jak wpisuję odpowiedź na pytanie o minimalizację danych dotyczących osób fizycznych

Minimalizacja danych wiąże się z polityką dostępu, a nie szyfrowaniem

Minimalizacja danych sama w sobie nie figuruje jako odrębny środek w artykule 21 ust. 2 dyrektywy NIS2 — te dziesięć środków dotyczy zarządzania ryzykiem, obsługi incydentów, ciągłości działalności i kontroli dostępu, a nie zasad RODO dotyczących gromadzenia danych. Jednak to pytanie często trafia do tej samej ankiety, ponieważ klienci łączą oceny NIS2 i prywatności. Dokumentem, który się tutaj nadaje, nie jest rejestr przetwarzania RODO, lecz polityka dostępu: kto ma dostęp do jakich danych i czy ten dostęp ogranicza się do tego, co jest niezbędne do pełnienia funkcji. To wpisuje się w politykę dostępu wraz z zarządzaniem zasobami przedsiębiorstwa — jeśli zawiera tam dostęp oparty na rolach i zasadę "need to know", to często stanowi wystarczające uzasadnienie dla odpowiedzi "tak".

Jeśli nie posiadasz odrębnej polityki minimalizacji danych, ale masz certyfikat ISO 27001, wówczas Załącznik A jest silniejszą kartą, niż myślisz: środki kontrolne dotyczące ograniczenia dostępu i klasyfikacji informacji obejmują minimalizację danych implicite, bez konieczności używania samego tego słowa. W tym przypadku odsyłaj do certyfikat ISO 27001 i pozwól systemowi powiązać odpowiedź z tym dokumentem. Jeśli nie posiadasz żadnego z powyższych, nie odpowiadaj automatycznie "tak" — podaj to, co faktycznie się sprawdza, nawet jeśli to "nie, wciąż w opracowaniu".

Skąd to pochodzi: artykuł 21 ust. 2 i Załącznik A

Artykuł 21 ust. 2 dyrektywy NIS2 wymienia politykę kontroli dostępu i zarządzanie zasobami jako dwa z dziesięciu obowiązkowych środków, bez użycia terminu minimalizacja danych; norma ISO/IEC 27001 Załącznik A rozwija to dalej poprzez środki kontrolne dotyczące ograniczenia dostępu i klasyfikacji informacji, a Ustawa o cyberbezpieczeństwie przejmuje tekst NIS2 jeden do jednego, gdy wejdzie w życie w dniu 15 sierpnia 2026 r.