hoe vul ik de vraag in over dataminimalisatie bij persoonsgegevens

Dataminimalisatie hangt aan toegangsbeleid, niet aan encryptie

Dataminimalisatie zelf staat niet als losse maatregel in artikel 21 lid 2 NIS2 — die tien maatregelen gaan over risicobeheer, incidentafhandeling, bedrijfscontinuïteit en toegangscontrole, niet over de AVG-beginselen van gegevensverzameling. Toch komt de vraag vaak terecht in dezelfde vragenlijst, omdat klanten hun NIS2- en privacy-toetsen combineren. Het bewijsstuk dat hierbij past, is niet een AVG-verwerkingsregister maar het toegangsbeleid: wie mag bij welke data, en is dat afgebakend tot wat nodig is voor de functie. Dat sluit aan bij het toegangsbeleid inclusief beheer van bedrijfsmiddelen — als daar rolgebaseerde toegang en het "need to know"-principe in staan, is dat vaak voldoende onderbouwing voor een "ja".

Heb je geen apart AVG-minimalisatiebeleid maar wel een ISO 27001-certificaat, dan is Annex A een sterkere kaart dan je denkt: de beheersmaatregelen over toegangsbeperking en classificatie van informatie dekken dataminimalisatie impliciet, zonder dat je het woord zelf hoeft te noemen. Verwijs in dat geval naar het ISO 27001-certificaat en laat het systeem het antwoord daaraan koppelen. Heb je geen van beide, antwoord dan niet automatisch "ja" — vul in wat feitelijk klopt, ook als dat "nee, nog in opzet" is.

Waar dit vandaan komt: artikel 21 lid 2 en Annex A

Artikel 21 lid 2 NIS2 noemt toegangscontrolebeleid en activabeheer als twee van de tien verplichte maatregelen, zonder dataminimalisatie als term te gebruiken; ISO/IEC 27001 Annex A werkt dat verder uit via de beheersmaatregelen voor toegangsbeperking en informatieclassificatie, en de Cyberbeveiligingswet neemt de NIS2-tekst één op één over zodra die op 15 augustus 2026 in werking treedt.