Kā es aizpildu jautājumu par datu minimizēšanu personīgo datu gadījumā

Datu minimizēšana ir saistīta ar piekļuves politiku, nevis ar šifrēšanu

Datu minimizēšana pati par sevi nav atsevišķs pasākums NIS2 direktīvas 21. panta 2. punktā — šie desmit pasākumi attiecas uz riska pārvaldību, incidentu apstrādi, biznesa nepārtrauktību un piekļuves kontroli, nevis uz VDAR datu vākšanas principiem. Tomēr jautājums bieži vien parādās tajā pašā jautājumu sarakstā, jo klienti apvieno savus NIS2 un privātuma testus. Dokumentu, kas šeit derētu, nav VDAR datu apstrādes reģistrs, bet piekļuves politika: kurš var piekļūt kādiem datiem, un vai tas ir ierobežots līdz tam, kas nepieciešams darbam. Tas atbilst piekļuves politikai, ieskaitant aktīvu pārvaldību — ja tajā ir norādīta loma balstīta piekļuve un "must know" princips, tas bieži vien ir pietiekams pamatojums "jā" atbildei.

Ja tev nav atsevišķas VDAR minimizēšanas politikas, bet ir ISO 27001 sertifikāts, tad Pielikuma A nozīme ir lielāka, nekā jūs domājat: kontroles pasākumi par piekļuves ierobežošanu un informācijas klasifikāciju netieši aptver datu minimizēšanu, bez nepieciešamības pašam lietot šo terminu. Šajā gadījumā atsaucies uz uzņēmuma ISO 27001 sertifikāts un ļauj sistēmai atbildi saistīt ar to. Ja tev nav nevienam no tiem, tad neatbildi automātiski "jā" — aizpildi to, kas faktiski ir patiess, pat ja tas ir "nē, vēl tiek izstrādāts".

No kurienes tas nāk: 21. pants, 2. punkts un Pielikums A

NIS2 direktīvas 21. panta 2. punkts min piekļuves kontroles politiku un aktīvu pārvaldību kā divus no desmit obligātiem pasākumiem, un terminu datu minimizēšana neizmanto; ISO/IEC 27001 Pielikuma A to turpina ar kontroles pasākumiem piekļuves ierobežošanai un informācijas klasifikācijai, un Kiberdrošības likums pārņem NIS2 tekstu vienu pret vienu, tiklīdz tas stājas spēkā 2026. gada 15. augustā.