kuidas ma täidan persooniandmete andmete minimeerimise küsimuse

Andmete minimaliseerimine sõltub juurdepääsupoliitikast, mitte krüpteerimisest

Andmete minimaliseerimine ei ole otsekohene abinõu artikli 21 lõike 2 NIS2-s — need kümme abinõu käsitlevad riskijuhtimist, intsidentide käsitlemist, ärikontinuumust ja juurdepääsukontrolli, mitte AVG-i andmekogumise põhimõtteid. Sellegipoolest esineb see küsimus sageli samades küsimustikes, kuna kliendid ühendavad oma NIS2- ja privaatsusauditeid. Sellele vastav tõendusmaterjal ei ole AVG andmetöötlemise register, vaid juurdepääsupoliitika: kes võib millisele andmele juurde pääseda, ja kas see on piiratud funktsiooniks vajalikuga. See vastab juurdepääsupoliitikale koos ettevõtte vahendite haldusega — kui seal on rollipõhine juurdepääs ja "need to know" -põhimõte, on see sageli piisav põhjendus "jah" vastuseks.

Kui sul pole eraldi andmete minimeerimise poliitikat, kuid sul on ISO 27001 -sertifikaat, siis Lisa A on tugevam kaart, kui arvad: juurdepääsupiirangute ja teabe klassifikatsiooni kontrollivõtted hõlmavad andmete minimeerimist kaudselt, ilma et peaksid sõna ise mainima. Viita sel juhul sellele organisatsiooni ISO 27001-sertifikaat ja lase süsteemil vastuse sellega seostada. Kui sul pole kumbagi, ära vasta automaatselt "jah" — täida see, mis tegelikult kehtib, isegi kui see on "ei, veel väljatöötamisel".

Kust see pärineb: artikkel 21 lõige 2 ja Lisa A

NIS2 artikli 21 lg 2 nimetab juurdepääsukontrolli poliitikat ja vara haldustoiminguid kahe kümne kohustuslikust meetmest, ilma et kasutaks andmete minimeerimist terminina; ISO/IEC 27001 Lisa A arendab seda edasi juurdepääsupiirangute ja teabe klassifikatsiooni kontrollivõtete kaudu, ja Küberjulgeolekuseadus võtab NIS2 teksti üle nii nagu on, niipea kui see 15. augustil 2026 jõustub.