De fleste virksomheder har efterhånden styr på GDPR ved printeren i hverdagen — pull-print, aflåste printerrum og politikker for efterladte udskrifter. Men den dag printeren eller kopimaskinen skal udskiftes, opstår et risikopunkt, som næsten alle overser: den indbyggede harddisk. Mange multifunktionsprintere gemmer en kopi af alt, der nogensinde er printet, scannet eller kopieret på dem. Sender du maskinen retur til leasingselskabet eller til genbrug uden at slette den, sender du potentielt årevis af persondata med ud af døren.
Harddisken alle glemmer
Multifunktionsprintere til kontorbrug har typisk en intern lagerenhed på 40-500 GB. Den bruges som arbejdshukommelse, men på mange modeller bliver print- og scanjobs liggende, indtil pladsen genbruges. Det betyder, at lønsedler, sygemeldinger, kontrakter og kopier af pas kan ligge læsbart på disken flere år efter, at dokumenterne blev printet. Under GDPR er indholdet på den disk personoplysninger, som din virksomhed er dataansvarlig for — også efter at maskinen har forladt bygningen.
Leasing-returen er det kritiske øjeblik
Langt de fleste kontormaskiner er leasede, og ved kontraktudløb hentes de af leverandøren. Her sker overdragelsen af disken i praksis uden dokumentation, medmindre du selv kræver det. Spørg leverandøren om tre ting, før maskinen forlader huset: Bliver disken slettet efter en anerkendt standard (fx NIST 800-88)? Får I en sletteerklæring pr. maskine med serienummer? Og hvad sker der med disken, hvis maskinen videresælges? Kan leverandøren ikke svare, bør disken fjernes fysisk og destrueres, inden maskinen afleveres.
Kravene efter Artikel 32
Artikel 32 kræver passende tekniske og organisatoriske foranstaltninger i hele oplysningernes livscyklus — bortskaffelse inklusive. I praksis betyder det for printere og kopimaskiner: aktivér diskkryptering, hvis maskinen understøtter det (så er en efterladt disk ulæselig), brug maskinens indbyggede funktion til sikker sletning ved udskiftning, og skriv printere ind i jeres fortegnelse over behandlingsaktiviteter, så de ikke glemmes ved offboarding af udstyr. Servicerer en ekstern leverandør maskinerne og har adgang til diskindholdet, skal der desuden en databehandleraftale på plads.
Tjekliste ved udskiftning
Inden en printer eller kopimaskine forlader virksomheden: Slå diskkryptering til fra dag ét på nye maskiner. Kør maskinens sikre slettefunktion (overskrivning, ikke blot "gendan fabriksindstillinger"). Kræv sletteerklæring med serienummer fra leverandøren. Fjern og destruér disken fysisk, hvis sletning ikke kan dokumenteres. Notér bortskaffelsen i fortegnelsen, så I kan dokumentere forløbet ved en risikovurdering eller et tilsyn.
Hverdagen er et andet kapitel
Denne artikel handler om maskinens livscyklus — anskaffelse, drift og bortskaffelse. Den daglige printsikkerhed, fra efterladte udskrifter i bakken til pull-print og adgangsstyring, er et emne for sig. Det har vi behandlet grundigt i Sikker print og GDPR: Sådan undgår du databrud ved printeren.