Oude laptops veilig afvoeren: apparatuur de deur uit zonder datalek

In vrijwel elk bedrijf staat een kast, een hoek van de serverruimte of een doos onder een bureau met oude apparatuur. Laptops van vertrokken collega’s, een server die vervangen is, twee telefoons, een NAS die het niet meer deed. Niemand weet precies wat erop staat, en juist daarom durft niemand ze weg te doen. Oude laptops veilig afvoeren is dan ook geen opruimklus, maar een stap in je informatiebeveiliging.

Dat is op zich een gezond instinct, want die apparaten zijn geen rommel — het is opgeslagen risico. Op de laptop van een oud-collega staan waarschijnlijk nog mailarchieven, klantbestanden en opgeslagen wachtwoorden. Verdwijnt zo’n apparaat, of gaat het ongewist naar de kringloop, dan heb je in AVG-termen een datalek. Ook als niemand het merkt.

Het proces om apparatuur netjes en aantoonbaar af te voeren heet IT asset disposition, of kortweg afvoerbeleid. Het klinkt zwaarder dan het is: voor een bedrijf met vijf tot vijftig medewerkers is het een half A4 aan afspraken en een vaste routine. Hieronder staat wat daarin hoort.

Waarom een oude laptop een openstaande deur is

Bij een apparaat dat in gebruik is, denk je aan beveiliging. Bij een apparaat in de kast denkt niemand er nog aan. Er zit geen beheer meer op, er komen geen updates, er is geen wachtwoordbeleid. Het staat er gewoon, jarenlang, met data erop uit de tijd dat het nog meedeed.

Het risico is bovendien niet alleen diefstal. De meeste incidenten met afgedankte hardware zijn banaal: een stapel laptops die “naar de kringloop” is gebracht zonder dat iemand ze heeft gewist, een telefoon die is doorgegeven aan het kind van een collega, een oude server die bij een verhuizing bij het grofvuil belandde. Er is geen aanvaller nodig; er is alleen niemand die het proces bewaakt.

Onder de AVG ben je verplicht persoonsgegevens te beschermen tot ze echt weg zijn. Komen gegevens naar buiten via afgedankte apparatuur, dan is dat een datalek dat je mogelijk binnen 72 uur bij de Autoriteit Persoonsgegevens moet melden. Dat je het apparaat niet meer gebruikte, is geen argument.

1. Leg in een half A4 vast wie wat doet

Je kunt niets bewaken wat nergens staat. Schrijf op — kort, zonder jargon — hoe apparatuur bij jou uit dienst gaat. Daar hoort minimaal in:

• Wanneer een apparaat “uit dienst” is en wie dat bepaalt.
• Wie het apparaat inneemt, waar het tot die tijd ligt en wie de sleutel heeft.
• Hoe de gegevens worden gewist, en wie controleert dat het gebeurd is.
• Wat er daarna mee gebeurt: hergebruiken, verkopen, doneren of afvoeren.

Dit hoeft geen apart document te zijn. Het past prima als paragraaf in je bredere IT-beleid en sluit logisch aan op je vervangingsplan voor hardware. Het punt is niet dat het mooi opgeschreven staat; het punt is dat het bij de volgende laptop niet opnieuw improviseren wordt.

2. Koppel het aan je offboarding

De meeste ongewiste apparaten komen binnen via vertrekkende medewerkers. Iemand levert zijn laptop in bij de teamleider, die zet hem in de kast, en daar houdt het proces op. Of erger: de laptop komt helemaal niet terug, en niemand vraagt erom.

Zet het innemen én het wissen daarom als vaste regels in je digitale offboarding. Niet als losse actie, maar met een naam erachter en een vinkje. Werkt iemand voor een leverancier of als zzp’er met jouw apparatuur, dan geldt precies hetzelfde — zie ook toegang voor externe medewerkers.

3. Wissen is bijna altijd beter dan vernietigen

Er leeft een hardnekkig idee dat een harde schijf fysiek kapot moet: doorboren, vershredderen, met een hamer. Dat is voor de meeste bedrijven onnodig, zonde van bruikbare apparatuur en slecht voor het milieu. Goed wissen is in vrijwel alle gevallen genoeg.

Wel is de techniek de laatste jaren veranderd, en daar gaan veel adviezen de mist in. Het oude recept — de schijf een paar keer overschrijven met willekeurige data — werkt betrouwbaar op een klassieke harde schijf, maar niet goed op een SSD. Een SSD verdeelt schrijfacties zelf over het geheugen, waardoor je nooit zeker weet of je alles hebt geraakt.

De praktische route voor moderne apparaten is versleuteling. Staat de schijf versleuteld (BitLocker op Windows, FileVault op Mac, standaard op telefoons), dan is het wissen van de sleutel voldoende: de gegevens die er nog staan zijn daarna niet meer leesbaar. Dat gebeurt automatisch bij een volledige reset of bij de ingebouwde veilige wisfunctie van de fabrikant. Zorg er dus vooral voor dat versleuteling áán staat zolang het apparaat in gebruik is — dan is het afvoeren later eenvoudig.

Fysieke vernietiging houd je voor de uitzonderingen: een schijf die niet meer opstart en dus niet te wissen is, of een systeem met bijzonder gevoelige gegevens waarbij je geen enkel restrisico wilt. Vraag in dat geval een verklaring van vernietiging op. Wil je meer weten over wat er technisch gebeurt als je iets verwijdert, lees dan waar verwijderde bestanden naartoe gaan.

4. Houd bij waar een apparaat is geweest

Tussen “ingeleverd” en “afgevoerd” zit meestal een periode waarin niemand verantwoordelijk is. Dat is precies de periode waarin apparaten verdwijnen. Een simpel overzicht lost dat op: welk apparaat, van wie, wanneer ingenomen, waar het ligt, wanneer gewist, door wie, en wat er uiteindelijk mee gebeurd is.

Een spreadsheet volstaat prima voor deze schaal, zeker als je toch al een hardwareregister bijhoudt. De waarde zit niet in de administratie zelf, maar in het feit dat je bij een audit of een klantvragenlijst kunt laten zien dat het geregeld is. Precies datzelfde bewijs vraagt de keten steeds vaker van je, zoals we beschreven in leveranciersrisico beheren.

5. Werk samen met een verwerker die het aantoonbaar goed doet

Grote kans dat je niet zelf tientallen apparaten wilt wissen en afvoeren. Dat hoeft ook niet: er zijn partijen die apparatuur ophalen, gecontroleerd wissen, opknappen en verkopen, en de rest verantwoord recyclen. Soms krijg je zelfs een restwaarde terug voor apparatuur die nog wat waard is.

Let bij het kiezen op drie dingen. Ten eerste: krijg je per apparaat een rapport met serienummer en de gebruikte wismethode? Ten tweede: krijg je een verklaring van verwerking of vernietiging die je in je dossier kunt stoppen? Ten derde: is de verwerker gecertificeerd voor het verwerken van elektronisch afval volgens de Europese WEEELABEX-norm, en kan hij aantonen waar de apparatuur uiteindelijk terechtkomt? Voor de zuivere datavernietiging bestaan aparte keurmerken, waarvan NAID AAA de bekendste is.

Wat je met apparatuur doet die je zelf naar de milieustraat brengt of via een innameprogramma inlevert, staat in verantwoord e-waste verwerken. Dat artikel gaat over de milieukant; dit artikel gaat over de datakant. Doe ze allebei.

Vergeet deze apparaten niet

Bij “data op apparatuur” denkt iedereen aan laptops. Maar in de kast liggen ook de dingen die niemand als opslag ziet: multifunctionele printers met een interne harde schijf vol gescande documenten, NAS-systemen, oude back-upschijven, telefoons en tablets, en netwerkapparatuur met wachtwoorden en configuraties erin. Zelfs een vergaderzaalscherm kan accounts onthouden hebben.

Neem die apparaten expliciet op in je lijst. Een afgedankte printer die op Marktplaats belandt met vijfduizend gescande facturen erin is geen theoretisch scenario.

Een voorbeeld uit de praktijk

Een technisch dienstverlener met 24 medewerkers ruimde bij een verhuizing de opslagruimte op. Er kwamen negentien apparaten tevoorschijn: elf laptops, drie telefoons, twee NAS-systemen, een oude server en twee externe schijven. Van veertien apparaten kon niemand vertellen of ze gewist waren. Twee laptops waren van medewerkers die meer dan drie jaar geleden waren vertrokken.

Op een van de NAS-systemen stond nog een volledige kopie van de projectmap uit 2021, inclusief kopieën van identiteitsbewijzen van monteurs. Er was niets gebeurd, maar het had jarenlang open kunnen liggen. Het opruimen kostte één dag met een externe verwerker: alles gewist of vernietigd, per apparaat een rapport, en een afspraak dat er voortaan bij vertrek direct wordt ingenomen en gewist.

Zo pak je het aan

1. Loop de kast leeg en maak een lijst van alles wat er staat, inclusief printers, schijven en netwerkapparatuur.
2. Zet per apparaat op: wat stond erop, is het gewist, en wie heeft dat gecontroleerd.
3. Zorg dat versleuteling aan staat op alles wat nu in gebruik is. Dat maakt afvoeren later een formaliteit.
4. Kies één verwerker die per apparaat een rapport en een verklaring levert.
5. Zet innemen en wissen als vaste stap in je offboarding, met een naam erachter.
6. Plan één keer per jaar een opruimronde, bijvoorbeeld tegelijk met je jaarlijkse IT-review.

Veelgestelde vragen

Is een laptop terugzetten naar fabrieksinstellingen genoeg?

Bij een moderne, versleutelde laptop is een volledige reset waarbij ook de schijf wordt opgeschoond in de praktijk voldoende. Bij een oud apparaat zonder versleuteling, met een klassieke harde schijf, is het dat niet: kies dan voor een gecontroleerde wismethode of laat het door een verwerker doen.

Mag ik oude laptops aan medewerkers meegeven?

Dat mag, en het is vaak een sympathieke oplossing. Wis het apparaat dan wel eerst volledig en installeer het schoon, en leg vast dat het is overgedragen. Zet er geen bedrijfsaccounts meer op en haal het uit je beheeromgeving.

Hoe lang mag apparatuur in de kast blijven staan?

Hoe korter hoe beter. De veiligste regel is: wissen op het moment van innemen, niet op het moment van afvoeren. Dan maakt het niet meer uit hoe lang iets blijft staan, en heb je nooit een kast met onbekende inhoud.

Wat als een schijf kapot is en ik hem niet meer kan wissen?

Dan is fysieke vernietiging de juiste route. Laat dat doen door een partij die er een verklaring bij levert met het serienummer erop, zodat je kunt aantonen wat ermee gebeurd is.

Wanneer kies je voor wissen en wanneer voor fysieke vernietiging?

Werkt de harde schijf nog, dan is overschrijven met gecertificeerde software de logische optie. Je kunt de data op de harde schijf daarmee permanent verwijderen en het apparaat een tweede leven geven. Fysieke vernietiging — versnipperen of doorboren — is de veiligste manier als de schijf kapot is, als je niet kunt controleren of het wissen gelukt is, of als de gegevens zo gevoelig zijn dat je geen enkel risico wilt lopen. Voor de meeste harde schijven in een MKB-omgeving is wissen ruim voldoende; datavernietiging langs die weg is de uitzondering, niet de standaard.

Waar moet een verwerker van oude hardware aan voldoen?

Vraag om drie dingen: een omschrijving van hoe zij werken, een wis- of vernietigingsrapport per serienummer, en duidelijkheid over de locatie waar het gebeurt. Een organisatie die dit vaker doet, levert dat zonder morren aan en kan aantonen dat het om een gecertificeerd proces gaat. Wil je erbij zijn als ze de schijven laten vernietigen, dan kan dat bij de meeste verwerkers. En leg vast wat er met de rest gebeurt: ook organisaties die netjes omgaan met data, zetten apparaten soms door naar een andere partij voor de afvoer van oude randapparatuur.

Staat er bij jou ook een kast waarvan niemand precies weet wat erin ligt? We helpen graag met opruimen, wissen en het vastleggen ervan — zodat het de volgende keer vanzelf goed gaat.