comment remplir la question sur la minimisation des données pour les données personnelles

La minimisation des données dépend de la politique d'accès, non du chiffrement

La minimisation des données ne figure pas comme mesure distincte à l'article 21, paragraphe 2, NIS2 — ces dix mesures concernent la gestion des risques, la gestion des incidents, la continuité d'activité et le contrôle d'accès, non les principes du RGPD relatifs à la collecte de données. Néanmoins, la question apparaît souvent dans le même questionnaire, car les clients combinent leurs évaluations NIS2 et confidentialité. Le document pertinent n'est pas un registre de traitement RGPD mais la politique d'accès : qui a accès à quelles données, et cet accès est-il limité à ce qui est nécessaire pour la fonction. Cela s'aligne avec la politique d'accès incluant la gestion des actifs informatiques — si elle contient un contrôle d'accès basé sur les rôles et le principe du « besoin de savoir », cela constitue souvent une justification suffisante pour répondre « oui ».

Si vous n'avez pas de politique de minimisation RGPD distincte mais disposez d'un certificat ISO 27001, alors l'Annexe A est un atout plus puissant que vous ne le pensez : les mesures de maîtrise relatives à la restriction d'accès et à la classification de l'information couvrent implicitement la minimisation des données, sans qu'il soit nécessaire d'utiliser le terme lui-même. Référencez dans ce cas la certification ISO 27001 et laissez le système coupler la réponse à celui-ci. Si vous n'avez ni l'un ni l'autre, ne répondez pas automatiquement « oui » — indiquez ce qui est factuellement exact, même si c'est « non, encore en cours de mise en place ».

D'où cela provient : article 21, paragraphe 2 et Annexe A

L'article 21, paragraphe 2, NIS2 mentionne la politique de contrôle d'accès et la gestion des actifs comme deux des dix mesures obligatoires, sans utiliser le terme de minimisation des données ; ISO/IEC 27001 Annexe A développe cela davantage via les mesures de maîtrise relatives à la restriction d'accès et à la classification de l'information, et la Loi sur la cybersécurité reprend le texte NIS2 mot pour mot dès son entrée en vigueur le 15 août 2026.