kako izpolnim vprašanje o minimizaciji podatkov pri osebnih podatkih

Minimizacija podatkov je odvisna od politike dostopa, ne od šifriranja

Minimizacija podatkov se kot samostojen ukrep ne pojavi v členu 21(2) Direktive NIS2 — teh deset ukrepov se nanaša na upravljanje tveganja, obravnavo incidentov, nadaljevanje poslovanja in nadzor dostopa, ne pa na načela GDPR v zvezi s prikupljanjem podatkov. Toda vprašanje se pogosto pojavi v isti vprašalniku, ker stranke kombinirajo svoje NIS2- in zahteve za varstvo zasebnosti. Dokazilo, ki se pri tem uvršča, ni register obdelave podatkov po GDPR, temveč politika dostopa: kdo ima dostop do katerih podatkov in ali je to omejeno na to, kar je potrebno za funkcijo. To se ujema s politiko dostopa, vključno z upravljanjem poslovnih sredstev — če tam najdete nadzor dostopa na podlagi vlog in načelo »potreba vedeti«, je to pogosto zadosten dokaz za »da«.

Če nimate ločene politike minimizacije podatkov po GDPR, vendar imate certifikat ISO 27001, potem je Dodatek A močnejša karta, kot se zdi: nadzorni ukrepi glede omejitve dostopa in klasifikacije podatkov implicitno pokrivajo minimizacijo podatkov, ne da bi morali uporabljati besedo samo. V tem primeru se sklicujte na certifikat ISO 27001 in pustite sistemu, da odgovor na to veže. Če nimate niti enega niti drugega, ne odgovarjajte samodejno z »da« — navedite tisto, kar je dejansko res, tudi če je to »ne, še v pripravi«.

Izvor: člen 21(2) in Annex A

Člen 21(2) Direktive NIS2 navaja politiko nadzora dostopa in upravljanje sredstev kot dva od desetih obveznih ukrepov, brez uporabe izreka minimizacija podatkov; ISO/IEC 27001 Dodatek A to dodatno pojasni z nadzornimi ukrepi za omejitev dostopa in klasifikacijo podatkov, Zakon o kibernetski varnosti pa tekst NIS2 prevzame v celoti, ko stopi v veljavo 15. avgusta 2026.