Minimalizácia údajov

Čo to znamená

Minimalizácia údajov je jedna zo základných zásad GDPR. Osobné údaje musia byť primerané, relevantné a obmedzené na rozsah, ktorý je nevyhnutný na účel spracúvania. Firma teda nesmie zbierať údaje „pre istotu“ či „keby sa zišli“, ale len tie, ktoré na konkrétny účel naozaj potrebuje.

Zásada sa týka troch rozmerov: aké údaje sa zbierajú, napríklad či formulár naozaj potrebuje dátum narodenia, kto k nim má prístup, teda len ľudia, ktorí ich pre prácu potrebujú, a ako dlho sa uchovávajú. Súvisí s ňou zásada obmedzenia uchovávania, podľa ktorej sa údaje po skončení účelu vymažú alebo anonymizujú.

Minimalizácia je aj praktickou ochranou. Čo firma nemá, to jej nemôže uniknúť ani to nemusí chrániť, aktualizovať a vydávať pri žiadostiach dotknutých osôb. Menej údajov znamená menšie riziko, nižšie náklady a jednoduchšie dodržiavanie ostatných povinností.

Ako to funguje v praxi

Pri revízii odporúčame prejsť všetky formuláre, šablóny a systémy a pri každom poli sa opýtať, na čo ho firma potrebuje. Kópie občianskych preukazov, rodné čísla či dátumy narodenia sa často zbierajú zo zvyku, hoci na daný účel netreba. Výsledok sa premietne do záznamu o spracovateľských činnostiach.

Pri dobe uchovávania treba rozlišovať zákonné povinnosti. Mzdové listy, účtovné doklady či dokumenty na daňové účely firma musí uchovávať zo zákona, a to aj proti vôli zamestnanca či klienta. Iné údaje, napríklad životopisy neúspešných uchádzačov, treba po primeranom čase vymazať.

Pri testovaní, analýzach či zdieľaní s dodávateľmi pomáha pseudonymizácia alebo anonymizácia. Vývojári nepotrebujú skutočné mená klientov a analytik nepotrebuje rodné čísla, aby videl trendy v predaji.

Na čo si dať pozor

Najčastejšou chybou je zbieranie kópií dokladov totožnosti bez zákonného dôvodu. Banka či subjekt podliehajúci AML ju potrebuje, bežný obchod či hotel spravidla nie. Úrad na ochranu osobných údajov takéto kopírovanie opakovane postihuje.

Druhou chybou je neobmedzené uchovávanie. Staré databázy zákazníkov, e-maily či zálohy z rokov dávno minulých sú rizikom pri úniku a pri žiadosti o výmaz. Pravidelné mazanie podľa nastavených lehôt je jednoduchšie než dodatočné hľadanie, čo všetko firma o človeku má.