Verantwoorde vernietiging: hoe je persoonsgegevens vernietigt en het bewijs bewaart
Verantwoorde vernietiging betekent dat je gegevens zo vernietigt dat je het achteraf kunt verantwoorden. De gegevens worden binnen een vastgelegde termijn verwijderd, en je kunt daarna nog steeds laten zien wat het was, waarom het in aanmerking kwam voor verwijdering, wanneer het gebeurde, en dat er niets onder een legal hold in de opschoning is meegenomen.
Iedereen kan een bestand verwijderen. Het probleem is dat zodra het weg is, ook het bewijs dat je het correct hebt afgehandeld meestal weg is. Verantwoorde vernietiging lost dat op door het bewijs vast te leggen voordat de gegevens verdwijnen.
Waarom verwijderen-en-vergeten faalt
Verwijderen-en-vergeten faalt omdat verwijdering zelf een compliancehandeling is, en het verantwoordingsbeginsel in artikel 5(2) je verplicht om aan te tonen dat je het correct hebt gedaan. Zodra het bestand weg is, heb je niets meer om dat mee aan te tonen. Verwijderen is geen optionele opschoning: de AVG dwingt je om persoonsgegevens te verwijderen zodra het doel is bereikt, en artikel 5(1)(e) maakt van te lang bewaren een overtreding.
Dat is de valkuil. Als je proces “verwijder het bestand en ga verder” is, heb je aan de verwijderplicht voldaan maar de verantwoordingsplicht niet gehaald. Wanneer een oud-werknemer een klacht indient bij een toezichthouder, of een auditor je bewaarpraktijk steekproefsgewijs controleert, is de vraag niet “zijn de gegevens weg”. De vraag is “laat me zien dat je het juiste hebt verwijderd, op tijd, en alles hebt bewaard wat je verplicht was te bewaren”. Verwijderen-en-vergeten heeft daar geen antwoord op.
De twee manieren waarop verwijdering misgaat
Te veel verwijderen. Je schoont een bewaartermijn op en neemt daarbij een record mee dat onder een legal hold viel voor een lopend geschil. Gegevens vernietigen die je verplicht was te bewaren is spoliatie. Een verantwoord proces controleert op elke hold voordat het iets vernietigt, en blokkeert de vernietiging als er een actief is. De hold zelf wordt afgedwongen op de opslaglaag.
Verwijderen zonder bewijs. Je verwijdert correct maar houdt er geen registratie van bij. Twee jaar later kun je niet laten zien welke categorieen je hebt gewist, wat je hebt bewaard, of waarom. In de praktijk oogt dit hetzelfde als nooit iets verwijderd hebben, omdat je het niet kunt aantonen. Verantwoording die je niet kunt onderbouwen is verantwoording die je niet hebt.
Verantwoorde vernietiging is de discipline die beide voorkomt.
Wat verantwoorde vernietiging vereist
Vijf dingen moeten geregeld zijn voor, tijdens en na de vernietiging:
- Een aanleiding die je kunt verantwoorden. De verwijdering komt voort uit een bewaarschema of een geldig verwijderverzoek onder artikel 17, niet uit een ad-hocbeslissing. De reden wordt vastgelegd.
- Een legal-hold-controle. Voordat er iets wordt vernietigd, bevestigt het proces dat er geen bewaarplicht op het record rust. Is die er wel, dan wordt de vernietiging geblokkeerd en die blokkade gelogd.
- Een afgebakende beslissing. Je legt precies vast wat er wordt vernietigd en wat er wordt bewaard, per categorie, met de rechtsgrond voor alles wat je bewaart.
- De vernietiging zelf. De gegevens worden onbruikbaar gemaakt, ook in back-ups, binnen een vastgelegde termijn. Geen belofte van directe verwijdering die de back-ups nooit bereikt.
- Een certificaat van de gebeurtenis. Een gedateerde registratie die alle bovenstaande punten vastlegt en de gegevens die het beschrijft overleeft.
Mis er één van, en de verwijdering is niet langer verantwoord. Een vernietiging zonder hold-controle is roekeloos. Een vernietiging zonder certificaat is onzichtbaar.
Verwijderen-en-vergeten versus verantwoorde vernietiging
Het verschil zit niet in of de gegevens worden verwijderd. Het zit in wat de verwijdering overleeft.
| Stap | Verwijderen-en-vergeten | Verantwoorde vernietiging |
|---|---|---|
| Aanleiding | Ad hoc, als iemand het opmerkt | Bewaarschema of geldig verwijderverzoek, vastgelegd |
| Legal hold | Niet gecontroleerd | Gecontroleerd, en vernietiging geblokkeerd als er een hold actief is |
| Reikwijdte | Het hele bestand | Per categorie, met een rechtsgrond voor alles wat bewaard blijft |
| Vernietiging | Verwijderen en verdergaan | Onbruikbaar gemaakt binnen een vastgelegde termijn, back-ups inbegrepen |
| Bewijs | Geen | Een gedateerd certificaat dat de gegevens overleeft |
Wat een vernietigingscertificaat moet bevatten
Een vernietigingscertificaat is het bewijsstuk dat je bewaart nadat de gegevens weg zijn. Het is het bewijs, dus het moet op zichzelf staan. Een bruikbaar certificaat legt vast:
- Wat er vernietigd is, geidentificeerd zonder de persoonsgegevens zelf te reproduceren. Een content-hash of een pseudonieme identificator doet dit goed: het bewijst welk record je bedoelt zonder het opnieuw aan te maken.
- Wanneer de vernietiging is besloten en wanneer die is voltooid, met een betrouwbaar tijdstempel in plaats van een systeemklokwaarde die iedereen kan aanpassen.
- Waarom het record in aanmerking kwam: de bewaarregel of verwijdergrond die het in gang zette.
- De hold-status op dat moment, waaruit blijkt dat er niets met een bewaarplicht is meegenomen.
- Het zekerheidsniveau, eerlijk vermeld. Een certificaat dat te veel claimt is slechter dan geen certificaat, omdat het faalt zodra iemand het voor het eerst controleert. Een goed certificaat zegt precies wat het bevestigt en wat niet.
Dat laatste punt is precies wat de meeste leveranciers overslaan. Een certificaat dat “vernietigd en geverifieerd” zegt zonder uit te leggen hoe die verificatie werkte, is een marketingstuk, geen bewijs. Een certificaat dat zijn eigen grenzen benoemt, is er een waar een auditor daadwerkelijk op kan bouwen.
Hoe dit past bij bewaring en verwijdering
Verantwoorde vernietiging is de uitvoeringslaag onder twee dingen die je toch al moet doen. Je HR-bewaarschema bepaalt wanneer gegevens verwijderd mogen worden. Het recht op verwijdering leidt tot verwijderingen op verzoek tussen die geplande data in. Verantwoorde vernietiging is hoe beide daadwerkelijk gebeuren zonder dat er een verantwoordingsgat ontstaat. Het legal-hold-mechanisme dat ze opzij zet, wordt afgedwongen op de opslaglaag.
Het principe achter een Legal Evidence Pack geldt hier ook: het bewijs moet op het moment van de gebeurtenis worden vastgelegd en verifieerbaar zijn voor iemand die er niet bij betrokken was.
Hoe SealDoc verantwoorde verwijdering ondersteunt
SealDoc bewaart van elk document een SHA-256-hash en legt elke gebeurtenis in zijn levensloop vast in een audittrail met hashketen, zodat elke latere wijziging aantoonbaar is en de volgorde van gebeurtenissen niet kan worden herschreven zonder dat het opvalt. De API van SealDoc weigert een document binnen zijn bewaartermijn te wissen. Zodra de termijn het toelaat, wordt een verwijdering op verzoek in dezelfde audittrail vastgelegd.
Alles draait op EU-infrastructuur zonder Amerikaanse hyperscaler in de keten, zodat de audittrail niet zelf een probleem met gegevensdoorgifte wordt.