Certyfikat zniszczenia i protokół odbioru – czym się różnią?

Trzy dokumenty, trzy różne etapy niszczenia dokumentacji

Podczas zlecania profesjonalnego niszczenia dokumentów można spotkać się z kilkoma podobnie brzmiącymi nazwami: certyfikat zniszczenia dokumentów, protokół odbioru dokumentów oraz protokół zniszczenia dokumentów.
Dokumenty te są ze sobą powiązane, ale nie zawsze pełnią tę samą funkcję:

• protokół odbioru potwierdza przekazanie dokumentacji wykonawcy,
• protokół zniszczenia opisuje lub potwierdza przeprowadzenie procesu niszczenia,
• certyfikat zniszczenia stanowi końcowe potwierdzenie wykonania usługi.

Najważniejsza różnica dotyczy więc momentu wystawienia dokumentu oraz zakresu informacji, które powinien zawierać.
RODO nie wprowadza obowiązkowego dokumentu o nazwie „certyfikat zniszczenia” ani nie określa jednego urzędowego wzoru takiego potwierdzenia. Administrator danych musi jednak przestrzegać zasady rozliczalności, czyli być w stanie wykazać, że dane były przetwarzane i usuwane zgodnie z przepisami.

Czym jest protokół odbioru dokumentów?

Protokół odbioru dokumentów, nazywany również protokołem przekazania dokumentacji, powstaje w chwili, gdy dokumenty przechodzą pod faktyczną opiekę firmy realizującej usługę.
Jego podstawowym zadaniem jest udokumentowanie:

• kto przekazał dokumentację,
• kto ją odebrał,
• kiedy i gdzie nastąpiło przekazanie,
• jaka ilość materiałów została odebrana,
• w jaki sposób dokumenty zostały zabezpieczone.

Protokół odbioru nie potwierdza jeszcze, że dokumenty zostały zniszczone. Wskazuje jedynie, że wykonawca przejął je w celu realizacji usługi.

Co powinien zawierać protokół odbioru?

Dobrze przygotowany protokół odbioru powinien zawierać przynajmniej:

1. datę i miejsce odbioru dokumentacji,
2. dane zleceniodawcy i wykonawcy,
3. numer zlecenia lub umowy,
4. przybliżoną ilość dokumentów, np. liczbę kartonów, pojemników albo palet,
5. rodzaj przekazanego materiału,
6. numery pojemników lub plomb zabezpieczających,
7. informacje o zauważonych nieprawidłowościach,
8. podpisy osób przekazujących i odbierających dokumentację.

W przypadku regularnej obsługi pojemników na dokumenty istotne jest zapisywanie numerów plomb oraz oznaczeń pojemników. Pozwala to połączyć konkretny odbiór z późniejszym potwierdzeniem zniszczenia.

Dlaczego protokół odbioru jest ważny?

Protokół pozwala dokładnie określić moment, od którego dokumentacja znajduje się pod nadzorem wykonawcy. Ma to znaczenie organizacyjne i dowodowe, szczególnie gdy pomiędzy odbiorem a zniszczeniem występuje transport albo czasowe przechowywanie materiałów w zabezpieczonej strefie.
Dokument ten wspiera zachowanie tzw. łańcucha przekazania dokumentacji. Dzięki niemu można odtworzyć drogę akt od siedziby klienta aż do miejsca ich zniszczenia.

Czym jest certyfikat zniszczenia dokumentów?

Certyfikat zniszczenia dokumentów jest końcowym potwierdzeniem, że usługa została wykonana. Zazwyczaj ma bardziej zwięzłą formę niż protokół zniszczenia i jest przeznaczony przede wszystkim dla zleceniodawcy.
Certyfikat może zostać dołączony do dokumentacji związanej z:

• ochroną danych osobowych,
• realizacją umowy powierzenia,
• brakowaniem dokumentacji,
• audytem bezpieczeństwa,
• wewnętrzną kontrolą obiegu akt,
• potwierdzeniem wykonania usługi przez podmiot zewnętrzny.

Co powinien zawierać certyfikat zniszczenia?

Rzetelnie wystawiony certyfikat powinien umożliwiać jednoznaczne ustalenie, czego dotyczyło zniszczenie. Warto umieścić w nim:

• indywidualny numer certyfikatu,
• dane zleceniodawcy,
• dane firmy wykonującej usługę,
• datę wykonania zniszczenia,
• numer zlecenia lub protokołu odbioru,
• ilość albo opis zniszczonej dokumentacji,
• oświadczenie o trwałym i nieodwracalnym zniszczeniu,
• zastosowaną metodę lub poziom bezpieczeństwa,
• podpis osoby upoważnionej do wystawienia certyfikatu.

Sam dokument zatytułowany „certyfikat” nie daje pełnej wartości dowodowej, jeżeli znajduje się na nim jedynie ogólna informacja, że „dokumenty zostały zniszczone”. Powinien być możliwy do powiązania z konkretnym odbiorem i zleceniem.

Czy RODO wymaga certyfikatu zniszczenia?

RODO nie nakazuje wystawiania dokumentu noszącego dokładnie nazwę „certyfikat zniszczenia dokumentów”. Wprowadza jednak zasadę rozliczalności oraz obowiązek stosowania odpowiednich środków technicznych i organizacyjnych zabezpieczających dane.
Jeżeli niszczenie dokumentów zawierających dane osobowe wykonuje firma zewnętrzna jako podmiot przetwarzający, relacja powinna zostać odpowiednio uregulowana. Artykuł 28 RODO przewiduje między innymi usunięcie albo zwrot danych po zakończeniu świadczenia usług, zależnie od decyzji administratora i obowiązujących przepisów.
Europejska Rada Ochrony Danych wskazuje dodatkowo, że w przypadku wyboru usunięcia danych podmiot przetwarzający powinien przeprowadzić je w bezpieczny sposób i potwierdzić administratorowi wykonanie tej czynności w uzgodnionym terminie oraz formie.
Odpowiednio wystawiony certyfikat lub protokół zniszczenia jest więc praktycznym sposobem udokumentowania wykonania polecenia administratora. Nie zwalnia jednak firmy z konieczności posiadania prawidłowej procedury oraz sprawdzenia, czy upłynął wymagany okres przechowywania dokumentów.

Czy sam certyfikat wystarczy?

Certyfikat jest ważnym elementem dokumentacji, ale nie powinien być jedynym zabezpieczeniem procesu.
Kompletny zestaw może obejmować:

1. zlecenie lub umowę na niszczenie dokumentacji,
2. umowę powierzenia przetwarzania danych, jeżeli jest wymagana,
3. wykaz dokumentów zatwierdzonych do zniszczenia,
4. protokół odbioru i przekazania,
5. oznaczenia plomb lub pojemników,
6. protokół zniszczenia albo raport wykonania usługi,
7. certyfikat zniszczenia,
8. dodatkowe materiały, np. nagranie procesu, jeżeli zostało uzgodnione.

Taki zestaw pozwala wykazać nie tylko, że dokumenty zostały zniszczone, ale również kto zatwierdził ich brakowanie, kiedy zostały odebrane oraz w jaki sposób były zabezpieczone.

Jak powinien wyglądać prawidłowo udokumentowany proces?

1. Zatwierdzenie dokumentów do zniszczenia

Przed przekazaniem akt należy sprawdzić okresy ich przechowywania oraz upewnić się, że dokumentacja nie jest potrzebna do celów prawnych, podatkowych, pracowniczych, dowodowych lub archiwalnych.

2. Bezpieczne przygotowanie materiałów

Dokumenty powinny zostać umieszczone w zamkniętych pojemnikach, zabezpieczonych kartonach albo workach przeznaczonych do poufnych materiałów. Zabezpieczenie należy opisać w dokumentacji odbioru.

3. Podpisanie protokołu odbioru

Przy przekazaniu należy odnotować ilość dokumentów, datę, miejsce, numery zabezpieczeń oraz osoby uczestniczące w odbiorze.

4. Transport i kontrolowane przechowywanie

Do chwili zniszczenia dokumentacja powinna pozostawać zabezpieczona przed dostępem osób nieupoważnionych, zagubieniem, kradzieżą lub przypadkowym ujawnieniem.

5. Nieodwracalne zniszczenie

Metoda niszczenia powinna zostać dopasowana do rodzaju dokumentów, nośnika oraz poufności znajdujących się na nim informacji.

6. Wystawienie potwierdzenia

Na zakończenie wykonawca powinien wystawić protokół lub certyfikat, który można bezpośrednio powiązać z wcześniejszym odbiorem dokumentacji.
W taki sposób usługi realizuje między innymi Archiwa Ju-Ka sp. z o.o., dbając o zachowanie ciągłości dokumentacji procesu – od protokołu odbioru i oznaczenia zabezpieczeń aż po końcowe potwierdzenie zniszczenia. Jest to szczególnie istotne dla firm, które podczas kontroli lub audytu muszą wykazać, co stało się z dokumentami po zakończeniu okresu ich przechowywania.

Traktowanie faktury jako potwierdzenia zniszczenia

Faktura potwierdza rozliczenie usługi, ale zwykle nie zawiera wystarczających informacji o dacie, metodzie, zakresie i przebiegu zniszczenia.

Jak długo przechowywać certyfikaty i protokoły?

Nie istnieje jeden uniwersalny termin przechowywania wszystkich certyfikatów i protokołów związanych z niszczeniem dokumentów. Powinien on wynikać między innymi z:

• wewnętrznej polityki retencji,
• rodzaju niszczonej dokumentacji,
• okresu przedawnienia możliwych roszczeń,
• wymagań audytowych i umownych,
• przepisów branżowych,
• zasad obowiązujących w danej jednostce.

Dokumentów potwierdzających zniszczenie nie należy usuwać automatycznie razem z aktami, których dotyczą. Stanowią one bowiem dowód prawidłowego przeprowadzenia procesu.
W jednostkach objętych przepisami archiwalnymi dokumentacja brakowania, w tym spisy, zgody oraz protokoły potwierdzające zniszczenie, może posiadać własną kategorię archiwalną i odrębny okres przechowywania.

Podsumowanie – którego dokumentu potrzebuje firma?

Protokół odbioru dokumentów potwierdza, że wykonawca przejął określoną partię akt. Certyfikat zniszczenia stanowi jego końcowe i czytelne potwierdzenie dla klienta.
Najbezpieczniejszym rozwiązaniem jest posiadanie co najmniej dwóch powiązanych ze sobą dokumentów:

• protokołu potwierdzającego odbiór,
• certyfikatu albo protokołu potwierdzającego zniszczenie.

O wartości dokumentacji nie decyduje jednak jej nazwa. Najważniejsze jest to, czy pozwala jednoznacznie wykazać:

• jakie materiały zostały przekazane,
• kiedy przejął je wykonawca,
• jak były zabezpieczone,
• kiedy zostały zniszczone,
• w jaki sposób zakończono proces.

Spójna dokumentacja odbioru i zniszczenia pomaga przedsiębiorstwu zachować kontrolę nad obiegiem akt, realizować zasadę rozliczalności oraz ograniczyć ryzyko związane z nieuprawnionym dostępem do danych.