Skartace s certifikátem: co musí obsahovat protokol

Protokol má doložit, co, kdy, jak a kým bylo zničeno. Patří do něj předávací záznam, místo a datum zničení, stupeň podle ISO/IEC 21964, množství a podpisy odpovědných osob.

Protokol o skartaci má doložit, co bylo zničeno, kdy, jak a kým. Dobrý protokol obsahuje číslo, objednatele, předávací záznam s datem převzetí a označením obalů, místo a datum zničení, metodu a stupeň bezpečnosti podle normy ISO/IEC 21964, která nahradila DIN 66399, dále množství, jména a podpisy odpovědných osob a prohlášení, že obsah nelze rekonstruovat. U obcí a úřadů k tomu patří číslo jednací protokolu státního archivu, u zdravotnické dokumentace soupis zničených dokumentů.

Proč protokol potřebujete?

Zničení dokumentů s osobními údaji je podle GDPR také zpracováním osobních údajů (čl. 4 bod 2). Jako správce musíte umět doložit, že jste s údaji naložili v souladu s nařízením (čl. 5 odst. 2). Skartační firma je při tom vaším zpracovatelem, a proto s ní potřebujete smlouvu podle čl. 28.

Některé předpisy zničení přímo nařizují. Záznamy podle zákona proti praní peněz se po uplynutí 10 let musí vymazat a doklady zničit (§ 16 odst. 5 zákona č. 253/2008 Sb.). Protokol je pak důkazem, že jste povinnost splnili.

Co má protokol obsahovat?

Podrobný obsah protokolu předepisují jen některé předpisy. Pro ostatní dokumenty doporučujeme tento obsah, sestavený z požadavků českých předpisů a normy EN 15713:

1. jedinečné číslo protokolu,
2. objednatele, tedy správce dokumentů, a jeho zástupce,
3. předávací záznam: datum a čas převzetí, počet a označení kontejnerů nebo pytlů, plomby, vozidlo a řidiče,
4. místo a datum zničení,
5. metodu zničení, třídu ochrany a stupeň bezpečnosti podle ISO/IEC 21964, například P-4,
6. množství v kilogramech, běžných metrech nebo počtu jednotek,
7. u zdravotnické dokumentace soupis zničených dokumentů nebo odkaz na seznam od poskytovatele,
8. u obcí, škol a úřadů číslo jednací protokolu státního archivu o skartačním řízení,
9. jména a podpisy osob, které zničení provedly a dohlížely na ně,
10. prohlášení, že obsah nelze rekonstruovat,
11. způsob naložení se zbytky, například předání k recyklaci.

Co znamenají stupně P-1 až P-7?

Norma ISO/IEC 21964 převzala třídy, stupně i velikosti částic z DIN 66399, která je dnes vedena jako zrušená. Materiály dělí do šesti kategorií: P pro dokumenty v původní velikosti, F pro zmenšené nosiče jako mikrofilm, O pro optická média, T pro magnetická média, H pro pevné disky a E pro elektronická média jako USB disky nebo SSD.

Pro dokumenty v původní velikosti platí sedm stupňů podle velikosti částic:

Norma k tomu používá tři třídy ochrany: 1 pro běžná interní data, 2 pro důvěrná data a 3 pro zvlášť důvěrná data. Nejdřív se podle citlivosti údajů určí třída a z ní plyne vhodný stupeň. Pravidlo P-4 pro osobní údaje a P-5 pro zdravotní údaje proto norma ani zákon pevně nestanoví. Jde o ustálenou praxi.

Co hlídá norma EN 15713?

EN 15713:2023 je evropská norma pro bezpečné ničení důvěrných materiálů. Nahradila vydání z roku 2009. Počítá se třemi způsoby skartace: na místě mobilním zařízením, po svozu v provozovně a v zařízení přímo u správce údajů. Stupně bezpečnosti přebírá z ISO/IEC 21964.

Norma klade požadavky na:

• zabezpečené prostory a řízení přístupu,
• smlouvu s klientem a práci se subdodavateli,
• lidi: mlčenlivost, prověření, školení a kontrolu řidičů,
• svoz a přepravu v uzavřených kontejnerech a pytlích,
• skladování před zničením a likvidaci zbytků,
• záznam celého řetězce od svozu po zničení, včetně předávacího záznamu (čl. 11.2) a osvědčení o zničení (čl. 11.3).

Mazání dat z disků přepisem, demagnetizací nebo kryptografickým vymazáním norma nepokrývá.

Jaká pravidla platí pro obce, zdravotnictví a utajované informace?

• Obce, školy a úřady smějí dokumenty zničit až po protokolu státního archivu o skartačním řízení a po uplynutí 15 dnů na námitky (§ 10 odst. 3 a 4 zákona č. 499/2004 Sb.).
• Zdravotnická dokumentace: záznam o zničení musí obsahovat soupis zničené dokumentace a informaci, kdy, jak a kým k zničení došlo. Uchovává se 40 let (§ 17 odst. 2 vyhlášky č. 444/2024 Sb.).
• Utajované informace ničí nejméně dvě pověřené osoby, a to jen na zařízeních certifikovaných Národním bezpečnostním úřadem. O zničení se sepíše záznam podepsaný všemi a uchovává se nejméně 5 let (§ 28 vyhlášky č. 275/2022 Sb.).

Na co se ptát skartační firmy?

• Převáží dokumenty v uzavřených a plombovaných obalech?
• V jakém stupni ničí a uvede ho v protokolu?
• Podepíše s vámi smlouvu o zpracování osobních údajů?
• Dostanete protokol ke každé zakázce zvlášť?

Pokud na některou otázku chybí jasná odpověď, bude vám chybět i doklad, až přijde kontrola.

Jak vám pomůžeme

Dokumenty po lhůtě odvezeme a zajistíme jejich zničení. Dostanete protokol a certifikát o zničení. U obcí a škol provedeme i kompletní skartační řízení se Státním oblastním archivem. Skartace stojí 300–400 Kč za běžný metr, malá zakázka paušálně 5 000 Kč + DPH.

Objednejte skartaci s protokolem.

Časté otázky