Zużyty sprzęt IT w firmie - jak zgodnie z prawem pozbyć się elektroniki?
W większości firm wygląda to podobnie. Wymieniono komputery, stare trafiły do pomieszczenia gospodarczego i leżą tam rok albo trzy. Nikt ich nie wyrzuca, bo pojawia się pytanie, czy w ogóle wolno, i drugie, co z danymi na dyskach. Odpowiedź na oba jest w przepisach, tylko rozrzucona po trzech różnych ustawach.
Stary komputer podlega trzem porządkom naraz
Wyrzucenie firmowego laptopa to nie jest jedna decyzja, tylko trzy. Każda ma inną podstawę prawną i inne konsekwencje, gdy zostanie zaniedbana.
| Obszar | Podstawa | Czego dotyczy |
|---|---|---|
| Odpady | Ustawa o zużytym sprzęcie elektrycznym i elektronicznym z 11 września 2015 r. oraz ustawa o odpadach z 14 grudnia 2012 r. | Komu wolno oddać sprzęt, jak go ewidencjonować i czym to udokumentować |
| Dane osobowe | RODO, w szczególności zasada rozliczalności i wymóg bezpieczeństwa przetwarzania | Usunięcie danych z nośników przed wyprowadzeniem sprzętu z firmy i udowodnienie, że to nastąpiło |
| Majątek firmy | Przepisy o rachunkowości i podatkach | Wyksięgowanie środka trwałego, dokument likwidacji albo faktura sprzedaży |
Najczęstszy błąd polega na załatwieniu tylko trzeciej pozycji. Sprzęt znika z ewidencji księgowej, a fizycznie stoi w magazynie i formalnie nadal należy do firmy razem ze wszystkim, co ma na dyskach.
Czego zabraniają przepisy o odpadach
Zużyty sprzęt elektroniczny jest odpadem niebezpiecznym w części kategorii i nie wolno go wrzucić do zwykłego kontenera. Stąd symbol przekreślonego kosza na obudowach. Firma może przekazać taki sprzęt wyłącznie podmiotowi, który ma odpowiednie uprawnienia, czyli zbierającemu zużyty sprzęt, zakładowi przetwarzania albo prowadzącemu odzysk.
| Obowiązek | Na czym polega | Termin |
|---|---|---|
| Wpis do rejestru BDO | Rejestracja w bazie danych o odpadach, jeśli firma wytwarza odpady objęte ewidencją | Przed rozpoczęciem działalności powodującej powstawanie odpadów |
| Karta przekazania odpadów | Elektroniczny dokument wystawiany w systemie BDO przy każdym przekazaniu sprzętu odbiorcy | Przed transportem odpadu |
| Ewidencja odpadów | Karty ewidencji z rodzajem i masą wytworzonych oraz przekazanych odpadów | Na bieżąco |
| Sprawozdanie roczne | Zestawienie wytworzonych i przekazanych odpadów za poprzedni rok | do 15 marca |
Za prowadzenie działalności bez wymaganego wpisu do rejestru ustawa o odpadach przewiduje administracyjną karę pieniężną od 1 000 zł do 1 000 000 zł. Nakłada ją wojewódzki inspektor ochrony środowiska w drodze decyzji, a jej wysokość zależy między innymi od skali naruszenia i dotychczasowego postępowania firmy. Osobne sankcje grożą za brak ewidencji i za nieterminowe sprawozdanie.
Dane na dyskach, czyli druga połowa problemu
Przepisy o odpadach mówią, gdzie sprzęt ma trafić. Nie mówią nic o tym, co jest na nim zapisane. Tym zajmuje się RODO, a stawka bywa wyższa niż kary środowiskowe, bo do naruszenia wystarczy jeden dysk z bazą klientów albo dokumentacją kadrową.
Administrator danych musi umieć wykazać, że dane zostały skutecznie usunięte, zanim urządzenie opuściło organizację. Samo przeciągnięcie plików do kosza i formatowanie dysku nie spełniają tego warunku, ponieważ dane pozostają możliwe do odzyskania. W praktyce stosuje się dwa podejścia, zależnie od tego, czy sprzęt ma jeszcze wrócić do użytku.
| Metoda | Standard | Kiedy się stosuje | Sprzęt po zabiegu |
|---|---|---|---|
| Kasowanie programowe | NIST SP 800-88 Rev. 1, IEEE 2883 | Dysk jest sprawny, a urządzenie ma wartość odsprzedaży | nadaje się do dalszego użytku |
| Zniszczenie fizyczne | DIN 66399, klasy ochrony i stopnie bezpieczeństwa | Dysk uszkodzony albo polityka bezpieczeństwa wymaga zniszczenia nośnika | nośnik bezpowrotnie zniszczony |
Polskie prawo nie narzuca konkretnej normy technicznej. DIN 66399 i wytyczne NIST funkcjonują jako standard umowny, powszechnie przyjęty w umowach powierzenia i akceptowany w praktyce nadzorczej. Dowodem wykonania jest protokół albo certyfikat z numerami seryjnymi nośników, bo dopiero taki dokument daje się okazać podczas kontroli lub audytu.
Zestawienie poglądowe. Skuteczność odzysku danych zależy od typu nośnika, systemu plików i szyfrowania, natomiast kierunek zależności pozostaje ten sam.
Sprawny sprzęt nie musi zostać odpadem
To rozróżnienie oszczędza firmom najwięcej pracy, a bywa pomijane. Odpadem jest przedmiot, którego posiadacz się pozbywa jako niepotrzebnego. Sprawny laptop sprzedany innemu podmiotowi pozostaje towarem i cała ścieżka odpadowa przestaje mieć zastosowanie. Zamiast karty przekazania odpadów wystawia się fakturę.
Praktyczna konsekwencja jest taka, że warto rozdzielić flotę na dwie części, zanim wykona się jakikolwiek telefon. Sprzęt sprawny idzie do odsprzedaży, uszkodzony do utylizacji. Pierwsza grupa przynosi pieniądze, druga generuje koszt, a obie mają inne wymogi dokumentacyjne.
Procedura, która domyka wszystkie trzy porządki
Przy sprzęcie przeznaczonym do sprzedaży warto poświęcić chwilę na przygotowanie laptopa do sprzedaży, bo stan wizualny, komplet akcesoriów i udokumentowana historia serwisowa przekładają się na wycenę. Różnica między sprzętem opisanym a wrzuconym luzem do kartonu bywa wyraźna.
Firmy, które wycofują kilkadziesiąt urządzeń naraz, zwykle nie prowadzą tego procesu samodzielnie. Prościej jest skorzystać z kompleksowych usług ITAD, w których odbiór, inwentaryzacja, kasowanie danych, wycena i dokumentacja są jednym zleceniem. Firma dostaje wtedy komplet papierów do audytu, a sprawne urządzenia wracają na rynek zamiast trafić na złom.
Najczęstsze wątpliwości
Czy mała firma też musi mieć wpis do BDO?
Obowiązek zależy od rodzaju i ilości wytwarzanych odpadów, a nie od wielkości firmy. Część podmiotów wytwarzających niewielkie ilości odpadów o charakterze komunalnym jest z niego zwolniona. Ponieważ granice bywają nieoczywiste, przed pierwszym przekazaniem sprzętu warto sprawdzić swoją sytuację w rejestrze albo zapytać odbiorcę, który robi to na co dzień.
Czy można oddać firmowy sprzęt do sklepowego punktu zbiórki?
Punkty przy sklepach i gminne zbiórki obsługują sprzęt z gospodarstw domowych. Odpady firmowe idą inną ścieżką, z ewidencją i kartą przekazania. Oddanie floty służbowych laptopów do sklepowego pojemnika nie zwalnia firmy z obowiązków dokumentacyjnych.
Jak długo trzymać dokumentację?
Ewidencję odpadów przechowuje się przez okres wskazany w ustawie o odpadach, a dokumenty księgowe zgodnie z przepisami o rachunkowości. Certyfikaty kasowania danych warto trzymać co najmniej tak długo, jak dokumentację przetwarzania danych, do której się odnoszą.
Co zrobić ze sprzętem, który leży w magazynie od kilku lat?
Ścieżka jest ta sama, tylko wycena będzie niższa, bo sprzęt traci wartość z każdym miesiącem przechowywania. Jeśli urządzenia nadal się uruchamiają, część floty prawdopodobnie kwalifikuje się do odsprzedaży. Reszta pójdzie do utylizacji i tu liczy się już tylko poprawna dokumentacja.
Zestawienie ma charakter informacyjny i opisuje ogólne zasady postępowania. W konkretnej sytuacji zakres obowiązków zależy od rodzaju działalności, ilości odpadów i posiadanych decyzji administracyjnych.
- Ustawa z dnia 11 września 2015 r. o zużytym sprzęcie elektrycznym i elektronicznym
- Ustawa z dnia 14 grudnia 2012 r. o odpadach, w tym przepisy o administracyjnych karach pieniężnych i o rejestrze BDO
- Rozporządzenie ogólne o ochronie danych osobowych (RODO), zasada rozliczalności i wymogi bezpieczeństwa przetwarzania
- NIST Special Publication 800-88 Rev. 1, wytyczne dotyczące usuwania danych z nośników
- Norma DIN 66399, klasy ochrony i stopnie bezpieczeństwa niszczenia nośników danych