Organisaation on laadittava ja ylläpidettävä dokumentoitua menettelyä henkilötietojen turvallista hävittämistä varten. Menettelyllä on varmistettava, että tiedot poistetaan nopeasti ja turvallisesti, kun:

• Niitä ei enää tarvita siihen tarkoitukseen, jota varten ne on kerätty, mukaan lukien terveystiedot, joita tarvitaan vain niin kauan kuin ne ovat merkityksellisiä annettavan hoidon kannalta.
• Käsittelyn jatkaminen olisi lainvastaista tai muutoin sääntöjen vastaista.
• Henkilö käyttää oikeuttaan tietojen poistamiseen tai peruuttaa suostumuksensa, eikä mikään muu laillinen peruste oikeuta käsittelyn jatkamista.
• Käyttölokit, joista käy ilmi, kuka on käyttänyt tai saanut tietoja, eivät ole enää tarpeen toiminnallisiin tai vastuullisiin tarkoituksiin.

Menettelyllä on varmistettava, että tiedot poistetaan, kun niiden säilyttäminen ei ole enää perusteltua, paitsi jos niiden säilyttämisen jatkaminen on lakisääteistä. Menettelyssä on myös määriteltävä vastuualueet, hyväksytyt poistomenetelmät ja dokumentaatio, jota tarvitaan asianmukaisen täytäntöönpanon ja noudattamisen osoittamiseksi.

Organisaatiolla tulee olla kuvaus tietoaineiston sisällön säilytysajasta sekä arkistoon siirtämisestä, arkistointitavasta ja arkistopaikasta tai tuhoamisesta. Tietoaineiston säilytysajan päättymisen jälkeen tietoaineistot on arkistoitava tai tuhottava viipymättä tietoturvallisella tavalla.

Kun tuhotaan tietojärjestelmien sisältämiä tietoja, seuraavat seikat olisi huomioitava:

• sopiva tuhoamistapa (esim. ylikirjoitus, kryptografinen pyyhintä) valitaan toiminnalliset ja lakisääteiset vaatimukset huomioiden
• tarpeellisuus todisteiden säilyttämiselle tiedon tuhoamisesta käsitellään
• hyödynnettäessä kolmansia osapuolia tietojen tuhoamiseen käsitellään todisteiden vaatiminen sekä tuhoamisvaatimusten sisällyttäminen toimittajasopimuksiin

Tietoaineiston arkistointi- tai tuhoamisprosessi määritellään dokumentaation yhteydessä ja tietoaineiston omistaja vastaa sen toteutuksesta.