cum completez întrebarea despre minimizarea datelor cu privire la datele cu caracter personal

Minimizarea datelor depinde de politica de acces, nu de criptare

Minimizarea datelor în sine nu apare ca măsură separată în articolul 21 alineatul 2 NIS2 — acele zece măsuri se referă la gestionarea riscurilor, gestionarea incidentelor, continuitatea activității și controlul accesului, nu la principiile GDPR privind colectarea datelor. Cu toate acestea, întrebarea apare adesea în același chestionar, deoarece clienții combină evaluările NIS2 și ale confidențialității. Dovada relevantă nu este un registru de prelucrare GDPR, ci politica de acces: cine poate accesa ce date și sunt acestea limitate la ceea ce este necesar pentru funcție. Aceasta se aliniază cu politica de acces inclusiv gestionarea activelor — dacă aceasta include acces pe bază de rol și principiul "need to know", este adesea o justificare suficientă pentru un "da".

Dacă nu ai o politică separată de minimizare GDPR, dar ai certificare ISO 27001, atunci Anexa A este mai puternică decât crezi: măsurile de control privind restricția accesului și clasificarea informațiilor acoperă minimizarea datelor în mod implicit, fără a fi nevoie să menționezi cuvântul în sine. În acest caz, consultă certificatul ISO 27001 și lasă sistemul să cupleze răspunsul la aceasta. Dacă nu ai niciuna dintre acestea, nu răspunde automat "da" — completează ce este corect din punct de vedere factual, chiar dacă aceasta înseamnă "nu, încă în elaborare".

De unde vine asta: articolul 21 alineatul 2 și Anexa A

Articolul 21 alineatul 2 NIS2 menționează politica de control al accesului și gestionarea activelor ca două dintre cele zece măsuri obligatorii, fără a folosi termenul de minimizare a datelor; ISO/IEC 27001 Anexa A o dezvoltă mai departe prin măsurile de control privind restricția accesului și clasificarea informațiilor, iar Legea privind securitatea cibernetică preluează textul NIS2 exact cum este imediat ce acesta intră în vigoare pe 15 august 2026.