certyfikat zniszczenia dokumentów
Co to jest certyfikat zniszczenia dokumentów?
Certyfikat zniszczenia dokumentów to pisemne lub elektroniczne potwierdzenie, że wskazane dokumenty albo nośniki danych zostały zniszczone w określony sposób.
Dokument może wystawić firma realizująca usługę niszczenia albo podmiot odpowiedzialny za wewnętrzne zniszczenie dokumentacji. Certyfikat potwierdza wykonanie usługi lub procedury niszczenia i może stanowić element dokumentacji wykazującej, że organizacja podjęła środki ograniczające ryzyko dostępu osób nieuprawnionych do danych. Ma szczególne znaczenie dla firm przetwarzających dane osobowe, informacje finansowe, dane pracowników, dokumentację medyczną, umowy handlowe czy poufną korespondencję.
Co powinien zawierać certyfikat zniszczenia?
Nie ma jednego, ustawowo obowiązkowego wzoru certyfikatu zniszczenia dokumentów. Rzetelne potwierdzenie powinno jednak umożliwiać identyfikację usługi oraz zakresu zniszczonych materiałów. Zwykle zawiera:
- nazwę i dane podmiotu przekazującego dokumenty do zniszczenia,
- nazwę wykonawcy usługi,
- datę odbioru oraz datę zniszczenia,
- opis dokumentów, pojemników lub nośników danych,
- ilość materiału, na przykład liczbę pojemników, kartonów albo kilogramów,
- zastosowaną metodę niszczenia oraz – jeśli ma zastosowanie – poziom bezpieczeństwa,
- numer protokołu, podpis albo elektroniczne potwierdzenie wykonania usługi.
Certyfikat zniszczenia dokumentów może stanowić załącznik do protokołu zniszczenia dokumentów. Protokół jest zazwyczaj bardziej szczegółowy: może opisywać przekazanie materiałów, osoby odpowiedzialne, numery plomb pojemników oraz przebieg odbioru. W codziennej praktyce firmy często używają obu dokumentów łącznie.
Niszczenie dokumentów a RODO
Niszczenie dokumentów a RODO to nie tylko kwestia pocięcia papieru na paski. Administrator danych powinien wdrożyć odpowiednie środki techniczne i organizacyjne, uwzględniające ryzyko dla praw i wolności osób fizycznych. Dotyczy to między innymi faktur, CV, list płac, umów, raportów, wydruków z systemów księgowych oraz kopii dokumentów tożsamości.
RODO nie wskazuje wprost, że każda firma musi posiadać certyfikat zniszczenia dokumentów. W razie kontroli, audytu lub incydentu bezpieczeństwa taki dokument może jednak pomóc wykazać, że przedsiębiorstwo stosowało określoną procedurę usuwania danych. Jest także istotny wtedy, gdy dokumenty niszczy zewnętrzny usługodawca przetwarzający dane osobowe w imieniu firmy.
Przy niszczeniu dokumentów z certyfikatem warto sprawdzić, czy dostawca zapewnia bezpieczne pojemniki, kontrolowany odbiór, zabezpieczony transport materiałów oraz potwierdzenie wykonania zniszczenia. Jeżeli usługodawca przetwarza dane osobowe w imieniu administratora, co co do zasady ma miejsce przy odbiorze i niszczeniu dokumentów zawierających takie dane, należy zawrzeć umowę powierzenia przetwarzania danych zgodną z art. 28 RODO.
Zastosowanie w biurze
Certyfikat jest przydatny wszędzie tam, gdzie dokumentacja szybko rośnie i nie powinna trafiać do zwykłego kosza na papier. Dotyczy to biur rachunkowych, kancelarii, działów HR, placówek medycznych, szkół, wspólnot mieszkaniowych, sklepów internetowych i instytucji publicznych. W firmie może potwierdzać cykliczne niszczenie dokumentów po upływie wymaganego okresu przechowywania lub jednorazową likwidację archiwum.
Małe biuro może niszczyć bieżące wydruki za pomocą niszczarki dobranej do wymaganej ochrony informacji. Niszczarka tnąca dokumenty na ścinki zwykle ogranicza ryzyko odtworzenia treści bardziej niż model tnący na paski. Nie zawsze będzie jednak wystarczająca przy dużej liczbie segregatorów, dokumentach archiwalnych lub nośnikach elektronicznych. W takich sytuacjach warto rozważyć usługę odbioru i profesjonalnego niszczenia dokumentów z potwierdzeniem wykonania usługi.
Warto połączyć procedurę niszczenia z polityką druku. Wydruk poufny, uwierzytelnianie przy drukarce, druk podążający oraz monitoring wydruków zmniejszają liczbę dokumentów pozostawianych przy urządzeniu wielofunkcyjnym. To ogranicza koszty i ryzyko ujawnienia danych jeszcze przed etapem niszczenia.
Perspektywa zakupowa lub serwisowa
Przy zakupie lub wynajmie niszczarki należy dobrać urządzenie do rodzaju dokumentów i ich ilości. Dla dokumentów zawierających dane osobowe lepszym wyborem będzie zazwyczaj niszczarka tnąca na ścinki niż model paskowy, ponieważ ścinki są trudniejsze do odtworzenia. Znaczenie mają też pojemność kosza, jednorazowy wsad, czas pracy ciągłej oraz możliwość niszczenia kart plastikowych, zszywek, płyt CD lub innych nośników – zgodnie ze specyfikacją urządzenia.
Firmy z Wrocławia i Dolnego Śląska, które regularnie przetwarzają dużą ilość dokumentacji, mogą rozważyć stałą usługę niszczenia z zamykanymi pojemnikami oraz cyklicznym odbiorem. Przy wyborze dostawcy należy ustalić, czy potwierdzenie lub certyfikat jest wystawiany po każdej usłudze, jakie dane zawiera oraz czy obejmuje również nośniki danych.
W przypadku dzierżawy urządzeń drukujących warto także zadbać o bezpieczne usunięcie danych z pamięci przed zwrotem urządzenia, zwłaszcza gdy urządzenie wielofunkcyjne ma dysk twardy lub inną pamięć masową. Samo przywrócenie ustawień fabrycznych nie zawsze powoduje trwałe usunięcie danych, dlatego sposób ich usunięcia powinien być dostosowany do rodzaju urządzenia i nośnika.