hvordan udfylder jeg spørgsmålet om dataminimering ved personoplysninger

Dataminimering afhænger af adgangspolitik, ikke af kryptering

Dataminimering i sig selv er ikke en separat foranstaltning i artikel 21, stk. 2 i NIS2-direktivet — disse ti foranstaltninger handler om risikostyring, hændelseshåndtering, forretningskontinuitet og adgangskontrol, ikke om GDPR-principperne for dataindsamling. Alligevel stilles spørgsmålet ofte i samme spørgeskema, fordi kunder kombinerer deres NIS2- og privatlivsvurderinger. Det relevante bevis her er ikke et GDPR-behandlingsregister, men adgangspolitikken: hvem må få adgang til hvilke data, og er det begrænset til det nødvendige for funktionen. Det er sammenhængende med adgangspolitikken inklusive styring af virksomhedsaktiver — hvis rollebaseret adgang og »need to know«-princippet er indeholdt deri, er det ofte tilstrækkelig dokumentation for et »ja«.

Hvis du ikke har en separat GDPR-minimiseringspolitik, men du har et ISO 27001-certifikat, er bilag A stærkere end du måske tror: kontrol-foranstaltningerne vedrørende adgangsbegrænsning og klassificering af oplysninger dækker dataминimering implicit, uden at du behøver at nævne ordet selv. I så fald henvises til virksomhedens ISO 27001-certificat og lad systemet forbinde svaret hermed. Hvis du hverken har det ene eller det andet, svar ikke automatisk »ja« — udfyld det, som faktisk er korrekt, også selvom det er »nej, endnu under udvikling«.

Hvor dette kommer fra: artikel 21, stk. 2 og Bilag A

Artikel 21, stk. 2 i NIS2-direktivet nævner adgangskontrolpolitik og aktivastyring som to af de ti obligatoriske foranstaltninger uden at bruge ordet dataminimering; ISO/IEC 27001 bilag A udvikler det videre gennem kontrolforanstaltninger for adgangsbegrænsning og informationsklassificering, og cybersikkerhedsloven overtager NIS2-teksten ord for ord, når den træder i kraft den 15. august 2026.