kaip atsakau į klausimą apie duomenų minimizavimą apdorojant asmens duomenis

Duomenų sumažinimas priklauso nuo prieigos politikos, o ne nuo šifravimo

Duomenų sumažinimas pats savaime nėra atskira priemonė NIS2 21 straipsnio 2 dalyje — tos dešimt priemonių susijusios su rizikos valdymu, incidentų tvarkymu, verslo tęstinumu ir prieigos kontrole, o ne su BDAR duomenų rinkimo principais. Nepaisant to, šis klausimas dažnai atsiranda toje pačioje klausimyne, nes klientai sujungia savo NIS2 ir privatumo patikras. Pasitikėjimo dokumentas, kuris čia tinka, nėra BDAR duomenų tvarkymo registras, o prieigos politika: kas gali pasiekti kokius duomenis ir ar tai apribota tik tam, kas reikalinga funkcijai. Tai atitinka prieigos politiką, įskaitant verslo priemonių valdymą — jei joje yra rolėms skirta prieiga ir "need to know" principas, tai dažnai yra pakankamas pagrindas teigiamai atsakyti.

Jei neturi atskiro GDPR duomenų minimalizavimo politikos, bet turi ISO 27001 sertifikatą, tada A priedas yra stipresnis argumentas nei manai: kontrolės priemonės dėl prieigos apribojimo ir informacijos klasifikavimo netiesiogiai apima duomenų minimalizavimą, nereikia pačio žodžio paminėti. Tokiu atveju nurodyk ISO 27001 sertifikatas ir leisk sistemai atsakymą su juo susieti. Jei neturi nė vieno, tada neatsakyk automatiškai "taip" — užpildyk tai, kas iš tiesų yra, net jei tai "ne, dar planuojama".

Kur tai gaunasi: 21 straipsnio 2 dalis ir A priedas

Direktyvos NIS2 21 straipsnio 2 dalis nurodo prieigos valdymo politiką ir turto valdymą kaip dvi iš dešimties privalomų priemonių, nenaudodama duomenų minimalizavimo termino; ISO/IEC 27001 A priedas tai toliau plėtoja per kontrolės priemones, susijusias su prieigos apribojimais ir informacijos klasifikavimu, o Kibernetinio saugumo įstatymas NIS2 tekstą perima vienas į vieną kai tik jis įsigalios 2026 m. rugpjūčio 15 d.