jak vyplnit otázku o minimalizaci dat u osobních údajů

Minimalizace dat závisí na zásadách přístupu, nikoli na šifrování

Minimalizace dat sama o sobě není samostatným opatřením v článku 21 odst. 2 NIS2 — těchto deset opatření se týká řízení rizik, zpracování incidentů, kontinuity podnikání a kontroly přístupu, nikoli principů GDPR týkajících se sběru dat. Otázka se však často správně objevuje ve stejném dotazníku, protože zákazníci kombinují své hodnocení NIS2 a ochrany soukromí. Dokladem, který sem patří, není registr zpracování GDPR, ale zásada přístupu: kdo má přístup k jakým datům a je to omezeno na to, co je nezbytné pro danou funkci. To odpovídá zásadě přístupu včetně řízení firemních prostředků — pokud tam je role-based access a princip "need to know", často to stačí jako dostatečné zdůvodnění pro "ano".

Nemáš-li vlastní samostatnou zásadu minimalizace dat, ale máš certifikaci ISO 27001, pak Příloha A je silnější karta, než si myslíš: kontrolní opatření týkající se omezení přístupu a klasifikace informací implicitně pokrývají minimalizaci dat, aniž bys musel sám slovo používat. V takovém případě se odkazuj na certifikát ISO 27001 a nech systém odpověď na to napojit. Nemáš-li ani jedno z nich, neodpovídej automaticky "ano" — vyplň to, co fakticky platí, i když je to "ne, zatím v přípravě".

Odkud to pochází: článek 21 odst. 2 a příloha A

Článek 21 odst. 2 NIS2 uvádí zásady kontroly přístupu a správu aktiv jako dvě z deseti povinných opatření, aniž by jako termín používal minimalizaci dat; ISO/IEC 27001 Příloha A to dále rozpracovává prostřednictvím kontrolních opatření pro omezení přístupu a klasifikaci informací, a Zákon o kybernetické bezpečnosti převzal text NIS2 jeden na jeden, jakmile vstoupí v platnost 15. srpna 2026.