No cenário digital de hoje, a eliminação segura de dados é um componente crítico do programa de segurança e conformidade da informação de uma organização. Para as empresas que operam na Irlanda, a obrigação de destruir dados pessoais e confidenciais estende-se para além das boas práticas – é um requisito legal ao abrigo do Regulamento Geral sobre a Proteção de Dados (RGPD) e legislação irlandesa relacionada. A não implementação de procedimentos de eliminação de dados robustos pode expor uma organização a multas regulamentares significativas, responsabilidade jurídica e danos irrevogáveis à reputação. Este artigo descreve o quadro regulamentar na Irlanda e fornece práticas abrangentes para a eliminação segura de dados, abrangendo o desenvolvimento de políticas, métodos de destruição certificados, documentação, formação de pessoal e procedimentos de auditoria em curso.

Compreender os regulamentos de eliminação de dados na Irlanda

O panorama da proteção de dados da Irlanda é regido principalmente pelo RGPD, que entrou em vigor em maio de 2018, e pela Lei de Proteção de Dados 2018, que transpõe o RGPD para a lei irlandesa. O RGPD exige que os dados pessoais sejam mantidos de forma que permita a identificação dos titulares de dados por um período não superior ao necessário para os fins para os quais os dados são tratados (artigo 5.o, n.o 1, alínea e),). Quando o período de retenção expirar ou os dados deixarem de ser necessários, este deve ser apagado ou anonimizado com segurança. O princípio da responsabilização (artigo 5.o, n.o 2) também significa que as organizações devem poder demonstrar o cumprimento das obrigações de eliminação.

A Comissão de Proteção de Dados (DPC) da Irlanda é a autoridade supervisora nacional responsável pela aplicação das disposições do GDPR. O DPC tem o poder de emitir multas administrativas de até 20 milhões de euros ou 4% do volume de negócios global anual – o que for mais elevado – para infracções graves, incluindo falhas na eliminação segura dos dados pessoais. Além do GDPR, as regulamentações específicas do setor podem impor requisitos adicionais de eliminação. Por exemplo, as empresas de serviços financeiros estão sujeitas às orientações do Banco Central da Irlanda sobre a manutenção e destruição de registos, enquanto os dados de saúde são abrangidos pelas regras de investigação em saúde e pelas políticas de proteção de dados do HSE. A Lei de Justiça Criminal (Oferences Relateling to Information Systems) 2017 criminaliza também o acesso não autorizado ou a destruição de dados, ainda que subjaça a necessidade de processos de eliminação controlados.

As organizações devem também estar cientes da interacção entre a legislação em matéria de protecção de dados e a legislação ambiental. A Lei de Gestão de Resíduos de 1996 e a Directiva REEE europeia regulam a eliminação de equipamentos electrónicos, incluindo dispositivos de armazenamento.

O sítio Web da Comissão para a Protecção de Dados fornece orientações sobre a conservação e eliminação de dados, incluindo modelos para calendários de retenção de dados e formulários de notificação de violações.Além disso, o Conselho Europeu para a Protecção de Dados (EDPB) publica orientações sobre a interacção entre o direito de apagar e outras obrigações legais.A compreensão destas camadas regulamentares é o primeiro passo para a criação de um programa de eliminação de dados conforme.

Melhores práticas para a eliminação segura de dados

1. Desenvolva uma política abrangente de eliminação de dados

Uma política formal de eliminação de dados é a base de qualquer programa de eliminação seguro. A política deve definir funções e responsabilidades claras, normalmente atribuindo propriedade a um responsável pela proteção de dados (DPO) ou Gerente de Segurança da Informação, com tarefas operacionais delegadas em equipes de gerenciamento de TI, instalações e registros. A política deve abranger ativos de dados físicos e digitais, incluindo registros de papel, discos rígidos, unidades de estado sólido (SDS), fitas de backup, dispositivos móveis e dados armazenados na nuvem.

Os principais elementos de uma política de eliminação eficaz incluem:

  • Classificação de dados – categorização dos dados por sensibilidade (p. ex., público, interno, confidencial, restrito) de modo a que os métodos de eliminação se alinhem com os níveis de risco.
  • Crames de retenção – especificando períodos legais e de retenção de empresas para cada tipo de dados, referenciando requisitos legais como a Lei das Empresas de 2014 (que determina a retenção de 7 anos para certos registos financeiros).
  • Procedimentos de autorização – exigindo a assinatura gerencial ou legal antes de destruição irreversível é realizada.
  • Métodos e normas – referenciando normas específicas de destruição (por exemplo, NIST SP 800-88 Rev. 1, ISO/IEC 27001, ou certificação NAID AAA) para garantir a coerência.
  • Causa da custódia – documentar a circulação de dados ativos do armazenamento ativo para destruição para evitar o acesso não autorizado.

A política deve ser revista pelo menos anualmente, ou sempre que ocorram alterações significativas na legislação ou tecnologia, devendo ser exigido a todos os trabalhadores com acesso a dados que reconheçam a política como parte da sua formação anual e de bordo.

2. Use os métodos de destruição de dados certificados

Nem todos os métodos de destruição de dados são criados iguais. A escolha do método depende do tipo de mídia, da sensibilidade dos dados e do nível de segurança necessário. Para dispositivos de armazenamento digital, os seguintes métodos são amplamente reconhecidos como eficazes:

  • Destruição física – trituração, esmagamento ou pulverização de unidades e outros meios de armazenamento usando equipamentos industriais. Este método é irreversível e adequado para dados de maior sensibilidade. Por exemplo, um triturador de disco rígido pode reduzir um disco a pequenos fragmentos de metal, garantindo que nenhum dado pode ser recuperado mesmo por ferramentas forenses especializadas.
  • Degaussing – Expondo mídias de armazenamento magnético (como HDDs tradicionais e fitas magnéticas) para um campo magnético forte e alternado que apaga os dados. Degaussing torna a mídia inutilizável, então deve ser seguido de destruição física ou reciclagem. Degaussing não é eficaz em SSDs ou dispositivos baseados em flash.
  • A limpeza digital segura (sobrescrever) – usando software para escrever padrões (por exemplo, todos os zeros, todos os dados, ou aleatórios) sobre toda a área de armazenamento, muitas vezes múltiplos passes. Padrões como o Departamento de Defesa dos EUA 5220,22-M (3-pass overwrite) ou NIST SP 800-88 (1-pass para a maioria das unidades) fornecem diretrizes. No entanto, SSDs modernos podem não responder de forma confiável à sobrescrita devido ao desgaste nivelamento e áreas reservadas; para SSDs, apagamento criptográfico ou destruição física é recomendado.
  • Apagamento criptográfico – excluir com segurança a chave de criptografia que protege os dados, tornando os dados irrecuperáveis mesmo que o texto cifrado permaneça. Este é um método rápido e eficaz para dispositivos que usam criptografia de disco inteiro (por exemplo, BitLocker, FileVault, LUKS). Após a eliminação criptográfica, a unidade pode ser reutilizada ou reciclada se a criptografia foi devidamente implementada.

As organizações devem envolver prestadores de serviços certificados para destruição de dados. Procure por fornecedores que possuam NAID AAA Certification, que é um programa de auditoria independente que verifica o cumprimento de normas rigorosas de segurança, operações e rastreio de funcionários. Na Irlanda, existem várias empresas certificadas com NAID que oferecem serviços de destruição no local e fora do local. Ao selecionar um provedor, solicite certificados de destruição (CUDs) que detalham o fabricante do dispositivo, modelo, número de série, método de destruição, data e testemunha. A manutenção desses CUDs é essencial para as trilhas de auditoria e evidências regulatórias.

3. Mantenha Documentação e Evidências Exatas

Nos termos do princípio da responsabilidade do GDPR, as organizações devem poder demonstrar que cumpriram as obrigações de eliminação de dados.A documentação completa serve de prova da devida diligência em caso de investigação de um CPD ou de um litígio jurídico.No mínimo, os registos devem incluir:

  • Um inventário de ativos de todos os dispositivos de armazenamento de dados, incluindo sua localização, custódia e classificação de dados.
  • Um diário de todas as atividades de destruição, incluindo datas, métodos utilizados, pessoal envolvido, e quaisquer certificados de destruição.
  • Provas da formação dos trabalhadores sobre os procedimentos de eliminação.
  • Registros de auditorias, tanto internas quanto externas, que revisam práticas de eliminação.

A documentação pode ser mantida num sistema de gestão digital de activos ou numa folha de cálculo simples, desde que inclua controlos de acesso adequados e histórico de versões. O período de conservação para os registos de eliminação deve prolongar-se para além da vida dos dados em si – normalmente três anos após a data de destruição, embora algumas indústrias necessitem de mais tempo (por exemplo, seis anos para os serviços financeiros ao abrigo do regime de fitness e probidade do Banco Central).

4. Certifique-se de eliminação segura de mídia de armazenamento físico

Os meios físicos – arquivos de papel, discos rígidos portáteis, pendrives USB, discos ópticos e fitas magnéticas – apresentam riscos únicos porque podem ser facilmente deslocados ou roubados. As organizações devem implementar os seguintes controles:

  • Câmaras de recolha seguras – contentores com segurança e evidentes para armazenar meios de comunicação à espera de destruição, localizados em áreas controladas pelo acesso.
  • Capacitação dos formulários de custódia – acompanhamento do movimento dos meios de comunicação desde o ponto de recolha até à instalação de destruição, com assinaturas em cada entrega.
  • Destruição no local vs. destruição no local – destruição no local (usando caminhões móveis de trituração) fornece o mais alto nível de segurança, já que os dados nunca saem das instalações. Destruição no local com um provedor certificado é aceitável se controles rigorosos estiverem em vigor.
  • Reciclagem e conformidade ambiental – garantir que o processo de destruição seja seguido por reciclagem responsável em conformidade com a Directiva REEE. Obter uma garantia escrita de que o reciclador não tentará recuperar dados de meios destruídos.

Para registros de papel, o trituração cruzada (para um tamanho de partículas de 4×40 mm ou menor) é recomendado, como os pedaços de tiras podem ser montados manualmente. Muitos serviços de trituração profissional oferecem consoles seguros que depositam papel automaticamente em um recipiente bloqueado.

Dicas adicionais para eliminação eficaz de dados

Formação e Consciência do Pessoal

O erro humano é uma das principais causas de violação de dados, e a eliminação indevida não é excepção. Todos os membros do pessoal que lidam com dados devem ser treinados sobre os procedimentos adequados para a eliminação de informações físicas e digitais.

  • Como identificar dados que tenham chegado ao fim do seu período de retenção.
  • O uso correto de caixas de trituração e ferramentas de limpeza digital.
  • A importância de nunca se livrar de dados em lixeiras regulares ou vendendo dispositivos antigos sem apagamento.
  • As consequências do incumprimento, incluindo a responsabilidade pessoal por negligência grave.

O treinamento de atualização deve ser fornecido anualmente, e os registros de assistência mantidos. Treinamento específico de funções pode ser necessário para o pessoal de TI que executa limpeza digital, gerentes de instalações que supervisionam a destruição física e equipes de gerenciamento de registros.

Auditorias Regulares e Análises de Conformidade

As auditorias periódicas ajudam a assegurar que as políticas de eliminação estão a ser seguidas e a identificar áreas para melhorar.

  • Aderência à política de eliminação em todos os departamentos.
  • A documentação de destruição completa e precisa.
  • Segurança das áreas de armazenamento onde os dados que aguardam a destruição são mantidos.
  • Compliance do fornecedor (se utilizar serviços de destruição de terceiros).

As conclusões da auditoria devem ser documentadas e comunicadas aos quadros superiores. Quaisquer não conformidades devem ser abordadas através de planos de medidas corretivas, com prazos para a reparação. Além disso, as organizações devem realizar avaliações regulares de vulnerabilidade para testar se os dados residuais podem ser recuperados dos meios de comunicação descartados – por exemplo, tentando ler dados de uma unidade apagada antes de serem fisicamente destruídos.

Implementar a criptografia para reduzir os riscos de eliminação

A criptografia é um poderoso controle de atenuação que simplifica a eliminação segura. Quando os dados são criptografados em repouso (usando algoritmos fortes como o AES-256), a destruição da chave de criptografia efetivamente torna os dados inacessíveis, mesmo que a mídia de armazenamento não seja fisicamente destruída. Esta abordagem, conhecida como apagamento criptográfico, é especialmente valiosa para SSDs e armazenamento em nuvem, onde o limpeza tradicional pode ser impraticável ou incompleto.

No entanto, a criptografia sozinha não é um substituto para procedimentos de eliminação adequados. As organizações ainda devem destruir fisicamente ou desmantelar dispositivos que contenham dados sensíveis, porque as chaves de criptografia podem ser recuperadas de despejos de memória ou se a implementação de criptografia tiver vulnerabilidades. As diretrizes do NIST SP 800-88 Rev. 1 fornecem recomendações detalhadas sobre a combinação de criptografia com destruição física para ambientes de alta segurança.

Gerenciar os Riscos de Terceiros e Contratores

Muitas organizações irlandesas terceirizam a destruição de dados para fornecedores especializados. Embora esta possa ser rentável, introduz riscos adicionais. O GDPR exige que os processadores de dados (incluindo os fornecedores de serviços de destruição) ofereçam garantias suficientes para implementar medidas técnicas e organizacionais adequadas. As organizações devem realizar a devida diligência sobre os fornecedores, incluindo:

  • Rever as suas certificações (por exemplo, NAID AAA, ISO 27001).
  • Verificação dos antecedentes dos seus empregados e dos acordos de não divulgação.
  • Obtenção de cópias das suas apólices de seguro (indemnização profissional e responsabilidade cibernética).
  • Regularmente a auditoria de suas instalações e processos.

O contrato com o vendedor deverá incluir um acordo de tratamento de dados que especifique os métodos de destruição, os requisitos de documentação e as obrigações de notificação em caso de incidente, devendo também ser incluída uma cláusula de direito a auditoria, que permita à organização realizar inspecções surpresas.

Considere o ciclo de vida dos dados para além da eliminação

A eliminação segura é a fase final do ciclo de vida dos dados, mas deve ser planejada a partir do momento em que os dados são criados. Ao projetar novos sistemas, considere como os dados serão excluídos com segurança no final de sua vida útil. Por exemplo, os serviços de nuvem frequentemente fornecem agendas de exclusão automatizadas que podem ser configuradas para excluir dados após um período definido. No entanto, os provedores de nuvem podem manter backups ou registros que também precisam ser excluídos. As organizações devem revisar as capacidades de eliminação de dados do provedor de nuvem e obter a certificação de que os dados são irrecuperáveis de todos os meios de armazenamento, incluindo réplicas de recuperação de desastres.

Da mesma forma, ao adquirir novos hardwares (laptops, servidores, telefones celulares), incluem um requisito de que o dispositivo suporta funções de apagar seguros certificadas (por exemplo, ATA Secure Apagar para unidades, Fábrica Reiniciar para telefones). Isso garante que a eliminação pode ser realizada facilmente e verificável pela equipe de TI interna.

Manter a Compliance e a Confiança

A eliminação segura de dados não é um projeto único, mas um processo contínuo que requer compromisso de todos os níveis de uma organização. Ao adotar as práticas descritas acima – desde políticas abrangentes e métodos de destruição certificados até documentação completa e treinamento de pessoal – as organizações na Irlanda podem cumprir suas obrigações legais ao abrigo do RGPD e leis relacionadas. Mais importante, elas demonstram uma cultura de gestão de dados que constrói confiança com clientes, parceiros e reguladores.

Revise regularmente as suas práticas de eliminação de dados à luz das ameaças e tecnologias em evolução. O aumento do armazenamento em estado sólido, da computação em nuvem e dos dispositivos IoT tornou a destruição de dados mais complexa do que nunca. Mantenha-se informado sobre as atualizações das diretrizes regulamentares e das normas do setor, como as diretrizes do European Data Protection Board sobre a notificação de violação de dados[, que podem afetar indiretamente os procedimentos de eliminação. A gestão proativa da eliminação de dados reduz o risco de uma violação de dados dispendiosa e reforça a reputação da sua organização como controladora de dados responsável.