ako vyplním otázku o minimalizácii údajov pri osobných údajoch

Minimalizácia údajov súvisí s politikou prístupu, nie s šifrovaním

Minimalizácia údajov sama o sebe nie je samostatnou opatrením uvedeným v článku 21 odsek 2 NIS2 — tie desať opatrení sa týkajú riadenia rizík, spracovania incidentov, kontinuity podnikania a kontroly prístupu, nie princípov GDPR týkajúcich sa zberu údajov. Napriek tomu sa táto otázka často legitimne objaví v rovnakom zozname otázok, pretože klienti kombinujú svoju NIS2 a audit ochrany súkromia. Relevantným dokladom nie je register spracúvania GDPR, ale politika prístupu: kto má prístup k akým údajom a je to obmedzené na to, čo je potrebné pre danú funkciu. To sa zhoduje s politikou prístupu vrátane správy majetku podniku — ak tam má miesto kontrola prístupu na báze role a princíp "potreby vedieť", často to postačuje ako odôvodnenie pre "áno".

Ak nemáš samostatnú politiku minimalizácie údajov podľa GDPR, ale máš certifikáciu ISO 27001, potom Príloha A je silnejšou kartou, ako si myslíš: kontrolné opatrenia týkajúce sa obmedzenia prístupu a klasifikácie informácií implicitne pokrývajú minimalizáciu údajov bez toho, aby si musel používať samotný výraz. V takom prípade sa odvolaj na certifikát ISO 27001 a nechaj systém na to zaviazať svoju odpoveď. Ak nemáš ani jedno, neatnavuj automaticky "áno" — zadaj to, čo fakticky platí, aj keď to znamená "nie, ešte sa pripravuje".

Odkiaľ to pochádza: článok 21 odsek 2 a príloha A

Článok 21 odsek 2 NIS2 uvedomuje politiku kontroly prístupu a správu aktív ako dve z desiatich povinných opatrení bez uvedenia termínu minimalizácia údajov; norma ISO/IEC 27001 Príloha A to rozpracúva ďalej prostredníctvom kontrolných opatrení pre obmedzenie prístupu a klasifikáciu informácií, a Zákon o kybernetickej bezpečnosti ho preberá z NIS2 v plnom znení, keď vstúpi do platnosti 15. augusta 2026.