u er invulling aan geeft. Een privacy-audit toetst of maatregelen en bewijzen volstaan. Wisrapport en wiscertificaat zijn afzonderlijke bewijzen.