Jak niszczyć dokumenty w zgodzie z RODO?

RODO a niszczenie dokumentów - podstawowe wymagania prawne

RODO (ogólne rozporządzenie o ochronie danych) nie podaje wprost, na ile lat masz przechowywać konkretne dokumenty, od tego są przepisy branżowe, podatkowe czy z zakresu prawa pracy. Rozporządzenie jasno mówi jednak jedno: dane osobowe wolno trzymać tylko tak długo, jak jest to niezbędne do celu, w jakim zostały zebrane. Po upływie tego okresu muszą zostać usunięte w sposób trwały i nieodwracalny. Z punktu widzenia RODO niszczenie dokumentów (papierowych i elektronicznych) jest więc jednym z kluczowych etapów całego procesu przetwarzania danych.

Prawo wymaga, aby administrator danych, czyli podmiot decydujący o celach i sposobach przetwarzania (najczęściej pracodawca, właściciel firmy, zarząd spółki lub organ jednostki publicznej), zapewnił odpowiednie środki techniczne i organizacyjne. Chodzi m.in. o:

• odpowiednią archiwizację dokumentów,
• kontrolę dostępu do dokumentów,
• stosowanie metod niszczenia dostosowanych do rodzaju danych
• prowadzenie wewnętrznych procedur, które opisują, kiedy i w jaki sposób dokumenty są wycofywane z obiegu i likwidowane.

To administrator odpowiada za cały cykl życia dokumentacji: od pozyskania danych, przez przechowywanie, aż po ich bezpieczne zniszczenie.

RODO kładzie nacisk na to, aby po zakończeniu okresu przechowywania dane były usuwane tak, by nie dało się ich odtworzyć: ani z kartki papieru, ścinek, dysku, serwera czy kopii zapasowej. Wymaga również, by sposób niszczenia danych był proporcjonalny do ich wrażliwości: inaczej podejdziemy do notatek wewnętrznych, a inaczej do dokumentacji medycznej czy akt pracowniczych zawierających numery PESEL i informacje o zdrowiu.

Stosowane rozwiązania muszą wynikać z analizy ryzyka i być udokumentowane w rejestrach czynności oraz politykach bezpieczeństwa.

Naruszenie zasad ochrony danych, w tym niewłaściwe niszczenie dokumentów lub ich przetrzymanie w archiwach, może skutkować nie tylko koniecznością zgłoszenia incydentu do organu nadzorczego i poinformowania osób, których dane dotyczą, ale też dotkliwymi karami finansowymi.

RODO przewiduje administracyjne kary pieniężne sięgające nawet 20 mln euro lub 4% całkowitego rocznego światowego obrotu przedsiębiorstwa, w zależności od tego, która kwota jest wyższa. Dla wielu firm oznacza to, że brak przemyślanej polityki niszczenia dokumentów może stać się ryzykiem biznesowym.

Bezpieczne i zgodne z RODO niszczenie dokumentów - najlepsze praktyki dla firm

Bezpieczne niszczenie dokumentów zaczyna się dużo wcześniej niż dopiero przy niszczarce. Kluczowe są jasne procedury: co niszczymy, po jakim czasie i kto za to odpowiada. Dlatego w pierwszym kroku pomagamy klientom zdefiniować kategorie dokumentów, okresy retencji i sposób ich obiegu w firmie. Dzięki temu przechowywanie dokumentów nie zamienia się w chaotyczne gromadzenie papierów, tylko w kontrolowany proces, którego naturalnym finałem jest zgodne z RODO zniszczenie danych.

Równie ważne jest przechowywanie dokumentów. Dokumenty przeznaczone do utylizacji nie powinny leżeć na biurkach, w otwartych szafkach czy kartonach. Udostępniamy zamykane, plombowane pojemniki, do których Twoi pracownicy wrzucają akta przewidziane do zniszczenia. Ogranicza to dostęp osób postronnych i minimalizuje ryzyko podejrzenia lub skopiowania danych. Następnie ustalamy stały harmonogram odbiorów, tak aby stosy papierów nie zalegały w biurze bez odpowiedniej ochrony.

Bezpieczne, zgodne z RODO niszczenie dokumentów wymaga także właściwego doboru technologii. Zwykła niszczarka biurowa często nie spełnia klas bezpieczeństwa wymaganych dla danych osobowych czy dokumentów wrażliwych.

W Destroy korzystamy z przemysłowych urządzeń spełniających normę DIN 66399, które tną dokumenty na tak drobne ścinki, że ich odtworzenie danych jest niemożliwe. Po zakończeniu procesu wystawiamy certyfikat zniszczenia, który stanowi dowód na wypadek kontroli organu nadzorczego lub audytu wewnętrznego.

Dobrą praktyką, jaką stosujemym jest też dokumentowanie całego procesu: od przekazania dokumentów do pojemników, przez odbiór i transport, aż po samą utylizację. W wielu przypadkach stosujemy system śledzenia pojazdów GPS. To wszystko sprawia, że niszczenie dokumentów staje się przejrzystym, powtarzalnym procesem, a nie ryzykownym obowiązkiem, który przypomina o sobie dopiero podczas kontroli.

Niszczenie dokumentów przez inny podmiot: kiedy jest zgodne z RODO?

Niszczenie dokumentów przez inny podmiot jest zgodne z RODO, o ile to Ty, jako administrator danych, zachowujesz kontrolę nad całym procesem. Oznacza to, że nie oddajesz odpowiedzialności całkowicie razem z dokumentami, ale powierzysz ich przetwarzanie podmiotowi przetwarzającemu na podstawie umowy spełniającej wymogi art. 28 RODO. Taka umowa musi precyzyjnie określać zakres usługi, rodzaj danych, czas trwania współpracy, sposób niszczenia oraz środki bezpieczeństwa, które stosuje wykonawca.

Kluczowe jest to, aby firma niszcząca dokumenty zapewniała odpowiedni poziom ochrony: kontrolę dostępu, procedury poufności pracowników, monitoring procesu niszczenia oraz właściwą utylizację pozostałości. W praktyce, w naszej firmie, oznacza to m.in. stosowanie certyfikowanych urządzeń, spełnianie odpowiednich norm (np. co do stopnia rozdrobnienia) i możliwość udostępnienia dokumentacji potwierdzającej przebieg procesu, np. protokołu czy certyfikatu zniszczenia.

RODO dopuszcza też korzystanie z podwykonawców przez firmę niszczącą dokumenty, ale tylko wtedy, gdy Ty jako administrator wyrazisz na to zgodę (ogólną lub szczegółową), a kolejne podmioty będą objęte takimi samymi obowiązkami jak główny usługodawca. Jeżeli wybierzesz rzetelnego partnera i zadbasz o właściwą umowę powierzenia, outsourcing niszczenia dokumentów pozostaje w pełni zgodny z RODO, a jednocześnie odciąża Twój zespół z bardzo wymagającego procesu.

Jakich metod niszczenia danych osobowych nie wolno stosować?

Nie wszystkie sposoby niszczenia dokumentów są zgodne z RODO. Część z nich w ogóle nie zapewnia ochrony danych. Przede wszystkim nie wolno traktować poufnych dokumentów jak zwykłych odpadów. Rwanie kartek ręcznie, wrzucanie ich w całości do kosza, makulatury czy kontenera na papier to prosta droga do wycieku danych. Treść można łatwo odczytać lub poskładać.

Podobnie nieakceptowalne jest zostawianie worków z dokumentami w ogólnodostępnych miejscach, na korytarzu czy przy śmietniku. Z punktu widzenia RODO to równoznaczne z udostępnieniem danych osobom nieuprawnionym.

Ostrożnie trzeba też podchodzić do klasycznych niszczarek biurowych. W przypadku dokumentów zawierających dane osobowe cięcie kartek w paski jest niewystarczające. Dłuższe ścinki da się odtworzyć, a więc metoda nie spełnia standardów bezpiecznego zniszczenia.

Niewłaściwe jest również wyrzucanie ścinków z niszczarki jako zwykłego odpadu. W dużych ilościach nadal mogą stanowić źródło informacji, jeśli trafią w niepowołane ręce. Bezpieczne niszczenie powinno spełniać odpowiednie klasy bezpieczeństwa (np. według ISO 21964) i kończyć się utylizacją odpadów w kontrolowany sposób, najlepiej z recyklingiem.

Podobne błędy dotyczą danych elektronicznych. Usunięcie plików, opróżnienie kosza, szybkie formatowanie dysku czy resetowanie urządzenia nie jest traktowane jako skuteczne niszczenie. Dane wciąż można odzyskać z nośnika.

Nie wolno więc sprzedawać, oddawać lub wyrzucać komputerów, dysków, pendrive’ów czy telefonów służbowych bez wcześniejszego trwałego zniszczenia danych, np. poprzez demagnetyzację lub fizyczne zniszczenie nośnika.

Z perspektywy RODO niewłaściwe są wszystkie metody, które:

• pozostawiają możliwość odczytu danych,
• nie pozwalają udokumentować procesu niszczenia (np. brak potwierdzenia, brak kontroli nad tym, co działo się z dokumentami po ich wyrzuceniu),
• angażują osoby bez upoważnień i odpowiednich procedur.

Jeśli masz wątpliwości, czy stosowane u Ciebie praktyki są bezpieczne, to dobry moment, by je zweryfikować i rozważyć przekazanie niszczenia dokumentów profesjonalnemu podmiotowi. Nasi pracownicy chętnie pomogą Ci w dopełnieniu wszelkich obowiązków prawnych z zachowaniem najwyższych standardów bezpieczeństwa danych Twojej firmy.