RAEE e dati aziendali: quando separare hard disk e supporti di memoria

Quando un’azienda dismette PC, notebook, server, smartphone aziendali, stampanti multifunzione o altri dispositivi elettronici, la gestione del RAEE non esaurisce il tema dei dati. Un’apparecchiatura può infatti contenere informazioni personali, documenti riservati, credenziali, copie di backup, rubriche, file temporanei o dati memorizzati nella memoria interna.Il punto pratico è questo: non è sempre necessario rimuovere fisicamente ogni hard disk prima del ritiro, ma occorre decidere prima della consegna se i dati possono essere cancellati in modo efficace e verificabile oppure se il supporto deve seguire una procedura separata. Il Garante ricorda che la semplice eliminazione dei file o la formattazione ordinaria possono non rendere i dati irrecuperabili.

La prima domanda: che cosa contiene davvero il dispositivo?

Prima di programmare il ritiro, è utile distinguere le apparecchiature in almeno tre gruppi:

• Dispositivi senza memoria o già privi di dati: per esempio monitor, tastiere, mouse, cavi, stampanti senza archivi interni significativi e altri RAEE per cui non emergono supporti contenenti informazioni aziendali.
• Dispositivi con dati cancellabili: PC, notebook o server funzionanti sui quali l’organizzazione può applicare una procedura di cancellazione sicura, secondo il livello di rischio e le caratteristiche del supporto.
• Dispositivi con dati da proteggere fino alla distruzione: hard disk non funzionanti, supporti non accessibili, dispositivi con informazioni particolarmente riservate o casi nei quali l’azienda non può dimostrare l’effettiva cancellazione.

Rientrano nell’ultima situazione, ad esempio, archivi amministrativi e del personale, dati sanitari o professionali, copie di database, documentazione contrattuale, password salvate, file di clienti e fornitori, immagini di videosorveglianza o backup non più gestiti dall’IT.

Quando conviene separare hard disk, SSD e altri supporti

La separazione del supporto dalla restante apparecchiatura è normalmente da valutare quando l’azienda ha bisogno di mantenere il controllo sul dato fino alla sua eliminazione definitiva. Non è una scelta basata solo sul valore economico del PC: dipende soprattutto dal contenuto del dispositivo, dalla possibilità tecnica di eseguire una cancellazione efficace e dal livello di evidenza che l’organizzazione deve conservare.È opportuno prevedere una gestione separata quando:

• il dispositivo non si avvia o il supporto non è leggibile, quindi una procedura software non è concretamente applicabile;
• l’apparecchiatura contiene dati personali o informazioni aziendali riservate e non è disponibile una prova attendibile della cancellazione eseguita;
• si dismettono server, NAS, PC amministrativi, notebook del personale, dispositivi di rete con memoria interna o stampanti multifunzione con disco;
• l’azienda vuole conservare un inventario puntuale dei supporti affidati e una documentazione della procedura richiesta;
• il dispositivo deve essere avviato a rifiuto elettronico, ma il supporto richiede prima una specifica misura di sicurezza.

La valutazione riguarda anche SSD, chiavette USB, schede di memoria, telefoni, tablet e supporti rimovibili: non solo i tradizionali hard disk. Per questo è utile non limitare l’inventario alla voce generica “PC da smaltire”.

RAEE e protezione dei dati: due flussi da coordinare

Il RAEE resta un rifiuto elettronico da gestire correttamente nella filiera dei rifiuti. Tuttavia, la consegna dell’apparecchiatura non trasferisce automaticamente all’esterno tutte le responsabilità relative ai dati presenti al suo interno. Il Garante ha chiarito che, al momento della dismissione, i dati personali devono essere effettivamente cancellati oppure resi non intelligibili, così da impedire accessi non autorizzati.In concreto, l’azienda dovrebbe coordinare due attività:

1. mettere in sicurezza i dati, con una cancellazione adeguata oppure con la distruzione del supporto quando la cancellazione non è praticabile o non è sufficiente per il rischio valutato;
2. organizzare il ritiro del RAEE, identificando le apparecchiature, le quantità, l’eventuale presenza di batterie e i documenti necessari al caso specifico.

Per la seconda attività può essere utile preparare un elenco ordinato delle apparecchiature e richiedere una valutazione per il ritiro e la gestione dei rifiuti elettronici. Se invece il punto critico è il contenuto dei supporti, la richiesta va impostata fin dall’inizio come esigenza di distruzione di hard disk e supporti di memoria, indicando il livello di tracciabilità necessario.

Una procedura interna semplice prima del ritiro

Per una piccola dismissione o per il rinnovo di un intero parco informatico, può essere utile assegnare a una persona interna il coordinamento tra ufficio amministrativo, responsabile IT e referente privacy. L’obiettivo non è complicare il ritiro, ma evitare che PC e supporti vengano accantonati, spostati o affidati senza sapere che cosa contengono.Una procedura essenziale può prevedere:

• inventario di PC, notebook, server, stampanti multifunzione e supporti rimovibili;
• associazione tra apparecchiatura e numero di serie o codice interno, quando disponibile;
• indicazione del supporto presente: hard disk, SSD, memoria interna o supporto rimovibile;
• decisione documentata: riutilizzo dopo cancellazione, distruzione del supporto oppure gestione come RAEE senza dati residui rilevanti;
• custodia controllata dei dispositivi fino al ritiro;
• verifica della documentazione concordata per la gestione dei supporti e per il flusso dei rifiuti.

La documentazione utile dipende dall’organizzazione, dal tipo di dati e dagli accordi con i soggetti coinvolti. Per trattamenti particolarmente delicati o per enti soggetti a regole interne specifiche, la procedura va verificata con il responsabile privacy, il DPO o il consulente competente: questo approfondimento offre indicazioni generali e non sostituisce una valutazione sul singolo caso.

Attenzione alle stampanti multifunzione e ai dispositivi “dimenticati”

Un errore frequente è concentrarsi soltanto sui computer. Alcune stampanti multifunzione, fotocopiatrici, NAS, router, firewall, smartphone e dispositivi di videosorveglianza possono conservare rubriche, lavori di stampa, scansioni, configurazioni, registri o credenziali. Prima della dismissione è quindi opportuno chiedere al fornitore IT o al produttore quali memorie siano presenti e quali operazioni siano possibili.Se il dispositivo contiene una memoria non facilmente estraibile, la scelta tra cancellazione sicura, rimozione del componente o gestione dell’intera apparecchiatura con una procedura dedicata deve essere definita prima del ritiro. Improvvisare al momento della movimentazione aumenta il rischio di perdere il controllo sia del bene sia delle informazioni.

Come chiedere una valutazione operativa

Per ricevere una valutazione più precisa, prepara un elenco con numero e tipologia delle apparecchiature, presenza di hard disk o SSD, stato di funzionamento, eventuali supporti già rimossi e necessità di documentazione. Ecofuturo organizza ritiri presso la sede del cliente, previo accordo, per aziende, uffici, studi, scuole ed enti della provincia di Rimini, della Romagna e della provincia di Pesaro-Urbino.Per impostare correttamente ritiro RAEE e gestione dei supporti, richiedi un preventivo oppure chiama lo 0541 1831491. È utile segnalare già nel primo contatto se sono presenti dati aziendali, hard disk non funzionanti o esigenze di procedura tracciata.