come compilo la domanda sulla minimizzazione dei dati nel trattamento di dati personali

La minimizzazione dei dati dipende dalla politica di accesso, non dalla crittografia

La minimizzazione dei dati non figura come misura autonoma nell'articolo 21 paragrafo 2 NIS2 — quelle dieci misure riguardano la gestione del rischio, la gestione degli incidenti, la continuità operativa e il controllo dell'accesso, non i principi della GDPR sulla raccolta dei dati. Tuttavia, la domanda compare spesso nello stesso questionario, perché i clienti combinano le verifiche NIS2 e sulla privacy. La documentazione appropriata in questo caso non è un registro dei trattamenti GDPR ma la politica di accesso: chi ha accesso a quali dati e se tale accesso è limitato a quanto necessario per la funzione. Questo si allinea a la politica di accesso inclusa la gestione dei beni aziendali — se contengono controllo dell'accesso basato sui ruoli e il principio "need to know", questo è spesso una giustificazione sufficiente per una risposta affermativa.

Se non hai una politica di minimizzazione GDPR separata ma possiedi una certificazione ISO 27001, l'Allegato A è una carta più forte di quanto pensi: le misure di controllo sulla limitazione dell'accesso e la classificazione delle informazioni coprono implicitamente la minimizzazione dei dati, senza bisogno di usare il termine stesso. In tal caso, fai riferimento a il certificato ISO 27001 e lascia che il sistema colleghi la risposta ad esso. Se non hai nessuno dei due, non rispondere automaticamente "sì" — inserisci quello che è effettivamente corretto, anche se è "no, ancora in corso di elaborazione".

Fonte: articolo 21 paragrafo 2 e Allegato A

L'articolo 21 paragrafo 2 NIS2 menziona la politica di controllo dell'accesso e la gestione delle risorse come due delle dieci misure obbligatorie, senza usare il termine minimizzazione dei dati; ISO/IEC 27001 Allegato A lo sviluppa ulteriormente attraverso le misure di controllo sulla limitazione dell'accesso e la classificazione delle informazioni, e la Legge sulla cibersicurezza incorpora il testo NIS2 letteralmente quando entrerà in vigore il 15 agosto 2026.