Czy możesz odsprzedać używane telefony/rejestratory, z których korzysta Twoja Organizacja? A jeśli nie, to co z nimi zrobić?

Czy możesz odsprzedać używane telefony/rejestratory, z których korzysta Twoja Organizacja? A jeśli nie, to co z nimi zrobić?

Przeczytanie Q&A zajmie Ci około 10 minut.

Dowiesz się z niego:

  1. Czy ustawienia fabryczne zawsze „wyczyszczą” telefon komórkowy i rejestrator?
  2. Czy „wyczyszczone” urządzenie to jedyne miejsce przechowywania informacji?
  3. Jakie przepisy i w jakiej sytuacji zabraniają sprzedaży nawet „wyczyszczonych” urządzeń?
  4. Na co jeszcze zwrócić uwagę, gdy korzystasz z urządzeń innych niż telefony komórkowe?
  5. Jak prawidłowo pozbyć się urządzeń, gdy nie możesz ich sprzedać?

Parę słów o telefonach komórkowych

Przywrócenie ustawień fabrycznych – czy to nowy start?

Chcąc “wyczyścić” telefon pierwsza myśl jaka przychodzi nam do głowy to przywrócenie ustawień fabrycznych. To podejście jest słuszne. Musimy jednak pamiętać, że jak przy każdym prostym rozwiązaniu może istnieć pewne “ale”.

Przywrócenie ustawień fabrycznych w telefonie komórkowym, nie w każdym przypadku będzie wystarczające by, uznać, że sprzęt został trwale pozbawiony danych osobowych.

W przypadku telefonów z oprogramowaniem Android w wersji 6.1 i młodszych, ten proces jest odwracalny i dane będzie można odzyskać.

Według zapewnień producenta, Android w wersji powyżej 6.1 nie tylko usuwa dane, ale także dodatkowo je nadpisuje. Jeśli wierzyć tym zapewnieniom to była by to skuteczna forma usunięcia danych i taki telefon mógłby zostać sprzedany. To właśnie nadpisanie danych jest jedyną skuteczną formą usunięcia danych z telefonu.

Zatem w telefonie z Androidem, na samym początku, zorientuj się jaką wersję oprogramowania posiadasz.

Zewnętrzny backup nie zniknie tak po prostu

Przywrócenie ustawień fabrycznych usunie z urządzenia informacje i wyloguje nas ze wszystkich usług.

W tej sytuacji również istnieje pewne ryzyko dla naszej Organizacji. Otóż kopia zapasowa danych mogła być zapisana także w usługach zewnętrznych.

Zatem nim przystąpisz do przywrócenia ustawień fabrycznych sprawdź czy telefon nie został powiązany z usługami zewnętrznymi takimi jak np. dysk Google, na którym dane zapisywane lokalnie miałyby swoją kopię zapasową. Wtedy przed przywróceniem ustawień fabrycznych/nadpisaniem danych należałoby najpierw usunąć te dane z dysku Google.

Prawo przeciwko sprzedaży

Wiesz już kiedy telefon komórkowy będzie właściwie “oczyszczony” z informacji, w tym danych osobowych. To jednak nie zawsze oznacza, że możesz go sprzedać.

Pamiętaj by, przeanalizować czy na telefonach były przetwarzane dane osobowe związane ze zwalczaniem i zapobieganiem przestępczości. To bardzo ważne, gdyż art. 40 ustawy o ochronie danych osobowych przetwarzanych w związku z zapobieganiem i zwalczaniem przestępczości wskazuje, że :” Administrator i podmiot przetwarzający niszczą w sposób trwały niepodlegające archiwizacji informatyczne nośniki danych wykorzystywane do przetwarzania danych osobowych wycofane z eksploatacji przy użyciu odpowiednich narzędzi i środków technicznych. Nośniki wycofane z eksploatacji nie mogą być zbywane. Ze zniszczenia nośników sporządza się protokół, w którym uwzględnia się wskazanie sposobu ich zniszczenia.”. Zatem takich telefonów w ogóle nie powinniśmy zbywać.

Telefon komórkowy i numer?

Na tym etapie już wiesz, że telefon możesz sprzedać, ale co z przypisanym do niego numerem, z którego korzystał pracownik?

Ewentualna kwestia cesji numeru telefonu komórkowego (gdyby Państwo wraz ze sprzedażą telefonów pracownikom chcieli jej dokonać) nie jest w żaden sposób ograniczona przez zasady ochrony danych osobowych. 

Należy jednak pamiętać, że podany numer telefonu mógł trafić do Państwa klientów, kontrahentów i wobec takich osób powinni Państwo dokonać aktualizacji tej danej osobowej.

Mam tu na myśli czynne podanie tego numeru telefonu np. w umowie lub klauzuli informacyjnej, a nie sytuację, którą ktoś ten numer telefonu po prostu spisał ze strony internetowej Organizacji i może go mieć u siebie.

Dobrą praktyką byłoby także przesłanie informacji o aktualizacji numeru telefonu wszystkim kontaktom w książce adresowej, którą posiada dany telefon komórkowy.

Rejestrator – podobny do telefonu komórkowego?

Reprezentacja

Z rejestratorami sprawa jest bardziej skomplikowana i nie sposób znaleźć jednego prostego rozwiązania, dlatego też przedstawię ten temat na przykładzie urządzenia WorkAbout PRO 4 z oprogramowaniem Windows Embedded Handheld 6.5, które swego czasu były popularne.

Potrzebne wsparcie

Gdy korzystamy z jakiegokolwiek urządzenia, kwestią, na którą powinniśmy zwracać uwagę jest to czy producent dalej udziela wsparcia dla jego oprogramowania. Na tym przykładzie możemy dojść do wniosku, że korzystanie ze wskazanych urządzeń z punktu widzenia ochrony danych osobowych powoduje duże ryzyko dla bezpieczeństwa informacji, w tym danych osobowych. Dzieje się tak dlatego, że oprogramowanie Windows Embedded Handheld 6.5 utraciło wsparcie 14.01.2020 r. (ponad 3 lata temu).

Rejestratory i możliwość ich zbycia?

Rejestratory, podobnie jak telefony komórkowe, mogły być wykorzystywane przy przetwarzaniu danych osobowych w związku z zapobieganiem i zwalczaniem przestępczości (UDODO), to ich sprzedaż jest zabroniona zgodnie z art. 40 ustawy o ochronie danych osobowych przetwarzanych w związku z zapobieganiem i zwalczaniem przestępczości wskazuje, że :” Administrator i podmiot przetwarzający niszczą w sposób trwały niepodlegające archiwizacji informatyczne nośniki danych wykorzystywane do przetwarzania danych osobowych wycofane z eksploatacji przy użyciu odpowiednich narzędzi i środków technicznych. Nośniki wycofane z eksploatacji nie mogą być zbywane. Ze zniszczenia nośników sporządza się protokół, w którym uwzględnia się wskazanie sposobu ich zniszczenia.”

Czasami to „czysty start” tylko z nazwy

W urządzeniach mniej popularnych niż telefony komórkowe, z oprogramowaniem bardziej profesjonalnym, istotnym jest także by, wczytać się w szczegóły specyfikacji technicznej.

Nasz przykładowy rejestrator, ze wskazanym oprogramowaniem, posiada opcję przywrócenia ustawień fabrycznych. W dokumentacji możemy jednak przeczytać, że nawet w przypadku przywrócenia ustawień fabrycznych – opisanych jako „clean start” nie zostanie usunięta adresowalna pamięć trwała (Flash) – „don’t clears addressable persistent storage (Flash)”. Z pamięci tej można odzyskać informacje, w tym dane osobowe. 

Dlatego też samo działanie polegające na przywróceniu ustawień fabrycznych przed sprzedażą nie będzie wystarczające by, z całą pewnością stwierdzić, że wszelkie informacje, w tym dane osobowe zostały z urządzenia usunięte.

Co dalej?

W naszym przykładowym rejestratorze, ze wskazanym oprogramowaniem, przywrócenie ustawień fabrycznych nie będzie wystarczającym działaniem. Co w takim razie powinniśmy zrobić?

Przede wszystkim zacznijmy od sprawdzenia czy dostawca sprzętu wraz z oprogramowaniem lub firma stworzyła oprogramowanie podają informacje o narzędziu, które byłoby w stanie trwale usunąć wszystkie informacje z urządzenia, w tym dane osobowe także z „pamięci Flash” np. poprzez ich nadpisanie.

Jeśli takich informacji nie znajdziemy w źródłach ogólnodostępnych np. na stronie internetowej zawsze możemy skontaktować się bezpośrednio z tą firmą.

Czy takie narzędzie istnieje oraz to czy będzie płatne? Ma to istotne znaczenie, gdyż może okazać się, że zakup narzędzia/wykonanie dodatkowej pracy spowoduje, że sprzedaż okaże się być zbyt kosztowna.

Co zrobić z niesprzedawalnym rejestratorem?

Jednak jeśli nie zdecydujemy się na sprzedaż sprzętu, to i tak coś musimy z nim zrobić. Z punktu widzenia ochrony danych osobowych kluczowym przy niszczeniu sprzętu są elementy wskazanego przepisu: „niszczą w sposób trwały niepodlegające archiwizacji informatyczne nośniki danych wykorzystywane do przetwarzania danych osobowych wycofane z eksploatacji przy użyciu odpowiednich narzędzi i środków technicznych” oraz „sporządza się protokół, w którym uwzględnia się wskazanie sposobu ich zniszczenia.”.

Zatem przy wyborze firmy zajmującej się niszczeniem sprzętu kluczowym jest by, przeanalizować jakie sposoby niszczenia nośników proponuje. Następnie zastanowić się czy taki sposób będzie skuteczny biorąc pod uwagę, że urządzenia przetwarzały dane osobowe związane ze zwalczaniem i zapobieganiem przestępstw. Niszczenie może odbywać się na różne sposoby np. niszczenie mechaniczne przez rozwiercenie nośnika lub zatopienie nośników w kwasie.

Oczywiście „protokół” może przyjąć formę innego typu notatki/informacji/nawet umowy ze wskazaną firmą. Musi on jednak w jakiś sposób zostać udokumentowany. A przede wszystkim musi zawierać w swojej treści informację jaką formę zniszczenia wybrała Organizacja (np. rozwiercenie, stopienie kwasem). Tak by, ewentualnie w przyszłości na tej podstawie móc oceniać czy sposób był skuteczny.

Jeżeli w Twojej organizacji stosujesz się do przepisów UDODO i nadal zastanawiasz się, czy niszczenie sprzętu to jedyna droga, skorzystaj z naszych audytów UDODO, szkoleń i konsultacji. Zapraszamy do kontaktu.

Autor: Kamil Lewicki – Kierownik Projektu CompNet Sp. z o.o.