Zanim komputer, laptop czy serwer trafi do odbioru, warto upewnić się, że nie zostały na nim żadne dane firmowe. To krok, o którym łatwo zapomnieć w codziennym pośpiechu, a jego pominięcie może mieć poważne konsekwencje, zarówno prawne, jak i wizerunkowe. Dlaczego to tak istotne, kto w firmie za to odpowiada i jak przygotować sprzęt zgodnie z dobrymi praktykami, wyjaśniamy poniżej.

Dlaczego to nie jest formalność?

Sprzęt komputerowy w firmie zwykle przechowuje więcej danych niż mogłoby się wydawać. Poza dokumentami są to często dane logowania zapisane w przeglądarce, historia korespondencji, dane kontrahentów, a czasem też dane osobowe pracowników lub klientów. Samo usunięcie plików z pulpitu czy opróżnienie kosza nie sprawia, że dane znikają fizycznie z dysku. Odpowiednie oprogramowanie może je odzyskać, nawet po sformatowaniu.

Dla firmy oznacza to realne ryzyko. Wyciek danych z niewłaściwie zabezpieczonego sprzętu może naruszać przepisy o ochronie danych osobowych i skutkować odpowiedzialnością wobec klientów lub kontrahentów, których dane były przechowywane na urządzeniu.

Kto odpowiada za wymazanie danych?

To ważne rozróżnienie: usługa odbioru elektrośmieci obejmuje transport i utylizację sprzętu zgodnie z przepisami, ale nie obejmuje wymazywania danych z nośników. Za przygotowanie sprzętu pod tym kątem, czyli za usunięcie lub zniszczenie danych przed przekazaniem urządzenia, odpowiada firma oddająca sprzęt.

Warto uwzględnić ten krok w wewnętrznej procedurze wycofywania sprzętu z użytku, tak żeby nikt nie musiał podejmować tej decyzji w pośpiechu tuż przed odbiorem.

Jak przygotować sprzęt przed odbiorem?

Przygotowanie sprzętu do bezpiecznego przekazania warto rozłożyć na kilka etapów.

Na początek dobrze jest zrobić kopię zapasową danych, które mogą się jeszcze przydać, zanim urządzenie zostanie wycofane z użytku. Następnie należy wylogować się ze wszystkich kont i usunąć zapisane hasła z przeglądarek oraz aplikacji.

Kolejny krok to trwałe usunięcie danych z dysku. W zależności od poziomu wrażliwości danych i polityki bezpieczeństwa firmy może to być programowe nadpisanie danych dedykowanym narzędziem albo w przypadku najbardziej wrażliwych informacji, fizyczne zniszczenie nośnika.

Warto też sprawdzić, czy urządzenie nie jest powiązane z kontem firmowym w chmurze lub systemem zarządzania urządzeniami, i w razie potrzeby odłączyć je od tych systemów przed przekazaniem do odbioru.

RODO a elektroodpady w firmie

Jeśli na sprzęcie mogły znajdować się dane osobowe, warto potraktować jego wycofanie jako element realizacji obowiązków wynikających z RODO. Odpowiedzialność za bezpieczeństwo tych danych spoczywa na administratorze danych, czyli na firmie, a nie na firmie zajmującej się odbiorem i recyklingiem sprzętu.

Dobrą praktyką jest prowadzenie wewnętrznego rejestru, w którym odnotowuje się, że dany nośnik został wyczyszczony z danych przed przekazaniem do utylizacji. W razie kontroli lub pytań ze strony klienta taki rejestr pozwala wykazać, że firma podeszła do tematu odpowiedzialnie.

Dobre praktyki dla działów IT

Dział IT zwykle jest tą częścią organizacji, która fizycznie ma kontakt ze sprzętem tuż przed jego wycofaniem z użytku, więc naturalnie to on najczęściej odpowiada za wdrożenie procedury usuwania danych. W praktyce sprawdza się kilka rozwiązań.

Po pierwsze, warto mieć jedną, spisaną procedurę, z której korzysta cały zespół, zamiast pozostawiać decyzję o sposobie usunięcia danych każdej osobie z osobna. Po drugie, dobrze jest rozróżnić poziom wrażliwości sprzętu. Stacja robocza pracownika biurowego, serwer z bazą danych klientów i telefon służbowy mogą wymagać innego podejścia, w zależności od tego, jak wrażliwe dane mogły być na nich przechowywane.

Po trzecie, warto ustalić moment w cyklu życia sprzętu, w którym dane są usuwane. Niektóre firmy robią to od razu po podjęciu decyzji o wycofaniu urządzenia z użytku, inne dopiero tuż przed przekazaniem do odbioru. Ważne, żeby ten moment był jasno określony, tak aby sprzęt nie czekał tygodniami w magazynie z danymi, które powinny były zostać usunięte wcześniej.

Co dzieje się ze sprzętem po stronie utylizacji?

Warto rozumieć, że proces recyklingu elektroodpadów koncentruje się na odzysku surowców i bezpiecznym unieszkodliwieniu materiałów, a nie na analizie zawartości nośników danych. To jednak nie zwalnia firmy z obowiązku wcześniejszego zabezpieczenia danych. Odpowiedzialność za to, co znajduje się na dysku w momencie jego przekazania, spoczywa na firmie oddającej sprzęt, niezależnie od tego, jak dalej przebiega proces recyklingu.

Dlatego najbezpieczniejszym podejściem jest traktowanie usunięcia danych jako warunku koniecznego, zanim sprzęt w ogóle trafi do odbioru, a nie jako etapu, który można wykonać później, przy okazji.

Bezpieczeństwo danych zaczyna się przed odbiorem sprzętu

Wymazanie danych z dysków i innych nośników przed oddaniem sprzętu do utylizacji leży po stronie firmy, nie po stronie usługi odbioru. Warto potraktować to jako stały element procedury wycofywania sprzętu z użytku, a nie jednorazową czynność wykonywaną w ostatniej chwili. Odpowiednie przygotowanie sprzętu, od kopii zapasowej po trwałe usunięcie danych, minimalizuje ryzyko wycieku informacji i ułatwia wykazanie zgodności z przepisami o ochronie danych osobowych.

FAQ

Czy firma zajmująca się odbiorem elektrośmieci wymazuje dane z dysków?

Nie. Usługa obejmuje odbiór, transport i utylizację sprzętu, ale nie wymazywanie danych. Za przygotowanie nośników pod tym kątem odpowiada firma oddająca sprzęt.

Czy wystarczy sformatować dysk przed oddaniem komputera?

Samo formatowanie nie usuwa danych fizycznie z dysku, a w wielu przypadkach dane można po nim odzyskać. Do trwałego usunięcia danych potrzebne jest dedykowane oprogramowanie do nadpisywania danych albo fizyczne zniszczenie nośnika.

Czy trzeba wymazywać dane ze wszystkich urządzeń, czy tylko z komputerów?

Warto sprawdzić pod tym kątem każde urządzenie, które mogło przechowywać dane, w tym telefony, tablety, serwery i pamięci przenośne, nie tylko komputery stacjonarne i laptopy.

Co, jeśli firma nie ma wewnętrznej procedury usuwania danych przed utylizacją sprzętu?

Warto taką procedurę wprowadzić, choćby w prostej formie checklisty dołączonej do procesu wycofywania sprzętu z użytku. Ułatwia to zachowanie spójności, nawet gdy za sprzęt odpowiadają różne osoby w firmie.