La casarea echipamentelor IT, datele de pe ele trebuie șterse sigur sau distruse înainte ca aparatele să plece din firmă. GDPR nu impune o metodă anume, dar cere securitate adecvată și ca firma să poată dovedi ce a făcut. Dovada practică este o listă pe numere de serie sau un certificat de distrugere a datelor, atașat la procesul-verbal de casare.
Mai jos ai ce cere GDPR, ce metodă se potrivește fiecărui tip de echipament, o procedură internă în 6 pași și ce trebuie să scrie pe un certificat de distrugere a datelor.
De ce formatarea sau resetarea nu ajung
Ștergerea fișierelor sau formatarea rapidă a unui hard disk șterge, de regulă, doar „cuprinsul”: datele rămân pe disc și pot fi recuperate cu programe ușor de găsit. La SSD-uri, controlerul mută singur datele între celule, așa că nici suprascrierea clasică nu garantează că a atins tot.
Cele mai frecvente surse de scurgeri la casare nu sunt laptopurile, ci aparatele la care nu se gândește nimeni:
- multifuncționalele și copiatoarele cu disc intern, care pot păstra copii ale documentelor scanate sau tipărite;
- discurile de rezervă dintr-un server sau dintr-un NAS;
- telefoanele de serviciu, cu e-mail, contacte și conturi conectate;
- stick-urile USB și cardurile de memorie uitate în sertare.
Vezi calculatoarele școlilor, cu date ale elevilor.
Ce cere GDPR la casarea echipamentelor IT
Regulamentul (UE) 2016/679 (GDPR) se aplică și la final, când echipamentul iese din uz. Câteva articole contează direct:
- Art. 4 pct. 2: „ștergerea sau distrugerea” datelor este ea însăși o operațiune de prelucrare. Deci și casarea trebuie făcută conform regulamentului.
- Art. 5 alin. (1) lit. f): datele se prelucrează cu securitate adecvată, inclusiv protecție împotriva prelucrării neautorizate, prin măsuri tehnice sau organizatorice corespunzătoare (principiul integrității și confidențialității).
- Art. 5 alin. (2): operatorul (firma ta) răspunde de respectarea acestor principii și trebuie să poată demonstra asta. De aici vine nevoia de documente.
- Art. 32: operatorul și persoana împuternicită aplică măsuri tehnice și organizatorice potrivite riscului. Se ține seama în special de riscul de divulgare sau acces neautorizat.
- Art. 28: dacă un furnizor șterge sau distruge datele în numele tău, el prelucrează date pentru tine. Poți lucra doar cu împuterniciți care oferă garanții suficiente, pe bază de contract.
- Art. 33: dacă datele ajung totuși la terți (de exemplu, un laptop vândut cu discul intact), încălcarea securității se notifică autorității de supraveghere fără întârzieri nejustificate și, dacă e posibil, în cel mult 72 de ore. Excepție: când e puțin probabil să genereze un risc pentru persoanele vizate. În România, autoritatea este ANSPDCP.
Amenzi. Încălcarea obligațiilor de securitate de la art. 32 se poate sancționa, conform art. 83 alin. (4), cu până la 10 milioane EUR sau, pentru o întreprindere, cu până la 2% din cifra de afaceri mondială anuală, dacă această valoare e mai mare.
Important: GDPR nu spune „distrugere fizică” și nici nu numește un standard. Alegerea metodei e a firmei, în funcție de cât de sensibile sunt datele. De aceea, multe firme folosesc ca reper un standard tehnic recunoscut.
Vezi casarea echipamentelor în spitale și clinici.
Cele trei niveluri de igienizare a datelor (NIST SP 800-88)
Cel mai citat reper este ghidul american NIST SP 800-88, „Guidelines for Media Sanitization”. Revizia 2, publicată în septembrie 2025, a înlocuit revizia 1 din 2014, folosită încă în multe documente. Ghidul împarte metodele în trei niveluri:
| Nivel | Ce înseamnă | Exemple |
|---|---|---|
| Clear (ștergere logică) | Suprascrierea datelor cu instrumente obișnuite, ca să nu poată fi recuperate cu metode simple | Suprascrierea completă a unui HDD; resetarea la setările din fabrică |
| Purge (golire) | Metode care fac recuperarea impracticabilă chiar și cu tehnici de laborator | Comenzile de ștergere ale producătorului pentru SSD (sanitize, secure erase); ștergerea criptografică |
| Destroy (distrugere) | Mediul de stocare nu mai poate fi folosit, iar datele nu mai pot fi recuperate | Mărunțire, perforare, dezintegrare |
Revizia 2 se concentrează pe programul de igienizare al organizației și trimite, pentru tehnicile pe fiecare tip de suport, la standarde de specialitate, cum ar fi IEEE 2883. Pentru firma ta, regula practică e simplă: cu cât datele sunt mai sensibile (salarii, date medicale, date bancare ale clienților), cu atât urci spre Purge sau Destroy.
Ce metodă folosești pe tip de echipament
| Echipament | Metodă recomandată | La ce să fii atent |
|---|---|---|
| Hard disk clasic (HDD) din PC sau laptop | Suprascriere completă a întregului disc, cu verificare; pentru date sensibile, distrugere fizică | Formatarea rapidă nu e ștergere. Discurile defecte, care nu mai pot fi suprascrise, se distrug. |
| SSD și NVMe | Comanda de ștergere a producătorului (sanitize / secure erase) sau ștergere criptografică, dacă discul a fost criptat; altfel, distrugere fizică | Suprascrierea clasică nu e sigură la SSD. Demagnetizarea nu are efect asupra memoriilor flash. |
| Laptopuri cu SSD lipit pe placă | Ștergere din BIOS/UEFI sau cu instrumentul producătorului; pentru date sensibile, distrugerea plăcii | Discul nu se poate scoate separat, deci decizia se ia pe tot aparatul. |
| Telefoane și tablete | Verifici că sunt criptate, deconectezi conturile, apoi resetare la setările din fabrică | Scoate SIM-ul și cardul microSD. Fără deconectarea contului, aparatul poate rămâne blocat pe contul firmei și după resetare. |
| Imprimante și multifuncționale cu disc | Funcția de ștergere a datelor din meniul de administrare sau scoaterea discului și tratarea lui ca pe un HDD/SSD | Întreabă furnizorul de service dacă modelul are disc sau memorie internă. |
| Servere, NAS, matrice RAID | Fiecare disc tratat separat, după tipul lui (HDD sau SSD), pe baza unei liste de serii | Nu uita discurile de rezervă și pe cele scoase anterior și ținute „pentru orice eventualitate”. |
| Routere, switch-uri, firewall-uri | Resetare la configurația din fabrică | Configurațiile conțin parole, chei VPN și adrese interne. |
| Stick-uri USB, carduri de memorie | Distrugere fizică | Sunt ieftine, iar ștergerea lor sigură e greu de verificat. |
Dacă alegi să scoți discurile și să le distrugi sau să le ștergi separat, resturile rămân tot deșeuri electrice: le predai împreună cu restul echipamentelor la un operator autorizat. Pentru servere și echipamente de rețea vezi și casarea serverelor și a echipamentelor de rețea.
Procedura internă în 6 pași
- Inventar pe serii. Fă lista echipamentelor de casat cu numărul de inventar, seria aparatului și seria fiecărui disc. Fără serii, nu poți dovedi nimic mai târziu.
- Clasificarea datelor. Pentru fiecare aparat notează ce date a ținut: date personale ale angajaților, ale clienților, date financiare, secrete comerciale.
- Alegerea metodei. Pe baza tabelului de mai sus și a sensibilității datelor. Pentru cele mai sensibile, alege distrugerea.
- Executarea. Ștergerea o face departamentul IT sau un furnizor cu care ai contract (art. 28 GDPR). Copiile de siguranță ale datelor pe care vrei să le păstrezi le faci înainte.
- Verificarea. Cineva, altul decât cel care a șters, verifică prin sondaj că discurile nu mai conțin date accesibile. Notezi rezultatul.
- Documentarea și predarea. Completezi lista pe serii sau ceri certificatul de distrugere, îl atașezi la procesul-verbal de casare și predai echipamentele ca DEEE unui operator autorizat.
Casezi un parc de calculatoare? Un partener autorizat de mediu ridică laptopurile, calculatoarele și monitoarele de la sediul firmei, în București și Ilfov, de la 15 kg pentru fiecare cerere. Colectarea și manipularea sunt gratuite, iar la cerere primești gratuit un certificat de distrugere a datelor. Vezi casarea calculatoarelor și laptopurilor pentru firme
Ce trebuie să conțină un certificat de distrugere a datelor
Indiferent cine îl emite, un certificat de distrugere a datelor e util la un control doar dacă identifică exact ce s-a distrus și cum. NIST SP 800-88 recomandă documentarea fiecărei operațiuni. Verifică să ai:
- datele firmei care a predat echipamentele (operatorul de date) și ale celui care a șters sau a distrus;
- lista echipamentelor și a suporturilor de date: tip, producător, model și numărul de serie al fiecărui disc sau aparat;
- metoda folosită pentru fiecare suport (ștergere logică, ștergere criptografică, comanda producătorului, distrugere fizică) și, unde e cazul, instrumentul folosit;
- rezultatul verificării (reușit sau nereușit) și ce s-a făcut cu suporturile la care ștergerea a eșuat;
- data și locul operațiunii;
- numele, funcția și semnătura persoanei care răspunde de operațiune;
- trimiterea la documentul de predare (numărul procesului-verbal de predare-primire), ca să legi certificatul de lotul predat.
Dacă un certificat nu are toate aceste elemente, completează diferența în lista ta internă pe serii. Cele două documente, împreună, îți închid dosarul.
Vezi lista de verificare pentru certificatul de distrugere.
Cum legi ștergerea de procesul-verbal de casare și de predarea DEEE
La o firmă, casarea unui laptop lasă trei urme în documente:
- Procesul-verbal de casare (scoaterea din evidența contabilă), cu seriile aparatelor. Vezi modelul de proces-verbal de casare completat.
- Dovada ștergerii datelor: lista internă pe serii sau certificatul de distrugere a datelor.
- Documentele de predare DEEE: când predai prin noi, primești de la partenerul autorizat procesul-verbal de predare-primire, avizul de însoțire și anexele.
Predarea la un operator autorizat nu e opțională: art. 39 alin. (2) din OUG 5/2015 obligă firmele să predea DEEE sistemelor de colectare autorizate, iar art. 9 alin. (5) interzice predarea lor altor operatori decât cei prevăzuți de lege. Un laptop stricat, cu discul intact, dat unui colector fără autorizație ridică două riscuri deodată: încalcă regula de mediu și lasă datele la îndemâna oricui.
Seriile trebuie să se potrivească în toate cele trei documente. Dacă la un control sau la un audit GDPR cineva întreabă ce s-a întâmplat cu laptopul cu seria X, răspunsul se găsește în dosar în câteva minute.
Ghiduri utile pentru firme
- Control Garda de Mediu: acte DEEE și obligațiile firmei
- Responsabilul cu gestiunea deșeurilor: model de decizie
- Proces-verbal de casare mijloace fixe: model completat
- Codurile de deșeu DEEE: tabel pe tipuri de aparate
Vezi ghidul complet pentru firme.
Predă echipamentele IT cu documente complete
Semnezi un contract-cadru anual gratuit, valabil pentru toate punctele de lucru din București și Ilfov.
- Ridicare la cerere, de la 15 kg pentru fiecare cerere (adunat din toate echipamentele), fără abonament.
- Colectarea și manipularea sunt gratuite.
- Ridicarea o face un partener autorizat de mediu, care te sună ca să stabiliți ziua. Partenerul preia toate codurile de deșeuri electrice și electronice.
- La fiecare ridicare primești procesul-verbal de predare-primire, avizul de însoțire și anexele.
- Certificat de distrugere a datelor, la cerere, gratuit.
- De la 500 kg în sus, în funcție de tipul deșeurilor, firma poate primi bani pe ele (valorificare).
Vezi contractul de colectare pentru firme sau sună la 0732 329 667.
Întrebări frecvente
E suficientă formatarea hard diskului înainte de casare?
Nu. Formatarea rapidă șterge doar structura de fișiere, iar datele pot fi recuperate cu programe obișnuite. Pentru un HDD folosește suprascrierea completă a discului, cu verificare. Pentru SSD folosește comanda de ștergere a producătorului sau ștergerea criptografică. Pentru date sensibile, distrugerea fizică e varianta cea mai sigură.
Cine răspunde dacă datele ajung la terți după predare?
Firma care deține datele rămâne operator și răspunde de securitatea lor (art. 5 alin. 2 și art. 32 GDPR). Dacă un furnizor șterge datele în numele tău, el e persoană împuternicită și trebuie să existe un contract cu garanțiile de la art. 28. Cel mai sigur e ca datele să fie șterse sau distruse înainte ca echipamentul să plece din firmă.
Ce conține un certificat de distrugere a datelor?
Un certificat util conține datele firmei, lista suporturilor cu tip, model și număr de serie, metoda folosită pentru fiecare, rezultatul verificării, data și locul operațiunii, numele și semnătura persoanei responsabile. E bine să facă trimitere și la documentul de predare a echipamentelor.
Pot păstra hard diskurile și preda doar carcasele?
Da. Multe firme scot discurile, le distrug sau le șterg separat, apoi predau restul echipamentelor. Discurile distruse rămân însă deșeuri electrice: resturile lor se predau tot unui operator autorizat, nu se aruncă la gunoi. Notează seriile discurilor scoase.
Cum se distrug datele de pe un SSD?
Prin comanda de ștergere integrată de producător (sanitize sau secure erase), prin ștergerea criptografică, dacă discul a fost criptat, sau prin distrugerea fizică a cipurilor de memorie. Suprascrierea clasică, folosită la HDD, nu garantează ștergerea completă la SSD.
Imprimantele multifuncționale au date pe ele?
Multe modele au disc sau memorie internă, unde pot rămâne copii ale documentelor scanate, copiate sau tipărite. Înainte de casare, folosește funcția de ștergere a datelor din meniul de administrare sau scoate discul și tratează-l separat. Întreabă furnizorul de service ce are modelul tău.
Surse
- Regulamentul (UE) 2016/679 (GDPR) – art. 4, 5, 28, 32, 33, 83: https://eur-lex.europa.eu/eli/reg/2016/679/oj
- Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP): https://www.dataprotection.ro
- NIST SP 800-88 Rev. 2, Guidelines for Media Sanitization (septembrie 2025; înlocuiește Rev. 1 din 2014): https://csrc.nist.gov/pubs/sp/800/88/r2/final
- OUG 5/2015 privind DEEE, forma consolidată – art. 9, 39: https://legislatie.just.ro/Public/DetaliiDocument/167211
Acest ghid are caracter informativ și nu reprezintă consultanță juridică sau de securitate informatică.