The organisation must establish strict procedures for managing official documents issued by public authorities that contain identifiable personal information.

• Official documents (such as ID cards, passports, or licenses) must not be photographed, copied, or duplicated unless explicitly required by law or upon request from a competent public authority.
• When copying or collecting such documents is legally necessary, appropriate safeguards must be implemented to ensure confidentiality, integrity, and restricted access.
• These documents must only be used for the specific purpose for which they were obtained and securely destroyed once that purpose has been fulfilled, unless a legal requirement mandates their retention.
• Any instances of copying or retention must be properly documented to demonstrate compliance and accountability.

Organisaatiolla tulee olla kuvaus tietoaineiston sisällön säilytysajasta sekä arkistoon siirtämisestä, arkistointitavasta ja arkistopaikasta tai tuhoamisesta. Tietoaineiston säilytysajan päättymisen jälkeen tietoaineistot on arkistoitava tai tuhottava viipymättä tietoturvallisella tavalla.

Kun tuhotaan tietojärjestelmien sisältämiä tietoja, seuraavat seikat olisi huomioitava:

• sopiva tuhoamistapa (esim. ylikirjoitus, kryptografinen pyyhintä) valitaan toiminnalliset ja lakisääteiset vaatimukset huomioiden
• tarpeellisuus todisteiden säilyttämiselle tiedon tuhoamisesta käsitellään
• hyödynnettäessä kolmansia osapuolia tietojen tuhoamiseen käsitellään todisteiden vaatiminen sekä tuhoamisvaatimusten sisällyttäminen toimittajasopimuksiin

Tietoaineiston arkistointi- tai tuhoamisprosessi määritellään dokumentaation yhteydessä ja tietoaineiston omistaja vastaa sen toteutuksesta.