hur fyller jag i frågan om dataminimering vid personuppgifter

Dataminimering är kopplat till åtkomstpolicy, inte till kryptering

Dataminimering i sig står inte som en separat åtgärd i artikel 21 stycke 2 NIS2 — dessa tio åtgärder handlar om riskhantering, incidenthantering, verksamhetskontinuitet och åtkomstkontroll, inte om GDPR-principerna för datainsamling. Ändå kommer frågan ofta helt berättigat in i samma enkät, eftersom kunder kombinerar sina NIS2- och integritetsgranskningar. Det bevisunderlag som passar här är inte ett GDPR-behandlingsregister utan åtkomstpolicyn: vem får åtkomst till vilka data, och är det begränsat till vad som är nödvändigt för funktionen. Det ansluter till åtkomstpolicyn inklusive hantering av verksamhetsresurser — om rollbaserad åtkomst och "need to know"-principen ingår där, är det ofta tillräcklig motivering för ett "ja".

Saknar du en separat GDPR-minimeringspolicy men har ett ISO 27001-certifikat, då är Annex A ett starkare kort än du tror: kontrollåtgärderna för åtkomstbegränsning och klassificering av information täcker dataminimering implicit, utan att du behöver använda ordet själv. Hänvisa i så fall till ISO 27001-certifikatet och låt systemet koppla svaret till det. Saknar du båda två, svara då inte automatiskt "ja" — fyll i vad som faktiskt stämmer, även om det är "nej, ännu under utarbetande".

Varifrån detta kommer: artikel 21 punkt 2 och bilaga A

Artikel 21 stycke 2 NIS2 nämner åtkomstkontrollpolicy och tillgånghantering som två av de tio obligatoriska åtgärderna, utan att använda termen dataminimering; ISO/IEC 27001 Annex A utvecklar detta vidare genom kontrollåtgärder för åtkomstbegränsning och informationsklassificering, och cybersäkerhetslag omtar NIS2-texten ordagrant när den träder i kraft den 15 augusti 2026.