norma DIN 66399
Co to jest norma DIN 66399?
Norma DIN 66399 określa zasady klasyfikacji i poziomy bezpieczeństwa niszczenia nośników danych, w tym dokumentów papierowych, dysków twardych, nośników elektronicznych, kart pamięci oraz płyt CD i DVD.
DIN 66399 pomaga dobrać niszczarkę lub usługę niszczenia dokumentów do rodzaju informacji przetwarzanych przez firmę. Norma wskazuje, jak małe powinny być fragmenty materiału po zniszczeniu, aby utrudnić odtworzenie danych w stopniu adekwatnym do poziomu ryzyka. Ma znaczenie wszędzie tam, gdzie dokumenty zawierają dane osobowe, informacje finansowe, handlowe, kadrowe albo poufne dane klientów.
Jak działa norma niszczenia dokumentów DIN 66399?
Standard DIN 66399 dzieli materiały przeznaczone do zniszczenia na klasy ochrony danych oraz poziomy bezpieczeństwa. Klasa ochrony określa wymagany poziom ochrony informacji, a poziom bezpieczeństwa wskazuje skalę rozdrobnienia konkretnego nośnika. Im wyższy poziom, tym mniejsze elementy pozostają po zniszczeniu i tym większa ochrona przed odzyskaniem treści.
W przypadku dokumentów papierowych stosuje się oznaczenie P, np. P-2, P-4 lub P-5. Litera odnosi się do papieru, a liczba do stopnia jego rozdrobnienia. Niszczarka tnąca dokumenty na paski oferuje zwykle niższy poziom zabezpieczenia niż model tnący na ścinki. Poziom P-4 jest często wybierany do dokumentów zawierających dane osobowe lub informacje poufne, jednak właściwy wybór powinien wynikać z oceny ryzyka oraz rodzaju dokumentacji.
Norma obejmuje również inne nośniki danych. Oznaczenia F dotyczą filmów, O – nośników optycznych, takich jak płyty CD, DVD i Blu-ray, T – magnetycznych nośników danych, E – elektronicznych nośników danych, takich jak pamięci USB, karty pamięci i nośniki SSD, a H – dysków twardych. Samo usunięcie plików lub sformatowanie dysku nie zawsze oznacza trwałe usunięcie informacji, dlatego przy utylizacji sprzętu warto uwzględnić także bezpieczne niszczenie nośników.
Klasy ochrony danych przy niszczeniu
DIN 66399 wyróżnia trzy klasy ochrony danych. Ułatwiają one określenie, jakiego poziomu zabezpieczenia wymaga firma.
- Klasa ochrony 1 – dla danych wymagających podstawowej ochrony, przede wszystkim informacji wewnętrznych. Ich nieuprawnione ujawnienie mogłoby powodować ograniczone negatywne skutki dla firmy lub osób, których dane dotyczą.
- Klasa ochrony 2 – dla danych poufnych, których ujawnienie mogłoby istotnie zaszkodzić firmie, pracownikom lub klientom. Mogą to być m.in. umowy, faktury, dokumenty kadrowe, oferty i korespondencja handlowa.
- Klasa ochrony 3 – dla danych szczególnie poufnych lub tajnych, których ujawnienie mogłoby spowodować poważne skutki dla osób albo organizacji. W zależności od okoliczności mogą do nich należeć np. dane medyczne, strategiczne informacje przedsiębiorstwa, dokumentacja prawna czy dane objęte tajemnicą zawodową.
Klasy ochrony nie należy traktować wyłącznie jako formalności. Dokument z pozoru mało ważny może zawierać PESEL, numer rachunku, dane kontaktowe klienta, stawkę wynagrodzenia lub informacje o kontrakcie. W praktyce firma powinna określić, które typy dokumentów można niszczyć w standardowy sposób, a które wymagają wyższego poziomu bezpieczeństwa albo usługi niszczenia z udokumentowanym procesem odbioru i zniszczenia dokumentacji.
DIN 66399 a RODO
RODO nie wskazuje wprost obowiązku stosowania normy DIN 66399, ale wymaga wdrożenia środków technicznych i organizacyjnych adekwatnych do ryzyka przetwarzania danych. Norma DIN 66399 może być więc praktycznym punktem odniesienia przy tworzeniu procedur bezpiecznego niszczenia dokumentów i nośników danych.
W kontekście RODO niszczenie dokumentacji powinno uniemożliwiać nieuprawniony dostęp do danych osobowych. Wyrzucenie pełnych wydruków do zwykłego kosza, kontenera na makulaturę lub pozostawienie ich przy urządzeniu wielofunkcyjnym może prowadzić do naruszenia bezpieczeństwa danych. Zastosowanie niszczarki spełniającej właściwy poziom bezpieczeństwa, zamykanych pojemników na dokumenty oraz jasnej polityki obiegu wydruków ogranicza to ryzyko.
Zastosowanie normy DIN 66399 w biurze
Norma ma szczególne znaczenie w działach księgowości, HR, administracji, sprzedaży, kancelariach, placówkach medycznych, szkołach i instytucjach publicznych. W takich miejscach codziennie powstają wydruki zawierające dane osobowe i informacje biznesowe. Odpowiednio dobrana niszczarka pozwala szybko usuwać zbędne dokumenty bez konieczności gromadzenia ich w otwartych koszach.
W większych biurach warto połączyć niszczenie dokumentów z polityką druku. Wydruk poufny, uwierzytelnianie przy drukarce kartą lub kodem oraz monitoring wydruków zmniejszają liczbę porzuconych stron. Dokumenty, które straciły wartość operacyjną i upłynął okres ich wymaganej retencji, można następnie niszczyć według ustalonej klasy ochrony. Takie działania poprawiają bezpieczeństwo i ograniczają ryzyko błędów w obiegu dokumentów.
Znaczenie DIN 66399 przy zakupie, wynajmie i serwisie niszczarki
Przed zakupem lub wynajmem niszczarki należy określić nie tylko wymagany poziom DIN 66399, lecz także dzienną liczbę dokumentów, liczbę użytkowników oraz rodzaj niszczonych materiałów. Mała niszczarka osobista nie sprawdzi się przy wspólnym punkcie druku dla kilkunastu pracowników, podobnie jak urządzenie przeznaczone wyłącznie do papieru nie rozwiąże problemu utylizacji kart plastikowych, nośników elektronicznych lub dysków twardych.
Przy wynajmie urządzenia warto zapytać o serwis, dostępność części, regularne przeglądy oraz procedurę postępowania w razie zacięcia papieru. Firmy z Wrocławia i Dolnego Śląska mogą również korzystać z lokalnego doradztwa przy doborze niszczarki do realnej skali pracy biura. Najlepszym wyborem nie zawsze jest najwyższy poziom bezpieczeństwa, lecz taki, który odpowiada rodzajowi danych, obowiązującej ocenie ryzyka i nie spowalnia codziennych obowiązków.