Verantwoorde vernietiging: hoe je persoonsgegevens vernietigt en het bewijs bewaart
Verantwoorde vernietiging betekent dat je gegevens zo vernietigt dat je het achteraf kunt verantwoorden. De gegevens worden binnen een vastgelegde termijn verwijderd, en je kunt daarna nog steeds laten zien wat het was, waarom het in aanmerking kwam voor verwijdering, wanneer het gebeurde, en dat er niets onder een legal hold in de opschoning is meegenomen.
Iedereen kan een bestand verwijderen. Het probleem is dat zodra het weg is, ook het bewijs dat je het correct hebt afgehandeld meestal weg is. Verantwoorde vernietiging lost dat op door het bewijs vast te leggen voordat de gegevens verdwijnen.
Waarom verwijderen-en-vergeten faalt
Verwijderen-en-vergeten faalt omdat verwijdering zelf een compliancehandeling is, en het verantwoordingsbeginsel in artikel 5(2) je verplicht om aan te tonen dat je het correct hebt gedaan. Zodra het bestand weg is, heb je niets meer om dat mee aan te tonen. Verwijderen is geen optionele opschoning: de AVG dwingt je om persoonsgegevens te verwijderen zodra het doel is bereikt, en artikel 5(1)(e) maakt van te lang bewaren een overtreding.
Dat is de valkuil. Als je proces “verwijder het bestand en ga verder” is, heb je aan de verwijderplicht voldaan maar de verantwoordingsplicht niet gehaald. Wanneer een oud-werknemer een klacht indient bij een toezichthouder, of een auditor je bewaarpraktijk steekproefsgewijs controleert, is de vraag niet “zijn de gegevens weg”. De vraag is “laat me zien dat je het juiste hebt verwijderd, op tijd, en alles hebt bewaard wat je verplicht was te bewaren”. Verwijderen-en-vergeten heeft daar geen antwoord op.
De twee manieren waarop verwijdering misgaat
Te veel verwijderen. Je schoont een bewaartermijn op en neemt daarbij een record mee dat onder een legal hold viel voor een lopend geschil. Gegevens vernietigen die je verplicht was te bewaren is spoliatie. Een verantwoord proces controleert op elke hold voordat het iets vernietigt, en blokkeert de vernietiging als er een actief is. De hold zelf wordt afgedwongen op de opslaglaag.
Verwijderen zonder bewijs. Je verwijdert correct maar houdt er geen registratie van bij. Twee jaar later kun je niet laten zien welke categorieen je hebt gewist, wat je hebt bewaard, of waarom. In de praktijk oogt dit hetzelfde als nooit iets verwijderd hebben, omdat je het niet kunt aantonen. Verantwoording die je niet kunt onderbouwen is verantwoording die je niet hebt.
Verantwoorde vernietiging is de discipline die beide voorkomt.
Wat verantwoorde vernietiging vereist
Vijf dingen moeten geregeld zijn voor, tijdens en na de vernietiging:
- Een aanleiding die je kunt verantwoorden. De verwijdering komt voort uit een bewaarschema of een geldig verwijderverzoek onder artikel 17, niet uit een ad-hocbeslissing. De reden wordt vastgelegd.
- Een legal-hold-controle. Voordat er iets wordt vernietigd, bevestigt het proces dat er geen bewaarplicht op het record rust. Is die er wel, dan wordt de vernietiging geblokkeerd en die blokkade gelogd.
- Een afgebakende beslissing. Je legt precies vast wat er wordt vernietigd en wat er wordt bewaard, per categorie, met de rechtsgrond voor alles wat je bewaart.
- De vernietiging zelf. De gegevens worden onbruikbaar gemaakt, ook in back-ups, binnen een vastgelegde termijn. Geen belofte van directe verwijdering die de back-ups nooit bereikt.
- Een certificaat van de gebeurtenis. Een gedateerde registratie die alle bovenstaande punten vastlegt en de gegevens die het beschrijft overleeft.
Mis er één van, en de verwijdering is niet langer verantwoord. Een vernietiging zonder hold-controle is roekeloos. Een vernietiging zonder certificaat is onzichtbaar.
Verwijderen-en-vergeten versus verantwoorde vernietiging
Het verschil zit niet in of de gegevens worden verwijderd. Het zit in wat de verwijdering overleeft.
| Stap | Verwijderen-en-vergeten | Verantwoorde vernietiging |
|---|---|---|
| Aanleiding | Ad hoc, als iemand het opmerkt | Bewaarschema of geldig verwijderverzoek, vastgelegd |
| Legal hold | Niet gecontroleerd | Gecontroleerd, en vernietiging geblokkeerd als er een hold actief is |
| Reikwijdte | Het hele bestand | Per categorie, met een rechtsgrond voor alles wat bewaard blijft |
| Vernietiging | Verwijderen en verdergaan | Onbruikbaar gemaakt binnen een vastgelegde termijn, back-ups inbegrepen |
| Bewijs | Geen | Een gedateerd certificaat dat de gegevens overleeft |
Wat een vernietigingscertificaat moet bevatten
Een vernietigingscertificaat is het bewijsstuk dat je bewaart nadat de gegevens weg zijn. Het is het bewijs, dus het moet op zichzelf staan. Een bruikbaar certificaat legt vast:
- Wat er vernietigd is, geidentificeerd zonder de persoonsgegevens zelf te reproduceren. Een content-hash of een pseudonieme identificator doet dit goed: het bewijst welk record je bedoelt zonder het opnieuw aan te maken.
- Wanneer de vernietiging is besloten en wanneer die is voltooid, met een betrouwbaar tijdstempel in plaats van een systeemklokwaarde die iedereen kan aanpassen.
- Waarom het record in aanmerking kwam: de bewaarregel of verwijdergrond die het in gang zette.
- De hold-status op dat moment, waaruit blijkt dat er niets met een bewaarplicht is meegenomen.
- Het zekerheidsniveau, eerlijk vermeld. Een certificaat dat te veel claimt is slechter dan geen certificaat, omdat het faalt zodra iemand het voor het eerst controleert. Een goed certificaat zegt precies wat het bevestigt en wat niet.
Dat laatste punt is precies wat de meeste leveranciers overslaan. Een certificaat dat “vernietigd en geverifieerd” zegt zonder uit te leggen hoe die verificatie werkte, is een marketingstuk, geen bewijs. Een certificaat dat zijn eigen grenzen benoemt, is er een waar een auditor daadwerkelijk op kan bouwen.
Hoe dit past bij bewaring en verwijdering
Verantwoorde vernietiging is de uitvoeringslaag onder twee dingen die je toch al moet doen. Je HR-bewaarschema bepaalt wanneer gegevens verwijderd mogen worden. Het recht op verwijdering leidt tot verwijderingen op verzoek tussen die geplande data in. Verantwoorde vernietiging is hoe beide daadwerkelijk gebeuren zonder dat er een verantwoordingsgat ontstaat. Het legal-hold-mechanisme dat ze opzij zet, wordt afgedwongen op de opslaglaag.
Hetzelfde principe dat een Legal Evidence Pack nuttig maakt om aan te tonen dat een document bestond, maakt het nuttig om aan te tonen wanneer, waarom en tot welke reikwijdte de vernietiging van een record is besloten en vastgelegd. In beide gevallen moet het bewijs op het moment van de gebeurtenis worden vastgelegd en verifieerbaar zijn voor iemand die er niet bij betrokken was.
Hoe SealDoc verwijdering verantwoord maakt
SealDoc modelleert elk beschermd record als een subject met een bewaarstatus en een hold-status. Vernietiging is een gecontroleerde reeks, niet één enkele delete. Wanneer je vernietiging aanvraagt, controleert SealDoc eerst dat het subject niet onder een legal hold valt en zijn bewaartermijn echt voorbij is. Het legt de beslissing, het tijdstip en de reikwijdte vast als manipulatiebestendig bewijs met tijdstempel, gekoppeld in een hashketen zodat de volgorde van gebeurtenissen later niet kan worden herschreven.
Aan het einde van de reeks maakt SealDoc een certificaat-bewijsstuk en een evidence pack aan. Het certificaat identificeert het record via content-hash en pseudonieme identificator in plaats van door de gegevens te reproduceren, legt de aanleiding en de tijdlijn vast tegen een RFC 3161-tijdstempel, en vermeldt zijn zekerheidsniveau helder.
Om precies te zijn over de scheiding: SealDoc legt de beslissing, de hold-controle, het tijdstip en de reikwijdte vast en attesteert die, en produceert het certificaat en het evidence pack tot een aangegeven zekerheidsniveau. Het fysiek onbruikbaar maken, inclusief het wissen uit back-ups, wordt uitgevoerd door je geconfigureerde opslag en tegen het record bevestigd. De bewijslaag is de taak van SealDoc, niet een bewering dat de bytes verdwenen op het moment dat je klikte. Als een stap niet volledig kon worden geborgd, zegt het certificaat dat, in plaats van het te verbergen. Die eerlijkheid is het punt: het bewijsstuk is ontworpen om stand te houden wanneer een auditor het test, niet om indruk te maken totdat iemand dat doet.
Alles draait op EU-infrastructuur zonder Amerikaanse hyperscaler in de keten, zodat het bewijs van verwijdering niet zelf een probleem met gegevensdoorgifte wordt.