kako popunim pitanje o minimizaciji podataka kod osobnih podataka

Minimalizacija podataka ovisi o politici pristupa, a ne o enkripciji

Minimalizacija podataka kao takva ne stoji kao odvojena mjera u članku 21. stavku 2. Direktive NIS2 — ta deset mjera bave se upravljanjem rizicima, obradom incidenata, kontinuitetom poslovanja i kontrolom pristupa, a ne načelima GDPR-a za prikupljanje podataka. Ipak, pitanje često dolazi u isti upitnik jer klijenti kombiniraju svoje NIS2 i procjene privatnosti. Dokaz koji je pri tome primjeren nije register obrade podataka prema GDPR-u već politika pristupa: tko može pristupiti koje podatke i je li to ograničeno na ono što je potrebno za funkciju. To je usklađeno s politikom pristupa uključujući upravljanje poslovnim sredstvima — ako tu postoji pristup temeljen na ulogama i načelo "trebam znati", to je često dovoljno utemeljenje za odgovor "da".

Ako nemaš posebnu politiku minimalizacije podataka prema GDPR-u ali imaš ISO 27001 certifikat, tada je Prilog A jača karta nego što misliš: mjere kontrole pristupa i klasifikacije informacija implicitno pokrivaju minimalizaciju podataka bez da moraš sam upotrijebiti taj pojam. U tom slučaju uputi na ISO 27001 sertifikat i pusti da sustav poveže odgovor s tim. Ako nemaš ni jedno ni drugo, tada ne odgovori automatski "da" — upiši ono što je faktički točno, čak i ako je to "ne, još u razvoju".

Odakle ovo dolazi: članak 21 stavak 2 i Prilog A

Članak 21. stavak 2. Direktive NIS2 navodi politiku kontrole pristupa i upravljanje imovinom kao dvije od deset obaveznih mjera bez korištenja termina minimalizacija podataka; ISO/IEC 27001 Prilog A to dalje razvija kroz mjere kontrole pristupa i klasifikaciju informacija, a Zakon o kibernetskoj sigurnosti preuzima NIS2 tekst jedan na jedan čim uđe na snagu 15. kolovoza 2026.