hogyan válaszoljak az adattakarékosságra vonatkozó kérdésre személyes adatok tekintetében

Az adatminimalizálás a hozzáférési szabályzattól függ, nem a titkosítástól

Az adatminimalizálás önmagában nem jelenik meg önálló intézkedésként a NIS2 21. cikk 2. bekezdésében — ezek a tíz intézkedés a kockázatkezelésről, az incidensmegoldásról, az üzletmenet-folytonossági és hozzáférési ellenőrzésről szólnak, nem az adatkezelésre vonatkozó GDPR-elvekről. Mégis gyakran megfelelően kerül ugyanabba a kérdőívbe, mert az ügyfelek NIS2- és adatvédelmi auditjaikat kombinálják. Az ehhez tartozó dokumentáció nem egy GDPR-feldolgozási regiszter, hanem a hozzáférési szabályzat: kinek lehet hozzáférése mely adatokhoz, és ez korlátozva van-e arra, ami a funkcióhoz szükséges. Ez összhangban áll a hozzáférési szabályzattal, beleértve a vállalati eszközök kezelését — ha ezekben szerepköralapú hozzáférés és a "need to know" elv, akkor az gyakran elegendő indokolás egy "igen" válaszhoz.

Ha nincs külön GDPR-minimalizálási szabályzatod, de van ISO 27001-tanúsítványod, akkor a Melléklet A erősebb kártya, mint gondolod: a hozzáférés-korlátozás és az információ besorolása utáni intézkedések implicit módon lefedik az adatminimalizálást, anélkül, hogy magát a szót kellene említened. Ebben az esetben hivatkozz szervezet ISO 27001-tanúsítványa és hagyja, hogy a rendszer a választ ehhez kösse. Ha egyikre sincs módod, ne válaszolj automatikusan "igen" — töltsd ki azt, ami ténylegesen igaz, még ha az "nem, még fejlesztés alatt" is.

Ezek forrása: a 21. cikk (2) bekezdése és az A melléklet

A NIS2 21. cikk 2. bekezdése a hozzáférési ellenőrzési szabályzatot és az eszközkezelést említi a tíz kötelező intézkedés közül, az adatminimalizálás kifejezés használata nélkül; az ISO/IEC 27001 Melléklet A ezt a hozzáférés-korlátozás és az információ besorolása utáni intézkedéseken keresztül továbbfejleszti, és a Kiberbiztonság törvény a NIS2-szöveget szó szerint átveszi, amint az 2026. augusztus 15-én hatályba lép.