Niszczenie dokumentów a RODO –

Niszczenie dokumentów a RODO – obowiązki i procedury

25 maja 2018 r. zostało powołane RODO, czyli Rozporządzenie o Ochronie Danych Osobowych. Od tego dnia zmieniły się nie tylko zasady dotyczące przetwarzania wrażliwych informacji, ale pojawiły się też wytyczne w kwestii niszczenia dokumentów. Nałożyło to na przedsiębiorstwa konieczność odpowiedniego zarządzania dokumentacją i odpowiedzialną utylizację. Jak powinno wyglądać niszczenie dokumentów zawierających dane osobowe pracownika, klienta lub innej osoby? Odpowiadamy!

W skrócie

• RODO nie wskazuje jednej obowiązkowej metody niszczenia dokumentów, ale wymaga stosowania zabezpieczeń adekwatnych do ryzyka związanego z przetwarzaniem danych.
• Zasada ograniczenia przechowywania oznacza, że danych osobowych nie należy przechowywać dłużej, niż jest to niezbędne do określonych celów, z uwzględnieniem obowiązków wynikających z innych przepisów.
• Procedura niszczenia dokumentów powinna obejmować sprawdzenie okresów przechowywania, wytypowanie dokumentacji, zabezpieczenie jej przed dostępem osób nieuprawnionych oraz potwierdzenie zniszczenia.
• Przy zlecaniu niszczenia dokumentów zewnętrznej firmie trzeba ustalić role stron i zawrzeć umowę powierzenia przetwarzania danych, jeżeli wykonawca działa jako podmiot przetwarzający.
• Protokół lub certyfikat zniszczenia może pomóc administratorowi wykazać, że dokumentacja została usunięta zgodnie z przyjętą procedurą.

Prawidłowa procedura niszczenia dokumentów – dlaczego jest tak ważna?

Procedura niszczenia dokumentów ma ścisły związek z Rozporządzeniem o Ochronie Danych Osobowych. Przepisy, które wówczas weszły w życie, jasno wskazują obowiązki administratora danych osobowych. Dotyczą one zarówno przechowywania, jak i niszczenia dokumentacji. Ponadto każda osoba, która ma dostęp do poufnych informacji, jest zobowiązana do zachowania tajemnicy oraz prawidłowej utylizacji nośników danych, gdy nie są już potrzebne.

Procedura niszczenia dokumentów w RODO

Procedurę związaną z niszczeniem wrażliwych dokumentów określa art. 2 pkt. 4 RODO. Choć możemy w nim przeczytać o „operacji lub zestawie operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany”, to nie jest to określone w sposób jednoznaczny.

Tym samym, rozporządzenie nie wskazuje jednoznacznie konkretnego, prawidłowego sposobu niszczenia dokumentów. Przyjmuje się więc, że każda metoda, która pozwala na skuteczną utylizację, jest zgodna z RODO.

Nie zapominajmy jednak o głośnych sprawach, kiedy wrażliwe dane znaleziono na śmietnikach przy biurach i urzędach. To wszystko pozwala wyciągnąć wnioski i nakazuje wdrożenie odpowiedniej procedury bezpieczeństwa.

Jakie obowiązki ma administrator danych podczas niszczenia dokumentów?

Administrator odpowiada za ustalenie, jak długo dane są potrzebne, kto może mieć do nich dostęp i w jaki sposób zostaną usunięte. Nie wystarczy więc kupić niszczarki albo podpisać umowę z wykonawcą. Trzeba również określić zasady postępowania z dokumentacją i sprawdzać, czy są przestrzegane.

Obowiązki te wynikają z kilku przepisów RODO:

Przepis	Znaczenie dla niszczenia dokumentów
Art. 5 ust. 1 lit. e	Dane osobowe należy przechowywać w formie umożliwiającej identyfikację nie dłużej, niż wymaga tego cel przetwarzania, z uwzględnieniem przewidzianych prawem wyjątków.
Art. 5 ust. 2	Administrator musi być w stanie wykazać przestrzeganie zasad przetwarzania danych.
Art. 17	W określonych sytuacjach osoba, której dane dotyczą, może żądać ich usunięcia. Prawo to podlega ustawowym wyjątkom.
Art. 24 i 25	Administrator powinien wdrożyć odpowiednie środki organizacyjne i techniczne, uwzględniające ryzyko związane z przetwarzaniem danych.
Art. 28	Gdy zewnętrzny wykonawca działa jako podmiot przetwarzający, współpraca wymaga odpowiedniej umowy lub innego aktu prawnego.
Art. 32	Należy zapewnić poziom bezpieczeństwa odpowiedni do ryzyka, również podczas przekazywania i niszczenia dokumentacji.

Czy RODO nakazuje niszczyć dokumenty natychmiast po zakończeniu ich wykorzystania?

Nie w każdym przypadku. Zakończenie bieżącego wykorzystania dokumentu nie oznacza automatycznie, że można go zniszczyć. Dokumentacja może nadal podlegać obowiązkowi przechowywania wynikającemu z przepisów podatkowych, pracowniczych lub innych regulacji. Przed zniszczeniem należy ustalić, czy istnieje dalsza podstawa jej przechowywania.

Jak niszczyć dokumenty zgodnie z RODO?

Kiedy dane poufne trafiają w niepowołane ręce, możemy narazić firmę na straty zarówno finansowe, jak i wizerunkowe. Wycieki wrażliwych informacji odbijają się bowiem szerokim echem w mediach, dlatego warto niszczyć dokumenty w sposób odpowiedzialny i bezpieczny.

Odpowiednie procedury odnoszące się do procesu niszczenia dokumentów są pierwszym krokiem w tym procesie. Zwróćmy też uwagę na fakt, że kopie papierowe dokumentów należy przechowywać jedynie tak długo, jak jest to niezbędne. Po upływie terminu przydatności nośnika należy niezwłocznie zniszczyć go w niszczarce. Przykładami dokumentów, które warto niszczyć na bieżąco, są:

• dokumenty podatkowe i wyciągi księgowe
• dokumenty z podpisem,
• faktury i paragony.

Zgodnie z trzecim stopniem tajności (P-3), wskazywanym przez normę DIN 66399, po upływie wskazanego terminu firmy mają obowiązek zniszczyć dokumenty zawierające dane osobowe, bez zbędnej zwłoki.

Jedną z najczęściej wykorzystywanych metod jest niszczarka. Rozporządzenie o Ochronie Danych osobowych nie wskazuje jasno wielkości powstałych w tym procesie ścinków. Jednak zaznacza, że pozostałości po dokumentacji nie mogą pozwalać na odtworzenie zawartych na niej informacji.

Jak wygląda procedura niszczenia dokumentów krok po kroku?

Dobrze przygotowana procedura powinna obejmować cały proces – od sprawdzenia, które dokumenty można usunąć, po potwierdzenie wykonania zniszczenia. Poszczególne etapy należy dostosować do rodzaju dokumentacji, sposobu jej przechowywania oraz organizacji pracy w przedsiębiorstwie.

1. Klasyfikacja dokumentacji. Ustala się, jakie informacje znajdują się w dokumentach, kto jest uprawniony do ich przetwarzania i jakie przepisy regulują okres ich przechowywania.
2. Weryfikacja terminów. Przed wytypowaniem dokumentów do zniszczenia należy sprawdzić, czy nie obowiązuje dalszy okres przechowywania, na przykład wynikający z przepisów podatkowych lub prawa pracy.
3. Selekcja i zabezpieczenie. Dokumenty przeznaczone do zniszczenia oddziela się od pozostałych akt. Do czasu wykonania usługi trzeba chronić je przed przypadkowym ujawnieniem, zagubieniem i dostępem osób nieuprawnionych.
4. Niszczenie. Metodę dobiera się do rodzaju nośnika oraz poufności informacji. Dokumenty papierowe można rozdrabniać, natomiast elektroniczne nośniki danych wymagają rozwiązań właściwych dla technologii zapisu.
5. Dokumentowanie. Po zakończeniu procesu odnotowuje się jego wykonanie zgodnie z przyjętą procedurą. Potwierdzenie może obejmować datę, zakres dokumentacji, metodę niszczenia oraz informacje o wykonawcy.

Przed rozpoczęciem niszczenia większej ilości dokumentacji pomocna może być archiwizacja i porządkowanie akt. Uporządkowanie zasobów ułatwia oddzielenie dokumentów, które nadal trzeba przechowywać, od tych, których okres przechowywania już upłynął i które można przeznaczyć do zniszczenia.

Jak dobrać poziom niszczenia dokumentów według DIN 66399?

Norma DIN 66399 opisuje poziomy niszczenia nośników informacji. Dla dokumentów papierowych stosuje się oznaczenia od P-1 do P-7. Wyższy poziom oznacza bardziej rygorystyczne wymagania dotyczące rozdrobnienia materiału.

Dobór poziomu powinien wynikać z oceny ryzyka oraz charakteru informacji. Dokumenty zawierające szczególnie poufne dane mogą wymagać drobniejszego rozdrobnienia niż materiały przeznaczone do powszechnego udostępniania. Samo oznaczenie P-3 lub P-4 nie przesądza jednak automatycznie o zgodności całej procedury z RODO.

Czy każda niszczarka biurowa nadaje się do dokumentów z danymi osobowymi?

Nie. Niszczarki różnią się sposobem cięcia i wielkością pozostających fragmentów papieru. Przed wyborem urządzenia trzeba sprawdzić jego poziom niszczenia oraz rodzaj informacji, które będą usuwane. Dla części dokumentacji podstawowe rozdrabnianie może być niewystarczające, szczególnie gdy istnieje podwyższone ryzyko ujawnienia danych.

Dlaczego firmom powinno zależeć na odpowiedzialnym niszczeniu dokumentów zawierających dane osobowe?

Jak wspomnieliśmy wcześniej, wraz z wejściem w życie Rozporządzenia o Ochronie Danych Osobowych, firmy zostały zobowiązane do wprowadzenia procedur niszczenia dokumentów.

Okazuje się, że niektóre ze sposobów utylizacji mogą być naruszeniem przepisów RODO. Przykładowo, wyrzucenie nośników danych do kosza wiąże się z nałożeniem na firmę wysokiej kary finansowej. Wynosi ona od 2 do nawet 4% rocznych przychodów firmy. Jednak kolejną poważną konsekwencją są straty wizerunkowe, które mogą być trudne do odwrócenia.

Jakie błędy najczęściej pojawiają się podczas niszczenia dokumentów?

Nieprawidłowości nie muszą wynikać z celowego ujawnienia informacji. Często są skutkiem niewłaściwej organizacji pracy, braku kontroli nad dokumentacją lub zastosowania metody, która nie odpowiada rodzajowi danych.

Do problematycznych sytuacji należą:

• Niszczenie dokumentów bez sprawdzenia terminów przechowywania. Może prowadzić do przedwczesnego usunięcia akt, które nadal są potrzebne z powodów prawnych.
• Gromadzenie dokumentów w niezabezpieczonym miejscu. Informacje mogą zostać ujawnione jeszcze przed rozpoczęciem niszczenia.
• Stosowanie niewłaściwej niszczarki. Zbyt duże fragmenty papieru mogą ułatwiać odtworzenie treści.
• Brak kontroli nad przekazaniem dokumentów. Bez ustalonego sposobu odbioru trudniej wyjaśnić, na którym etapie doszło do zagubienia materiałów.
• Brak potwierdzenia wykonania zniszczenia. Administrator może mieć trudności z wykazaniem, że dokumentacja została usunięta zgodnie z przyjętymi zasadami.

Jeżeli niewłaściwe postępowanie doprowadzi do naruszenia ochrony danych osobowych, administrator powinien ocenić jego skutki. Zgodnie z art. 33 RODO zgłoszenie do organu nadzorczego jest wymagane, chyba że jest mało prawdopodobne, by naruszenie powodowało ryzyko naruszenia praw lub wolności osób fizycznych. Gdy zgłoszenie jest wymagane, należy dokonać go bez zbędnej zwłoki, w miarę możliwości nie później niż w ciągu 72 godzin od stwierdzenia naruszenia.

Sposoby na niszczenie dokumentów zgodnie z obowiązującymi przepisami

Jednym ze sposobów niszczenia dokumentów zgodnie z RODO jest stworzenie wewnętrznej procedury i samodzielne usuwanie danych zgodnie z przyjętymi zasadami.

Można do tego wykorzystać np. specjalistyczną niszczarkę. Na rynku można znaleźć różne rodzaje tego typu urządzeń. Od małych, biurowych niszczarek, aż po sprzęt o ogromnej mocy przerobowej.

Choć dla małych przedsiębiorstw w większości przypadków wystarczające są tańsze modele, to średnie i większe firmy powinny zainwestować w profesjonalne urządzenia. Jest to jeden z najbardziej efektywnych sposobów, ale może stanowić duży wydatek. Profesjonalne niszczarki mogą jednak zautomatyzować ten proces i zapewnić odpowiednie bezpieczeństwo.

Niszczenie nośników z danymi osobowymi w ten sposób jest stosunkowo dobrym rozwiązaniem, gdy chcemy zachować pełną kontrolę nad procesem. Choć biurowe niszczarki są niezastąpionym i wygodnym sposobem, to posiadają istotne wady. Wiąże się to bowiem nie tylko z koniecznością zakupienia drogiego sprzętu, ale też brakiem jednoznacznego potwierdzenia, że wszystko odbyło się zgodnie z przepisami RODO. W przypadku ewentualnej kontroli ochrona danych osobowych może być zakwestionowana za sprawą braku odpowiednich sposobów utylizacji.

Czy procedura RODO obejmuje również dyski i inne nośniki cyfrowe?

Tak. Obowiązki związane z ochroną danych dotyczą informacji niezależnie od tego, czy znajdują się na papierze, dysku HDD, SSD czy pamięci USB. Różni się natomiast sposób ich usuwania. Zwykłe formatowanie dysku nie zawsze wystarcza, a fizyczne uszkodzenie obudowy urządzenia nie musi oznaczać zniszczenia wszystkich zapisanych danych.

W przypadku sprawnych nośników przeznaczonych do ponownego wykorzystania można rozważyć odpowiednią procedurę bezpiecznego kasowania. Jeśli sprzęt ma zostać wycofany, rozwiązaniem może być jego fizyczne zniszczenie. Dobór metody powinien uwzględniać budowę nośnika i możliwość sprawdzenia wyniku.

Samodzielne rozbijanie dysków czy spalanie elementów elektronicznych nie jest dobrym rozwiązaniem. Takie działania mogą powodować obrażenia, uwalnianie szkodliwych substancji i pozostawienie fragmentów pamięci, z których nadal można odczytać informacje.

Dlaczego warto wybrać usługi niszczenia dokumentacji w sposób profesjonalny?

Skorzystanie z usług profesjonalnej firmy zajmującej się niszczeniem dokumentów jest coraz częściej wybieranym rozwiązaniem. Na kontrolowaną utylizację dokumentacji decydują się już nie tylko duże firmy, ale także małe i średnie.

Jest to zdecydowanie najbardziej bezpieczna i wygodna metoda. Wystarczy podpisać umowę i przekazać dokumenty osobom, które usuną dokumenty zgodnie z przepisami. Ogromną zaletą tego rozwiązania jest fakt, że zleceniodawca otrzyma certyfikat, który zaświadcza odpowiednim zniszczeniu dokumentów. Tym samym zyskujemy pewność prawidłowego przeprowadzenia procesu i nie musimy inwestować w profesjonalną niszczarkę.

Umowa powierzenia przetwarzania danych przy zlecaniu niszczenia dokumentów

Przed przekazaniem dokumentacji firmie zewnętrznej trzeba ustalić, czy wykonawca będzie przetwarzał dane osobowe w imieniu administratora. Jeżeli występuje w roli podmiotu przetwarzającego, współpraca powinna zostać uregulowana zgodnie z art. 28 RODO.

Umowa powierzenia określa między innymi przedmiot i czas trwania przetwarzania, jego cel, rodzaj danych osobowych, kategorie osób oraz obowiązki stron. Powinna również regulować wymagania dotyczące bezpieczeństwa i postępowania z danymi po zakończeniu współpracy.

Samo zlecenie usługi nie zwalnia administratora z obowiązku wyboru odpowiedniego wykonawcy i nadzorowania przyjętych zasad ochrony danych.

Czy certyfikat zniszczenia jest obowiązkowy przy każdej usłudze?

Nie. RODO nie ustanawia ogólnego obowiązku uzyskiwania certyfikatu po każdym niszczeniu dokumentów. Potwierdzenie wykonania procesu może jednak wspierać zasadę rozliczalności. Przydatne są informacje o dacie, zakresie i sposobie zniszczenia oraz wykonawcy. Dokumentację należy dostosować do charakteru usługi i przyjętej procedury bezpieczeństwa.

Papierowe nośniki danych a RODO – podsumowanie

Choć RODO nie nakazuje bezpośrednio, aby powierzyć niszczenie dokumentów profesjonalistom, to usługa ma kilka istotnych zalet. Przede wszystkim możemy uniknąć problemów i stresu związanego z utylizacją.

Firmy, które chcą uporządkować sposób postępowania z dokumentacją przeznaczoną do usunięcia, mogą skorzystać z jednorazowego niszczenia dokumentów. Przy regularnym powstawaniu dokumentacji wymagającej bezpiecznego usunięcia można natomiast rozważyć abonamentową usługę niszczenia dokumentów.

W EP dokumenty świadczymy te usługi kompleksowo i zapewniamy bezpieczny transport do miejsca zniszczenia. Po całym procesie zleceniodawca otrzymuje od nas potwierdzenie przeprowadzenia zniszczenia zgodnie z zasadami. Jeśli pojawiły się dodatkowe pytania w kwestii niszczenia, zapraszamy do kontaktu! Chętnie rozwiejemy wszystkie wątpliwości i opowiemy więcej o szczegółach.

FAQ – niszczenie dokumentów zgodnie z RODO

Czy firma może samodzielnie niszczyć dokumenty zgodnie z RODO?

Tak. RODO nie wymaga korzystania z usług zewnętrznego wykonawcy. Firma może niszczyć dokumentację we własnym zakresie, jeżeli stosuje odpowiednie zabezpieczenia, kontroluje proces i potrafi wykazać przestrzeganie zasad ochrony danych.

Czy każda firma musi mieć procedurę niszczenia dokumentów?

RODO nie narzuca wszystkim organizacjom jednego wzoru procedury. Administrator musi jednak zapewnić odpowiednie środki organizacyjne i techniczne. Spisane zasady postępowania z dokumentacją mogą ułatwić pracownikom wykonywanie obowiązków oraz wykazanie, jak firma zabezpiecza dane.

Czy można zniszczyć dokumenty przed upływem okresu przechowywania?

Co do zasady nie należy niszczyć dokumentacji, która nadal musi być przechowywana na podstawie obowiązujących przepisów. Przed usunięciem trzeba sprawdzić właściwy termin i ustalić, czy nie istnieją inne podstawy dalszego przechowywania.

Czy przy zlecaniu niszczenia dokumentów trzeba podpisać umowę powierzenia?

Jeżeli wykonawca przetwarza dane osobowe w imieniu administratora jako podmiot przetwarzający, zastosowanie ma art. 28 RODO. Zakres i forma współpracy powinny zostać ustalone przed przekazaniem dokumentacji. Nie każda relacja z wykonawcą musi jednak automatycznie oznaczać powierzenie przetwarzania.

Czy certyfikat zniszczenia wystarczy jako dowód zgodności z RODO?

Certyfikat lub protokół może potwierdzać wykonanie określonej czynności, ale nie zastępuje całej procedury ochrony danych. Znaczenie mają również właściwy dobór metody, zabezpieczenie dokumentacji przed zniszczeniem i ustalenie odpowiedzialności za poszczególne etapy.

Czy żądanie usunięcia danych oznacza konieczność natychmiastowego zniszczenia dokumentu?

Nie zawsze. Prawo do usunięcia danych przewidziane w art. 17 RODO podlega wyjątkom. Jeżeli przepisy wymagają dalszego przechowywania określonej dokumentacji, administrator może mieć podstawę do odmowy jej usunięcia w danym momencie.